Jusletter IT

Ohne Informationstechnologie wären Unternehmen heute nicht mehr überlebensfähig; dies gilt für kleine Gewerbebetriebe ebenso wie große Industriekonzerne. Innerhalb des letzten Jahrzehnts hat sich zudem, insbesondere im Gesundheitswesen, eine große Abhängigkeit von den sich rasch ausbreitenden informations- und medizintechnischen¹ Entwicklungen gebildet. So kann ein Anamnese-, Diagnose-, oder Behandlungsprozess heute ohne die entsprechenden (software-) technischen Unterstützungssysteme in einem Krankenhaus nicht mehr professionell durchgeführt werden.² Um qualitativ hochwertige Leistungen in der Medizin und Pflege anbieten zu können, ist es zudem unerlässlich, Innovationen bei z.B. medizinischen Geräten, Medikamenten, Patientenüberwachung und vielem mehr zu nutzen, um den steigenden Anforderungen und Erwartungshaltungen an einen modernen und professionellen Behandlungsprozess gerecht zu werden.

Die technologische Entwicklung im Gesundheitswesen macht aber auch vor privaten Anwendern nicht halt. Smartphone-Hersteller beispielsweise nützen ihre Hardware, um darauf mit Hilfe von verschiedensten Klein-Applikationen Bewegungsdaten aber auch Vitalparameter zu sammeln, entsprechend auszuwerten und in geeigneter Form anzuzeigen. Zusätzlich können immer mehr Geräte³ ihre Daten über Funkschnittstellen⁴ an das Smartphone in einfacher Weise übermitteln; damit stehen diese Daten für eine Vielzahl weiterer Verwendungsmöglichkeiten zur Verfügung. Smart Watches verfügen z.B. heute unter anderem über Sensoren zur Messung der Herzfrequenz, sowie über Lage- und Beschleunigungssensoren und diese Daten können für diverse Gesundheits- und Fitness-Apps genutzt werden. Signale wie die Herzrhythmus-, oder Atemfrequenz können damit direkt in einen weiteren Behandlungsprozess eingebunden werden.

Parallel öffnet das «Internet der Dinge» auch im Krankenhaus neue Möglichkeiten, die Untersuchungen erleichtern bzw. die dafür notwendige Vorarbeit verbessern können. Verbindet man beispielsweise die funktionalen Möglichkeiten der (vorher erwähnten, privaten) Smartphones mit geeigneten Softwareanwendungen im Krankenhaus, so können gegebenenfalls die Vorbereitungen für einen bevorstehenden Krankenhausaufenthalt⁵ bereits zuhause erledigt werden und damit dem Patienten die Wartezeit und dem Krankenhaus Ressourcen sparen.

Unabhängig davon können mittels «Telemonitoring» medizinische Fachkräfte körperliche Reaktionen auf vorangegangene Behandlungen bewerten, ohne sich am selben Ort befinden zu müssen wie der Patient. Die dafür verwendeten Geräte richten sich dabei nach dem gesundheitlichen Befund des jeweiligen Patienten und können sowohl implantierte kardiologische Geräte, Luftstrommonitore oder vernetzte Blutzuckermessgeräte sein. Das betreffende Gerät sammelt dabei die gewünschten Daten und sollten die Werte nicht dem gewünschten Genesungsverlauf entsprechen, werden Daten an den behandelnden Arzt weitergeleitet, damit dieser die Informationen in Echtzeit analysieren und entsprechend reagieren kann. Direkt nach einer Operation können damit, je nach körperlicher Reaktion und Befinden des Patienten, mögliche Behandlungsoptionen justiert und angepasst werden.

Rechtlich ist dieser Einsatz aber noch nicht klar geregelt; es stellen sich eine Reihe von Rechtsfragen insbesondere in den Bereichen Medizinrecht, Medizinprodukterecht, Informationssicherheits- und Datenschutzrecht und Zivilrecht.

In diesem Beitrag sollen anhand der Apple Watch sowohl die vielfältigen technischen Möglichkeiten eines kombinierten Einsatzes von privaten «Smart-Devices» und der im Krankenhaus eingesetzten Technologie, wie auch die komplexen rechtlichen und sicherheitstechnischen Fragestellungen analysiert werden.

Seit 6. Dezember 2018 vertreibt Apple die ECG App. Mit der ECG App und einer Apple Watch der Serie 4 kann der Anwender von seinem Handgelenk ein Elektrokardiogramm erstellen und sich warnen lassen, wenn die Uhr einen unregelmäßigen Herzrhythmus feststellt (irregular rhythm notification feature). Diese Messungen, die dazu gehörigen Klassifikationen und festgestellte Symptome werden in der Health App auf dem iPhone des Nutzers gespeichert. Die Ergebnisse können für die Übermittlung an den Arzt des Nutzers im Format pdf exportiert werden.⁶ Apple hat von der US-amerikanischen Food and Drug Administration für die App und die Funktion eine «de novo classification» erhalten.⁷

Die «de novo classification» ist eine Klassifikation für neuartige Medizinprodukte, die mit niedrigen bis mäßigen Risiken verbunden sind und nicht in das Schema für klassische Medizinprodukte passen.⁸

Der medizinische Behandlungsprozess innerhalb eines Krankenhauses läuft von der Erstaufnahme über die Diagnostik, die Behandlung, die Pflege bis hin zur Entlassung und Nachkontrolle weitgehend Technologie-unterstützt ab. Dabei werden die für die Behandlung relevanten Daten nicht nur über das Krankenhausinformationssystem erfasst, sondern von vielen unterschiedlichen Quellen bezogen und über eine sogenannte Datendrehscheibe zusammen geführt. So ist ein Großteil der medizintechnischen Geräte mit dem zentralen Informationssystem verknüpft und die medizinischen Sensoren für die Messung und Überwachung der Vitalparameter liefern wertvolle Informationen über den allgemeinen Zustand des Patienten. Die elektronische Medikation, mit einem vollautomatisierten Logistikprozess, ist dabei ebenso Teil der Gesamtsicht auf den Patienten, wie beispielsweise die gesammelten Daten im Operationssaal (z.B. Anästhesieinformationen oder Videomaterial bei minimalinvasiven Eingriffen) oder auf den Intensiveinheiten. Somit stehen in einem modernen Krankenhaus sämtliche relevanten Informationen sowohl in der Erstaufnahme, in den klinischen Instituten (z.B. Radiologie, Labor, Pathologie, usw.), aber auch auf den Stationen ohne Systembruch vollelektronisch zur Verfügung.

Bislang beschränken sich diese Datenlieferanten jedoch noch auf hausinterne Technologien wobei, rein technisch gesehen, eine Einbeziehung von «privaten» Datenquellen jederzeit möglich wäre.

Nach § 2 Abs 1 Medizinproduktegesetz (in der Folge «MPG»)⁹ sind Medizinprodukte unter anderem Apparate und Software, die vom Hersteller zur Anwendung für Menschen für die Erkennung, Verhütung, Überwachung, Behandlung oder Linderung von Krankheiten bestimmt sind. Gemäß § 15 MPG dürfen Medizinprodukte nur dann in Verkehr gebracht werden, wenn sie mit der CE-Kennzeichnung gemäß dem MPG versehen sind.

Die ECG-App weist bis dato keine CE-Kennzeichnung auf. Die Software-Nutzungsbedingungen für Watch OS 5 enthalten den folgenden Passus:

«(h) Apple Watch, the heart rate sensor and its data and included Apple Watch apps are not medical devices and are intended for fitness purposes only. They are not designed or intended for use in the diagnosis of disease or other conditions, or in the cure, mitigation, treatment, or prevention of disease.»¹⁰

Die ECG App ist derzeit auch nur in den USA, Puerto Rico, Guam und den US Virgin Islands erhältlich.¹¹ Auch der Wechsel der Regionseinstellung soll es laut Medienberichten nicht ermöglichen, die ECG App zu nutzen, da sie nur mit in den USA gekauften Geräten funktioniert.¹²

Zunächst wird geprüft, ob Anamnese, Diagnostik und Behandlung unter Einbeziehung von Gesundheitsdaten, die mittels Devices wie der Apple Watch ermittelt werden, lege artis sind.

Medizinrechtlich geschuldet wird eine Behandlung lege artis, d.h.

• fachgerecht, d.h. dem objektiven Standard des jeweiliges Faches entsprechend geeignet,
• unter Einsatz des fachlichen Wissens und Könnens des Arztes
• nach den anerkannten Regeln der Medizin zum Zeitpunkt der Behandlung, also mit den nach dem Stand der Wissenschaft zu fordernden sichersten Maßnahmen zur möglichsten Ausschaltung oder Einschränkung der bekannten, mit der Behandlung verbundenen Gefahren.¹³

Der Arzt schuldet weiter Aufklärung über Tragweite, Folgen und Risiken der Behandlung;¹⁴ er ist verpflichtet, zumutbare Aufwendungen zu machen, um an die relevanten Informationen zu kommen, er schuldet dem Patienten «Nachforschung».¹⁵

Gemäß dem Grundsatz der Unmittelbarkeit der Behandlung (§ 49 Abs 2 Ärztegesetz¹⁶) hat der Arzt seinen Beruf persönlich und unmittelbar auszuüben; Der Arzt hat sich im Rahmen der konkreten Patientenbetreuung einen persönlichen Eindruck vom Zustand des Patienten zu verschaffen. In welcher Form sich der betreuende Arzt persönlich vom Zustand des Patienten zu überzeugen hat, ergibt sich ausschließlich aus den Regeln der ärztlichen Kunst.¹⁷ Ist zB die Diagnose alleine schon aufgrund der vom Patienten gemachten Angaben möglich, muss der Arzt nicht persönlich untersuchen.¹⁸

Der Arzt ist verpflichtet, sich aktiv um das Vorliegen der Informationen zu kümmern, die er für eine Behandlung lege artis und die Aufklärung des Patienten benötigt.¹⁹ Es liegt daher an seiner sachverständigen Beurteilung, die Bedeutung der vom Patienten zur Verfügung gestellten Daten zu bewerten und diese gegebenenfalls zu berücksichtigen. Medizinrechtlich ist daher die Anamnese unter Einbeziehung der mittels Watch und ECG App vom Patienten selbst gesammelten Informationen zulässig.

Die vom Patienten zur Verfügung gestellten Daten stammen jedoch nicht von einem CE-gekennzeichneten Medizinprodukt. Für den Arzt ist daher erkennbar, dass diese Informationen potenziell falsch, jedenfalls aber ergänzungsbedürftig sind und daher weiterer Informationsbedarf besteht. In solchen Fällen kann er sich nicht auf die vorliegenden Informationen verlassen, sondern muss tätig werden.²⁰ Die mit der Apple Watch gesammelten Daten können daher lediglich Teil der im Rahmen der Anamnese gesammelten Informationen sein, für sich alleine jedoch nicht Grundlage der Diagnose.

Nach Art 4 Z 15 DSGVO sind Gesundheitsdaten personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Die mit der Apple Watch und der ECG App ermittelten Elektrokardiogramme sind daher unzweifelhaft Gesundheitsdaten, auch wenn mangels CE-Kennzeichnung als Medizinprodukt formal keine generelle Aussage über ihre Richtigkeit gemacht werden kann.

Der Patient entscheidet über die Nutzung der Apple Watch und der App und damit über Zweck und Mittel der Datenverarbeitung und ist im Hinblick auf die von ihm ermittelten Gesundheitsdaten daher selbst datenschutzrechtlicher Verantwortlicher. Er übergibt seine Gesundheitsdaten (pdf-Export des Elektrokardiogramms) dem Arzt. Wenn dieser sie entgegennimmt und nicht als unerheblich zurückweist, ist er verpflichtet, diese gemeinsam mit den weiteren im Zuge der Anamnese gesammelten Informationen sicher zu verwahren.

Die Gesundheitsdaten fließen nur von der Apple Watch zum Arzt; der Arzt überträgt keine personenbezogenen Daten an die Watch oder App des Patienten. Mangels elektronischer Übermittlung von Gesundheitsdaten durch einen Gesundheitsdiensteanbieter fällt der Vorgang auch nicht in den Anwendungsbereich des Gesundheitstelematikgesetzes.

Der beschriebene Anwendungsfall der Nutzung der Apple Watch samt ECG App stellt für den Gesundheitsdiensteanbieter daher keine besonderen informationssicherheitsrechtlichen und datenschutzrechtlichen Herausforderungen dar.

Denkt man die Watch jedoch weiter als «richtiges» IoT-Gerät das in den weiteren Behandlungsprozess eingebunden wird und das Daten mit der Krankenhaus-IT austauscht, stellen sich eine Reihe von Themenkomplexen:

• Diesfalls muss die Smart Watch als Gerät, an das Gesundheitsdaten übertragen werden, den damit verbundenen datenschutzrechtlichen Anforderungen entsprechen. Bei dieser Nutzung kommt auch der Synchronisierung mit einem Cloud-Dienst (wie der iCloud über das iPhone im Fall der Apple Watch) eine wesentliche Bedeutung zu.
• Die Smart Watch muss weiter auch die Anforderungen des Gesundheitstelematikgesetzes erfüllen, da diese alle Formen der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten (gerichtete und ungerichtete Kommunikation) durch Gesundheitsdiensteanbieter regelt.²¹
• Aus Sicht der IT-Sicherheit ist die Smart Watch in Verbindung mit dem Smartphone und der Cloud-Anbindung in diesem Fall auch ein potenzielles Einfallstor für Hacker in die IT des Gesundheitsdiensteanbieters und muss die entsprechenden Sicherheitsvorgaben einhalten.

Eine solche Einbindung wäre eine Form des «Bring your own device» durch Patienten mit allen damit verbundenen Risiken.

Zunächst ist anzumerken, dass nach herrschender Meinung sachenrechtliches Eigentum an Daten und Informationen nicht möglich ist.²² Der Kauf von Daten und Informationen ist möglich²³, Reichweite und Grenzen von der rechtlichen Verfügung über Daten und Informationen sind jedoch weitgehend ungeklärt.²⁴

Auf der Beschreibung der Health App findet sich folgende Information über die – auch durch die Nutzung der ECG App – ermittelten und gespeicherten Daten:

You are in charge of your data.

The Health app lets you keep all your health and fitness information under your control and in one place on your device. You decide which information is placed in Health and which apps can access your data through the Health app. When your phone is locked with a passcode, Touch ID, or Face ID, all of your health and fitness data in the Health app — other than your Medical ID — is encrypted. Your health data stays up to date across all your devices automatically using iCloud, where it is encrypted while in transit and at rest. Apps that access HealthKit are required to have a privacy policy, so be sure to review these policies before providing apps with access to your health and fitness data.²⁵

Die Gesundheitsdaten werden also lokal am iPhone und in der iCloud gespeichert. Bemerkenswert ist dabei, dass nach den Nutzungsbedingungen für die iCloud bestimmte Gesundheitsdiensteanbieter («covered entities») Gesundheitsdaten nicht über die iCloud verarbeiten dürfen.²⁶

Gemäß den iCloud-Nutzungsbedingungen behält es sich Apple vor, Inhalte jederzeit ohne vorherige Ankündigung nach eigenem Ermessen herauszufiltern, zu verschieben, abzulehnen, zu modifizieren und/oder zu entfernen, wenn diese Inhalte diese Vereinbarung verletzen.²⁷ Weiter behält es sich Apple vor, auf in der iCloud gespeicherte Inhalte seiner Nutzer zuzugreifen, z.B. um die potenzielle Verletzung der Lizenzbedingungen zu überprüfen, technische Probleme zu lösen oder die Rechte, das Eigentum oder die Sicherheit von Apple, seiner Nutzer, Dritten oder der Öffentlich im gesetzlich erlaubten Rahmen zu schützen.²⁸ Ansonsten beansprucht Apple keine Rechte an den vom Nutzer in die iCloud hochgeladenen Inhalten.²⁹

Die Lizenzbedingungen für watchOS5 enthalten keine Regelungen betreffend die Nutzerdaten.³⁰ Spezielle Lizenzbedingungen für die Software ECG wurden von den Verfassern nicht gefunden.

Der Verfügungsberechtigte über die gesammelten Gesundheitsdaten ist bei der vorliegenden Anwendung daher klar der Nutzer. Eine Inanspruchnahme von Rechten an den Daten durch einen Dritten würde weitgehende datenschutzrechtliche³¹und zivilrechtliche³² Implikationen aufwerfen.

Technisch ist die Einbeziehung von Devices von Patienten wie Smart Watches in den Behandlungsprozess möglich. Mit der Klassifizierung der, in Verbindung mit der Apple Watch nutzbaren, ECG App als Medizinprodukt ist in den USA ein erster, vorsichtiger Anfang dafür gemacht. Bevor dies in Europa möglich ist, müssen entsprechende Devices und Apps auch bei uns als Medizinprodukt zertifiziert werden. Aus medizinrechtlicher Sicht ist die Einbeziehung der damit gesammelten Informationen in den Anamnese- und Diagnoseprozess zulässig. Der derzeitige Anwendungsfall schließt keine unmittelbaren Datenaustausch mit der Krankenhaus-IT, sondern lediglich die Übergabe von Ergebnissen im Format pdf ein, weshalb sie keine besonderen rechtlichen Fragestellungen in den Bereichen IT-Sicherheit und Datenschutz eröffnet. Eine Integration in die Krankenhaus-IT würde jedoch gerade im Hinblick auf mögliche Sicherheitslücken auf den Endgeräten und die Cloud-Synchronisation erheblichen Handlungsbedarf in den Bereichen IT-Sicherheit und Datenschutz mit sich bringen.

Kopetz, Die telefonische Beratung – eine ärztliche Tätigkeit, ÖÄZ 5/1990.

Koziol, Bydlinski, Bollenberger (Hrsg.), Kommentar zum ABGB, 3. Aufl. 2010.

Nentwich, Digitalisierung in der Medizin, Recht der Medizin 1997, 178.

Perner, Ärztliche Nachforschungspflichten und ELGA, Österreichische Juristenzeitung 2013, 1052.

Schwimann/Kodek, ABGB-Praxiskommentar, 4. Aufl. 2014.

Staudegger, Zur Zulässigkeit des Handels mit «Gesundheitsdaten», jusIT 2014, 27.

Staudegger, Datenhandel – ein Auftakt zur Diskussion – Zur Zulässigkeit des Handels mit Daten aus Anlass der Weitergabe von «Gesundheitsdaten», ÖJZ 2014, 107.

Stellamor/Steiner, Handbuch des österreichischen Ärzterechts I (1999).