Compliance-Erklärartikel
Das EKG aus der Apple Watch im Praxis-Postfach: Zwei Compliance-Fallen für Kardiologie-Websites
Das Smartwatch-EKG landet oft per unverschlüsselter E-Mail im Praxis-Postfach, und Wearable-Werbung verspricht sichere Erkennung von Vorhofflimmern. Beides ist rechtlich riskant: Datenschutz nach Art. 9/32 DSGVO und Werberecht nach § 3 HWG.
Datenschutz & Werberecht
Das Smartwatch-EKG im Postfach wird zur doppelten Compliance-Falle für Kardiologie-Praxen
Immer mehr Patientinnen und Patienten schicken ihr Wearable-EKG per E-Mail an die Praxis. Das berührt gleich zwei Rechtsgebiete: den Umgang mit Gesundheitsdaten auf einem unsicheren Übertragungsweg, und die Werbeaussagen zur Treffsicherheit der Geräte selbst.
Das EKG aus der Apple Watch landet immer häufiger als PDF im Praxis-Postfach, meist per gewöhnlicher, unverschlüsselter E-Mail. Das ist die erste Falle. Die zweite liegt in der eigenen Werbeaussage: Wer verspricht, ein Wearable erkenne Vorhofflimmern sicher, widerspricht der wissenschaftlichen Studienlage. Beide Fallen lassen sich beheben, aber nur, wenn man sie kennt.
Wenn Patientinnen und Patienten ihr Smartwatch-EKG einfach mailen
Immer mehr Patientinnen und Patienten tragen ein EKG-fähiges Wearable am Handgelenk und exportieren die Aufzeichnung bei Auffälligkeiten als PDF, um sie der Praxis zukommen zu lassen. Der naheliegende Weg ist die E-Mail-Adresse, die auf der Praxis-Website als Kontaktmöglichkeit angegeben ist.
Für Kardiologie-Praxen entstehen daraus zwei unterschiedliche, aber gleichermaßen ernstzunehmende Compliance-Risiken: der Umgang mit Gesundheitsdaten auf einem unsicheren Übertragungsweg, und die Art, wie die eigene Website die diagnostischen Fähigkeiten von Wearables kommuniziert.
Beide Fallen haben denselben Ursprung, den technologischen Fortschritt bei Consumer-Wearables, treffen die Praxis aber an ganz unterschiedlichen Stellen: einmal bei der eigenen Kommunikationsinfrastruktur, einmal bei den eigenen Werbeaussagen.
Die erste Falle: unverschlüsselte E-Mail und Gesundheitsdaten
Standard-E-Mail ist von Haus aus nicht Ende-zu-Ende-verschlüsselt. Auf dem Weg vom Absender zum Posteingang der Praxis passiert die Nachricht mehrere Server, auf denen sie grundsätzlich mitgelesen werden könnte. Für ein EKG-PDF mit Namen, Geburtsdatum und Herzrhythmusdaten bedeutet das ein strukturelles Sicherheitsrisiko.
Die Datenschutzaufsichtsbehörden bewerten diesen Übertragungsweg für Gesundheitsdaten seit Langem kritisch. Der Landesbeauftragte für den Datenschutz Niedersachsen vergleicht eine unverschlüsselte E-Mail mit Gesundheitsdaten in einer viel zitierten FAQ mit einer Postkarte, für jeden auf dem Transportweg grundsätzlich einsehbar.
Problematisch ist dabei nicht nur die aktive Versendung durch die Praxis, sondern bereits das Anbieten einer unverschlüsselten E-Mail-Adresse als einzigen Kontaktweg für medizinische Anliegen auf der eigenen Website. Patientinnen und Patienten folgen dem angebotenen Weg, ohne die technischen Risiken einschätzen zu können.
Die Rechtsgrundlage im Detail: Art. 9 und Art. 32 DSGVO, § 203 StGB
Gesundheitsdaten zählen nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten, für die ein grundsätzliches Verarbeitungsverbot mit eng begrenzten Ausnahmen gilt. Ihre Verarbeitung erfordert zusätzliche Schutzmaßnahmen gegenüber gewöhnlichen personenbezogenen Daten.
Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko der Verarbeitung angemessen sind. Für besonders sensible Daten wie EKG-Befunde bedeutet das nach überwiegender Auffassung der Aufsichtsbehörden eine Verschlüsselung nach dem Stand der Technik, unverschlüsselte Standard-E-Mail genügt dem in der Regel nicht.
Hinzu kommt die ärztliche Schweigepflicht nach § 203 StGB. Wer als Praxis einen erkennbar unsicheren Übertragungsweg für Gesundheitsdaten anbietet und diesen aktiv nutzt, geht ein Risiko ein, das über die reine DSGVO-Bewertung hinausreicht.
Was das für die eigene Praxis-Website bedeutet
Der erste Ansatzpunkt ist die eigene Kontaktseite: Wird dort eine normale E-Mail-Adresse als Weg für die Übermittlung von Befunden, EKG-Exporten oder anderen Gesundheitsdaten beworben oder zumindest nahegelegt, ohne Hinweis auf eine sichere Alternative?
Sicherere Alternativen sind etwa die Kommunikation im Medizinwesen, kurz KIM, ein Patientenportal mit Ende-zu-Ende-Verschlüsselung, oder ein Kontaktformular, das ausdrücklich keine Gesundheitsdaten abfragt und stattdessen zu einem sicheren Kanal weiterleitet.
Auch wenn die Praxis selbst keine aktive Aufforderung zur E-Mail-Übermittlung ausspricht, lohnt sich die Prüfung, ob die Website durch eine prominent platzierte, unspezifisch als allgemeine Kontaktmöglichkeit beworbene E-Mail-Adresse faktisch zur unsicheren Übermittlung einlädt.
Zeitleiste
Wie sich die Lage entwickelt hat
Von der ersten Wearable-EKG-Funktion zur heutigen Doppel-Compliance-Frage.
- 2018
Erste EKG-Funktion in Consumer-Wearables
Smartwatches mit integrierter Einzelkanal-EKG-Funktion kommen in Deutschland auf den Markt.
- 2019
Apple Heart Study veröffentlicht
Die große Studie liefert erstmals belastbare Zahlen zur Treffsicherheit der Puls-Benachrichtigung, mit deutlichen Unterschieden je nach Altersgruppe.
- laufend
Aufsichtsbehörden und Fachgesellschaften mahnen zur Vorsicht
Landesdatenschutzbeauftragte vergleichen unverschlüsselte Gesundheitsdaten-Mails mit einer offenen Postkarte, Fachgesellschaften betonen: Wearables ersetzen nicht den Arztbesuch.
Die zweite Falle: Werbeaussagen zur Wearable-Diagnose
Neben der Datenschutzfrage lohnt sich der Blick auf die eigenen Werbeaussagen zu Smartwatches und anderen Wearables. Formulierungen wie erkennen Sie Vorhofflimmern sicher mit Ihrer Apple Watch klingen patientenfreundlich, sind wissenschaftlich aber angreifbar.
Die vielzitierte Apple Heart Study ermittelte für die Unregelmäßiger-Puls-Benachrichtigung einen positiven prädiktiven Wert von 0,84, für das ergänzende Tachogramm nur 0,71. Bei Studienteilnehmenden ab 65 Jahren sank der Wert auf 0,60. Nur rund ein Drittel der benachrichtigten Personen hatte im anschließenden ärztlichen EKG tatsächlich Vorhofflimmern.
Diese Zahlen zeigen: Eine pauschale Zusage sicherer Erkennung widerspricht dem wissenschaftlichen Erkenntnisstand. Fachgesellschaften wie die Deutsche Herzstiftung und die Deutsche Gesellschaft für Kardiologie betonen deshalb regelmäßig, dass Wearables den Arztbesuch nicht ersetzen, sondern allenfalls einen Anlass für eine Abklärung liefern können.
Warum sicher erkennen wissenschaftlich nicht haltbar ist
Für die rechtliche Einordnung ist entscheidend, dass § 3 HWG Werbung verbietet, die einem Verfahren eine Wirksamkeit zuschreibt, die wissenschaftlich nicht hinreichend belegt ist. Eine falsch-positive Rate von bis zu 40 Prozent, wie sie die Studienlage für ältere Nutzergruppen nahelegt, verträgt sich nicht mit einer Aussage, die von sicherer Erkennung spricht.
Das betrifft nicht nur eigene Werbetexte der Praxis, sondern auch die unreflektierte Übernahme von Herstelleraussagen zu Wearables auf der eigenen Website, etwa in einer FAQ oder einem Ratgeberartikel zur Herzgesundheit.
Eine rechtlich tragfähigere Formulierung würde die unterstützende Funktion des Wearables betonen, als möglichen Hinweisgeber für ein Arztgespräch, ohne eine eigenständige diagnostische Sicherheit zu behaupten.
Was Kardiologinnen und Kardiologen jetzt konkret prüfen sollten
Auf der technischen Seite lohnt sich eine Bestandsaufnahme aller auf der Website angebotenen Kontaktwege für medizinische Anliegen, mit besonderem Augenmerk auf E-Mail-Adressen, die für die Übermittlung von Befunden oder EKG-Exporten genutzt werden könnten.
Auf der inhaltlichen Seite lohnt sich eine Durchsicht aller Texte zu Wearables und Smartwatch-EKGs auf pauschale Sicherheitszusagen, die durch die aktuelle Studienlage nicht gedeckt sind.
Beide Prüfungen lassen sich unabhängig voneinander vornehmen und ergänzen sich: Die eine schützt vor einem DSGVO-Bußgeld, die andere vor einer wettbewerbsrechtlichen Abmahnung.
Häufige Fragen aus der Praxis
Reicht ein Hinweis Bitte senden Sie keine sensiblen Daten per E-Mail auf der Website aus, um das Risiko abzusichern? Ein solcher Hinweis ist sinnvoll, ersetzt aber keine sichere technische Alternative. Wird die E-Mail-Adresse trotzdem prominent als Kontaktweg beworben, bleibt das strukturelle Risiko bestehen.
Dürfen Patientinnen und Patienten selbst entscheiden, ihre Daten unverschlüsselt zu senden? Nach Auffassung mehrerer Aufsichtsbehörden ändert eine Einwilligung der betroffenen Person grundsätzlich wenig an der Bewertung des von der Praxis angebotenen Übertragungswegs, die Praxis bleibt für die Angemessenheit ihrer eigenen technischen Maßnahmen verantwortlich. Einzelne Gerichte haben eine ausdrückliche Einwilligung teils anders bewertet, die Rechtslage ist hier nicht vollständig einheitlich.
Muss ich als Praxis aktiv vor Wearables warnen? Eine aktive Warnpflicht besteht nicht, wohl aber die Pflicht, eigene Werbeaussagen zur Wearable-Diagnostik nicht über das wissenschaftlich Belegte hinausgehen zu lassen.
Was jetzt zu tun ist
Der erste Schritt ist die Prüfung der eigenen Kontaktseite auf E-Mail-Adressen, die faktisch für die Übermittlung von Gesundheitsdaten genutzt werden, und die Einrichtung oder deutlichere Bewerbung eines sicheren Alternativkanals wie KIM oder eines Patientenportals.
Der zweite Schritt ist eine Durchsicht aller Wearable-bezogenen Texte auf der Website, mit dem Ziel, Sicherheitszusagen durch eine wissenschaftlich tragfähigere, unterstützende Formulierung zu ersetzen.
Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Für die technische Seite, das systematische Aufspüren unsicherer Kontaktwege und riskanter Wirkaussagen auf der eigenen Website, unterstützt der medivendis Audit.
→ InFocus-Begriff
Der Begriff dahinter
Was die ärztliche Schweigepflicht nach § 203 StGB für die Wahl des Kommunikationskanals bedeutet, erklärt der kostenlose InFocus-Begriff.
medivendis Intelligence Unit
Bietet Ihre Website noch unverschlüsselte E-Mail für Gesundheitsdaten an?
Der medivendis Audit prüft Ihre Website auf sichere Kommunikationswege und riskante Wirkaussagen, zusammen mit den anderen 19 Modulen.