AEPD und HDPA: Leitfaden regelt sichere Nutzung sensibler Gesundheitsdaten
Veröffentlicht am: 05.11.2026 um 23:54 Uhr | Redaktion boerse-global.de
Die spanische Datenschutzbehörde AEPD und die griechische Aufsichtsbehörde HDPA haben einen gemeinsamen Leitfaden für sichere Verarbeitungsumgebungen herausgegeben. Die Veröffentlichung mit dem spanischen Titel „Entornos de tratamiento seguro desde la perspectiva de la protección de datos“ widmet sich den datenschutzrechtlichen Anforderungen an sogenannte ETS-Infrastrukturen.
Wie aus Berichten vom 5. November 2026 hervorgeht, ist das Dokument bereits in Kraft getreten und zunächst auf Spanisch und Englisch verfügbar; eine griechische Fassung soll folgen.
An der Erarbeitung des Dokuments beteiligten sich neben den beiden federführenden Behörden auch das europäische Statistikamt Eurostat, die spanische Behörde Dirección General del Dato sowie die Datenschutzaufsichtsbehörden Italiens und des Vereinigten Königreichs.
Anforderungen an Kontrolle und technische Unabhängigkeit
Sichere Verarbeitungsumgebungen ermöglichen die Analyse hochsensibler Daten, insbesondere aus dem Gesundheitssektor, ohne dass Nutzer die Rohdaten direkt herunterladen oder übermittelt bekommen. Im Rahmen des Europäischen Gesundheitsdatenraums ist der Einsatz solcher geschützten Umgebungen für die Sekundärnutzung von Gesundheitsdaten vorgeschrieben.
Der Umgang mit hochsensiblen Daten erfordert von Datenschutzbeauftragten höchste Sorgfalt bei der Dokumentation aller Prozesse. Diese kostenlose Excel-Vorlage unterstützt Sie dabei, Ihr Verarbeitungsverzeichnis gemäß Art. 30 DSGVO effizient und rechtssicher zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen
Eine zentrale Kernaussage der Aufsichtsbehörden betrifft die tatsächliche Beherrschung der Systeme: ETS-Anbieter müssen auch beim Einsatz von Drittinfrastrukturen die effektive Kontrolle über die Datenverarbeitung behalten. Reine vertragliche Zusicherungen oder Zertifizierungen reichen nach Ansicht der Verfasser nicht aus.
Zudem gelte es, eine einseitige Abhängigkeit von einzelnen Technologieanbietern zu vermeiden. In begleitenden Vorschlägen plädieren die Behörden für strengere Vorgaben für den Datenzugriff, um Risiken durch Cloud-Anbieter einzudämmen. Ein Wechsel in digitale Umgebungen dürfe weder zu einem Kontrollverlust noch zu intransparenter Verarbeitung führen.
Risikoanalyse und methodische Vorgaben
Die Leitlinie formuliert ein strukturiertes Vorgehen für die technische Umsetzung. Bestandteil des Leitfadens ist eine Risikoanalyse-Methodik, die zehn spezifische Bedrohungskategorien nach dem Modell LIINE4DU mit dem etablierten Five-Safes-Ansatz verknüpft.
Ergänzend beschreibt das Dokument Methoden des Datenschutzingenieurwesens und illustriert die praktische Anwendung anhand eines Beispielfalls aus der Gesundheitsforschung, der in sechs Phasen untergliedert ist. Für den Betrieb solcher Umgebungen halten die Aufsichtsbehörden eine Datenschutz-Folgenabschätzung in der Regel für verpflichtend.
Da Aufsichtsbehörden für komplexe Verarbeitungsumgebungen eine Datenschutz-Folgenabschätzung fordern, sollten Verantwortliche auf praxiserprobte Methoden setzen. Dieser kostenlose Leitfaden bietet eine fertige Muster-DSFA und Checklisten, um Bußgeldrückstände effektiv zu vermeiden. Rechtssichere Muster-DSFA jetzt kostenlos herunterladen
Orientierung für den europäischen Gesundheitsdatenraum
Die Vorgaben richten sich an Verantwortliche, Auftragsverarbeiter und Datenvermittler im Gesundheitssektor. Sie sollen Unternehmen und behördliche Datenschutzbeauftragte dabei unterstützen, die regulatorischen Anforderungen der Verordnung über den europäischen Gesundheitsdatenraum sowie des europäischen Daten-Governance-Rechtsakts im Sinne des Konzepts von Datenschutz durch Technikgestaltung umzusetzen.
Übergeordnetes Ziel bleibt es, Forschungs- und Innovationsprojekte mit sensiblen Datenbeständen zu ermöglichen, ohne Vertraulichkeit und Eigentumsrechte an den Daten zu gefährden. In weiteren Schritten soll darauf hingewirkt werden, die vorgeschlagenen Standards auf europäischer Ebene einheitlich zu verankern.
