Warum bei einem Klinikroboter mehrere Gesetze gleichzeitig greifen

Wer als Klinikleitung oder Medizintechnik-Verantwortlicher einen Roboter auf die Station holt, kauft rechtlich selten nur eine Sache. Das Gerät ist zugleich Maschine, oft ein datenverarbeitendes Gerät und manchmal ein Medizinprodukt, und für jede dieser Rollen gibt es einen eigenen EU-Rechtsrahmen. Diese Rahmen laufen nicht nacheinander ab, sondern können sich überlagern.

Das klingt nach Bürokratie, hat aber einen nüchternen Grund. Ein Serviceroboter im Krankenhaus bewegt sich zwischen Menschen, sammelt Daten und hängt im Netz, und an jedem dieser Punkte setzt ein anderes Rechtsgebiet an — Maschinenrecht, Datenschutz, Produktsicherheit. Welcher Strang zusätzlich dazukommt, hängt vom Zweck ab, den der Hersteller dem Gerät gibt. Den Strang IT-Sicherheit — Meldepflichten, Angriffserkennung und die Frage, ab wann ein Haus als kritische Anlage gilt — nimmt der Beitrag zu NIS2 und KRITIS im Krankenhaus auf.

Alle Datumsangaben in der Übersicht sind Geltungs- oder Anwendungsdaten, nicht das Inkrafttreten. Eine Einzelfallprüfung oder Beratung ersetzen sie nicht, sie zeigen nur, welche Uhren gerade ticken.

Das Wort „kann“ in der Übersicht ist ernst gemeint. Ein Rahmen greift nicht bei jedem Gerät, nur weil er existiert. Ein Transportwagen fällt darum anders aus als ein KI-Chirurgieroboter.

Der Kern: Zweckbestimmung entscheidet, nicht die Bauart

Die wichtigste Weiche stellt nicht das Aussehen des Roboters, sondern die Zweckbestimmung, die der Hersteller ihm gibt. Der Maßstab dafür steht in MDR Art. 2. Ein Roboter wird zum Medizinprodukt, sobald ihm ein medizinischer Zweck zugeschrieben wird — also Diagnose, Verhütung, Überwachung, Behandlung oder Linderung von Krankheiten. Wie unterschiedlich der regulatorische Stand bei den einzelnen Operationsrobotern aussieht, zeigt die Übersicht dazu, welche OP-Systeme in Europa und in den USA verfügbar sind.

Ausschlaggebend sind Kennzeichnung, Gebrauchsanweisung und Werbung des Herstellers. Zwei baugleiche Geräte können deshalb unterschiedlich eingestuft sein, wenn nur einer der beiden Hersteller einen medizinischen Zweck auslobt.

Die Zuordnung typischer Robotertypen in der Tabelle stützt sich auf Fachstellen und ist keine verbindliche Klassifikation. Konkrete Risikoklassen gehören im Einzelfall geprüft, auch wenn die Einteilung als Faustregel gut taugt.

Der Probentransport zeigt die Grauzone gut. Fährt der Roboter Proben nur von A nach B, ist das meist kein medizinischer Zweck. Verarbeitet er sie diagnostisch, kann die Sache kippen, und solche Übergänge gehören vor der Beschaffung geklärt.

CE als Maschine: die EU-Maschinenverordnung 2023/1230

Fast jeder Klinikroboter ist zuerst einmal eine Maschine und fällt damit unter die EU-Maschinenverordnung 2023/1230. Sie löst die alte Maschinenrichtlinie 2006/42/EG ab, ist ab 20.01.2027 anwendbar und gilt ab dann unmittelbar in allen Mitgliedstaaten.

Neu ist der ausdrückliche Blick auf Software und künstliche Intelligenz. Die Verordnung adressiert KI-gestützte Steuerung, sichere Mensch-Roboter-Interaktion, Nothalt und sich entwickelndes Verhalten. Für autonome Serviceroboter ist das kein Randthema, denn ihre Autonomie ist der Grund für die neuen Anforderungen.

Das Ergebnis der Bewertung ist die CE-Kennzeichnung. Sie ist eine Erklärung des Herstellers, kein Gütesiegel und kein Sicherheitsversprechen — CE bedeutet, dass der Hersteller die Anforderungen für erfüllt erklärt. Wie diese Verordnung im Detail arbeitet, erklärt der Beitrag zur EU-Maschinenverordnung für Roboter; hier zählt ihr Zusammenspiel mit MDR und AI Act.

Wann der Roboter zum Medizinprodukt wird: MDR 2017/745

Kommt ein medizinischer Zweck hinzu, greift zusätzlich die MDR 2017/745, die seit dem 26.05.2021 anwendbar ist. Sie schickt das Gerät auf eine eigene, meist strengere CE-Route. Diese Route läuft getrennt von der Maschinen-CE und ersetzt sie nicht.

Wie streng die Prüfung ausfällt, hängt von der Risikoklasse ab. Ab Klasse IIa muss eine benannte Stelle die Konformitätsbewertung durchführen (MDR Art. 52), während der Hersteller nur einfache Geräte der Klasse I selbst erklären darf. OP- und Chirurgieroboter liegen typisch deutlich höher.

Ob ein OP-Roboter in Klasse IIb oder III fällt, hängt vom Einzelfall ab, weil Zweckbestimmung und Anwendungsdauer mitentscheiden. Auch die Robotersysteme in der Knie-Endoprothetik sind CE-gekennzeichnete Medizinprodukte, doch eine feste Klasse folgt daraus nicht. Diese Zuordnung treffen Hersteller und benannte Stelle im Einzelfall.

Der Fall dreier paralleler CE- und Pflichtenstränge

CE-Maschine und CE-Medizinprodukt sind nicht dasselbe, und beide können zugleich gelten. Ein KI-gestützter Chirurgieroboter trägt nach aktuellem Stand potenziell drei parallele Stränge.

Er ist CE-Maschine nach VO 2023/1230, CE-Medizinprodukt nach MDR und Träger von Hochrisiko-KI-Pflichten nach dem AI Act. Der dritte Strang folgt aus dem zweiten, weil eine benannte Stelle das MDR-Produkt prüft und eine KI in einem solchen Produkt dadurch als hochriskant gilt.

Ein reiner Transportroboter zeigt den Gegenpol. Er bleibt CE-Maschine und wird kein Medizinprodukt, solange kein medizinischer Zweck ausgelobt ist. Welcher dieser Fälle eintritt, entscheidet wieder die Zweckbestimmung. Den Produktkontext zur OP-Robotik liefert der Beitrag zu OP-Robotern.

KI an Bord: der EU AI Act und die Hochrisiko-Einstufung

Sobald künstliche Intelligenz mitspielt, kommt der EU AI Act 2024/1689 ins Bild. Er stuft Systeme nach Risiko ein und knüpft daran die Pflichten. Roboter-KI kann je nach Einsatz Hochrisiko sein, muss es aber nicht, denn ein einfacher Sprachassistent liegt anders als ein KI-Chirurgiesystem.

Die verbotenen KI-Praktiken nach Art. 5 gelten bereits seit dem 02.02.2025, die Transparenzpflichten nach Art. 50 seit dem 02.08.2026. Die eigentlich heiklen Hochrisiko-Pflichten für Medizinprodukte laufen später an, weil ein Änderungspaket 2026 ihre Termine verschoben hat.

Der AI Act koppelt sich dabei an das Medizinprodukterecht. Nach Art. 6 Abs. 1 gilt eine KI automatisch als hochriskant, wenn ihr Produkt eine benannte Stelle braucht, und bei MDR-Produkten ab Klasse IIa ist das der Regelfall. Dieselbe Stelle prüft dann MDR und AI Act gebündelt — so lesen es Fachstellen wie das Johner-Institut. Was KI in der Klinik leisten soll, ordnet der Beitrag zu KI im Krankenhaus ein.

Verschobene Fristen: was das Änderungspaket 2026 ändert

Der Zeitplan des AI Act ist 2026 in Bewegung geraten. Ein Änderungspaket, oft Digital Omnibus genannt, schiebt die Hochrisiko-Fristen nach hinten. Als Grund gilt, dass harmonisierte Normen fehlen und benannte Stellen noch nicht ausreichend notifiziert sind. Die genauen Daten stehen unter Vorbehalt.

Nach aktuellem Stand 2026 verschieben sich zwei Termine. Eigenständige Hochrisiko-KI nach Anhang III soll auf den 02.12.2027 rücken, produkteingebettete Hochrisiko-KI nach Anhang I, unter anderem Medizinprodukte, bis zum 02.08.2028. Bevor Sie sich darauf verlassen, gehören beide Daten an EUR-Lex geprüft.

Für die Planung ändert das Paket weniger, als der Name vermuten lässt. Die Verbote und Transparenzpflichten laufen bereits. Mehr Zeit bekommen nur die aufwendigen Hochrisiko-Pflichten, und die konkrete Verordnungsnummer samt Endterminen gehört trotzdem am aktuellen Amtsblatt gegengeprüft.

Wer trägt welche Pflicht — die Rollen-Landkarte

Das Recht verteilt die Lasten auf getrennte Rollen, und wer welche Pflicht trägt, ist für die Klinik der eigentliche Praxis-Kern. Ein Betreiber haftet nicht wie ein Hersteller, und eine benannte Stelle prüft nur. Vier Rollen stehen dabei im Zentrum. Welche Haftungsspuren sich nach einem Schaden daraus ergeben und wer was beweisen muss, behandelt der Beitrag Wer haftet, wenn ein Roboter Schaden anrichtet?.

Für die Klinik hat diese Trennung handfeste Folgen. Mit dem Gerät kaufen Sie als Betreiber kein rechtliches Rundum-sorglos-Paket, sondern übernehmen eigene Pflichten für Betrieb, Aufsicht und Daten. Deshalb lohnt der Blick auf die eigene Rolle vor jeder Beschaffung.

Neben diesen rechtlichen Rollen steht eine zweite Verteilung, die kein Gesetz anordnet: Welche berufsethischen Erwartungen an Träger, Ärzteschaft und Pflege gelten und wie verbindlich sie sind, entscheidet mit darüber, was Ihr Haus vor einer Unterschrift geklärt haben muss.

Daten an Bord: DSGVO, Gesundheitsdaten und Teleoperation

Kaum ein Klinikroboter arbeitet ohne Kameras, Mikrofone oder Sensorik. Damit verarbeitet er personenbezogene Daten und fällt unter die DSGVO. Bei Patienten sind es Gesundheitsdaten nach Art. 9, eine besondere Kategorie, für die grundsätzlich ein Verarbeitungsverbot mit engen Ausnahmen gilt.

Bei Gesundheitsdaten in großem Umfang oder neuer Technik ist eine Datenschutz-Folgenabschätzung nach Art. 35 regelmäßig zwingend, und Verantwortlicher ist im Regelfall die Klinik, nicht der Hersteller. Besonders sensibel ist die Teleoperation, bei der ein Mensch den Roboter fernsteuert oder beobachtet. Diesen Strang vertieft ein eigener Beitrag zum Datenschutz bei Klinikrobotern.

Vernetzt und sicher: Cyber Resilience Act

Ein vernetzter Roboter ist auch ein Angriffsziel. Der Cyber Resilience Act 2024/2847 verlangt „security by design“ für Produkte mit digitalen Elementen, wozu Update-Versorgung und Meldepflichten bei Schwachstellen gehören.

Er gilt aber nicht für jeden Klinikroboter. Die Verordnung nimmt ausdrücklich aus, worauf die MDR (EU) 2017/745, die IVDR (EU) 2017/746 oder die Fahrzeugverordnung (EU) 2019/2144 anwendbar sind. Ein Roboter, der Medizinprodukt ist, fällt damit nicht unter den CRA — ein OP-Roboter etwa nicht. Ein Transport-, Reinigungs- oder Desinfektionsroboter ohne medizinische Zweckbestimmung dagegen schon. Die Trennlinie ist dieselbe Zweckbestimmung, die weiter oben über die MDR-Klasse entscheidet.

Für die Beschaffung folgt daraus ein praktischer Punkt: Wer beim Medizinprodukt auf die Update-Pflichten des CRA vertraut, verlässt sich auf eine Vorschrift, die dort nicht greift. Die Cybersicherheitsanforderungen stehen in diesem Fall in der MDR selbst, und die Dauer der Update-Versorgung gehört in den Vertrag. Wie weit die Kette aus Vernetzung, Fernwartung und Herstellerzugriff außerhalb der Klinik reicht, zeigt der Beitrag zu vernetzten Autos und ihrem Sicherheitsrisiko.

Die vollen Pflichten des CRA gelten nach aktuellem Stand ab dem 11.12.2027. Hersteller müssen Sicherheit dann über den ganzen Lebenszyklus mitdenken, denn ein Roboter, der jahrelang im Betrieb bleibt, braucht jahrelang Updates. Für die Beschaffung hängt daran die Frage, wie lange der Hersteller die Update-Versorgung schriftlich zusagt.

Wenn etwas schiefgeht: die neue Produkthaftung

Bei einem Schaden stellt sich die Haftungsfrage neu. Die überarbeitete Produkthaftungs-Richtlinie 2024/2853 nennt Software und KI ausdrücklich als „Produkt“ und ist national umzusetzen bis zum 09.12.2026 — das ist eine Umsetzungsfrist, kein Datum, ab dem sie unmittelbar gilt. Die konkrete Wirkung entsteht erst mit dem nationalen Gesetz.

Für Geschädigte bringt die Reform Beweiserleichterungen. Bei komplexer KI kann die Beweislast entschärft werden, weil der Nachweis sonst kaum gelingt, und auch mehr Akteure der Lieferkette können in die Haftung geraten. Wie das in Deutschland genau ausfällt, hängt vom Umsetzungsgesetz ab und gehört zum Redaktionszeitpunkt geprüft.

Deutschland-Spezifika: MPBetreibV, MPDG und das BfArM

Die EU gibt den Rahmen vor, den Deutschland national ausfüllt. Die MDR wird hierzulande über das MPDG durchgeführt, das Medizinprodukterecht-Durchführungsgesetz. Den Betrieb in Kliniken und Pflegeheimen regelt die MPBetreibV mit Bestandsbuch, Instandhaltung, Einweisung und regelmäßigen Kontrollen.

Als zuständige Bundesbehörde für Medizinprodukte steht vor allem das BfArM im Zentrum. Es übernimmt Meldungen, Marktüberwachung, Klassifikation und die Feststellung des rechtlichen Status, während für die Betreiberüberwachung teils die Länder zuständig sind, etwa Regierungspräsidien. Die nationale Umsetzung von Produkthaftung und CRA läuft zum Redaktionszeitpunkt noch und gehört im Einzelfall geprüft.

Normen als Kür, nicht Gesetz: ISO 13482

Neben Gesetzen kursieren Normen, und beide sollte man nicht verwechseln. Die ISO 13482:2014 ist eine Sicherheitsnorm für persönliche Assistenzroboter und deckt Pflege-, Mobilitäts- und Personentransport-Assistenz ab. Vorgeschrieben ist sie nicht — sie ist freiwillig.

Nützlich ist sie trotzdem, weil die Entwicklung nach einer anerkannten Norm die Konformitätsbewertung erleichtert. Eine Revision unter dem Kürzel prEN ISO 13482 ist in Arbeit. Ob und wann sie als harmonisierte Norm unter der Maschinen-VO gilt, ist offen und gehört an der aktuellen Listung geprüft.

Grenzfälle und was Sie vor einer Beschaffung prüfen sollten

Die kniffligen Fälle liegen zwischen den Kategorien. Ein Roboter, der Vitalparameter erfasst, kann vom Service- zum Medizinprodukt kippen. Ein Transportroboter wie der Aethon TUG, in US-Kliniken IM VERKAUF, dürfte nach aktuellem Stand in der Regel nur die Maschinen-CE tragen, solange kein medizinischer Zweck ausgelobt ist. Solche Einordnungen liegen beim Hersteller und seiner ausgelobten Zweckbestimmung.

Vor einer Beschaffung lohnt deshalb eine nüchterne Klärung. Dazu gehören die ausgelobte Zweckbestimmung, die vorhandenen CE-Routen und die zugesagte Update-Dauer, ebenso die eigene Rolle beim Datenschutz und die Frage, ob eine Folgenabschätzung nötig wird. Die konkrete Rechtslage prüft im Zweifel eine Fachstelle.

Die Kostenseite einer solchen Anschaffung steht in einem eigenen Beitrag zu den Kosten von Klinikrobotern. Recht und Budget hängen enger zusammen, als es zunächst wirkt, weil Zertifizierung, Betrieb und Datenschutz über die ganze Nutzungsdauer Aufwand verursachen. Dieser Aufwand gehört in die Beschaffungsrechnung.

Einordnung: Recht ernst nehmen, Rechtsberatung nicht ersetzen

Fast jeder Klinikroboter ist eine CE-Maschine, und viele sind zusätzlich datenverarbeitende und vernetzte Geräte. Ob ein Medizinprodukt-Strang und Hochrisiko-KI-Pflichten dazukommen, entscheidet die Zweckbestimmung. Ein reiner Transportroboter und ein KI-Chirurgieroboter stehen auf demselben Flur, aber unter ganz unterschiedlicher Rechtslast.

Die Fristen laufen gestaffelt — die Maschinen-VO ab 20.01.2027, die MDR seit 2021, der AI Act mit nach hinten verschobenen Hochrisiko-Terminen. CE bleibt dabei eine Herstellererklärung, kein Gütesiegel. Wer beschafft, klärt Zweckbestimmung, CE-Routen, Datenschutzrolle und Update-Zusagen besser früh als spät. Das ist eine redaktionelle Einordnung, keine Rechtsberatung; im Einzelfall Anwalt/Fachstelle. Den breiteren Kontext liefert der Überblick zur Robotik im Gesundheitswesen.

Zum Stichtag 8. Dezember 2026 wechselt das Produkthaftungsrecht — Einzelheiten in unserem Beitrag zur Produkthaftung ab Dezember 2026.