DSGVO und EU Data Act: Gemeinsamkeiten und Unterschiede

Die Verordnung (EU) 2016/679, die Datenschutz-Grundverordnung (DSGVO), gilt seit dem 25. Mai 2018 vollumfänglich. Die meisten Bestimmungen der Verordnung (EU) 2023/2854, des Data Act, gelten ab dem 12. September 2025. Beide sind EU-Verordnungen, die unmittelbar und einheitlich in der gesamten EU gelten.

Für die Medizinproduktebranche gelten beide Verordnungen verbindlich für alle Kategorien von Medizinprodukten, die in der EU in Verkehr gebracht oder verwendet werden, und begründen zusammen mit MDR/IVDR kombinierte Compliance-Pflichten. Ihr Zusammenspiel und die zugrunde liegende Compliance-Logik zu verstehen, ist für den EU-Marktzugang und zur Vermeidung hoher Strafen unerlässlich.

Wesentliche Unterschiede und Verbindungen zwischen den beiden Verordnungen

Die DSGVO ist das „Grundgesetz“ der EU zum Schutz personenbezogener Daten und zielt darauf ab, Datenmissbrauch einzuschränken und die Privatsphäre natürlicher Personen zu schützen. Der EU Data Act ist das „Marktordnungsgesetz“ der EU-Datenwirtschaft und zielt darauf ab, Datenmonopole aufzubrechen und Zugang zu und Fluss von Daten aller Art zu regeln.

Wichtige Compliance-Punkte für die Medizinproduktebranche

1. Zentrale Compliance-Pflichten nach der DSGVO

Medizinproduktehersteller, die von Produkten erhobene, gespeicherte oder verarbeitete personenbezogene Gesundheitsdaten von Patienten verarbeiten (besondere Kategorien personenbezogener Daten nach der DSGVO), müssen:

• eine Rechtsgrundlage für die Verarbeitung schaffen und eine DSFA (Datenschutz-Folgenabschätzung) durchführen

• die zentralen Rechte der Patienten (betroffenen Personen) auf Auskunft, Berichtigung und Löschung gewährleisten.

• Sicherheitsmaßnahmen wie Datenverschlüsselung, Zugriffskontrolle und Reaktion auf Datenpannen umsetzen.

• die Regeln für grenzüberschreitende Datenübermittlungen strikt einhalten.

2. Zentrale Compliance-Pflichten nach dem EU Data Act

Bei smarten/vernetzten Medizinprodukten (etwa Bildprozessoren für elektronische Endoskope und Fernüberwachungsgeräte) müssen Medizinproduktehersteller:

• bereits in der Designphase standardisierte Datenschnittstellen vorsehen, damit Nutzer (Krankenhäuser und Gesundheitseinrichtungen) kostenlos und einfach auf alle vom Produkt erzeugten Daten zugreifen können.

• Nutzer weder durch technische Mittel noch durch Vertragsklauseln daran hindern, Daten mit Dritten (etwa Reparaturdienstleistern und Forschungsplattformen) zu teilen.

• sicherstellen, dass zugehörige Cloud-Dienste und Softwareplattformen die Anforderungen an den Anbieterwechsel erfüllen und eine Anbieterbindung (Vendor Lock-in) ausschließen.

• in Notlagen der öffentlichen Gesundheit relevante nicht personenbezogene Daten auf Anforderung mit öffentlichen Stellen der EU teilen.

Fazit

Die DSGVO zieht rote Linien dafür, wie und warum Hersteller medizinische Daten verarbeiten, während der Data Act die Hersteller verpflichtet, die Tür dafür zu öffnen, wer diese Daten abrufen und nutzen darf – insbesondere die Nutzer und die von ihnen benannten Dritten.

Die Compliance-Arbeit der Hersteller muss ein Gleichgewicht zwischen diesen beiden Logiken finden und einen stimmigen Rahmen für das Risikomanagement aufbauen.

Everbiz bietet Herstellern, die in die EU exportieren, gern gezielte Auslegungen und teilt sein Fachwissen.

Weiterlesen: Die neue EU-Ökodesign-Verordnung ESPR ist da

Vorlage für eine Transparenzerklärung nach dem EU Data Act für Medizinprodukte

Vorlage zur Datenerhebung für die EU-PMS (Überwachung nach dem Inverkehrbringen)

Vorlage für Vertragsklauseln nach dem EU Data Act

EU Data Act: Anwendungsfälle und Anwendungen

EVERBIZ Certification Services (Shanghai) Co., Ltd. (EVERBIZ) ist eine professionelle Compliance-Serviceplattform für Prüfung, Zertifizierung, Beratung und Schulung im Bereich Medizinprodukte und unterstützt führende medizinische F&E-Unternehmen im In- und Ausland dabei, ihre Compliance-Fähigkeiten und ihre Wettbewerbsfähigkeit zu stärken. Das Unternehmen verfügt über Büros und Niederlassungen in Shanghai (China), Hongkong, München (Deutschland), Salzburg (Österreich) und Thailand und deckt Compliance-Produkte aus fast 25 Branchen ab (z. B. Medizinprodukte, neue Energien, Haushaltsgeräte, Beleuchtung, Werkzeuge, Laborgeräte, Maschinen, In-vitro-Diagnostika, Funkprodukte und Reagenzien).

Shanghai: Raum 705, Gebäude 6, Lane 111, Luxiang Road, Bezirk Baoshan, Shanghai | Deutschland: Landsberger Str. 155, 80687 München, Deutschland

Österreich: Innsbrucker Bundesstraße 136/3, 5020 Salzburg, Österreich

Hongkong: Room A1, 11/F Winner Building, 36 Man Yue Street, Hung Hom, Kowloon, Hongkong

Thailand: No. 850 Soi Lat Krabang 30/5, Lat Krabang Subdistrict, Bangkok 10520