Gesundheitsdaten in den VAE: ADHICS V2 in Abu Dhabi, das Bundesgesetz 2/2019 über IKT im Gesundheitswesen und die Gesundheitsweiche des Bundes-PDPL

Problem in der Praxis

Der erste Fehler ist ein verkürzter Satz aus dem Datenschutzrecht: "Das PDPL gilt nicht für Gesundheitsdaten." Die Ausnahme in Art. 2 Abs. 2 Bundes-PDPL steht unter einer Bedingung, nämlich dass für diese Daten eine eigene Gesetzgebung Schutz und Verarbeitung regelt. Wer die Bedingung weglässt, plant mit einer Lücke, die je nach Emirat, Datenart und anwendbarem Spezialrecht möglicherweise nicht besteht.

Der zweite Fehler betrifft Hersteller und Softwareanbieter. Sie lesen ADHICS als Krankenhausstandard und übersehen, dass der Standard externe Anbieter von Gesundheitstechnologie als eigene Adressatengruppe führt und für sie eine eigene Control-Kategorie vorsieht. Die Standortvorgaben treffen genau deren Geschäftsmodell: zentrale Cloud-Plattformen in Europa, Fernwartung aus Deutschland, Analytik auf anonymisierten Datenkopien. Dass auch anonymisierte und pseudonymisierte Kopien erfasst sind, überrascht deutsche Teams, die aus der DSGVO-Praxis anonymisierte Daten als unkritisch kennen.

Der dritte Fehler ist geografisch, und er wirkt in beide Richtungen. ADHICS ist ein Standard des Emirats Abu Dhabi; für Dubai und die übrigen Emirate liegen diesem Korpus keine emiratsspezifischen Gesundheitsstandards vor. Das Standortgebot des Bundesgesetzes 2/2019 gilt dagegen im ganzen Staat einschließlich der Freizonen. Wer außerhalb Abu Dhabis keine Standortbindung annimmt, übersieht das Bundesgesetz; wer ADHICS-Einzelheiten auf andere Emirate überträgt, überzieht.

CISO-Einordnung

Herausgeber, Stand und Ablösung. Herausgeber ist das DoH als Regulierer des Gesundheitssektors im Emirat Abu Dhabi; Eigentümer des Dokuments ist das DoH Information & Cyber Security Office. Die Version 2 nennt als Überprüfungsdatum Mai 2027 und als Überprüfungszyklus drei Jahre ab Veröffentlichung. Nach ihrer Einleitung ersetzt sie die Vorgaben des ADHICS V0.9 von 2019, des Internet of Medical Things (IoMT) Security Standard V0.9 von 2020 und des Standard on Patient Healthcare Data Privacy V0.9 von 2020. Der Snapshot ist die englische Fassung; ob eine arabische Fassung vorgeht, sagt das Dokument nicht.

Adressaten. Das Deckblatt nennt jede Stelle im Emirat Abu Dhabi, einschließlich, aber nicht beschränkt auf Gesundheitseinrichtungen, Kostenträger (Payer) sowie Anbieter von Gesundheitstechnologie und Gesundheitsdienstleistungen, die Gesundheitsinformationen erzeugen, abrufen, speichern, verwenden, verarbeiten oder übermitteln. Der Abschnitt zum Geltungsbereich ergänzt Gesundheitsfachkräfte und Hilfspersonal mit Zugang zu Gesundheits-, Diagnose- oder personenbezogenen Daten von Patienten, alle Informationen, Medizingeräte, Anwendungen und Infrastruktur sowie die eigenen Systeme der Stelle und ihren Zugriff auf Systeme von Partnern und Dritten im Gesundheitsökosystem Abu Dhabis, etwa die Gesundheitsdatenaustauschplattform Malaffi. Anbieter von Gesundheitstechnologie und Gesundheitsdienstleistungen definiert der Standard als externe Parteien, die Medizingeräte, Systeme, Anwendungen, Infrastruktur oder Datenbanken bereitstellen, die Gesundheitsinformationen erzeugen, abrufen, speichern, verwenden, verarbeiten oder übermitteln. Ob ein Anbieter ohne Niederlassung in Abu Dhabi unmittelbar selbst gebunden ist oder über Verträge mit seinen Kunden, regelt der Snapshot nicht ausdrücklich; die Service-Provider-Kategorie und die Drittparteien-Controls führen in beiden Fällen zu denselben Anforderungen an sein Angebot.

Verbindlichkeit und Control-Kategorien. Der Standard bezeichnet sich als Mindestanforderung und ordnet seine Controls vier Kategorien zu. Basic ist immer anwendbar und von allen erfassten Stellen einzuhalten; ist eine Anforderung für das Geschäft einer Stelle nicht relevant, legt sie in ihren Berichten an das DoH eine stichhaltige geschäftliche Begründung mit Nachweisen vor. Transitional gilt nach dem Risikoprofil für Krankenhäuser mit 1 bis 20 Betten und für Zentren, etwa Diagnose-, Dialyse-, Fertilitäts- und Rehabilitationszentren. Advanced gilt ebenfalls nach dem Risikoprofil für Krankenhäuser ab 21 Betten, für die Gesundheitsdatenaustauschplattform Malaffi und für die Kostenträger Versicherer und Third-Party Administrators; für diese Stellen gelten Basic und Transitional nach dem Standard standardmäßig mit. Die Kategorie Service Provider gilt für alle Anbieter von Gesundheitstechnologie und Gesundheitsdienstleistungen, mit derselben Begründungsmöglichkeit gegenüber dem DoH wie bei Basic. Die Stufen bauen aufeinander auf: Wer Transitional erreichen will, erfüllt Basic und Transitional, für Advanced zusätzlich Advanced. Nach Anhang 1 umfasst Basic 58 Controls mit 274 Subcontrols, Transitional 40 mit 171 und Advanced 33 mit 132.

Fristen. Für jede Kategorie nennt der Standard eine Umsetzungsfrist von sechs Monaten ab der offiziellen Programmaufnahme der Stelle (induction oder on-boarding) oder ab der offiziellen Veröffentlichung des Standards, je nachdem, was zuerst eintritt. Ein Fristende rechnet dieser Artikel nicht aus: Der Zeitpunkt der Programmaufnahme ist je Stelle verschieden, und der Snapshot lässt offen, ob mit der offiziellen Veröffentlichung das Veröffentlichungsdatum Mai 2024 oder das Wirksamkeitsdatum August 2024 gemeint ist. Daneben verlangt der Standard eine Roadmap bis zur vollständigen Umsetzung.

Aufbau auf Domänenebene. Teil A regelt Governance, Risikomanagement, eine Erklärung zur Anwendbarkeit (Statement of Applicability), die Klassifizierung von Informationswerten sowie Control-Übernahme, Compliance und Audit. Für die Governance gibt er eine dreistufige Struktur vor: ein Information Security Governance Committee, eine Health Information Infrastructure Protection (HIIP) Workgroup unter Leitung eines CISO oder einer gleichwertigen Rolle und ein operatives Umsetzungsteam; kleinere Stellen dürfen die Gremien verkleinern, solange die Rollen aller drei Stufen festgelegt sind. Teil B enthält die Controls in elf Domänen: Human Resource Security, Asset Management, Physical and Environmental Security, Access Control, Communications and Operations Management, Data Privacy and Protection, Cloud Security, Third Party Security, Information Systems Acquisition, Development and Maintenance, Information Security Incident Management sowie Information Systems Continuity Management. Zahlreiche Control-Abschnitte nennen die entsprechenden Controls der UAE Information Assurance Regulation (siehe vae-006).

Compliance und Prüfung. Die Stellen melden dem DoH im Rahmen periodischer Compliance-Berichte ihren aktualisierten Umsetzungsstand mit Roadmap-Terminen und Abweichungen; das Governance-Gremium genehmigt vierteljährliche Fortschritts- und Compliance-Berichte und sorgt für deren Einreichung beim DoH. Jede Stelle führt ein jährliches Auditprogramm; unabhängige Audits finden mindestens jährlich oder bei wesentlichen Änderungen statt, durch interne oder externe Prüfer. Das DoH prüft die verpflichtenden Selbstbewertungsberichte, führt periodische Audits und technische Bewertungen bei den regulierten Stellen durch, soweit relevant und anwendbar, und kann bei Nichteinhaltung Sanktionen nach der Disziplinarordnung für den Gesundheitssektor des Emirats verhängen. Diese Disziplinarordnung liegt nicht als Snapshot vor; Art und Höhe möglicher Sanktionen sind deshalb offen.

Vorfall- und Datenpannenmeldung. Nach den Controls der Kategorien Basic und Service Provider unterrichtet die Stelle das Abu Dhabi Health SOC über Informationssicherheits- und Datenschutzvorfälle innerhalb vorbestimmter Fristen und informiert das DoH über Datenpannen bei sich oder bei einem Dritten oder Auftragsverarbeiter, ebenfalls innerhalb vorbestimmter Fristen. Beide Fristen verweisen auf eine Meldematrix in den Umsetzungsleitlinien des DoH (Guidelines for the Implementation of ADHICS), die nicht als Snapshot vorliegen; die Fristen selbst sind deshalb offen. Zusätzlich zu den Vorfallmeldungen reicht die Stelle das "Data Breach Form" binnen 72 Stunden ab der Bestätigung des Vorfalls ein (im Standard: acknowledging), legt dem DoH die angeforderten Informationen zur Untersuchung binnen 30 Arbeitstagen nach der Erstmeldung vor und informiert die betroffenen Personen, wenn die Panne voraussichtlich ein hohes Risiko für sie mit sich bringt. Vorfälle, die einen Dritten oder dessen Leistung betreffen, meldet die Stelle dem DoH umgehend innerhalb festgelegter Fristen. Dritte und Auftragsverarbeiter müssen die Stelle über Unterauftragnehmer, Sicherheitsvorfälle und Datenpannen sowie über Verarbeitung über die vereinbarte Dauer hinaus unterrichten.

Dritte, Cloud und Datenstandort. Die Domäne Third Party Security verlangt Sicherheitsprüfung vor der Beauftragung, Sicherheitsanforderungen in den Verträgen, Prüfrechte und Ausstiegsregeln mit Datenrückgabe, Datenlöschung beim Dienstleister und Übergabe von Sicherungen; sind Verträge nicht verhandelbar, muss die Leitung die Risiken ausdrücklich kennen und akzeptieren. Auftragsverarbeiter dürfen nur beauftragt werden, wenn sie ausreichende technische und organisatorische Maßnahmen haben, und dürfen Daten nur für den vereinbarten Zweck und die vereinbarte Dauer verarbeiten. Zum Datenstandort enthält der Standard mehrere Vorgaben in den Kategorien Basic und Service Provider: Gesundheitsinformationen und ihre Kopien in jeder Form, auch verschlüsselt, anonymisiert, de-identifiziert oder pseudonymisiert, werden nicht außerhalb der VAE gespeichert, verarbeitet oder übermittelt; Ausnahmen genehmigt zuerst die Leitung der Stelle und danach das DoH. Zugriff auf Systeme und Anwendungen mit personenbezogenen Daten oder geschützten Gesundheitsinformationen (PII oder PHI) erhalten Personen, die sich physisch in den VAE aufhalten oder eine gültige DoH-Lizenz für ihre Berufsausübung dort besitzen, mit demselben Ausnahmeweg. Beschäftigte und Dritte erbringen Unterstützungsleistungen aus den Räumen der Stelle und aus den VAE, sofern keine gültige DoH-Ausnahme vorliegt, und identifizierte wie de-identifizierte Gesundheitsinformationen werden an Dritte und Auftragsverarbeiter nur mit Genehmigung des DoH weitergegeben. Die Cloud-Domäne verlangt in der Kategorie Transitional und für Service Provider, dass die Cloud-Umgebung einschließlich Backup und Disaster Recovery physisch in den VAE betrieben wird, dass weder andere Mandanten noch Analytikanbieter, die Daten ins Ausland bringen, noch Fernsupport von außerhalb der VAE Zugriff erhalten, dass Daten bei Speicherung und Übertragung verschlüsselt sind und dass die Schlüssel weder vom Cloud-Anbieter der Anwendung, Infrastruktur und Datenhaltung bereitgestellt noch von ihm gespeichert und kontrolliert werden. Für Entwicklungstätigkeiten verlangt der Standard in derselben Kategorie, dass keine Tätigkeit im Entwicklungszyklus außerhalb der VAE stattfindet.

Verhältnis zu Bundesrecht, soweit der Standard es sagt. ADHICS betont, dass sein Inhalt nicht abschließend ist, und verlangt, dass jede Stelle anwendbare Gesetze, bundesweite und lokale Vorgaben, regulatorische Anforderungen und ihr eigenes Risikomanagement berücksichtigt; die Governance soll mit Vorgaben der Bundes- und der Emiratsregierung im Einklang stehen, und jede Stelle führt ein Verzeichnis der für sie geltenden Gesetze, Verordnungen und Rundschreiben. Unter den Referenzdokumenten nennt der Standard das Bundesgesetz Nr. 2 von 2019 über IKT im Gesundheitswesen, das Bundesdekretgesetz 45/2021, die UAE Information Assurance Regulation sowie nationale Richtlinien zu Cloud- und IoT-Sicherheit. Eine ausdrückliche Vorrangregel zwischen ADHICS und diesen Werken findet sich im Snapshot nicht.

Bundesgesetz Nr. 2 von 2019: Stand und Geltungsbereich. Das Gesetz über die Nutzung der Informations- und Kommunikationstechnik in den Gesundheitsbereichen ist nach seinem Text am 1. Dschumada al-achira 1440 AH erlassen; die englische Fassung gibt dafür den 6. Februar 2019 an, die arabische Fassung beim gregorianischen Datum abweichend das Jahr 2018. Es tritt nach Art. 31 drei Monate nach seiner Veröffentlichung im Amtsblatt in Kraft; das Veröffentlichungsdatum steht nicht im Text. Die Ausführungsverordnung, Kabinettsbeschluss Nr. 32 von 2020, ist nach ihrem Text am 29. Schaban 1441 AH, entsprechend dem 22. April 2020, erlassen und tritt nach ihrem Art. 10 sechs Monate nach ihrer Veröffentlichung im Amtsblatt in Kraft. Nach Art. 2 gilt das Gesetz für alle Methoden und Verwendungen der Informations- und Kommunikationstechnik in den Gesundheitsbereichen im Staat, ausdrücklich einschließlich der Freizonen. Entgegenstehende Bestimmungen hebt es auf (Art. 30). Maßgeblich ist bei Abweichungen der arabische Text; die deutschen Wiedergaben sind eigene, sinngemäße Übersetzungen.

Adressaten. Einige Pflichten sind unpersönlich gefasst und treffen jeden, der Informationstechnik im Gesundheitswesen nutzt, so die Schutzziele in Art. 4 und das Standortgebot in Art. 13; die Strafnorm des Art. 24 richtet sich an jeden, der gegen Art. 13 verstößt. Andere Pflichten treffen die Gesundheitsbehörde, nach Art. 1 jede staatliche Gesundheitsbehörde des Bundes oder eines Emirats, und die betroffene Stelle (arabisch al-dschiha al-maniya; die englische Fassung führt diesen Begriff irrtümlich ein zweites Mal als "Health Authority"). Betroffene Stelle ist nach Art. 1 jede Stelle im Staat, die Gesundheitsleistungen, Leistungen der Krankenversicherung oder der Gesundheitsabsicherung erbringt, darin vermittelt, deren Anforderungen verwaltet oder elektronische Dienste im Gesundheitsbereich erbringt, sowie jede Stelle, die unmittelbar oder mittelbar mit der Anwendung des Gesetzes verbunden ist. Ob ein Anbieter ohne Sitz in den VAE "Stelle im Staat" ist, regelt das Gesetz nicht ausdrücklich.

Pflichten zu Vertraulichkeit, Sicherheit und Aufbewahrung. Wer Informationstechnik im Gesundheitswesen nutzt, wahrt nach Art. 4 die Vertraulichkeit der Gesundheitsdaten, indem er ihren Umlauf außerhalb der erlaubten Fälle nicht zulässt, schützt sie vor unbefugter Beschädigung, Änderung, Löschung oder Ergänzung und hält sie für Berechtigte verfügbar. Wer Patienteninformationen in Umlauf bringt, wahrt nach Art. 16, unbeschadet anderer Gesetze, ihre Vertraulichkeit; sie dürfen ohne schriftliche Zustimmung des Patienten nur für gesundheitliche Zwecke verwendet werden; ausgenommen sind Anfragen von Krankenversicherern oder Finanzierern zur Prüfung von Leistungsansprüchen, wissenschaftliche und klinische Forschung ohne Offenlegung der Identität und unter Beachtung der Forschungsethik und der Regeln wissenschaftlicher Forschung, Maßnahmen des öffentlichen Gesundheitsschutzes oder zum Schutz des Patienten und seiner Kontaktpersonen, Anfragen der zuständigen Justizbehörden sowie Anfragen der Gesundheitsbehörde zu Überwachung, Inspektion und öffentlicher Gesundheit. Wer Gesundheitsdaten mit Informationstechnik aufbewahrt, bemisst die Frist nach Art. 20 nach dem Bedarf, mindestens aber mit 25 Jahren ab dem letzten Gesundheitsvorgang der betroffenen Person, und sichert Vertraulichkeit, Richtigkeit und Glaubwürdigkeit. Die Ausführungsverordnung ergänzt unter anderem sichere, wiederherstellbare und regelmäßig überprüfte Datensicherungen, die Archivierung nach Ablauf der Aufbewahrungsfrist für Forschung und öffentliche Gesundheit unter Wahrung der Privatsphäre, die Aufbewahrung nach den Aktenvorschriften der jeweiligen Einrichtung, mindestens vereinbar mit den Vorgaben des Ministeriums, und periodische Audits durch Ministerium und Gesundheitsbehörden. Die Gesundheitsbehörde legt nach Art. 6 Grundlagen, Standards und Kontrollen für ihre elektronischen Gesundheitsdatensysteme fest, einschließlich Schutz, Zugriff und Risikomanagement; Gesundheitsbehörde und betroffene Stelle führen nach Art. 21 in allen Gesundheitsvorgängen und Akten die Identitätsnummer, außer in Notfällen und in Fällen, die das Ministerium in Abstimmung mit der Gesundheitsbehörde per Beschluss festlegt.

Zentrales System. Das Ministerium errichtet in Abstimmung mit den Gesundheitsbehörden und betroffenen Stellen ein zentrales System zur Aufbewahrung, zum Austausch und zur Sammlung von Gesundheitsdaten (Art. 5); Gesundheitsbehörden und betroffene Stellen müssen sich nach den Vorgaben der Ausführungsverordnung anschließen (Art. 7). Nutzen darf das System nur, wer von der Gesundheitsbehörde oder der betroffenen Stelle dazu berechtigt ist (Art. 14), und Berechtigte verarbeiten nur, was für ihre Aufgabe nötig ist (Art. 15). Die Ausführungsverordnung regelt unter anderem den Anschluss mit vom Ministerium festgesetzten Terminen und auf eigene Kosten der angeschlossenen Stellen, ein Prüfrecht des Ministeriums für gelieferte Daten, die Berechtigung von Beschäftigten, von Personal aus Auslagerungsverträgen und von Beratern, soweit ihre Aufgabe es erfordert, die Festlegung, wer aus der Ferne zugreifen darf, und den Entzug der Berechtigung nach Dienstende. Für die Nutzung des Systems und den Austausch von Gesundheitsdaten verlangt sie unter anderem eine Verschwiegenheitserklärung von Lieferanten, Stellen und Personen mit Zugang zu den IKT-Systemen über die im zentralen System eingesehenen Daten, Verschlüsselung jeder E-Mail und jeder sonstigen elektronischen Nachricht mit Patienteninformationen, die Meldung verdächtiger Aktivitäten, nachvollziehbare Änderungen mit Grund, Datum und elektronischer Signatur sowie persönliche Zugangsdaten. Patienten können sich nach der Verordnung aus dem zentralen System zurückziehen; ihre Daten dürfen dann nicht identifizierend aufbewahrt werden.

Datenstandort nach Art. 12 und 13. Art. 12 überlässt die Bedingungen der Speicherung von Gesundheitsdaten im Staat einem Beschluss des Ministers in Abstimmung mit den Gesundheitsbehörden; dieser Beschluss liegt nicht vor. Art. 13 verbietet, Gesundheitsdaten und Gesundheitsinformationen, die sich auf im Staat erbrachte Gesundheitsleistungen beziehen, außerhalb des Staates zu speichern, zu verarbeiten, zu erzeugen oder zu übermitteln, außer in Fällen, für die eine Gesundheitsbehörde in Abstimmung mit dem Ministerium einen Beschluss erlässt. Die englische Fassung gibt das letzte Verb als "transform" wieder; der arabische Text spricht von Übermittlung. Die Ausführungsverordnung enthält zu Art. 12 und 13 keine Bestimmung; weder Ausnahmen noch ein Verfahren für den Beschluss nach Art. 13 sind darin geregelt. Ob Art. 13 auch anonymisierte Daten erfasst, sagt das Gesetz nicht ausdrücklich. Einzelne Beschlüsse von Gesundheitsbehörden nach Art. 13 liegen nicht vor.

Strafen und Disziplinarmaßnahmen. Wer gegen Art. 13 verstößt, wird mit Geldstrafe von 500.000 bis 700.000 Dirham bestraft (Art. 24); wer ohne Lizenz Gesundheitswerbung über das zentrale System veröffentlicht, mit 100.000 bis 200.000 Dirham (Art. 23). Schwerere Strafen nach anderen Gesetzen bleiben unberührt (Art. 22). Unbeschadet dieser Strafen kann die Gesundheitsbehörde nach Art. 25 Einrichtungen, die Gesundheitsleistungen erbringen, im Bereich der Gesundheitsforschung tätig sind oder zur Nutzung des zentralen Systems berechtigt sind, bei Verstößen gegen das Gesetz, die Ausführungsverordnung oder Durchführungsbeschlüsse mit schriftlichem Hinweis, schriftlicher Verwarnung, Geldbuße von 1.000 bis 1.000.000 Dirham, Aussetzung der Nutzungsberechtigung für das zentrale System bis zu sechs Monaten oder deren Entzug belegen. Gegen eine Disziplinarmaßnahme ist binnen 15 Tagen ab Kenntnis der Entscheidung (so der maßgebliche arabische Text) eine Beschwerde bei einem Ausschuss der Gesundheitsbehörde möglich, der binnen 30 Tagen entscheidet; Schweigen gilt als Ablehnung, danach steht binnen 30 Tagen der Weg zu den Gerichten offen (Art. 26). Betroffene Stellen passen ihren Status innerhalb einer Frist an, die ein Kabinettsbeschluss festlegt (Art. 28); dieser Beschluss liegt nicht vor.

Verhältnis zu ADHICS. ADHICS führt das Bundesgesetz 2/2019 unter seinen Referenzdokumenten, und beide Texte binden Gesundheitsdaten an den Staat. Die Ausnahmewege unterscheiden sich im Wortlaut: ADHICS verlangt die Genehmigung durch die Leitung der Stelle und danach durch das DoH, Art. 13 einen Beschluss einer Gesundheitsbehörde in Abstimmung mit dem Ministerium. Ob eine Ausnahme des DoH nach ADHICS zugleich ein Beschluss nach Art. 13 ist, sagt keiner der Texte; ADHICS bezeichnet das DoH als Regulierer des Gesundheitssektors im Emirat Abu Dhabi, das Gesetz nennt das DoH nicht. Ebenso wenig sagen die Texte, ob ADHICS auf der Befugnis der Gesundheitsbehörde nach Art. 6 beruht.

Die Gesundheitsweiche im Bundes-PDPL. Art. 2 Abs. 2 des Bundes-PDPL zählt auf, wofür das Gesetz nicht gilt. Nach Buchstabe e, in eigener sinngemäßer Übersetzung aus dem verbindlichen arabischen Text, gehören dazu personenbezogene Gesundheitsdaten, für die eine Gesetzgebung besteht, die deren Schutz und Verarbeitung regelt. Daneben stehen in derselben Aufzählung unter anderem Bank- und Kreditdaten mit eigener Gesetzgebung (Buchstabe f) und Unternehmen in Freizonen mit eigener Datenschutzgesetzgebung (Buchstabe g; siehe vae-002 und vae-003). Das Bundes-PDPL nennt nicht, welche Gesetzgebung die Bedingung erfüllt, und das ältere Bundesgesetz 2/2019 nimmt auf das Bundes-PDPL keinen Bezug. Das Bundesgesetz 2/2019 enthält Regeln zu Schutz und Verarbeitung von Gesundheitsdaten, etwa zu Vertraulichkeit, Standort und Aufbewahrung; ob es deshalb die in Buchstabe e gemeinte Gesetzgebung ist, ob daneben ADHICS in Betracht kommt und ob die Ausnahme dann vollständig greift oder nur, soweit das Spezialrecht eine Frage regelt, sagt keiner der vorliegenden Texte ausdrücklich. Fehlt die Bedingung, bleibt es bei der Anwendung des Bundes-PDPL in dessen Geltungsbereich (vae-002). Eine verbindliche Einordnung liefert dieser Artikel nicht.

Umsetzungsperspektive

1. Rolle in Abu Dhabi bestimmen. Gesundheitseinrichtung, Kostenträger, Malaffi-Anbindung oder Anbieter von Gesundheitstechnologie? Die Rolle entscheidet, welche Control-Kategorien gelten; Einrichtungstyp und Bettenzahl entscheiden über Transitional und Advanced.
2. Datenflüsse gegen die Standortvorgaben spiegeln. Speicherort, Backup, Disaster Recovery, Fernwartung, Support, Analytik, Entwicklung und Schlüsselverwaltung je Dienst erheben; anonymisierte und pseudonymisierte Kopien eingeschlossen.
3. Ausnahmen bewusst beantragen statt voraussetzen. Wo ein Betriebsmodell außerhalb der VAE unverzichtbar ist, führt der Weg nach ADHICS über die Genehmigung durch die Leitung der betroffenen Stelle und danach durch das DoH, nach Art. 13 des Bundesgesetzes 2/2019 über einen Beschluss einer Gesundheitsbehörde in Abstimmung mit dem Ministerium; ob ein Bescheid beide Wege abdeckt, ist ausdrücklich zu klären. Eine Ausnahme ist kein Automatismus.
4. Meldewege vertraglich vorbereiten. Kunden müssen Vorfälle und Datenpannen an das DoH und das Abu Dhabi Health SOC melden und brauchen dafür Ihre Unterrichtung über Vorfälle, Unterauftragnehmer und Verarbeitung über die vereinbarte Dauer hinaus. Die Meldematrix der Umsetzungsleitlinien beim Kunden oder beim DoH anfordern.
5. Bundesrecht getrennt prüfen. Für Gesundheitsleistungen in allen Emiraten einschließlich der Freizonen das Standortgebot, die Aufbewahrung von mindestens 25 Jahren und die Vertraulichkeitsregeln des Bundesgesetzes 2/2019 einplanen und die Anwendbarkeit des Bundes-PDPL auf Gesundheitsdaten rechtlich prüfen lassen.

Typische Fehler

1. Die Gesundheitsausnahme des Bundes-PDPL wird ohne ihre Bedingung zitiert, also ohne die Voraussetzung einer eigenen Gesetzgebung für Schutz und Verarbeitung dieser Daten.
2. ADHICS wird als Krankenhausstandard gelesen, und die Service-Provider-Kategorie für Technologie- und Dienstleistungsanbieter wird übersehen.
3. Anonymisierte oder pseudonymisierte Kopien werden als frei übertragbar behandelt, obwohl der Standard sie ausdrücklich in die Standortvorgabe einbezieht.
4. Fernsupport oder Entwicklung aus Deutschland wird eingeplant, ohne die Ausnahme durch das DoH vorzusehen.
5. Die 72-Stunden-Frist des Data Breach Form wird als einzige Meldefrist gelesen; die Fristen der Meldematrix für SOC- und DoH-Meldungen laufen daneben und sind hier nicht belegt.
6. ADHICS wird als VAE-weiter Standard behandelt, obwohl er ein Standard des Emirats Abu Dhabi ist.
7. Das Standortgebot des Bundesgesetzes 2/2019 wird auf Abu Dhabi oder auf das Festland beschränkt, obwohl es im ganzen Staat einschließlich der Freizonen gilt.
8. Die Ausführungsverordnung wird als Quelle für Ausnahmen vom Standortgebot zitiert, obwohl sie dazu nichts regelt.

Risiken und Trade-offs

Die Standortvorgaben erzwingen für Anbieter mit zentraler europäischer Plattform eine Grundsatzentscheidung: eigene Infrastruktur in den VAE, ein lokaler Betriebspartner, ein Ausnahmeantrag mit ungewissem Ausgang oder der Verzicht auf das Segment. Wo die Cloud-Vorgaben gelten, kommen die Anforderungen an die Schlüsselhoheit hinzu, die Dienste mit vom Cloud-Anbieter bereitgestellten oder verwalteten Schlüsseln nicht erfüllen.

Ein zu enges Lesen ist teurer als ein zu weites: Wer ADHICS nur als Kundenpflicht sieht, verliert Ausschreibungen, weil Kunden die Anforderungen über Verträge, Prüfrechte und Ausstiegsklauseln weitergeben. Wer umgekehrt ADHICS für ganz VAE ansetzt, baut für Dubai oder die nördlichen Emirate ein Programm, dessen Rechtsgrundlage dort nicht belegt ist, und übersieht umgekehrt leicht, dass das Standortgebot des Bundesgesetzes 2/2019 auch dort gilt.

Entscheidungspunkte

• Betreiben wir für Kunden in Abu Dhabi ein Dienstmodell, das Gesundheitsinformationen vollständig in den VAE hält, einschließlich Backup, Disaster Recovery, Support und Entwicklung?
• Beantragen wir über Kunden Ausnahmen beim DoH, und wer trägt das Risiko einer Ablehnung?
• Halten wir das Standortgebot des Bundesgesetzes 2/2019 auch für Kunden außerhalb Abu Dhabis und in Freizonen ein, oder streben wir Beschlüsse nach Art. 13 an?
• Wie stellen wir sicher, dass unsere Vorfallmeldungen die Kunden rechtzeitig für ihre Meldungen an DoH und Abu Dhabi Health SOC erreichen?

Praktische Empfehlungen

• Für jedes Angebot im Gesundheitssektor eine Standortnotiz führen: Speicherort, Sicherung, Wiederanlauf, Zugriff, Support, Entwicklung, Schlüsselhoheit.
• In Verträgen mit Kunden in Abu Dhabi ADHICS V2 mit Kennung nennen und die zutreffende Control-Kategorie ausdrücklich vereinbaren.
• Die Umsetzungsleitlinien des DoH mit der Meldematrix vor Vertragsschluss anfordern und Meldefristen erst danach zusagen.
• Aussagen zum Bundes-PDPL bei Gesundheitsdaten immer mit der Bedingung aus Art. 2 Abs. 2 formulieren.
• Aufbewahrungsfristen von Gesundheitsdaten auf mindestens 25 Jahre ab dem letzten Gesundheitsvorgang auslegen, wo das Bundesgesetz 2/2019 gilt.

Relevante Normreferenzen

• Abu Dhabi Healthcare Information and Cyber Security Standard (ADHICS), DOH/SD/ICSO/ADHICS/V2/2024: Deckblatt (Adressaten, Daten), Standard Scope, Teil A Abschnitte 1 und 2 (Einleitung, Ablösung, Governance), 6 (Control-Kategorien, Fristen, Compliance, Audits), Teil B Domänen Data Privacy and Protection, Cloud Security, Third Party Security und Information Security Incident Management, Schlussabschnitte zu Rollen, Monitoring und Evaluation, Enforcement and Sanctions, Referenzdokumenten und Anhang 1.
• Bundesdekretgesetz 45/2021 zum Schutz personenbezogener Daten, Art. 2 Abs. 2 (arabischer Text).
• Bundesgesetz Nr. 2 von 2019 über die Nutzung der Informations- und Kommunikationstechnik in den Gesundheitsbereichen: Art. 1 (Begriffe), 2 (Geltungsbereich), 4, 6, 12, 13, 16, 20, 21 (Pflichten und Standort), 5, 7, 14, 15 (zentrales System), 22 bis 26 (Strafen, Disziplinarmaßnahmen, Beschwerde), 28, 30, 31.
• Kabinettsbeschluss Nr. 32 von 2020 über die Ausführungsverordnung zum Bundesgesetz 2/2019: Art. 2 bis 7 (zentrales System, Berechtigungen, Nutzungsbedingungen, Speicherung), Art. 10 (Inkrafttreten).
• Abgrenzung: das deutsche Gesundheitswesen steht im Track health, ADHICS nur hier; europäisches Datenschutzrecht im Track dsgvo, ohne Gleichsetzung mit Bundes-PDPL oder ADHICS; Saudi-Arabien im Track saudi-arabien, dessen Regeln hier nicht übertragen werden; NIS-2 und KRITIS in den Tracks nis2 und kritis, ohne Gleichsetzung; Bundes-PDPL im Allgemeinen in vae-002, Finanzfreizonen in vae-003, die UAE Information Assurance Regulation in vae-006, die Gesamtsicht für den Markteintritt in vae-001.