Wearables & Connected Health Devices: AI Act, Data Act & DSGVO-Pflichten

Wearables & Connected Health Devices mit KI werden nach dem Verwendungszweck eingestuft — die Zweckabgrenzung „Wellness vs. Diagnose" (MDR Art. 2) entscheidet. Wellness/Fitness (Schrittzahl, Schlaf-Tracking, allgemeine Fitness-Score, Stress-Score): meist MINIMALES Risiko (keine AI-Act-Pflicht), ggf. BEGRENZT (Art. 50 Abs. 2 Transparenz bei Interaktion). Diagnose-/Therapie-/Pflege-Zweck (EKG-AFib-Erkennung Apple Watch/Fitbit, kontinuierliche Glukose-Prognose, Sturzerkennung mit Notruf bei Senioren, Schlaf-Apnoe-Screening): wird Medizinprodukt nach MDR (Art. 2 medizinischer Zweck) PLUS hochriskant nach Anhang I AI Act (KI als Sicherheitskomponente eines regulierten Produkts — notifizierte Stelle, CE, klinische Bewertung). Pflegerobotik/Begleitrobotik: ggf. hochriskant (Anhang I + MDR bei medizinischem Zweck). Eine genaue Zweck-/Funktionsanalyse ist entscheidend — die Grenze „medizinischer Zweck" wird von der MDR definiert, nicht vom AI Act.

Praktisch: (1) bei medizinischem Zweck: volles Art. 8–15-Pflichtenbündel PLUS MDR (klinische Bewertung, Risikoklassifizierung I/IIa/IIb/III, benannte Stelle, CE, Vigilanz), menschliche ärztliche Letztverantwortung (Art. 14 — Ärztin/Arzt prüft, entscheidet); (2) DSGVO — Gesundheitsdaten Art. 9 (besondere Kategorie, Verarbeitung nur unter engen Ausnahmen: ausdrückliche Einwilligung, Gesundheitsfürsorge, öffentliches Interesse), DSFA bei hochriskanter Verarbeitung, Datenminimierung (viele Wearables sammeln übermäßig), Informierte Einwilligung, Koppelungsverbot (keine unlautere Koppelung mit Versicherungs-/Werbungs-Zwecken); (3) Pflege-/Berufsrecht (PflBG, SGB XI, § 203 StGB Schweigepflicht); (4) EU Data Act — Wearables/Connected Health sind verbundene Produkte, Nutzer hat Recht auf Datenzugang/-weitergabe an Dritte (alternative Gesundheits-/Fitness-Apps, unabhängige Dienste), FRAND (Art. 9–11); (5) CRA — Cybersecurity für Wearables/Connected Health (Security by Design, Schwachstellen-Meldung); (6) Versicherungsrecht — risikobasierte Prämien aus Wearable-Daten sind hochproblematisch (AGG, DSGVO Art. 9, Koppelungsverbot). Aufsichtlich: BfArM/PEI (DE Medizinprodukte), Marktüberwachung (AI Act), Datenschutz-Aufsichten (DSK — Gesundheitsdaten streng überwacht), Datenschutz-Folgenabschätzung (DSFA) unverzichtbar.

Die Grenze der Wearable-/Connected-Health-KI ist die Versicherungskoppelung und die Datensouveränität. Wearable-Daten (Schritte, Schlaf, Herzrate, Glukose) sind hochgradig personen-/gesundheitsbezogen — DSGVO Art. 9 (besondere Kategorie), Koppelungsverbot (keine unlautere Koppelung von Gesundheits-Daten mit Versicherungs-/Werbungs-/Arbeits-Zwecken). Risikobasierte Versicherungsprämien aus Wearable-Daten sind hochproblematisch — AGG (Diskriminierungsverbot Geschlecht/Alter/Gesundheit), DSGVO Art. 9 (Gesundheitsdaten), soziale Segmentation (gesund/ungeplagt vs. krank/pflegebedürftig). Arbeitgeber-Koppelung (Firmen-Wearables für Gesundheitsförderung) braucht freiwillige Teilnahme, strenge Daten-Trennung, keine Personal-Entscheidungen. Datensouveränität: Data Act-Rechte (Datenzugang/-weitergabe) sichern Nutzer-Autonomie, alternative Dienste, keine Plattform-Lock-ins. Datenschutz: lokale Verarbeitung, Verschlüsselung, Löschkonzept, Transparenz über Datenflüsse. Eine verantwortungsvolle Wearable-/Connected-Health-KI respektiert Gesundheitssensibilität, Versicherungskoppelungs-Verbot, Datensouveränität und Menschenwürde — Gesundheits-Daten dienen Nutzerin/Nutzer und Arzt, nicht Ausbeutung.