Sekundärnutzung im EHDS: Datenhalter, Zugangsstellen, Datengenehmigung und Widerspruchsrecht

Problem in der Praxis

Viele Organisationen wissen nicht, dass sie Gesundheitsdateninhaber sind. Die Mindestkategorien des Art. 51 Abs. 1 gehen weit über Krankenakten hinaus: erfasst sind unter anderem Daten zu gesundheitsrelevanten Faktoren, Verwaltungs- und Erstattungsdaten, genetische und andere Omik-Daten, automatisch von Medizinprodukten erzeugte Daten, Daten aus Wellness-Anwendungen, Register- und Studiendaten sowie gesundheitsbezogene Daten aus Forschungskohorten nach Erstveröffentlichung der Ergebnisse. Wer solche Daten hält und dabei Gesundheitsdateninhaber im Sinne des Art. 2 Abs. 2 Buchst. t ist, also zusätzlich die Voraussetzung der Ziffer i oder ii erfüllt, muss sie ab Geltung auf Anfrage der Zugangsstelle bereitstellen, und zwar innerhalb eines angemessenen Zeitraums, spätestens drei Monate nach Erhalt der Anfrage; in begründeten Fällen kann die Zugangsstelle diese Frist um höchstens drei Monate verlängern (Art. 60 Abs. 2), samt Datensatzbeschreibung für den Katalog (Art. 60 Abs. 3, Art. 77). Art. 60 verpflichtet ausschließlich Gesundheitsdateninhaber; bloßer Datenbesitz genügt nicht.

Die zweite Praxisfrage ist die Doppelrolle zur DSGVO. Das EHDS-Regime ersetzt die Datenschutzmechanik nicht: Die Zugangsstelle prüft bei der Datengenehmigung unter anderem, ob die Verarbeitung mit Art. 6 Abs. 1 DSGVO im Einklang steht und ob der Zweck nicht mit anonymisierten Daten erreichbar ist (Art. 68 Abs. 1 Buchst. c); die DSGVO-Aufsichtsbehörden überwachen das Widerspruchsrecht des Art. 71 und können dafür Geldbußen bis zur Höhe des Art. 83 DSGVO verhängen (Art. 65). Wer Sekundärnutzung plant, braucht also weiterhin seine Datenschutz-Hausaufgaben; die Datengenehmigung tritt hinzu, sie ersetzt nichts.

CISO-Einordnung

Die Zwecke sind abschließend gerahmt: Zugang gibt es nur für die in Art. 53 Abs. 1 genannten Zwecke, darunter öffentliche Gesundheit, Politikgestaltung und Regulierung, Statistik, Bildung, wissenschaftliche Forschung im Gesundheits- und Pflegebereich einschließlich Produktentwicklung und dem Trainieren, Testen und Bewerten von Algorithmen, sowie Versorgungsverbesserung; die Zwecke öffentliche Gesundheit, Politik und Statistik sind oeffentlichen Stellen sowie Organen, Einrichtungen und sonstigen Stellen der Union vorbehalten, die uebertragene Aufgaben wahrnehmen; die Verarbeitung durch einen Dritten in deren Auftrag bleibt zulaessig (Art. 53 Abs. 2). Ausdrücklich verboten sind unter anderem nachteilige Entscheidungen gegen Personen, Ausschluss von Versicherungs- oder Kreditvorteilen, Werbung und die Entwicklung schädlicher Produkte (Art. 54). Verstöße gegen diese Verbote gehören zur 20-Mio.-EUR-Bußgeldgruppe (Art. 64 Abs. 5 Buchst. a).

Der Zugangsweg hat drei Spuren, die Art. 61 Abs. 1 abschließend nennt: die Datengenehmigung (Art. 68) für die Arbeit mit Daten in der sicheren Verarbeitungsumgebung, die Gesundheitsdatenanfrage (Art. 69), die ausschließlich eine Antwort in anonymisiertem statistischem Format und keinen Zugang zu den zugrunde liegenden Daten liefert, und in den Fällen des Art. 67 Abs. 3 die Zugangserlaubnis des einschlägigen befugten Teilnehmers der HealthData@EU (Art. 75). Die Zugangsstelle entscheidet über vollständige Anträge binnen drei Monaten; erforderlichenfalls kann sie um drei weitere Monate verlängern und berücksichtigt dabei Dringlichkeit und Komplexität des Antrags (Art. 68 Abs. 4). Ein beschleunigtes Verfahren mit zwei Monaten, erforderlichenfalls um einen weiteren Monat verlängerbar, gilt nur kumulativ: für öffentliche Stellen sowie Organe, Einrichtungen und sonstige Stellen der Union mit einem gesetzlichen Auftrag im Bereich der öffentlichen Gesundheit und nur, wenn die Verarbeitung für die Zwecke des Art. 53 Abs. 1 Buchst. a, b und c erfolgen soll (Art. 68 Abs. 6). Die Datengenehmigung legt Datenkategorien, Zweck, befugte Personen, Gültigkeitsdauer (höchstens zehn Jahre, einmalig um bis zu zehn Jahre verlängerbar), Werkzeuge und Gebühren fest (Art. 68 Abs. 10 und 12). Die sichere Verarbeitungsumgebung (Begriff aus der Verordnung (EU) 2022/868, übernommen über Art. 2 Abs. 1) muss unter anderem den Zugang auf die in der Genehmigung benannten Personen begrenzen, Missbrauchsrisiken nach Stand der Technik minimieren, eindeutige Nutzerkennungen verwenden und Zugriffe protokollieren, mit mindestens einjähriger Aufbewahrung der Zugangsprotokolle; Downloads werden so geprüft, dass nur nicht personenbezogene Daten die Umgebung verlassen; regelmäßige Audits, auch durch Dritte, sind vorgeschrieben (Art. 73 Abs. 1 bis 3).

Pflichten der Nutzerseite, in Auswahl und nicht als vollständige Wiedergabe des Art. 61: Zugriff und Verarbeitung nur auf einer der drei Grundlagen des Abs. 1 (Datengenehmigung nach Art. 68, genehmigte Gesundheitsdatenanfrage nach Art. 69, in den Fällen des Art. 67 Abs. 3 Zugangserlaubnis eines befugten HealthData@EU-Teilnehmers), kein Zugang für nicht benannte Dritte, striktes Verbot der Re-Identifizierung und ihres Versuchs, Veröffentlichung der Ergebnisse binnen 18 Monaten, verlängerbar in begründeten Fällen (Art. 61 Abs. 4 Unterabs. 2), in nur anonymer Form samt Offenlegung der EHDS-Herkunft, Unterrichtung der Zugangsstelle über wesentliche Gesundheitsbefunde. Die Durchsetzung liegt bei den Zugangsstellen: Auskunftsrechte, Widerruf der Genehmigung, Ausschluss vom EHDS-Zugang für bis zu fünf Jahre, Zwangsgelder gegen Datenhalter, die Daten gezielt vorenthalten (Art. 63), dazu die Bußgeldgruppen des Art. 64. Für Verantwortlichkeiten gilt eine gestufte Zuordnung: Der Datenhalter ist Verantwortlicher für die Bereitstellung an die Zugangsstelle, die Zugangsstelle für ihre Aufgaben und als Auftragsverarbeiter des Nutzers in der sicheren Umgebung (Art. 74 Abs. 1). Grenzüberschreitend verbindet HealthData@EU die nationalen Kontaktstellen für die Sekundärnutzung (Art. 75).

Das Widerspruchsrecht des Art. 71 ist die zentrale Betroffenen-Schutzschicht: jederzeit, ohne Begründung, reversibel; die Mitgliedstaaten stellen einen barrierefreien Mechanismus bereit; der Widerspruch wirkt gegen künftige Genehmigungen und Anfragen, bereits erteilte bleiben unberührt (Art. 71 Abs. 1 bis 3). Eine eng umgrenzte nationale Ausnahme ist möglich, im Wesentlichen für öffentliche Stellen bei Public-Health-Zwecken und Forschung aus wichtigen Gründen des öffentlichen Interesses unter zusätzlichen Bedingungen (Art. 71 Abs. 4). Geistiges Eigentum und Geschäftsgeheimnisse sind kein Bereitstellungs-Blocker, aber ein Schutzauftrag: Datenhalter kennzeichnen und begründen schutzbedürftige Inhalte, Zugangsstellen ergreifen Schutzmaßnahmen und können den Zugang bei nicht beherrschbarem Risiko verweigern (Art. 52).

Abgrenzung zu den Nachbar-Tracks: Der dsgvo-Track behandelt das allgemeine Datenschutzrecht (Rechtsgrundlagen, Betroffenenrechte, Art. 32, Meldepflichten, Auftragsverarbeitung); hier stehen die EHDS-eigenen Zugangs- und Genehmigungsmechaniken der Sekundärnutzung und ihr Verhältnis zur DSGVO-Aufsicht (Art. 65, Art. 68 Abs. 1 Buchst. c). Der health-Track behandelt die deutschen Betriebs- und Sektorpflichten der Leistungserbringer (Paragraf 391 SGB V, B3S, gematik, DiGA, MDR); hier steht das EU-Regime, das Krankenhäuser, Register und Hersteller künftig als Datenhalter adressieren kann, aber nur, wenn zu der Gruppenzugehörigkeit die Voraussetzung der Ziffer i oder ii des Art. 2 Abs. 2 Buchst. t hinzukommt. Der Daten-Governance-Rechtsakt (Verordnung (EU) 2022/868) ist mehr als eine Begriffsquelle: Art. 57 Abs. 1 Buchst. j verlangt die Bearbeitung von Zugangsantraegen im Einklang mit dessen Kapitel II und die Bereitstellung des nationalen Datensatzkatalogs an die zentralen Informationsstellen nach Art. 8 DGA (ebenso Art. 77 Abs. 3); Art. 57 Abs. 2 Buchst. c verpflichtet zur Zusammenarbeit mit den Behoerden, die datenaltruistische Organisationen beaufsichtigen; Art. 62 Abs. 2 nimmt Art. 6 DGA fuer oeffentliche Gesundheitsdateninhaber ausdruecklich aus; Art. 68 Abs. 4 weicht fuer die Drei-Monats-Entscheidung ausdruecklich vom DGA ab; Art. 73 Abs. 4 unterwirft die sicheren Verarbeitungsumgebungen anerkannter datenaltruistischer Organisationen zusaetzlich den EHDS-Sicherheitsmassnahmen; Art. 75 Abs. 11 verpflichtet Mitgliedstaaten und Kommission, auf die Interoperabilitaet von HealthData@EU mit den anderen gemeinsamen europaeischen Datenraeumen nach DGA und Data Act hinzuwirken; und Art. 88 Abs. 1 und 2 stuft bestimmte nicht personenbezogene Gesundheitsdaten als hochsensibel im Sinne des Art. 5 Abs. 13 DGA ein (dataact-Track fuer das EU-Datenrecht im Uebrigen).

Umsetzungsperspektive

Die Terminstaffel des Kapitels IV (Art. 105 Abs. 5): Grundsatz 26.03.2029; bereits ab dem 26.03.2027 gilt die dort abschliessend genannte Gruppe von Vorschriften: die Benennungsvorschrift für Zugangsstellen (Art. 55 Abs. 6), die Ermächtigung zu den Muster-Rechtsakten (Art. 70), die Anforderungen an sichere Verarbeitungsumgebungen aus Art. 73 Abs. 5, die HealthData@EU-Grundlagen (Art. 75 Abs. 1 und 12) sowie Art. 77 Abs. 4 und Art. 78 Abs. 6. Zu trennen davon sind die Durchführungsrechtsakte selbst: die nach Art. 70, Art. 73 Abs. 5, Art. 75 Abs. 12, Art. 77 Abs. 4 und Art. 78 Abs. 6 erlassenen Rechtsakte gelten nach dem letzten Unterabsatz des Art. 105 erst ab dem 26.03.2029. Die Datenkategorien des Art. 51 Abs. 1 Buchst. b, f, g, m und p (gesundheitsrelevante Faktoren, genetische und Omik-Daten, Studien- und Kohortendaten) folgen erst ab dem 26.03.2031, und Art. 75 Abs. 5 (Drittland-Teilnahme an HealthData@EU) ab dem 26.03.2035. Bis zum 26.03.2027 muss die Kommission zentrale Durchführungsrechtsakte erlassen (Muster nach Art. 70, Anforderungen an sichere Verarbeitungsumgebungen nach Art. 73 Abs. 5, HealthData@EU nach Art. 75 Abs. 12); ihr Bestand war am 05.08.2026 an den hier geprüften Quellen nicht erhoben. Welche deutsche Stelle Zugangsstelle wird und ob Deutschland die Kleinstunternehmen-Rückausnahme oder die Opt-out-Ausnahme des Art. 71 Abs. 4 nutzt, war am 05.08.2026 offen.

Für die Vorbereitung heißt das: Die Datenhalter-Rolle lässt sich heute klären (welche Daten der Art.-51-Kategorien halten wir, in welcher Qualität, mit welchen Schutzkennzeichnungen nach Art. 52), ebenso die Governance für künftige Anfragen der Zugangsstelle mit ihrer Drei-Monats-Frist. Wer selbst als Gesundheitsdatennutzer plant, kann Antragsfähigkeit aufbauen (Zweckbegründung nach Art. 53, Nachweis technischer und organisatorischer Maßnahmen nach Art. 68 Abs. 1 Buchst. e) und sollte die Arbeit in sicheren Verarbeitungsumgebungen in Forschungs- und Entwicklungsprozesse einplanen.

Typische Fehler

1. Die Datenhalter-Rolle auf Krankenhäuser verengen; erfasst sind auch Produktentwickler, Wellness-App-Hersteller, Forschungsakteure und Register, sofern die Voraussetzung der Ziffer i oder ii des Art. 2 Abs. 2 Buchst. t vorliegt (Art. 2 Abs. 2 Buchst. t), ausgenommen nur natürliche Personen und Kleinstunternehmen mit möglicher nationaler Rückausnahme (Art. 50).
2. Aus einer Datengenehmigung eine Datenlieferung nach Hause ableiten; gearbeitet wird in der sicheren Verarbeitungsumgebung, heraus dürfen nur nicht personenbezogene Daten (Art. 73 Abs. 2), und die Gesundheitsdatenanfrage liefert ausschließlich anonymisierte Statistik (Art. 69 Abs. 1).
3. Die Sekundärnutzung als DSGVO-Ersatz behandeln; die Genehmigungsprüfung verlangt gerade den Einklang mit Art. 6 Abs. 1 DSGVO (Art. 68 Abs. 1 Buchst. c), und die DSGVO-Aufsicht wacht über das Widerspruchsrecht (Art. 65).
4. Das Widerspruchsrecht des Art. 71 mit dem mitgliedstaatlich optionalen Widerspruch gegen die Primärnutzung (Art. 10, ehds-002) verwechseln; nur ersteres ist unbedingt, jederzeit und reversibel.
5. Kommerzielle Nutzung pauschal für ausgeschlossen halten oder pauschal für erlaubt; zulässig sind die Zwecke des Art. 53 Abs. 1 einschließlich Entwicklungs- und Innovationstätigkeiten, verboten die Nutzungen des Art. 54 (unter anderem Werbung, nachteilige Entscheidungen, Versicherungs- und Kreditkonditionen).
6. Re-Identifizierungsrisiken als reines Datenschutzthema führen; Re-Identifizierung und ihr Versuch sind eigenständig verboten und mit bis zu 20 Mio. EUR oder 4 Prozent bußgeldbewehrt (Art. 61 Abs. 3, Art. 64 Abs. 5).
7. Die Fristen des Kapitels IV pauschal auf 2029 setzen; einzelne Vorschriften gelten schon ab 2027, die sensiblen Datenkategorien erst ab 2031, die Drittland-Teilnahme ab 2035 (Art. 105 Abs. 5).

Risiken und Trade-offs

Für Datenhalter besteht der Trade-off zwischen früher Inventarisierung und offener nationaler Ausgestaltung: Wer wartet, bis Zugangsstelle und Verfahren benannt sind, riskiert, die Drei-Monats-Frist des Art. 60 Abs. 2 mit ungeordneten Datenbeständen zu treffen; wer früh inventarisiert, investiert in Katalog- und Qualitätsarbeit, deren Detailanforderungen (Datensatzbeschreibung nach Art. 77, Qualitätskennzeichnung nach Art. 78) noch durch Durchführungsrechtsakte präzisiert werden. Dazu kommt die Gebührenfrage: Datenhalter können über die Gebühren einen Kostenausgleich erhalten (Art. 62 Abs. 2), aber die Gebührengrundsätze kommen erst per Durchführungsrechtsakt (Art. 62 Abs. 6).

Für die Betroffenenkommunikation entsteht ein Reputationsrisiko aus dem Opt-out: Organisationen, die Patienten- oder Nutzerdaten halten, werden Fragen zum Widerspruchsrecht beantworten müssen, obwohl der Mechanismus mitgliedstaatlich bereitgestellt wird (Art. 71 Abs. 2). Wer hier zu viel verspricht (etwa eine Löschung statt der tatsächlichen Wirkung auf künftige Genehmigungen, Art. 71 Abs. 3) oder zu wenig erklärt, beschädigt Vertrauen; die Kommunikation sollte die tatsächliche Mechanik wiedergeben.

Entscheidungspunkte

• Sind wir Gesundheitsdateninhaber im Sinne des Art. 2 Abs. 2, und welche unserer Bestände fallen unter die Kategorien des Art. 51 Abs. 1, in welcher Geltungswelle?
• Greift für uns die Ausnahme des Art. 50 (natürliche Personen, Kleinstunternehmen), und wie beobachten wir eine mögliche nationale Rückausnahme?
• Wer verantwortet künftig Anfragen der Zugangsstelle (Frist spätestens drei Monate, in begründeten Fällen durch die Zugangsstelle um höchstens drei Monate verlängerbar, Art. 60 Abs. 2), Datensatzbeschreibungen (Art. 77) und die Kennzeichnung schutzbedürftiger Inhalte (Art. 52)?
• Wollen wir selbst als Gesundheitsdatennutzer auftreten, und für welche Zwecke des Art. 53 Abs. 1 können wir Anträge tragfähig begründen?
• Wie stellen wir organisatorisch sicher, dass Ergebnisse nur anonym veröffentlicht, Re-Identifizierungsversuche ausgeschlossen und die 18-Monats-Publikationspflicht eingehalten oder ihre Verlängerung nach Art. 61 Abs. 4 Unterabs. 2 beantragt werden (Art. 61)?

Praktische Empfehlungen

1. Prüfen Sie die eigene Datenhalter-Eigenschaft entlang Art. 2 Abs. 2 Buchst. t einschließlich der Voraussetzung der Ziffer i oder ii und entlang Art. 50 und inventarisieren Sie Ihre Bestände gegen die Kategorien des Art. 51 Abs. 1, inklusive der Zuordnung zur Geltungswelle (2029 oder 2031).
2. Bauen Sie einen Bereitstellungsprozess mit Verantwortlichkeiten, Formaten und Qualitätssicherung, der eine Anfrage der Zugangsstelle innerhalb von drei Monaten bedienen kann und sich nicht auf die nur in begründeten Fällen mögliche Verlängerung um höchstens drei Monate verlässt (Art. 60 Abs. 2), und pflegen Sie Datensatzbeschreibungen jährlich (Art. 60 Abs. 3).
3. Kennzeichnen Sie Bestände mit geistigem Eigentum oder Geschäftsgeheimnissen und dokumentieren Sie die Begründung; das ist Ihre Eingabe für die Schutzmaßnahmen der Zugangsstelle (Art. 52 Abs. 2).
4. Wenn Sie Nutzung planen: Entwerfen Sie Anträge entlang der Genehmigungskriterien (Zweck nach Art. 53, Erforderlichkeit und Datenminimierung nach Art. 66, DSGVO-Einklang und Anonymisierungs-Begründung nach Art. 68 Abs. 1) und richten Sie interne Kontrollen gegen die Verbote des Art. 54 und das Re-Identifizierungsverbot ein.
5. Bereiten Sie Patienten- und Nutzerkommunikation zum Widerspruchsrecht vor, die die tatsächliche Mechanik beschreibt (jederzeit, grundlos, reversibel, Wirkung auf künftige Genehmigungen; Art. 71), und verweisen Sie auf den nationalen Mechanismus, sobald er benannt ist.
6. Verzahnen Sie die EHDS-Vorbereitung mit dem Datenschutzprogramm (dsgvo-Track): Rechtsgrundlagen, Anonymisierungs- und Pseudonymisierungskompetenz und TOMs sind Genehmigungsvoraussetzungen (Art. 68 Abs. 1 Buchst. c und e).
7. Setzen Sie eine Wiedervorlage auf die Durchführungsrechtsakte (Art. 70, 73 Abs. 5, 75 Abs. 12, alle bis 26.03.2027 vorgesehen) und die deutsche Behördenbenennung.

Relevante Normreferenzen

• Verordnung (EU) 2025/327, Kapitel IV (Art. 50 bis 81): Datenhalter- und Nutzerpflichten, Zugangsstellen, Datengenehmigung und Gesundheitsdatenanfrage, Widerspruchsrecht, sichere Verarbeitungsumgebung, Durchsetzung und Bußgelder, HealthData@EU; ABl. L, 2025/327, 05.03.2025; EU-Recht mit Quellenangabe frei zitierbar.
• Verordnung (EU) 2025/327, Art. 105 Abs. 5: Geltungsstaffel des Kapitels IV (2027, 2029, 2031, 2035).
• Verordnung (EU) 2016/679 (DSGVO): Art. 6 Abs. 1 als Prüfpunkt der Datengenehmigung (Art. 68 Abs. 1 Buchst. c), Aufsicht über das Widerspruchsrecht mit Bußgeldrahmen des Art. 83 (Art. 65); im Korpus der dsgvo-Track.
• Verordnung (EU) 2022/868 (Daten-Governance-Rechtsakt): Begriffsquelle unter anderem für die sichere Verarbeitungsumgebung (Art. 2 Abs. 1 der Verordnung (EU) 2025/327) und daneben materiell verzahnt über Art. 57 Abs. 1 Buchst. j und Abs. 2 Buchst. c, Art. 62 Abs. 2, Art. 68 Abs. 4, Art. 73 Abs. 4, Art. 75 Abs. 11, Art. 77 Abs. 3 und Art. 88 Abs. 1 und 2 der Verordnung (EU) 2025/327; im Korpus der dataact-Track (EU-Datenrecht).
• Deutsche Sektorpflichten und Registerlandschaft: health-Track; deutsches Begleitrecht zur Sekundärnutzung war am 05.08.2026 nicht verkündet (ehds-001).