Die erste Annahme, die die meisten Kliniken über Patientendaten im Marketing treffen, ist die falsche: dass sie unter das allgemeine Datenschutzgesetz der VAE fallen, dasselbe Gesetz, das die Mailingliste eines Einzelhändlers regelt. Das stimmt nicht. Gesundheitsdaten, die bereits einer eigenen sektorspezifischen Gesetzgebung unterliegen, sind ausdrücklich vom Anwendungsbereich des allgemeinen Gesetzes ausgenommen — was bedeutet, dass die tatsächlich geltenden Regeln strenger und spezifischer sind, als die meisten Marketingteams annehmen, und tiefer in den gewöhnlichen Marketing-Stack hineinreichen, als ein CRM-Export oder ein Retargeting-Pixel vermuten lässt.
Das Gesetz, das hier tatsächlich greift
Das Bundesdekret-Gesetz Nr. 45 von 2021 zum Schutz personenbezogener Daten ist das allgemeine Datenschutzgesetz der VAE, und es nimmt personenbezogene Gesundheitsdaten, die bereits einer eigenen sektorspezifischen Gesetzgebung unterliegen, von seinem Anwendungsbereich aus. Für eine Klinik ist das maßgebliche Instrument das Bundesgesetz Nr. 2 von 2019 zur Nutzung von IKT im Gesundheitswesen, das Vertraulichkeits- und Sicherheitspflichten speziell für Gesundheitsdaten festlegt und eine Einwilligung verlangt, bevor solche Daten mit anderen Parteien geteilt oder von ihnen abgerufen werden. Wo Marketingdaten tatsächlich außerhalb des Bereichs von Gesundheitsdaten liegen — Name, Telefonnummer und E-Mail aus einer allgemeinen Anfrage, ohne Bezug zu Diagnose oder Behandlung —, gelten weiterhin die Direktmarketing-Regeln des allgemeinen Gesetzes: Die Einwilligung muss freiwillig, spezifisch, informiert und eindeutig sein, ohne vorangekreuzte Kästchen, mit einem Abmeldemechanismus, der ebenso einfach ist wie die Anmeldung selbst.
Die Tatsache, die Ihre Bewertung jeder Marketingplattform ändern sollte
Der aktuelle Standard der Dubai Health Authority zum beruflichen Verhalten legt eindeutig fest, dass Gesundheitseinrichtungen sicherstellen müssen, dass Gesundheitsdaten innerhalb der VAE gespeichert und nicht außerhalb des Landes übertragen, verarbeitet oder gespeichert werden, es sei denn, die zuständige Gesundheitsbehörde genehmigt dies ausdrücklich in Abstimmung mit dem zuständigen Ministerium. Diese eine Anforderung ist das kommerziell bedeutsamste Element dieses Artikels, weil sie direkt den Marketing-Stack betrifft, den die meisten Kliniken bereits nutzen: Ein CRM, eine E-Mail-Plattform oder ein Anbieter von Werbe-Pixeln, der auf Servern außerhalb der VAE gehostet wird, agiert außerhalb dieses Standards, wenn er patientenidentifizierbare Daten ohne diese Genehmigung speichert oder verarbeitet. Bevor Sie ein Marketing-Tool einführen oder weiter nutzen, das mit Patientendaten in Berührung kommt, lohnt es sich, klar zu fragen, wo dieser Anbieter die Daten tatsächlich speichert.
Marketing zählt als eigenständige Nutzung, die eine eigene Einwilligung braucht
Die Richtlinie der DHA zum Datenschutz und zur Vertraulichkeit behandelt Marketing ausdrücklich als „sekundäre Nutzung" von Patientendaten, getrennt von der Einwilligung, die ein Patient zur Behandlung gibt — Forschung, öffentliche Gesundheit, klinisches Audit und Marketing werden alle als sekundäre Nutzungen genannt, die eine eigene, separate Einwilligung des Patienten benötigen. Ein Patient, der einer Behandlung zugestimmt hat, hat damit nicht automatisch zugestimmt, in eine Marketingliste aufgenommen, in einen Bewertungsanfrage-Workflow eingebunden oder in eine Retargeting-Zielgruppe aufgenommen zu werden. Diese Einwilligung muss eigenständig eingeholt werden.
Warum Sie nicht einfach eine Patientenliste als Werbezielgruppe hochladen können
Beide großen Werbeplattformen schränken unabhängig voneinander ein, was eine Klinik mit patientenbezogenen Daten in der Werbung tun darf, und das ist ebenso eine technische wie eine richtlinienbedingte Beschränkung. Meta klassifiziert Websites im Bereich Gesundheit und Wellness und begrenzt, welche Conversion- und Zielgruppendaten über sein Pixel und die Conversions API für diese Websites zurückfließen können. Googles Richtlinie für personalisierte Werbung geht weiter: Für Inhalte zu chronischen Erkrankungen, gesundheitlichen Themen intimer Körperbereiche, invasiven Eingriffen, Behinderungen oder psychosozialer Beratung sind vom Werbetreibenden selbst erstellte Zielgruppen — Kundenabgleich, hochgeladene Listen, CRM-basiertes Retargeting — überhaupt nicht zulässig, und es dürfen nur Googles eigene vordefinierte Zielgruppenkategorien verwendet werden. Eine Patientenliste als benutzerdefinierte Zielgruppe für solche Inhalte hochzuladen, ist nicht nur ein Richtlinienrisiko; für einen echten Teil des Klinikmarketings ist es technisch auf Plattformebene eingeschränkt.
Was diese Grenze in der Praxis sauber hält
Einige Gewohnheiten, die als operative Sorgfalt und nicht als Gesetzeszitat zu verstehen sind, leisten den größten Teil der Arbeit: das CRM so segmentieren, dass klinische Felder wie Diagnose, Behandlung und Besuchsverlauf niemals in eine allgemeine Marketing- oder Retargeting-Liste exportiert werden; die Marketing-Einwilligung getrennt von der klinischen Einwilligung erfassen, zum Zeitpunkt der Lead-Erfassung, statt anzunehmen, dass eine die andere abdeckt; und regelmäßig prüfen, welche Drittanbieter-Tools — CRM, E-Mail-Plattform, Bewertungsanfrage-Tool, Werbe-Pixel — tatsächlich patientenidentifizierbare Daten erhalten, und diese Liste dann auf das wirklich Notwendige reduzieren.
Das ist HEYAs eigene Empfehlung, wie dieser Bereich im Alltag zu handhaben ist, kein Zitat einer bestimmten Vorschrift — das Gesetz sagt Ihnen, was einer Einwilligung bedarf und wo Daten liegen müssen; wie Sie Ihren Marketing-Stack darum herum organisieren, ist eine Ermessensfrage. Erwähnenswert ist auch, dass eine Klinik, die in einer Freizone mit eigenem Datenregime wie DIFC oder ADGM tätig ist, einem anderen Rahmen unterliegen kann als die Festland-VAE-Regeln — dieser Artikel geht nicht davon aus, dass ein einziger Rahmen überall gleichermaßen gilt.
Nichts davon ist Rechtsberatung. Bestätigen Sie die aktuellen Datenschutz- und Gesundheitsdatenpflichten — und welches Regime für Ihre konkrete Einrichtung gilt — bei einem Datenschutz- oder Rechtsberater in den VAE, bevor Sie eine Richtlinie zum Umgang mit Daten festlegen, denn genau solche Pflichten sollten gegen den aktuellen Gesetzestext geprüft werden, nicht gegen einen Marketingartikel.
Das knüpft an die größere Frage an, wie sich eine Praxis über Spezialisierung statt über Rabatte positioniert — die hier beschriebene Datendisziplin ist genau das, was das Patientengewinnungs-Marketing einer Spezialisierung tragfähig macht, statt zu einer einmaligen Namensliste zu werden, die niemand mehr rechtmäßig nutzen kann.
