Kontinuierliche Glukosemonitore und verbundene Therapiegeräte

• Regulation (EU) 2017/745 — MDR
• Regulation (EU) 2017/746 — IVDR for measuring devices
• Regulation (EU) 2016/679 — GDPR, Articles 9 and 27
• Regulation (EU) 2024/2847 — CRA
• Directive 2014/53/EU

Wer muss benennen

Hersteller außerhalb der Union, die verbundene Medizinprodukte auf dem EU-Markt platzieren. Drei Regime überschneiden sich: Gerätekonformität, Gesundheitsschutzdaten und ab 2027 Cybersicherheit für das verbundene Element.

Schwellen und Ausnahmen

Keine. Diese Geräte sind typischerweise der Klasse IIb oder III und erfordern die Beteiligung einer benannten Stelle sowie klinische Nachweise.

Was auf das Etikett gehört

CE-Kennzeichnung mit der Nummer der benannten Stelle, Hersteller- und EC REP-Details, UDI und Basic UDI-DI, Chargen- oder Seriennummer sowie die Gebrauchsanweisung. Die App und die Cloud tragen den Vertreter gemäß Artikel 27 in der Datenschutzerklärung.

Marktplatz-Felder

Erstattungsstellen verlangen die Geräteanmeldung und klinische Nachweise, und die Krankenhausbeschaffung fügt Sicherheitsanforderungen hinzu, die die regulatorischen Mindestanforderungen übersteigen.

Unterlagen, die Sie vorhalten müssen

Technische Dokumentation gemäß MDR oder IVDR, klinische oder Leistungsbewertung, Risikomanagement, Marktüberwachung und PSUR, EUDAMED-Registrierung, das Mandat gemäß Artikel 11 und auf der Datenseite das Protokoll gemäß Artikel 30, die Bedingung gemäß Artikel 9 für Gesundheitsdaten, eine Datenschutz-Folgenabschätzung und den Übertragungsmechanismus.

Normen und Prüfungen

IEC 60601-Serie für elektrische Medizinprodukte, IEC 62304 für den Softwarelebenszyklus, IEC 62366 für Benutzerfreundlichkeit, analytische und klinische Leistung für Messgeräte sowie Cybersicherheitstests gemäß der Geräteleitlinie und ab 2027 der CRA.

Sprachanforderungen

Gebrauchsanweisungen und App-Inhalte in der von jedem Mitgliedstaat geforderten Sprache, was für patientenorientierte Geräte obligatorisch ist.

Ab wann es gilt

Zertifizierung und Registrierung vor der Markteinführung. CRA-Schwachstellenberichterstattung ab September 2026 gilt für die verbundenen Elemente, die nicht von der sektoralen Ausnahmeregelung ausgeschlossen sind.

Aufbewahrungsfristen

Zehn Jahre gemäß MDR, fünfzehn für implantierbare Geräte. Gesundheitsdaten nur so lange wie notwendig, wobei die klinische Aufbewahrung gesondert gerechtfertigt werden muss.

Was bei Verstößen passiert

Rücknahme, Zertifikatsaussetzung und DSGVO-Strafen von bis zu 4% für die Gesundheitsdaten. Eine Schwachstelle in einem Therapiegerät ist sowohl ein Ereignis der Patientensicherheit als auch ein Sicherheitsereignis.

Wer kontrolliert

Zuständige Behörden für Medizinprodukte, benannte Stellen, Datenschutzbehörden und CSIRTs.

Wo die Grenze verläuft

Geräte, die bereits von den Cybersicherheitsanforderungen der MDR abgedeckt sind, sind weitgehend von der CRA ausgenommen, um Doppelarbeit zu vermeiden, aber die App und die Cloud um sie herum könnten es nicht sein. Gesundheitsdaten sind besondere Kategorien von Daten, selbst wenn das Gerät verschrieben wird, und eine ausdrückliche Zustimmung ist in einem klinischen Kontext normalerweise nicht die richtige Grundlage.

Häufige Fragen

Brauchen wir sowohl einen MDR-Vertreter als auch einen DSGVO-Vertreter?

Für ein verbundenes Gerät mit einem Cloud-Service, effektiv ja: Es sind unterschiedliche Rollen unter unterschiedlichen Vorschriften mit unterschiedlichen Haftungen.

Ist die App auch ein Medizinprodukt?

Wenn sie die Behandlung steuert oder beeinflusst, ja, und sie wird als Teil des Geräts oder als eigenes Gerät bewertet.