Zusammenfassung

  • Die FTC hob am 9. September 2026 ihre unverbindliche Grundsatzerklärung von 2021 zu Datenschutzverletzungen bei Gesundheits-Apps auf. Sie nennt einen geringen Nutzen, die Ablösung durch die Regelsetzung von 2024 und ihre Ablehnung unnötiger untergesetzlicher Leitlinien.
  • Die Aufhebung beseitigt, suspendiert oder ändert 16 CFR part 318 nicht. Für definierte Akteure außerhalb des HIPAA-Regimes bleiben Reichweite, Auslöser, Empfänger und Fristen der geänderten Health Breach Notification Rule maßgeblich.

Eine Quelle wurde entfernt, nicht die ganze Rechtskette

Die Mitteilung der FTC bezeichnet die Erklärung von 2021 als überholt. In einer Überschrift kann „überholt“ so wirken, als gelte es dem gesamten Melderegime. Tatsächlich beschreibt es die heutige Bewertung eines bestimmten Dokuments. Pressemitteilung, Grundsatzerklärung, kodifizierte Regel und gerichtliche Anordnung mögen dasselbe Behördenkürzel tragen; ihre Wirkung ist dennoch verschieden.

Die einseitige Erklärung der Kommission zieht die Grenze. Das Papier von 2021 habe nur geringen Nutzen gebracht, sei durch das Regelsetzungsverfahren von 2024 abgelöst worden und stelle inzwischen eine unnötige untergesetzliche Orientierung dar. Leitlinien begründeten grundsätzlich weder materielle Rechte noch verbindliche Pflichten. Nach Auffassung der Kommission trägt jeder Grund die Rücknahme selbstständig; zusammen überwögen sie etwaige Vertrauensinteressen.

Das ist die institutionelle Begründung der FTC. Es ist kein unabhängiger Befund, wonach niemand das frühere Papier genutzt hätte. Vor allem erklärt die Kommission nicht, dass die Meldepflicht entfallen sei. Der Verweis auf die spätere Regelsetzung zeigt vielmehr, wohin sich die maßgebliche Autorität verlagert hat.

Die Kette beginnt mit Section 13407 des HITECH Act. Auf dieser Grundlage erließ die FTC 2009 die ursprüngliche Regel. In ihrer Grundsatzerklärung von 2021 erläuterte sie, warum die technische Fähigkeit einer App, Gesundheitsinformationen aus mehreren Quellen zusammenzuführen, und unbefugte Offenlegungen auch ohne Hackerangriff relevant sein können. Nach Entwurf und öffentlicher Stellungnahme folgte die Final Rule von 2024. Sie änderte den Regeltext selbst und trat am 29. Juli 2024 in Kraft.

Die Rücknahme von 2026 betrifft die Auslegungsschicht von 2021. Sie behauptet nicht, den gesetzlichen Auftrag oder die 2024 eingeführten Bestimmungen aufzuheben. 16 CFR part 318 steht weiterhin im aktuellen eCFR. Auch die Regelseite der FTC führt die Vorschrift und ihre Primärmaterialien fort.

„Gesundheits-App“ ersetzt keine Subsumtion

Eine Produktkategorie ist keine rechtliche Definition. Die FTC-Regel erfasst vendors of personal health records, PHR related entities und bestimmte third-party service providers nach ihren jeweiligen Merkmalen. HIPAA covered entities und business associates sind für ihre erfassten Tätigkeiten von diesen Definitionen ausgenommen und folgen dem Melderegime des Department of Health and Human Services.

Damit sind beide pauschalen Sätze falsch: HIPAA spiele bei Gesundheitsdaten keine Rolle; oder jedes Produkt außerhalb von HIPAA falle zwangsläufig unter die FTC-Regel. Geprüft werden müssen Akteur, Datensatz, technische Funktion und konkrete Information.

Ein personal health record ist nach der FTC-Regel ein elektronischer Datensatz mit identifizierbaren Gesundheitsinformationen über eine Person, der von ihr oder hauptsächlich für sie verwaltet, geteilt und kontrolliert wird und technisch Informationen aus mehreren Quellen beziehen kann. Die Änderung von 2024 stellt klar, dass diese technische Fähigkeit genügt, auch wenn ein Nutzer nicht jede mögliche Verbindung aktiviert. Die aktuelle Compliance-Hilfe liefert Beispiele, bleibt aber eine Erläuterung; die Regel ist der verbindliche Ausgangspunkt.

Auch der Begriff breach geht über den klassischen Einbruch in eine Datenbank hinaus. Die geänderte Definition umfasst den unbefugten Erwerb ungesicherter, identifizierbarer PHR-Gesundheitsinformationen infolge eines Datensicherheitsvorfalls oder einer unbefugten Offenlegung. Eine widerlegbare Vermutung des unbefugten Erwerbs bleibt bestehen. Das kann Offenlegungen ohne externen Angreifer erfassen, macht jedoch nicht jede Weitergabe gesundheitsbezogener Daten zum Verstoß. Autorisierung, Akteur, Information und Ereignis bleiben zu prüfen.

Die Erklärung von 2021 hatte genau diese Fragen hervorgehoben. Die Final Rule von 2024 behandelt die Erklärung, den Regelentwurf und die öffentlichen Stellungnahmen in ihrer Begründung. Ihre heutige Autorität hängt daher nicht davon ab, dass das frühere PDF als eigenständige Anweisung weiterbesteht.

Die aktuelle Frist läuft weiter

Bei einem erfassten Vorfall müssen die betroffenen Anbieter und Einrichtungen die betroffenen Personen und die FTC benachrichtigen. Betrifft der Vorfall mindestens 500 Einwohner eines Bundesstaats oder einer Jurisdiktion, ist zusätzlich eine Benachrichtigung an bedeutende Medien in diesem Gebiet vorgesehen. Inhalt und Zustellung der Mitteilungen sind ebenfalls geregelt.

Die Änderung von 2024 korrigierte einen für alte Checklisten besonders gefährlichen Zeitwert. Bei Vorfällen mit 500 oder mehr Personen muss die FTC ohne unangemessene Verzögerung und spätestens 60 Kalendertage nach Entdeckung informiert werden. Damit wurde die Frist an die Benachrichtigung der Einzelnen angeglichen. Die frühere Vorgabe von zehn Geschäftstagen ist für diese Vorfälle nicht mehr der aktuelle Stand. Durch die Rücknahme der Erklärung kehrt sie nicht zurück.

Ein Unternehmen kann den Link von 2021 aus seinem Handbuch löschen und dennoch mit einer veralteten Fristentabelle arbeiten. Es kann den aktuellen Meldeweg kennen, aber die verwendete Regelversion nicht dokumentieren. Dokumentenbereinigung und operative Prüfung sind deshalb zwei verschiedene Aufgaben.

Am 11. September waren eCFR-Text, Regelseite, aktuelle Hinweise und die öffentliche Meldemöglichkeit zugänglich. Daraus folgt keine Zusage über künftige Durchsetzungsprioritäten. Es zeigt jedoch, dass die Rücknahme nicht die gesamte operative Oberfläche entfernt hat.

Gerichtliche Anordnungen haben eine eigene Autorität

Die FTC dokumentiert in den Vorgängen GoodRx und Easy Healthcare Klagen aus dem Jahr 2023. Darin warf sie den Unternehmen unter anderem vor, nach unbefugten Offenlegungen keine vorgeschriebenen Health-Breach-Mitteilungen abgegeben zu haben. Bundesgerichte erließen Vergleichsanordnungen.

Diese Verfahren zeigen Anwendungen auf bestimmte Sachverhalte. Sie sind keine allgemeine Entscheidung für jede App, und eine Vergleichsanordnung ist kein Eingeständnis sämtlicher Vorwürfe. Ebenso wenig lässt sich aber aus der Rücknahme ableiten, die gerichtlichen Anordnungen seien aufgehoben. Das Dokument von 2026 erwähnt keine solche Änderung.

Eine Kommission kontrolliert ihre Orientierung, das Regelsetzungsverfahren kontrolliert Änderungen der allgemeinen Vorschrift, und ein Gericht kontrolliert seine Anordnung. Wer aus der ersten Handlung alle drei ableitet, verschiebt Zuständigkeit ohne Beleg.

Ein Versionsbeleg für regulatorische Autorität

Behördenwebsites stellen Regeln, Meldungen, Leitfäden, Formulare und Verfahren oft nebeneinander. Suchmaschinen ebnen die Unterschiede weiter ein. Das jüngste Datum wirkt dadurch wie die höchste Autorität; nach einer Rücknahme erscheint das verbleibende Loch größer als die tatsächliche Rechtsänderung.

Ich schlage für wesentliche Änderungen einen Versionsbeleg der Autorität vor. Er sollte Instrumentenart, herausgebende Stelle, Vorgang oder Aktenzeichen, Annahme-, Veröffentlichungs- und Wirksamkeitsdatum, abgelöstes Dokument, weiter geltende Regelstelle, betroffene Definition oder Pflicht, aktuellen Meldeweg, Status fallbezogener Anordnungen und Korrekturhistorie ausweisen.

Für diesen Vorgang würde er festhalten: Grundsatzerklärung zurückgenommen; Kommissionsbeschluss vom 9. September 2026; Auslegungstext von 2021 abgelöst; 16 CFR part 318 weiterhin in Kraft; Änderung von 2024 seit 29. Juli 2024 wirksam; Meldeweg vorhanden; Anordnungen von 2023 nicht Gegenstand der Rücknahme. Offen bliebe, wie sich der Auslegungston oder künftige Vollzug entwickeln.

Der Beleg ist mein redaktioneller Vorschlag, keine Vorgabe der FTC. Er überträgt Heng Lus Trennung von Sprecher, Autorität und Beweis in The Policy Mirror auf die Versionskontrolle. Der Running-Code-Test fragt nach der tatsächlich beobachtbaren Zustandsänderung. Why BTW Media Exists setzt die redaktionelle Grenze: Die Position einer Institution ist zu berichten, darf aber den Zustand der Regel, des Formulars oder der Gerichtsakte nicht ersetzen.

Die Rücknahme ist dennoch eine Governance-Entscheidung. Die FTC reduziert ihre öffentlichen Auslegungsebenen und verweist stärker auf eine nach Anhörung beschlossene Regel. Das kann die Quelle der Autorität klären und zugleich vertraute Erläuterungen entfernen. Beide Wirkungen lassen sich beschreiben, ohne eine nicht beschlossene Aufhebung zu erfinden.

Quellen

  1. FTC — Mitteilung zur Rücknahme
  2. FTC — Erklärung der Kommission von 2026
  3. FTC — Grundsatzerklärung von 2021
  4. Federal Register — Final Rule von 2024
  5. eCFR — 16 CFR part 318
  6. FTC — Seite zur Health Breach Notification Rule
  7. FTC — aktuelle Compliance-Hilfe
  8. FTC — Vorgang GoodRx
  9. FTC — Vorgang Easy Healthcare
  10. Heng Lu — The Policy Mirror
  11. Heng Lu — Running Code Primary
  12. Heng Lu — Why BTW Media Exists