Wearables DSGVO-konform einsetzen: von der Rechtsgrundlage bis zur Auswertung

Wer Wearables in Klinik, Reha, betrieblichem Gesundheitsmanagement oder Studien einsetzt, verarbeitet sensible Daten. Die Frage nach Wearables und DSGVO ist deshalb keine Formalie, sondern entscheidet darüber, ob ein Projekt starten darf. Dieser Ratgeber führt durch die rechtlichen Grundlagen, zeigt, wo die Daten technisch hinfließen, und vergleicht die Wege, auf denen Sie Wearable-Daten kontrolliert in eine eigene Datenbasis bringen.

Sind Wearable-Daten Gesundheitsdaten nach DSGVO?

Gesundheitsdaten sind nach Art. 4 Nr. 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen und aus denen Informationen über ihren Gesundheitszustand hervorgehen. Sie gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Deren Verarbeitung ist grundsätzlich verboten, es sei denn, eine der Ausnahmen in Art. 9 Abs. 2 greift.

Für Wearables bedeutet das: Die meisten Messwerte, die in professionellen Anwendungen interessant sind, fallen darunter.

• Eindeutig Gesundheitsdaten: Herzfrequenz, Herzfrequenzvariabilität (HRV), EKG-Signale, Sauerstoffsättigung, Hauttemperatur, Schlafphasen und Schlafqualität
• Abhängig vom Zweck: Schritte, Aktivitätsminuten, Trainingsumfang oder Kalorienverbrauch. Sobald diese Werte genutzt werden, um Gesundheit, Belastbarkeit oder Genesung einer Person zu beurteilen, sind sie ebenfalls als Gesundheitsdaten zu behandeln.
• Immer personenbezogen: Auch ohne Namen ist ein Datensatz personenbezogen, solange er über eine Kennung, ein Konto oder ein Gerät einer Person zugeordnet werden kann. Pseudonymisierte Daten bleiben personenbezogen.

Neben Art. 9 brauchen Sie immer auch eine Rechtsgrundlage nach Art. 6 DSGVO. In der Praxis werden beide gemeinsam geprüft.

Rechtsgrundlagen: Einwilligung, Behandlung, Forschung

Welche Rechtsgrundlage trägt, hängt vom Zweck ab. Dieselbe Smartwatch kann in der Reha, im BGM und in einer Studie jeweils auf einer anderen Grundlage laufen. Die folgende Tabelle zeigt die typischen Zuordnungen nach Einsatzfeld.

Einsatzfeld	Typische Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO	Worauf Sie achten sollten
Klinik und Reha	lit. h (Gesundheitsversorgung und Behandlung), ergänzt durch nationales Recht; für zusätzliche Zwecke lit. a (Einwilligung)	Berufsgeheimnis, Zweckbindung an die Behandlung, Übergabe an KIS und Patientenakte
Betriebliches Gesundheitsmanagement	lit. a (ausdrückliche Einwilligung)	Freiwilligkeit trotz Abhängigkeitsverhältnis, Betriebsrat, nur aggregierte Auswertung für den Arbeitgeber
Studien und Forschung	lit. a (Einwilligung nach Studienaufklärung) oder lit. j (Forschungszwecke) mit Garantien nach Art. 89	Studienprotokoll, Ethikvotum, Pseudonymisierung, Löschfristen
Leistungssport	lit. a (ausdrückliche Einwilligung), bei sportmedizinischer Betreuung auch lit. h	Freiwilligkeit gegenüber Verband und Trainerteam, Rechte je Rolle

Eine Einwilligung muss die Anforderungen von Art. 7 DSGVO erfüllen: informiert, freiwillig, für einen bestimmten Zweck, nachweisbar und jederzeit widerrufbar. Den Nachweis müssen Sie als Verantwortlicher führen. Im Datico^® Life Hub dokumentiert dafür ein Double Opt-In jede Einwilligung mit Zeitpunkt und Umfang, der Widerruf ist jederzeit möglich, und Erteilung, Bestätigung und Widerruf landen zusätzlich im Audit Trail.

Wo Wearable-Daten hinfließen: Hersteller-Cloud, Drittland, Auftragsverarbeitung

Die Rechtsgrundlage ist nur die halbe Antwort. Für den Datenschutz bei Wearables ist ebenso entscheidend, welchen Weg die Daten nehmen. Bei Consumer-Wearables sieht der Standardweg so aus:

1. Das Wearable misst und speichert die Daten auf dem Gerät.
2. Die App des Herstellers holt die Daten per Bluetooth auf das Smartphone.
3. Die App überträgt sie in die Cloud des Herstellers. Dafür braucht jede Person ein eigenes Konto beim Hersteller.
4. Erst von dort gelangen die Daten über eine Schnittstelle des Herstellers in Ihr eigenes System.

Daraus ergeben sich drei Prüfpunkte.

Rolle des Herstellers

Legt die betreute Person selbst ein Konto beim Hersteller an, entsteht eine eigene Vertragsbeziehung zwischen ihr und dem Hersteller. Der Hersteller verarbeitet die Daten dann häufig nach seinen eigenen Nutzungs- und Datenschutzbedingungen. Prüfen Sie, welche Rolle der Hersteller in Ihrem Projekt hat und welche Daten er für eigene Zwecke nutzt.

Drittlandübermittlung

Sitzt der Hersteller oder sein Cloud-Dienstleister außerhalb der EU, gelten die Regeln von Kapitel V DSGVO (Art. 44 ff.). Eine Übermittlung ist dann nur mit Angemessenheitsbeschluss, Standardvertragsklauseln oder einer anderen Garantie zulässig. Für die USA kommt das EU-U.S. Data Privacy Framework in Frage, sofern der Empfänger dort zertifiziert ist. Das muss im Einzelfall geprüft und dokumentiert werden.

Auftragsverarbeitung

Jeder Dienstleister, der die Daten in Ihrem Auftrag speichert oder verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO. Das betrifft die Plattform, auf der Sie auswerten, ebenso wie deren Hosting. Datico^® schließt mit jedem Kunden einen solchen Vertrag zur Auftragsverarbeitung. Die Daten liegen in einer eigenen Datenbank je Kunde auf Servern in Deutschland, ohne Transfer in Drittstaaten. Mehr dazu unter Vertrauen und Sicherheit.

Drei Wege zu DSGVO-konformen Wearable-Daten

Datico^® Wearable Connect bindet Wearables herstellerunabhängig auf drei Wegen an den Datico^® Life Hub an. Welcher Weg passt, hängt vor allem davon ab, ob die Hersteller-Cloud im Datenfluss akzeptabel ist.

	Wearable Connect Cloud	Wearable Connect Bluetooth	Datei-Import
Weg der Daten	Gerät, Hersteller-App, Hersteller-Cloud, per API in den Datico® Life Hub	Gerät per Bluetooth direkt an die Datico® Life App, verschlüsselt in den Datico® Life Hub	Gerät gibt eine Datei aus, die in den Datico® Life Hub importiert wird
Hersteller-Cloud beteiligt	Ja	Nein	Hängt davon ab, wo die Datei erzeugt wird
Konto beim Hersteller	In der Regel für jede Person	Nicht nötig	Abhängig vom Gerät
Aktualität	Synchronisation mit der Hersteller-Plattform	In Echtzeit oder zeitversetzt, auch offline nutzbar	Nach dem Import
Stärke	Nutzt vorhandene Geräte und Konten, kaum Aufwand für die Teilnehmenden	Volle Kontrolle über den Datenfluss, kein Drittanbieter im Weg	Bindet auch Geräte ohne Schnittstelle an
Typischer Einsatz	Prävention, Sport, BGM mit bestehenden Geräten	Studien mit hohen regulatorischen Anforderungen, Klinik, sicherheitskritische Umgebungen	Bestandsdaten, Spezialgeräte

Auf allen drei Wegen landen die Daten personen- und zeitgenau in derselben strukturierten Datenbasis. Der Unterschied liegt im Weg dorthin.

Beim Cloud-Weg bleibt die Hersteller-Cloud Teil der Kette. Datico^® ergänzt eine kontrollierte Verarbeitung im Datico^® Life Hub, ersetzt aber nicht die Prüfung der Hersteller-Bedingungen. Beim Bluetooth-Weg über die Datico^® Life App entfällt die Hersteller-Cloud ganz. Die App läuft auf iOS und Android, ordnet die Messdaten automatisch dem richtigen Profil zu und überträgt sie verschlüsselt. Für Studien ist eine Pseudonymisierung nach Studienprotokoll möglich.

Welche Geräte auf welchem Weg angebunden sind, zeigt die Übersicht Kompatible Systeme. Polar ist zum Beispiel sowohl über Polar Flow als auch per Bluetooth über die Datico^® Life App angebunden.

Wearables im Unternehmen: Datenschutz im BGM

Im betrieblichen Gesundheitsmanagement gelten die strengsten Maßstäbe, weil Beschäftigte vom Arbeitgeber abhängig sind. Für Wearables im Unternehmen sollten Sie diese Punkte festlegen, bevor das erste Gerät ausgegeben wird:

• Freiwilligkeit: Die Teilnahme darf keine Nachteile und keine versteckten Anreize mit Druckwirkung haben. In Deutschland regelt § 26 BDSG den Beschäftigtendatenschutz und nennt Kriterien, wann eine Einwilligung im Arbeitsverhältnis freiwillig sein kann.
• Betriebsrat: Wearables sind technische Einrichtungen, die Verhalten oder Leistung erfassen können. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht. Eine Betriebsvereinbarung schafft Klarheit für alle Seiten.
• Trennung der Sichten: Der Arbeitgeber erhält nur aggregierte Auswertungen über Gruppen, keine Einzelwerte. Einzelwerte sieht nur, wer die Person fachlich betreut.
• Externer Dienstleister: Häufig wird das BGM-Programm von einem externen Anbieter betreut, der die Einzeldaten verarbeitet. Das erleichtert die Trennung zum Arbeitgeber.

Technisch setzen Sie die Trennung über Berechtigungen um. Mit Rollen & Rechte im Datico^® Life Hub legen Sie fest, wer welche Funktion nutzen und welche Personen und Daten sehen darf, bis auf Attributebene. Dieselben Regeln gelten für Zugriffe über Schnittstellen.

Wearables in Studien und Forschung

In Studien kommt zu den DSGVO-Fragen das Studienprotokoll hinzu. Für den Datenschutz bei Wearables in Studien sind vor allem diese Punkte zu klären:

• Aufklärung und Einwilligung: Die Teilnehmenden müssen verstehen, welche Daten das Wearable erfasst, wie lange und wer sie auswertet.
• Ethikvotum: Die Ethikkommission prüft auch das Datenmanagement. Ein klarer Datenfluss ohne unnötige Dritte erleichtert die Begutachtung.
• Pseudonymisierung: Studiendaten werden getrennt von den Identitätsdaten geführt. Der Schlüssel liegt nur bei berechtigten Personen.
• Datenqualität: Abtastrate, Lücken in der Aufzeichnung und die Zuordnung zu Studienzeitpunkten entscheiden über die Auswertbarkeit.

Ein Beispiel ist das MEXT-Projekt der Universität der Bundeswehr München. Dort erfasst eine von Datico^® entwickelte App auf Basis von Wearable Connect Bluetooth die Daten mehrerer Polar-Wearables rund um die Uhr in hoher Auflösung, als Datenbasis für die Anfallsforschung. Fragebögen zu festen Studienzeitpunkten ergänzen Sie mit Smart Forms, die in derselben App laufen. Mehr zur Forschung finden Sie unter Datico^® Life Participant.

Wearables in Klinik und Reha

In Klinik und Reha geht es selten um das Wearable allein. Interessant wird es, wenn die Daten zwischen zwei Terminen das ergänzen, was in der Therapie gemessen wird: Erholung, Schlaf, Aktivität im Alltag. Dafür müssen Wearable-Daten mit Gerätedaten, Assessments und Fragebögen in einem Verlauf zusammenkommen.

Datenschutzrechtlich ist hier die Zweckbindung wichtig. Daten, die für die Behandlung erhoben werden, dürfen nicht ohne weiteres für andere Zwecke genutzt werden. Wer Wearable-Daten später auch für Qualitätssicherung oder Forschung nutzen will, sollte das von Anfang an in Einwilligung und Verarbeitungsverzeichnis festhalten.

Datico^® versteht sich dabei als datengestützte Entscheidungsunterstützung: Die Daten liefern der Fachperson eine bessere Grundlage, die Entscheidung trifft sie selbst. Welche Ergebnisse die Patientin oder der Patient in der Datico^® Life App sieht, steuert ebenfalls die Fachperson. Sensible Befunde lassen sich zurückhalten, etwa bis zum nächsten Gespräch. Mehr zum klinischen Einsatz lesen Sie unter Datico^® Life Patient.

Von Messwerten zur Entscheidung

Ein sauberer Datenfluss ist die Voraussetzung, aber noch kein Nutzen. Den Wert haben Wearable-Daten erst, wenn sie eingeordnet und verdichtet werden:

• Einordnen: Mit Reference Sets wird jeder Messwert automatisch einer Bewertungszone zugeordnet, abgestimmt etwa auf Geschlecht und Altersklasse.
• Verdichten: Mit Index Management fassen Sie Wearable-Daten, Diagnostikwerte und Fragebogenergebnisse zu einem Score zusammen, etwa einem Erholungsindex. Er wird neu berechnet, sobald neue Daten vorliegen.
• Zeigen: Die freigegebenen Ergebnisse erscheinen für die Fachperson im Health & Performance Workplace und für die betreute Person in der Datico^® Life App.

Auch das hat eine Datenschutzseite: Je weiter Daten verdichtet sind, desto weniger Einzelwerte müssen an Personen ohne fachliche Betreuungsrolle gehen. Ein Index reicht oft für Steuerung und Berichte, die Rohdaten bleiben bei den Fachleuten.

Checkliste: Wearables DSGVO-konform einführen

Diese Punkte sollten vor dem Start geklärt und dokumentiert sein.

1. Zweck festlegen: Wofür werden welche Daten gebraucht? Nur das erfassen, was dafür nötig ist.
2. Rechtsgrundlage bestimmen: Art. 6 und Art. 9 Abs. 2 DSGVO, passend zum Einsatzfeld, abgestimmt mit dem Datenschutzbeauftragten.
3. Gerät und Weg wählen: Ist eine Hersteller-Cloud akzeptabel? Wenn nicht, ein Gerät mit Bluetooth-Anbindung ohne Cloud-Zwang wählen.
4. Drittland prüfen: Wo sitzen Hersteller, Cloud und Plattform? Für jede Übermittlung außerhalb der EU die Grundlage dokumentieren.
5. Verträge schließen: Auftragsverarbeitung nach Art. 28 DSGVO mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet.
6. Datenschutz-Folgenabschätzung durchführen: nach Art. 35 DSGVO, wenn ein hohes Risiko zu erwarten ist.
7. Einwilligung gestalten: verständlicher Text, getrennt nach Zwecken, nachweisbar und widerrufbar.
8. Rollen und Rechte festlegen: Wer sieht Einzelwerte, wer nur aggregierte Daten?
9. Löschkonzept erstellen: Fristen für Rohdaten, Auswertungen und Einwilligungsnachweise.
10. Mitbestimmung klären: Im Unternehmen den Betriebsrat einbinden.
11. Auswertung planen: Welche Kennzahlen, Referenzen und Berichte brauchen Sie, und wer sieht sie?

Wenn Sie diese Punkte für Ihr Projekt durchgehen möchten, sprechen Sie mit uns in einem persönlichen Erstgespräch. Wie die beiden Wege mit Polar-Wearables in der Praxis aussehen, zeigt das gemeinsame Webinar von Polar und Datico^®. Die Aufzeichnung und den nächsten Termin am 20. Januar 2027 finden Sie unter Webinare.