.png)
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Fachanwalt für Urheber- und Medienrecht und Spezialist für Arbeitsrecht, Zertifizierter Datenschutzbeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Blog News
Die neue Durchführungsverordnung konkretisiert die Regeln für digitale Gesundheitsdaten innerhalb von MyHealth@EU. Die neuen Regeln betreffen unmittelbar vor allem Behörden und befugte Teilnehmer.Zugleich prägen sie die Anforderungen, die künftig über nationale Anschlussprojekte, Vergaben und Vertragsbeziehungen an Gesundheitsdienstleister, Apotheken und Technologieanbieter weitergegeben werden können. Unternehmen sollten deshalb früh klären, welche Rolle sie in nationalen Anschluss- und Beschaffungsprojekten übernehmen.
Die Durchführungsverordnung (EU) 2026/2083 der Kommission vom 18. September 2026 über MyHealth@EU wurde am 21. September 2026 im Amtsblatt der Europäischen Union veröffentlicht. Sie regelt Cybersicherheit, technische und semantische Interoperabilität, Betrieb, Servicemanagement, Datenschutz und Konformitätsprüfungen für MyHealth@EU. Die Verordnung tritt am 11. Oktober 2026 in Kraft und gilt ab dem 26. März 2027.
Die Kommission stellt eine zentrale Plattform mit Referenzsoftware, Terminologiedienst, sicherem Kommunikationsnetz und Konfigurationsdienst bereit. Nationale Kontaktstellen dürfen alternative technische Lösungen einsetzen, müssen dann aber den Anforderungskatalog und die technischen Spezifikationen erfüllen. Diese werden von der Kommission zusammen mit der MyHealth@EU-Lenkungsgruppe entwickelt und genehmigt.
Vor Beginn des Datenaustauschs sind technische Tests und Konformitätsprüfungen vorgesehen. Feststellungen aus Konformitätsprüfungen und technischen Tests werden als geringfügig, mittel oder kritisch eingestuft. Werden Feststellungen identifiziert, muss die betroffene nationale Kontaktstelle innerhalb von 15 Arbeitstagen nach Erhalt der entsprechenden Information einen Maßnahmenplan bei der Kommission einreichen. Reguläre Konformitätsprüfungen erfolgen vor dem Start, danach alle fünf Jahre und zusätzlich bei einem kritischen Risiko für Sicherheit, Vertraulichkeit oder Datenschutz.
Ein Austausch darf nur mit Autorisierung beginnen oder nach wesentlichen Änderungen fortgesetzt werden. Bei kritischen Feststellungen oder erheblichen Vorfällen kann eine vorübergehende Aussetzung folgen. Erhebliche Vorfälle sind so schnell wie möglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, dem Vorsitz der MyHealth@EU-Lenkungsgruppe, der Kommission und gegebenenfalls den betroffenen nationalen Kontaktstellen zu melden.
Für beteiligte IT- und Gesundheitsunternehmen folgt daraus keine automatische eigene Autorisierungspflicht aus dieser Durchführungsverordnung. In Verträgen, Vergaben und nationalen Anschlussprojekten werden jedoch belastbare Test-, Mitwirkungs-, Änderungs- und Incident-Pflichten erforderlich sein, damit die unmittelbar verpflichtete Stelle ihre Nachweise führen kann.
Die nationalen Kontaktstellen sind gemeinsam Verantwortliche; die Kommission handelt für die zentrale Infrastruktur als Auftragsverarbeiterin. Die Verordnung verteilt Pflichten für Betroffeneninformationen, Betroffenenrechte, Sicherheitsmaßnahmen, Protokollierung, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Audits.
Die Verarbeitung innerhalb MyHealth@EU ist auf prioritäre und zusätzliche Kategorien elektronischer Gesundheitsdaten sowie die für die Verwaltung der Plattform notwendigen personenbezogenen Daten beschränkt. Transportierte Daten müssen verschlüsselt werden. Vorgesehen sind dokumentierte Sicherheitspläne, Zugriffssteuerung, Integritätskontrollen, Echtzeitüberwachung und Verfahren für Sicherheitsvorfälle.
Unternehmen müssen ihre eigene datenschutzrechtliche Rolle unabhängig von dieser unionsrechtlich vorgegebenen Rollenverteilung anhand ihrer konkreten Datenverarbeitung bestimmen. Ein nationaler Betreiber, Softwarelieferant oder Unterauftragnehmer kann je nach konkreter Verarbeitung Verantwortlicher, Auftragsverarbeiter oder bloßer technischer Dienstleister sein. Die unionsrechtliche Rollenverteilung zwischen Kontaktstellen und Kommission beantwortet diese nachgelagerte Vertragsfrage nicht automatisch.
Besonders relevant ist die Entwicklung für Anbieter von EHR-Systemen, klinischen Plattformen, Terminologiediensten, sicheren Netzen, Telemedizin und mobilen Gesundheitsdiensten sowie für Gesundheitsdienstleister und Apotheken, die national angebunden werden. Die EHDS-Verordnung sieht ausdrücklich vor, dass Apotheken grenzüberschreitende elektronische Verschreibungen über MyHealth@EU verarbeiten können und dass weitere Infrastrukturen aus Gesundheit, Pflege oder sozialer Sicherheit befugte Teilnehmer werden können.
Unternehmen sollten zunächst klären, wie ihre Systeme oder Dienstleistungen an die nationale Kontaktstelle angebunden sind. Technische Spezifikationen, Versionswechsel und Testnachweise gehören anschließend in die Produkt- und Compliance-Roadmap. Verträge sollten Eskalationswege, Auditunterstützung und Fristen zur Fehlerbehebung abbilden. Auch Logging, Verschlüsselung, Berechtigungskonzepte und Incident-Übungen sollten so dokumentiert werden, dass sie regulatorische Prüfungen unterstützen. Die Pflicht zum Austausch von Patientenkurzakten, elektronischen Verschreibungen und Abgabedaten greift nach dem EHDS ab 26.03.2029; weitere prioritäre Kategorien folgen ab 26.03.2031.
SBS LEGAL berät Unternehmen im Datenschutzrecht bei der Umsetzung regulatorischer Anforderungen rund um MyHealth@EU und digitale Gesundheitsdaten. Dabei berücksichtigen wir insbesondere die Schnittstellen zum IT-Recht, zur DSGVO und zu den Vorgaben des Europäischen Gesundheitsdatenraums (EHDS).
Wir unterstützen Gesundheitsdienstleister, Technologieanbieter und weitere beteiligte Unternehmen bei der Einordnung ihrer Datenschutzrollen, der Gestaltung von Vertrags- und Auftragsverarbeitungsstrukturen sowie bei Fragen zu Sicherheitsanforderungen, Incident-Prozessen und regulatorischen Nachweisen. Welche Anforderungen im Einzelfall gelten, hängt insbesondere von der konkreten Rolle des Unternehmens, seiner Einbindung in die nationale Infrastruktur und den tatsächlichen Datenflüssen ab.