Muss mein Medizinprodukt die DSGVO erfüllen?

Nein. Die DSGVO gilt für die Verarbeitung personenbezogener Daten und nicht allein deshalb für ein Produkt, weil es ein Medizinprodukt ist. Verarbeitet ein Produkt im Rahmen seiner Produktfunktionen keine personenbezogenen Daten, können diese Funktionen außerhalb des Anwendungsbereichs der DSGVO liegen. Der Hersteller kann jedoch über Benutzerkonten, Support, Reklamationen oder andere Geschäftsprozesse weiterhin personenbezogene Daten verarbeiten.

Nicht automatisch. Die Einordnung hängt davon ab, welche Informationen die Daten offenbaren und in welchem Kontext sie verarbeitet werden. Messwerte, Diagnosen, Behandlungsinformationen und Daten, die Rückschlüsse auf die körperliche oder psychische Gesundheit einer Person zulassen, erfordern in der Regel eine Prüfung als besondere Kategorien personenbezogener Daten nach Artikel 9. Auch technische Kennungen und Telemetriedaten können personenbezogene Daten sein, wenn sie einer identifizierbaren Person zugeordnet werden können.

In der Regel nicht. Eine Pseudonymisierung verringert das Risiko, die Daten bleiben jedoch personenbezogen, wenn eine erneute Identifizierung mithilfe zusätzlicher Informationen vernünftigerweise möglich ist. Nur wirksam anonymisierte Daten fallen nicht unter die DSGVO; die Anforderungen an eine Anonymisierung sind hoch.

Nein. Die Einwilligung ist nur eine mögliche Rechtsgrundlage und muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden. Eine ausdrückliche Einwilligung kann bestimmte Verarbeitungen von Gesundheitsdaten legitimieren, während die Gesundheitsversorgung, Forschung und regulatorische Tätigkeiten auf anderen Rechtsvorschriften beruhen können. Eine Rechtsgrundlage hebt die Pflichten zu Transparenz, Datenminimierung, Sicherheit, Speicherbegrenzung und Betroffenenrechten nicht auf.

Nein. Die Konformität mit der MDR und die Einhaltung der DSGVO werden getrennt bewertet. Cybersicherheit, Risikomanagement und Softwarekontrollen können beide Systeme unterstützen, doch die CE-Kennzeichnung bestätigt nicht die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und die DSGVO-Konformität weist keine MDR-Konformität nach.

Möglicherweise ja. Die DSGVO kann für Organisationen außerhalb der EU gelten, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. Abhängig von der Verarbeitung und den anwendbaren Ausnahmen kann ein gesonderter Vertreter in der EU nach Artikel 27 DSGVO erforderlich sein. Diese Rolle unterscheidet sich von der eines Bevollmächtigten nach der MDR.