Datenschutz und Souveränität EU Data Act: Warum Europas Gesundheitsdaten noch immer nicht souverän sind

Mit dem EU Data Act will Europa den freien und fairen Datenaustausch fördern – auch im Gesundheitswesen. Doch zwischen Regulierung und Realität klafft eine Lücke: Solange Gesundheitsdaten über außereuropäische Infrastrukturen laufen, bleibt echte Datensouveränität ein Versprechen.

Mit dem Inkrafttreten des EU Data Act im September 2025 hat Europa einen weiteren Meilenstein in der Regulierung digitaler Daten erreicht. Das Ziel: den freien, sicheren und fairen Austausch von Daten innerhalb der EU zu fördern. Für den Gesundheitssektor, in dem Patientendaten, Forschungsdaten und medizinische Anwendungen täglich im Zentrum stehen, klingt das zunächst wie ein Durchbruch.

Bei genauerer Betrachtung wird jedoch deutlich, wie schwierig es ist, Regulierungsanspruch und technologische Realität miteinander in Einklang zu bringen. Denn der Data Act schafft Regeln – aber keine Souveränität. Solange Gesundheitsdaten über Infrastrukturen verarbeitet werden, die rechtlich oder technisch außerhalb Europas kontrolliert werden, bleibt die Abhängigkeit von Drittstaaten bestehen.

Wenn rechtliche Rahmen an technische Realität stoßen

In der Theorie verpflichtet der Data Act Cloud-Anbieter zu mehr Transparenz, Interoperabilität und Datenportabilität. In der Praxis fehlen jedoch zentrale Voraussetzungen. Viele Dienste, auf die Kliniken und Telemedizinanbieter heute setzen, laufen weiterhin über Rechenzentren internationaler Hyperscaler. Diese unterliegen Gesetzen wie dem US Cloud Act, der amerikanischen Behörden Zugriff auf Daten erlaubt – auch, wenn diese in der EU gespeichert sind. Selbst das EU-U.S. Data Privacy Framework, das den transatlantischen Datenaustausch neu regelt, bietet hier nur eine Zwischenlösung. Wie bereits beim „Privacy Shield“ kann das Abkommen jederzeit juristisch gekippt werden.

Das Ergebnis ist ein Widerspruch zwischen Anspruch und Wirklichkeit: Europäische Einrichtungen sollen Daten teilen, verarbeiten und innovativ nutzen – gleichzeitig bleibt unklar, wer im Konfliktfall tatsächlich die Kontrolle darüber hat.

Datenkontrolle ist mehr als nur Compliance

Im Gesundheitswesen ist Datensouveränität keine politische Floskel, sondern eine medizinische und ethische Verpflichtung. Patienteninformationen gehören zu den sensibelsten Daten überhaupt. Wer sie verarbeitet, trägt Verantwortung – nicht nur für deren Sicherheit, sondern auch für deren Kontext: Wer darf darauf zugreifen, wer darf sie verknüpfen, wer darf sie nutzen?

Der Data Act adressiert diese Fragen nur am Rande. Zwar schreibt er vor, dass Nutzer ihre Daten leichter zwischen Anbietern verschieben können, doch definiert er nicht, wie diese Anbieter technisch und rechtlich zur Rechenschaft gezogen werden.

In der Folge entstehen neue Risiken: Dazu gehören Anbieterwechsel ohne klare Exit-Strategien, hybride Infrastrukturen ohne Transparenz und Cloud-Partner mit globalem Footprint, deren rechtlicher Geltungsbereich über die EU-Grenzen hinausreicht.

Für Kliniken und Digital-Health-Anbieter bedeutet das: Compliance allein schafft keine Kontrolle. Ohne technische Souveränität – also die Fähigkeit, Datenflüsse selbst zu steuern und die Infrastruktur unabhängig zu betreiben – bleibt der Data Act ein theoretisches Versprechen.

Die Schwachstellen des Data Act im Gesundheitssektor

Gerade im Gesundheitswesen offenbaren sich die Grenzen des Data Act besonders deutlich.

• Datenlokation: Der Data Act verpflichtet Anbieter nicht, Daten zwingend in der EU zu speichern. Für sensible Gesundheitsdaten entsteht so weiterhin ein Risiko extraterritorialer Zugriffe.

• Dienstanbieter: Viele Health-Apps und Telemedizinplattformen greifen auf US-basierte KI-Modelle oder Cloud-Tools zu, deren Datenverarbeitung nicht transparent nachvollzogen werden kann.

• Standards: Die geforderte Interoperabilität ist bislang kein verbindlicher Standard. Ohne klare technische Normen bleibt offen, wie Datensouveränität praktisch umgesetzt werden soll.

Die Folge: Europa hat jetzt zwar eine gemeinsame rechtliche Grundlage, aber keine gemeinsame technische Basis.

Technische Souveränität muss mitgedacht werden

Rechtliche Regelwerke schaffen zwar Orientierung, aber keine Infrastruktur. Um echte Datensouveränität zu erreichen, sind drei Elemente notwendig:

• Rechtliche Souveränität: Datenhaltung ausschließlich unter europäischem Rechtsrahmen, ohne Zugriff Dritter.

• Technologische Souveränität: Offene, interoperable Cloud-Architekturen, die einen Anbieterwechsel ohne Datenverlust ermöglichen.

• Operative Souveränität: Betrieb und Support in europäischen Rechenzentren, durch Partner mit klarer EU-Verantwortlichkeit.

Nur wenn diese Ebenen zusammenwirken, kann der Data Act sein Potenzial entfalten. Andernfalls bleibt er ein Papiertiger – mit guten Absichten, aber ohne technische Umsetzung.

Praxisbeispiel: Europäische Cloud-Infrastruktur

Wie Datensouveränität praktisch umgesetzt werden kann, zeigt das Beispiel von Oiva Health, einem Telemedizin-Anbieter aus Skandinavien. Das Unternehmen entschied sich bewusst für eine europäische Cloud-Infrastruktur, um Gesundheitsdaten DSGVO-konform zu verarbeiten. Sämtliche Daten werden in finnischen Rechenzentren gespeichert, verschlüsselt übertragen und können lückenlos auditiert werden.

Diese Entscheidung wurde nicht nur aus regulatorischen, sondern auch aus strategischen Gründen getroffen; Oiva Health wollte sicherstellen, dass keine externen Behörden Zugriff auf Patientendaten erhalten, während gleichzeitig Performance und Skalierbarkeit gewährleistet bleiben. Mit einer Cloud-nativen Architektur und offenen Schnittstellen wurde ein Modell geschaffen, das Sicherheit, Compliance und Innovationsfähigkeit miteinander vereint. Das Beispiel zeigt: Souveränität ist machbar – wenn sie als Architekturprinzip gedacht wird, nicht als nachträgliche Maßnahme.

Was Gesundheitsanbieter jetzt tun sollten

Der EU Data Act bietet eine Chance, die digitale Gesundheitslandschaft sicherer und transparenter zu gestalten. Doch dafür müssen IT-Entscheider aktiv werden: Sie sollten bestehende Infrastrukturen prüfen und kritisch hinterfragen, wo Daten gespeichert werden, nach welchem Rechtsrahmen sie verarbeitet werden und ob Anbieter tatsächlich DSGVO-konform agieren. Zudem ist es ratsam, Cloud-Strategien langfristig auf Interoperabilität, Portabilität und Exit-Fähigkeit – also technische Souveränität – auszurichten. Denn Regulierung ist wichtig – aber nur Souveränität schafft Vertrauen.

Der EU Data Act ist ein Schritt in die richtige Richtung, aber kein Garant für Datensouveränität. Solange Gesundheitsdaten in Infrastrukturen liegen, die nicht vollständig europäischem Recht unterliegen, bleibt Europas digitale Unabhängigkeit gefährdet.

Was es jetzt braucht, ist der Brückenschlag zwischen Regulierung und Umsetzung: Cloud-Architekturen, die Sicherheit, Kontrolle und Innovation vereinen. Nur so kann Europa seine Werte – Datenschutz, Verantwortung, Vertrauen – auch technologisch absichern.

(ID:50623787)