Datenschutz fürs Gehirn?

Dario Haux

Inhaltsverzeichnis

I. Einleitung

II. Gehirn-Computer-Schnittstellen

1. Funktionsweise

2. Anwendungsbereiche

III. Rechtliche Aspekte

1. Medizinprodukterecht

2. Produktesicherheits- und Produktehaftungrecht

3. Datenschutzrecht

4. Informationssicherheitsrecht

5. Zwischenfazit

IV. Fazit und Ausblick

Der technologische Fortschritt geht unaufhaltsam weiter. Was wie eine Plattitüde klingt, lässt sich mit einem Verweis auf beispielhafte Medienberichte aus den vergangenen Wochen oder Monaten eindrucksvoll belegen. Berichtet wird dort etwa von schwer beeinträchtigten Personen, die plötzlich wieder einige Schritt gehen oder mit der Aussenwelt kommunizieren können. Was beinahe unglaublich klingt, wird durch fortgeschrittene Assistenzsysteme ermöglicht, die betroffene Personen dabei unterstützen, ihre Prothesen zu steuern – und zwar mithilfe ihrer Gedanken. Dass dies möglich ist, ist der Forschungsarbeit zahlreicher internationaler Wissenschaftlerinnen zu verdanken – die dafür auf der ganzen Welt gefeiert und gelobt werden. Entsprechend hoch sind die Erwartungen, welche in diese sowie vergleichbare (Bio-)Technologien gesetzt werden.

Wie so oft bringen diese Anwendungen jedoch auch zahlreiche Herausforderungen mit sich, welche unter anderem das Recht auf den Plan rufen. So werden durch die Aufzeichnung und Klassifizierung von Gehirnaktivitäten beispielsweise verschiedene Arten von Daten gewonnen, wobei der Schutz dieser «neurologischen Daten» vor allem Daten- und Datenschutzrechtlerinnen interessieren dürfte. Die Gewinnung der Daten erfolgt dabei durch die Anwen|dung sog. Brain-Computer-Interfaces (Gehirn-Computer-Schnittstellen; im Folgenden einheitlich: BCIs), die für den breiten Bereich des Technikrechts zahlreiche Fragestellungen mit sich bringen – vor allem in Bezug auf deren technische Funktionsweise. Und zu guter Letzt werden sich auch Medizinprodukterechtlerinnen die Frage stellen, unter welchen Voraussetzungen diese Produkte auf den Markt gelangen können. Nach langjähriger Forschungsarbeit, welche noch lange fortdauern wird, drängt die Zeit: so wurde erst kürzlich bekannt gegeben, dass für breite Gesellschaftsschichten konzipierte Systeme, schon bald in die ersten praktischen Testphasen überführt werden können.

Obschon unklar ist, wann diese Technologien tatsächlich allgegenwärtig sein werden, ist angesichts der diesbezüglichen Rechtsfragen bereits heute ein disziplinenübergreifender Austausch zu etablieren. Das Ziel sollte es sein, antizipative Governance-Konzepte zu erarbeiten. Umso beständiger sich das bestehende Normengerüst erweist, desto mehr ist dies zu begrüssen. Gehen diese Schnittstellen jedoch mit weitgehenden Gefahren einher, so ist zeitnah an den rechtlichen Grundlagen zu arbeiten. Vor diesem Hintergrund wird im Folgenden zunächst in die Funktionsweise dieser Schnittstellen eingeführt. Daran anschliessend wird dargelegt, in welchen Bereichen sie bereits jetzt und in welchen sie potentiell Anwendung finden können. Aufbauend auf diesen Grundlagen erfolgt sodann eine Erörterung möglicher rechtlicher Anwendungsfelder, die dem Feld des «Neuro-Rechts» zugeordnet werden können. Der Ausgangspunkt des vorliegenden Beitrags ist die These, dass sich der rechtliche Rahmen auch in Bezug auf diese Schnittstellen als beständig sowie gleichzeitig als flexibel anpassbar erweist.

Zum Einstieg gilt es somit zunächst zu klären, worum es sich bei den genannten Schnittstellen handelt. Wie funktionieren sie? Und welchem Zweck dienen sie? Mit Bezug auf den letztgenannten Aspekt ist zunächst zu betonen, dass die diesbezügliche Forschung alles andere als neu ist. So arbeiten Wissenschaftlerinnen seit mindestens zwei Jahrzehnten an BCIs und vergleichbaren Systemen, wobei die Grundlagenforschung zur Elektroenzephalographie (EEG) sogar noch sehr viel weiter zurück reicht. Was hingegen die Funktionsweise betrifft, ist zunächst auf die zugrundeliegende Technologie einzugehen.

BCIs zielen darauf ab, eine möglichst direkte Verbindung zwischen dem menschlichen Gehirn – genauer: dem zentralen Nervensystem (ZNS) – sowie der notwendigen Hard- und Software herzustellen. Zu diesem Zweck werden Elektroden im Gehirn angebracht, welche die neuronalen Aktivitäten in den verschiedenen Bereichen aufzeichnen. Stellt sich die betroffene Person etwas gedanklich vor, werden bestimmte Bereitschaftspotenziale ausgelöst. Sobald diese von den Elektroden erkannt und aufgezeichnet wurden, werden sie an eine extern angebrachte Schnittstelle weitergeleitet. In diesem zweiten Schritt wird versucht unter der Zuhilfenahme von algorithmischen Systemen eine Klassifizierung der Daten vorzunehmen. Dabei kommen fortgeschrittene Formen des maschinellen Lernens zum Einsatz. Gelingt diese Klassifikation, erteilt die Schnittstelle anschliessend Feedback. Dies bedeutet, dass beispielsweise bestimmte Handlungen ausgeführt werden. Die drei |Schritte umfassen somit im Wesentlichen den Impuls des Gehirns, deren Erfassung durch die Schnittstelle sowie die Umsetzung in eine Handlung.

Weitergehend ist sodann zwischen passiven, aktiven und stimulierenden Schnittstellen zu unterscheiden. Während passive Schnittstellen Gehirnaktivitäten messen und versuchen diese einer kognitiven Handlung oder einem mentalen Zustand zuzuordnen, ermöglichen aktive Schnittstellen die wahrgenommenen Hirnaktivitäten in Handlungen umzusetzen. Stellt sich eine betroffene Person also beispielsweise vor, ihren Arm zu bewegen, nimmt die Schnittstelle dies wahr und kann diesen Impuls im Idealfall in die Bewegung einer Prothese umsetzen. Der Person wird es somit ermöglicht ein Wasserglas zu greifen. Gleichzeitig ist hierbei darauf hinzuweisen, dass sich diese Schnittstellen derzeit offenbar noch als fehleranfällig und wenig benutzerfreundlich erweisen. Die Technologie befindet sich somit noch «in the making», was sich jedoch ändern kann und wird.

Während diese aktiven Schnittstellen «nach aussen» gerichtet sind, den Impuls des Gehirns also in eine Tätigkeit «übersetzen», ermöglichen sog. stimulierende Schnittstellen Einfluss auf die inneren Aktivitäten des Gehirns zu nehmen. Dementsprechend werden diese Anwendungen dazu eingesetzt, um beispielsweise epileptischen Anfällen vorzubeugen.

Neben diesen Abgrenzungen kann zwischen invasiven und nicht-invasiven Schnittstellen unterschieden werden. Beispielsweise können EEGs verwendet werden, um Gehirnsignale zu messen. Eine aufwendige und im Einzelfall gar gefährliche Operation ist somit nicht unbedingt erforderlich. Dies erklärt sodann auch die zunehmende Bedeutung dieser Schnittstellen im Privatbereich: Anwenderinnen können die Schnittstellen problemlos austesten, ohne im Einzelfall auf ärztliche Konsultation angewiesen zu sein. Unabhängig von der Frage, ob das Aufsuchen einer Ärztin oder anderen Expertin zur Konsultation nicht auch in diesen Fällen angezeigt wäre, ist davon auszugehen, dass invasive – sog. Neuroimplantate – den Standard abbilden werden. Dies liegt daran, dass diese Implantate eine grössere Genauigkeit ermöglichen.

Das Implantieren der Schnittstellen ist stets mit Risiken verbunden, welche etwa aus dem Auftreten von Infektionen resultieren. Diese Gefahren gelten ganz besonders für Patientinnen mit Vorerkrankungen. Im Einzelfall müssen somit stets die potenziellen Vorteile mit den weitreichenden Gefahren abgewogen und diese ernstgenommen werden.

Diese Potenziale und Risiken betreffen sodann weitere Aspekte. Nicht selten wird beispielsweise die Befürchtung geäussert, die Schnittstellen könnten dazu eingesetzt werden, um die Gedanken der Anwenderinnen zu lesen. Anderen Personen oder Unternehmen – so die Befürchtung – wäre es somit möglich einen umfassenden Einblick in das intimste Innenleben zu erhalten. Obschon diese Befürchtungen langfristig nicht abschliessend beurteilt werden können, gilt es – zumindest nach heutigem Kenntnisstand – zweierlei zu beachten: Erstens setzen BCIs in der Regel voraus, dass die betroffene Person einen bestimmten Willen ausübt und somit den entsprechenden neuronalen Impuls setzt. Ohne Willensäusserung wird kein Impuls gesetzt. Und zweitens ermöglichen die Schnittstellen vor allem, bestimmte Muster zu erkennen. Zwar unterscheiden sich diese Muster offenbar von Mensch zu Mensch, jedoch bedeutet dies nicht, dass Gedanken als solche gelesen oder ausgelesen werden können. Diesen Annahmen zum Trotz ist nicht auszuschliessen, dass die von den Schnittstellen erkannten und verarbeiteten Muster womöglich eine Individualisierbarkeit von Einzelpersonen ermöglichen könnten. Vergleichbar mit dem Fingerabdruck oder anderen individuellen Merkmalen, könnten bestimmte Aktivitäten des Gehirns einer Person zugeordnet werden.

Weitergehend ist anzunehmen, dass sich durch den zukünftigen Einsatz der Schnittstellen die Interaktion zwischen dem Innersten des Menschen und dessen Umgebung|ganz grundlegend verändern könnte. Dieses Auflösen der «Haut-Grenzen» wird zu weitreichenden Konsequenzen führen. Zu klären ist dann beispielsweise wo der menschliche Körper beginnt, wo oder ob er aufhört und wie die Kommunikation zwischen verschiedenen Körpern und Körperteilen stattfindet. Angesichts dessen sollten die vorliegend nicht in Frage gestellten, zahlreichen Vorteile der BCIs nicht dazu führen, dass Ängste, Befürchtungen und tatsächliche Gefahren unterschätzt oder gar voreilig als «Hirngespinste» abgetan werden. Sie sollten jedoch ebenso wenig dystopisch und schwarzmalerisch ausgeweitet werden.

In Anbetracht der Funktionsweise dieser Schnittstellen sowie den mit ihnen einhergehenden Möglichkeiten und Herausforderungen stellt sich die Frage, in welchen Bereichen sie eingesetzt werden können.

Zunächst ist davon auszugehen, dass BCIs vor allem für Personen mit Querschnittslähmungen relevant werden. Diesen Personen wird es durch den Einsatz ermöglicht Handlungen vorzunehmen, die ihnen zuvor verwehrt waren. Dazu gehören sowohl für viele als selbstverständlich und alltäglich geltende Handlungen wie das Laufen oder das Greifen von Gegenständen als auch langfristig Freizeitaktivitäten wie das Fussballspielen. Obschon die Fortschritte in diesem Bereich von aussen betrachtet langsam erscheinen mögen, sind sie doch umso beeindruckender. So ermöglichen BCIs etwa die Kommunikation mit Menschen, die unter dem sog. «Locked-in-Syndrom» leiden. Dabei handelt es sich um einen Zustand zwischen Wachheit und Tetraplegie, der die Kontaktaufnahme mit Aussenstehenden quasi verunmöglicht.

Trotz dieser Fortschritte ist es von aussen nicht immer einfach nachzuvollziehen, an welcher Stelle Hoffnung, Realität und Fiktion verlaufen. So wurde vor allem Niels Birbaumer, einem österreichischen Psychologen und führenden Forscher in diesem Bereich, von Kolleginnen wissenschaftliches Fehlverhalten vorgeworfen. Den Vorwürfen zufolge soll er Daten unterdrückt haben, um bestimmte Forschungsergebnisse zu erreichen. Zwar konnte er in der Zwischenzeit mit einem neuen Ansatz Fortschritte nachweisen, jedoch bleibt ein fader Beigeschmack bestehen.

Neben dem Einsatz zu Therapiezwecken werden die Schnittstellen zunehmend für den allgemeinen Verbrauchermarkt optimiert. Sie werden somit langfristig breiten Gesellschaftsschichten zugänglich gemacht, was dann voraussichtlich umso bedeutendere Rechtsfragen aufwerfen wird. Medial diskutiert wurde unter anderem die Investition von Elon Musk in Neuralink, einem Start-Up das BCIs gesellschaftsfähig machen möchte. Diese Entwicklung&cbr; knüpft dem Grunde nach an den seit vielen Jahren bestehenden Trend zur Selbstvermessung bzw. -optimierung an. Was mit einfachen Uhren oder Trackern begann und bis heute im Privat- oder Arbeitsleben fortbesteht, wurde durch die Entwicklung von Apps zur Fruchtbarkeitsbestimmung weitergeführt und kulminiert nun in der scheinbar intensivsten Form; zumindest auf der Grundlage des derzeitigen Kenntnisstands. Vor diesem Hintergrund überrascht es nicht, dass von vielen ein Milliardenmarkt erwartet wird, an dem sich weitere Akteure beteiligen werden.

Im Hinblick auf die Frage der Anwendungsbereiche ist davon auszugehen, dass BCIs schwerpunktmässig im medizinischen Bereich Anwendung finden werden. Dabei können sie zielführend als Assistenzsysteme eingesetzt werden oder evtl. gar für die Patientinnen einstehen. Darüber hinaus lässt sich über mögliche Anwendungsbereiche vor allem spekulieren. Der Einsatz im Sinne der sog. Enhancement-|Bewegung in den Bereichen Fitness, (Neuro-)Gaming oder gar einfach zur Steigerung des allgemeinen Wohlbefindens scheint naheliegend. Ob ein solcher «Datensolutionismus» tatsächlich zutrifft, d. h. ob die gesammelten Informationen zum Erreichen dieser Ziele beitragen werden und inwiefern dies tatsächlich erstrebenswert ist, das steht auf einem anderen Blatt.

Angesichts dieser Feststellungen stellt sich die Frage, wie das Recht diese Entwicklungen abbilden und regulieren kann. Der vorliegende Beitrag kann zwar weder gesamthaft die verfassungsrechtlichen, spezifisch menschenrechtlichen oder strafrechtlichen Dimensionen erfassen noch weitergehende Haftungsfragen analysieren. Jedoch werden in der gebotenen Kürze einige einfachrechtliche Perspektiven erörtert, die sich aus dieser Durchdringung der bisher geltenden bzw. vermuteten «Grenzen» des menschlichen Körpers ergeben. Einleitend ist davon auszugehen, dass in der therapeutischen Anwendung, die bestehenden medizinrechtlichen Grundsätze der Heilbehandlung, d. h. die Anwendung de lege artis im Rahmen der informierten Einwilligung der Patientin, beim Einsatz von BCIs gelten.

In Betracht kommt zunächst das Recht der Medizinprodukte, dem in der Schweiz vor allem in den vergangenen Jahren eine zunehmende Bedeutung zugekommen ist. Da mit diesen Produkten weitreichende Gesundheitsgefährdungen einhergehen können, ist der Staat allein schon aufgrund von Art. 10 BV verpflichtet, notwendige Vorkehrungen zu treffen und Gesundheitsgefährdungen zu verhindern. Gleichzeitig erweist sich dieser Rechtsbereich als hochkomplex, zumal nicht nur zahlreiche nationale Regulierungsinstrumente zu berücksichtigen sind, sondern auf europäischer und internationaler Ebene eine Vielzahl von Verordnungen und Richtlinien eine entscheidende Rolle spielen. So finden sich beispielsweise in der Medizinprodukteverordnung (MepV) mehrere Verweise etwa auf die Verordnung (EU) 2017/745 über Medizinprodukte (MPVO). Die Ausrichtung des Schweizer Medizinprodukterechts an den europäischen Vorgaben wird ferner durch das Abkommen über die gegenseitige Anerkennung von Konformitätsbewertungen (MRA) deutlich.

Im medizinischen Anwendungsbereich von BCIs ist insbesondere Art. 3 Abs. 1 und 2 MepV von besonderem Belang. Dies gilt deshalb, da in diesem Artikel der Medizinproduktebegriff aus Art. 4 Abs. 1 lit. b HMG seine Konkretisierung findet. Demnach gehören neben Instrumenten, Apparaten und Geräten auch Software, Implantate oder andere Gegenstände zu dieser Kategorie. Zu beachten ist jedoch zweierlei: Zum einen kommt es darauf an, wie die Herstellerin das Produkt einstuft, d. h. ob es für den Einsatz im bzw. am Menschen bestimmt ist. Auf diese Weise findet somit eine durchaus subjektive Komponente Berücksichtigung. Zum anderen darf die bestimmungsgemässe Hauptwirkung der Produkte im oder am menschlichen Körper weder durch pharmakologische oder immunologische Mittel noch metabolisch erreicht werden. Dies ist von Bedeutung, um die Medizinprodukte beispielsweise von Medikamenten abzugrenzen. Des Weiteren wird vorausgesetzt, dass Medizinprodukte nach Art. 3 MepV für sich alleinstehend oder in Kombination einen oder mehrere spezifische medizinische Zwecke erfüllen. Zu diesen Zwecken gehören neben der Diagnose, die Verhütung, Überwachung, Vorhersage oder Prognose ebenso wie die Behandlung oder Linderung von Krankheiten, Verletzungen oder Behinderungen. Als spezifischer medizinischer Zweck gilt die Untersuchung, der Ersatz oder die Veränderung der Anatomie oder eines physiologischen oder pathologischen Vorgangs oder Zustands. Dieses sehr weite Verständnis wird in Absatz 2 noch ausgeweitet. Gemäss Absatz 3 ist Zubehör |zwar nicht als eigenständiges Medizinprodukt einzustufen. Art. 1 Abs. 1 lit. a i. V. m. Art. 3 Abs. 3 MepV bestimmt jedoch, dass es analog zu Medizinprodukten dem Medizinprodukterecht unterstellt ist. Betrachtet man die bisherigen Anwendungen von BCIs, handelt es sich um Implantate, die überwiegend medizinisch am Menschen eingesetzt werden und deren Wirkung sich beispielsweise nicht durch pharmakologische Mittel manifestiert. Gleichzeitig können sie jedoch medizinische Zwecke erfüllen, sodass es sich um Medizinprodukte handelt. Somit sind beim Inverkehrbringen die einschlägigen Regelungen der MepV bzw. der MPVO zu berücksichtigen.

Fraglich ist weitergehend, ob die bei BCIs eingesetzte Software ebenfalls unter das Medizinprodukterecht fällt. Ohne sich im vorliegenden Rahmen vertiefend mit dem Begriff der «Software» zu befassen, schliesst ein weites Verständnis des Begriffs sowohl (Computer-)Programme, d. h. eine Folge von Anweisungen bzgl. des Vorgehens der Prozessoren (programmierbare Rechenwerke), als auch Datenbanken oder Dateien ein. Diese Software ist sodann auf der Grundlage von Art. 3 MepV i. V. m. Art. 2 Ziff. 1 MPVO ein Medizinprodukt, sofern ein medizinischer Zweck zum Nutzen einer einzelnen Person vorhanden ist. Die Software ist hingegen kein Medizinprodukt, sofern die Software die Verwendung eines Medizinprodukts bloss steuert. Im Rahmen dieser Klassifizierung spielen neben der objektiven Zwecksetzung auch Werbematerialien eine entscheidende Rolle. Bei BCIs erscheint nun fraglich, ob die dazugehörige Software die Verwendung des Medizinprodukts bloss steuert oder ob es sich vor allem bei zukünftigen, algorithmisch basierten Anwendungen um Medizinprodukte handeln könnte – bzw. sogar zwei: die Hardware und die Software. Letzteres wäre dann zu bejahen, wenn die Software diagnostische Entscheidungshilfen bietet oder weitergehend eingreift, was derzeit jedoch noch Zukunftsmusik ist. Aktuell lässt sich über entsprechende Entwicklungen somit nur spekulieren, jedoch ist nicht auszuschliessen, dass zukünftige Schnittstellen eigenständige Entscheidungen treffen, ohne als blosse Entscheidungshilfe zu dienen. In diesem Fall würde es sich um ein eigenständiges Medizinprodukt handeln. Angesichts dessen wäre dann zu klären, ob eine Anpassung des Konformitätsbewertungsverfahrens erforderlich wird, wenn die Systeme sich fortlaufend und ggf. sogar selbsttätig weiterentwickeln. Bis es soweit ist, bleibt es dabei, dass sofern nach dem Inverkehrbringen an der Software Änderungen vorgenommen werden, eine erneute Durchführung des Konformitätsbewertungsverfahrens erforderlich sein kann.

Weitergehend könnten die Art. 2 Abs. 3 HMG i. V. m. Art. 1 Abs. 1 lit. b und Anhang 1 MepV anwendbar sein. Diesen Bestimmungen zufolge wird der Geltungsbereich der MepV auf Produkte ohne medizinische Zweckbestimmung ausgedehnt. Gemäss Anhang 1 Ziffer 6 zählen dazu «Geräte zur transkraniellen Stimulation des Gehirns durch elektrischen Strom oder magnetische oder elektromagnetische Felder zur Änderung der neuronalen Aktivität im Gehirn.» Obschon diese eng gefasste Ausnahme nur in Einzelfällen angenommen werden sollte, wird von einigen Autorinnen darauf hingewiesen, dass sich insbesondere in diesem Bereich eine besondere Schutzlücke auftun könnte. Dies wäre dann der Fall, wenn die von ihnen beschriebenen Produkte zur Anwendung kämen, welche das Gehirn nicht trans-, sondern intrakraniell, also innerhalb des Gehirns stimulieren würden. Zwar handelt es sich hierbei um Schnittstellen, die über die bisher beschriebenen Anwendungen weit hinaus gehen. Doch obwohl sie derzeit noch nicht marktreif sind, gilt es – vor allem in Anbetracht der zunehmenden Verbreitung im nichtmedizinischen Bereich – entsprechende Definitionsansätze und rechtliche Strukturen zu bilden, um den technologischen Fortschritt sachgemäss zu erfassen.

Der Einstufung von BCIs als Medizinprodukte stehen die sog. Lifestyleprodukte im privaten Lebensbereich gegenüber. Hier gilt es zu klären, inwieweit diese von den entsprechenden Konformitätsbewertungsverfahren befreit sind. In den letzten Jahren kam dieser Unterscheidung in der Schweiz vor allem im Rahmen von Gerichtsurteilen zu Frequenzpflastern oder Apps zur natürlichen Empfängnisverhütung eine zunehmende Bedeutung zu, wodurch der Medizinproduktebegriff eine stärkere Konturierung erfahren konnte. Doch obschon diese Abgrenzung mithilfe der Zwecksetzung des jeweiligen Produkts sich als praxistauglich erweist, ist zu fragen, ob dies bei derart weitreichenden Einblicken in das menschliche Gehirn noch sachgemäss erscheint. Angesichts der Zunahme von algorithmischen Lernsystemen – oftmals unter Nennung des Buzzwords der «Künstlichen Intelligenz»(KI) – steht sowohl der nationalen als auch internationale Medizinprodukteregulierung womöglich ein weiterer Wandel bevor, der bereits jetzt zu zahl|reichen Diskussionen führt. Im Rahmen der Anwendung von BCIs wird dabei vor allem Produkten ohne medizinische Zweckbestimmung eine zunehmende Bedeutung zukommen, ebenso wie Lifestyleprodukten – zumal ein Markt mit ganz erheblichen Gewinnmargen lockt.

Während das Medizinprodukterecht im Bereich der BCIs grundsätzlich gut aufgestellt ist, stellen sich insbesondere bei der Abgrenzung zwischen der Anwendung im medizinischen und nicht-medizinischen Bereich zahlreiche Fragen. Dies liegt daran, dass die Systeme auf vergleichbaren Forschungsansätzen aufbauen und in ähnlichen technologischen Anwendungen umgesetzt werden. Zwar lässt sich dies durch eine Einzelfallbetrachtung in vielen Fällen lösen. Es stellt sich jedoch die Frage, ob die unterschiedliche rechtliche Handhabung sachgerecht erscheint, wenn die Produkte weitestgehend übereinstimmen und sich bloss in der konkreten Nutzung unterscheiden.

In Einzelfällen könnten sodann die Vorschriften zur Produktesicherheit einschlägig sein. Diesbezüglich legt das Bundesgesetz über die Produktesicherheit (PrSG) fest, dass eine Anwendbarkeit dann in Frage kommt, wenn die Sicherheit der Produkte nicht in spezifischen Gesetzen geregelt wird (Art. 1 Abs. 3 PrSG). Während das HMG für Produkte im medizinischen Bereich ein solch spezifisches Gesetz darstellt (Art. 2 Abs. 1 lit. a HMG), käme eine Anwendung des PrSG somit beispielsweise bei der Anwendung von Schnittstellen im Freizeit- bzw. Lifestylebereich in Betracht. Ist das PrSG einschlägig, wird vor allem die Herstellerin bzw. diejenige Stelle, die das Produkt in den Verkehr bringt (Art. 3 Abs. 6 PrSG), in die Pflicht genommen. Gemäss Art. 8 Abs. 2 PrSG gilt diese Pflicht auch für die Zeit nach dem Inverkehrbringen. Dies entspricht vom Ansatz her den aus dem Medizinprodukterecht bekannten Regelungen. Das PrSG bietet somit einen weitgehenden Schutz über einen längeren Zeitraum hinweg.

Was die Anwendbarkeit des Bundesgesetzes über die Produktehaftpflicht (PrHG) betrifft, so wird diese in der Praxis oftmals durch die Produzentenhaftung nach Art. 55 OR verdrängt. Obschon die Regelungen passend erscheinen, können sie in Einzelfällen nicht anwendbar sein. Sofern sie jedoch anwendbar sind, ist zu beachten, dass das Produkthaftungsrecht in erster Linie darauf ausgerichtet ist, dass das Produkt in den Verkehr gebracht wird. Nicht vorgesehen ist indes die zunehmend relevante Situation, dass an den Systemen anschliessend noch wesentliche Änderungen vorgenommen werden. Dies kann etwa auf der Grundlage selbsttätiger Updates erfolgen oder aber, wenn die mithilfe algorithmischer Systeme funktionierende Anwendung eigenständig dazu lernt. In diesen Fällen stellt sich die Frage, ob die Herstellerin nicht mehr haftbar i. S. d. Art. 5 Abs. 1 lit. b PrHG ist. Sie könnte sich im Einzelfall somit ggf. darauf berufen, dass eine unsachgemässe Handhabung stattgefunden hat. In diesem Fall wäre die Bejahung der Haftung fraglich bis unmöglich.

Durch den Einsatz von BCIs in den genannten Bereichen wird mit Angaben über eine zumindest bestimmbare Person umgegangen, sodass Personendaten bearbeitet werden. Das totalrevidierte Datenschutzgesetz (nDSG) ist somit als solches anwendbar. Art. 5 lit. c nDSG zählt sodann besonders schützenswerte Personendaten auf. Dazu gehören neben Gesundheitsdaten in Ziff. 2 vor allem biometrische Daten in Ziff. 4. Letztere beziehen sich auf physiologische Merkmale eines Individuums, während Erstere den psychischen oder physischen Zustand einer Person abbilden. Indem die Schnittstellen es potentiell ermöglichen, einen Einblick in den körperlichen Zustand der Betroffenen zu geben, handelt es sich dem Grunde nach um besonders schützenswerte Gesundheitsdaten. Darüber hinaus kommt Ziff. 4 in Frage, da durch das Auslesen der Gehirnaktivitäten physiologische Merkmale erfasst und ausgewertet werden. Nimmt man eine solche Zuordnung vor, hat dies zur Folge, dass umfassende gesetzliche Anforderungen zu beachten sind. So bedarf es beispielsweise gemäss Art. 6 Abs. 7 lit. a nDSG ausdrücklicher Einwilligungen. In anderen Fällen wie der Bearbeitung für Forschung, Planung oder Statistik, müssen bestimmte Regelungen wie Art. 31 Abs. 2 lit. e Ziff. 2 nDSG berücksichtigt werden. Dieses erhöhte Schutzregime ist insofern von besonderer Bedeutung, als die etwa für Verhaltensvorhersagen nutzbaren Daten ansonsten der Kontrolle der Nutzenden weitestgehend entzogen sind.

|Weitergehend kommt das in Art. 5 lit. f nDSG eingefügte Profiling in Betracht. Beschrieben wird damit eine besonders «gefährliche» Art der Datenbearbeitung, zumal ggf. sogar ein Profiling mit hohem Risiko (lit. g) angenommen werden kann. Dem Grunde nach handelt es sich beim Profiling um die «automatisierte Bewertung persönlicher Aspekte». Zwar ist es aus derzeitigen Anwendungen noch nicht bekannt, jedoch ist langfristig nicht auszuschliessen, dass durch BCIs automatisierte Auswertungen, bezogen auf eine individuelle Person und deren mögliche Verhaltensweisen vorgenommen werden können. Zwar würde dies nicht – wie im Gesetzgebungsprozess zunächst gefordert – ein spezielles Widerspruchsrecht auslösen oder eine Einwilligung erforderlich machen, jedoch wäre bei der Anwendung stets die Verhältnismässigkeit zu prüfen. Dies entspricht dem risikobasierten Ansatz des nDSG, der sich im Hinblick auf den potentiellen Einsatz von BCIs somit bewähren würde.

Neben dieser grundsätzlichen Erfassung der Schnittstellen durch das Datenschutzrecht, stellen sich diesbezüglich jedoch auch zwei grundlegende Fragen. Der erste Fragenkomplex betrifft die allgemein gefassten Begriffe des Gesetzes, welche einerseits die flexible Anpassung an technologische Neuerungen ermöglichen. Andererseits resultiert eben daraus die Problematik, dass dadurch den sehr spezifischen und weitreichenden Gefahren bei der Anwendung von BCIs nicht ausreichend Rechnung getragen wird. Dies gilt umso mehr, als der derzeitige Forschungsstand von BCIs erst der Anfang ist. Sobald erste Formen von sog. Brain-to-Brain-Interfaces folgen werden, ist zu fragen wie der Schutz der «telepathischen Kommunikation» gewährleistet werden kann. Sollte das Subjekt-Objekt Denken dafür aufgegeben werden und sich der Rechtsbereich dem «informationellen Systemschutz» zuwenden? Oder wird auf diese Weise die Einzelne zu sehr vernachlässigt? In einem zweiten Schritt ist zudem aus einer praktischen Perspektive heraus zu überlegen, wie das in Art. 25 nDSG gefasste Auskunftsrecht ausgeübt werden kann. Ist dies im Rahmen der Anwendung von BCIs tatsächlich handhabbar? Problematisch erscheint hier bereits der Umfang des Datenbestandes, welcher über bisherige Datenbestände weit hinaus reichen dürfte. Zwar ist es möglich die Daten zu komprimieren, jedoch ist dann sicherzustellen, dass die betroffenen Personen diese Daten nachvollziehen können. Diese praktischen Herausforderungen gilt es ernst zu nehmen, um die theoretisch soliden Grundlagen des Datenschutzrechts nicht zu einem «zahnlosen Tiger» verkommen zu lassen.

Darüber hinaus betreffen BCIs auch eine informationssicherheitsrechtliche Ebene, die sich an der Grenze zwischen dem Recht und der zugrundeliegenden Technologie bewegt. Dies lässt sich anhand eines Fallbeispiels darlegen, das weitaus mehr als rein rechtliche Fragen aufwirft. So konnten Forschende in der Zwischenzeit nachweisen, dass Implantate das Ziel von weitgehenden Angriffen wie dem sog. Brainjacking, also der kontrollierenden Übernahme durch Angreiferinnen, sein können. Diese Angriffe können erstens bei der Stimulation ansetzen, welche die Signalmuster im Gehirn hervorruft, die anschliessend fehlgeleitet werden kann. Zweitens ist es vorstellbar, dass die Angreiferinnen beim Empfang der Daten ansetzen, die verfälscht oder bei der anschliessenden Klassifizierung manipuliert werden. Und drittens können die Angreiferinnen auf den Output Einfluss nehmen. Zudem wurden bereits sog. Denial-of-Service Angriffe auf die Systemintegrität diskutiert. Das Recht kann versuchen diese Angriffe in das bestehende System einzuordnen, ggf. unter Strafe zu stellen oder Schadensersatzkonzepte zu entwickeln. Und doch ist es dabei auf die Funktionsfähigkeit der Technologie angewiesen, welche die rechtlichen Ansätze abbilden und umsetzen sollten.

Während das Datenschutzrecht die von BCIs erfassten Daten unter einen besonderen Schutz stellt, scheinen die Schnittstellen aus einer Cybersicherheitsperspektive eher dürftig geschützt. Dies ist insofern beunruhigend, als diese Angriffe bereits zunehmen – und weiterhin zunehmen wer|den. Vor diesem Hintergrund ist zu hoffen, dass vor allem in der Gesetzgebung, Aspekte der Cyber- und Informationssicherheit priorisiert werden. Was das nDSG betrifft, so stellt sich aus der jetzigen Perspektive die Frage, ob man verschiedene Arten von Daten nicht weiter differenzieren und schützen sollte. Ein Grund stellt dafür die bei Brain-Computer-Interfaces ganz besonders herausstechende Sensibilität der Daten dar, welche neue Dimensionen eröffnet. Diese Dimensionen weisen sowohl positive Merkmale, als auch ernstzunehmende Gefahren auf. Greift die vorherrschende «Fokussierung auf ein ‹Datensubjekt› und auf Personendaten […]» zu kurz? Oder bedarf es vielmehr gänzlich neuer Gesetze, die einen Ausgleich schaffen zwischen dem Interesse an einer Auswertung dieser empfindlichen Daten und dem Schutz der Einzelnen? Diese Fragen gilt es zu klären.

Wie einleitend erwähnt, wurde erst kürzlich über Fortschritte bzgl. des Einsatzes von BCIs berichtet, etwa mit Verweis auf Forschung im Bereich der Sprachdecodierung. Dieses Beispiel zeigt den derzeitigen Stand der Forschung insoweit beispielhaft auf, als die Schnittstelle zwar einige Sätze erkannte, jedoch Fehler machte. Bei der Anwendung in der Kommunikation mit Locked-In-Patientinnen ist dies durchaus entscheidend, wenn sie denn richtig verstanden werden sollen. Gleichzeitig wird der Anwendungsbereich immer weiter ausgedehnt, etwa wenn von erfolgreichen Anwendungen der «Brain-Spine-Interfaces» (BSI) berichtet wird, die es Personen mit schweren Rückenmarkverletzungen ermöglichen wieder einige Meter laufen zu können.

Das Recht hat sich in diesem Bereich insoweit gut positioniert, als es nicht wie üblich den technologischen Neuerungen hinterherläuft. Vielmehr stellen die bestehenden gesetzlichen Grundlagen im Hinblick auf BCIs einen hohen Schutzstandard sicher. Obschon dies erfreulich ist, bleiben drei grundsätzliche Herausforderungen bestehen, welche die «Neurosicherheit» im Kern betreffen:

Der erste Aspekt betrifft die Frage, wie mit der Unklarheit weiterer Entwicklungen umzugehen ist. So steht fest, dass BCIs einen nie dagewesenen Einblick in das menschliche Gehirn ermöglichen werden, wobei unklar bleibt, ob langfristig durchaus Schlüsse auf ein mögliches Verhalten der Betroffenen gezogen werden können. Obschon diesbezüglich ein Wechselspiel zwischen Innovationsoffenheit und Risikobewusstsein angezeigt ist, ist über neue Formen von Personendaten nachzudenken, welche die verschiedenen Aspekte des menschlichen Lebens wie Gesundheit oder Wohlbefinden abbilden und schützen. Ob dafür ein umfassender neuer Regelungsansatz erforderlich ist oder ob der «bewährte [n] Ansatz des Schweizer Rechts» ausreicht, auf der Grundlage gezielter Änderungen in den spezifischen Rechtsbereichen vorzugehen, bleibt offen. Da BCIs sowie vergleichbare trag- oder implantierbare Anwendungen jedoch weiter zunehmen werden, sind zeitnahe Entscheidungen erforderlich. Das Recht kann sich so bereits jetzt direkt auf die medizinische Forschung und Praxis auswirken. Dieser Bedeutung sollte es sich bewusst sein und sie aktiv ausfüllen.

Der zweite Punkt betrifft weitreichende Gefahren durch Angriffe, denen das Recht kaum alleine begegnen kann. Diesbezüglich sollte von vornherein der interdisziplinäre Austausch gesucht werden, um nachträglich divergierende Handhabungen in den Disziplinen zu vermeiden. Je aktiver das Recht diese Rolle ausfüllt, desto eher kann es in diesen «technologisch netzwerkartigen […] Systemen» eine zentrale Rolle einnehmen. Einen entsprechenden Versuch stellt Art. 8 Abs. 1 nDSG dar, dem zufolge durch «geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit» gewährleistet werden muss – wobei diese Pflicht lediglich die Verantwortliche bzw. die Auftragsdatenbearbeiterin adressiert. Und so wird auch ein rechtlich einheitliches System allein nicht gewährleisten können, dass Angriffe oder Sicherheitslücken unterbleiben.

Dies führt zum dritten Teilaspekt, namentlich der Frage nach den Grenzen des menschlichen Körpers. Diese stellt sich, da die dargelegten Entwicklungen deutlich machen, «dass der Mensch dazu imstande ist, über die eigenen Körpergrenzen hinweg artifizielle Teile in neue, ganzheitliche |‹Agent-Umwelt-Kreisläufe› zu integrieren. So dass das Artefakt zum Bestandteil eines kognitiven Gesamtsystems wird.» In diesem Sinne zeichnet sich sehr konkret ab, dass «Gedanken nicht alleine im Gehirn vorzufinden sind» und externe Objekte wie beispielsweise Computer tatsächlich in den menschlichen Körper «inkorporiert» werden. Dies entspricht den Vorhersagen Winfried Hassemers, der den Computer schon früh als ausgelagerten Teil des Körpers bezeichnete. Wer entscheidet über die Grenzen dieses ausgedehnten «Selbst», wenn die Person selbst keine autonome Entscheidung treffen kann? Zwar sind diese Fragen alles andere als neu, jedoch machen die aktuellen Fortschritte der BCIs deutlich, dass es weiterer Diskussionen über Neurotechnologien und -theorien sowie deren Bedeutung für das Recht bedarf. So sollten potenzielle «geistige Rechte» bzw. «Rechte am Geist» ergebnisoffen diskutiert und erörtert werden, ob das bestehende Normengerüst diese Entwicklungen zutreffend erfasst. Dieses proaktiven Austauschs bedarf es, um «transformativen Technologien» wie BCIs angemessen zu begegnen.

Zusammenfassung

Der Beitrag untersucht den Einsatz sog. Gehirn-Computer-Schnittstellen (engl. Brain-Computer-Interfaces) im Hinblick auf deren Erfassung durch das Medizinprodukte- und Datenschutzrecht sowie des Produktesicherheits- und Produktehaftungsrecht. Deutlich wird, dass während diese Rechtsbereiche zahlreiche Aspekte abdecken, die spezifischen Gefahren beim Einsatz dieser Schnittstellen nicht umfassend adressiert werden. Diese Gefahren resultieren aus weitreichenden Einblicken in das menschliche Gehirn, welche u. a. das Nachvollziehen von individuellen Mustern ermöglichen. Bei der Anwendung stellen sich zudem Fragen der Cybersicherheit. Diese gilt es in Anbetracht der Sensibilität der durch die Schnittstellen erlangten Daten ernst zu nehmen.

Résumé

Le présent article examine l’utilisation des interfaces cerveau-ordinateur dans le cadre de la législation sur les dispositifs médicaux, le droit de la protection des données, ainsi que les dispositions relatives à la sécurité des produits et à la responsabilité du fait des produits. Il apparaît clairement que si ces domaines juridiques couvrent de nombreux aspects relatifs à ces interfaces, les dangers spécifiques à leur utilisation ne sont pas traités de manière exhaustive. Ces dangers résultent de la connaissance approfondie du cerveau humain rendue possible par cette technologie, qui permet notamment de comprendre les schémas individuels. Son application soulève en outre des questions de cybersécurité. Celles-ci doivent être prises au sérieux compte tenu du caractère sensible des données obtenues par les interfaces.