BCI in Deutschland: Zulässigkeit, Pflichten und EU-Recht 2026

August 2026

Autor: Rechtsanwalt Dr. Marc Maisch / Headerbild: KI-generiert

Der Nacken-Port („Headjack„) ermöglicht über eine API am Hinterkopf das Gehirn direkt mit der virtuellen Realität zu verbinden (siehe Headerbild). Auf diese Weise können Skills (wie Martial Arts oder Hubschrauberfliegen) per Daten-Download direkt ins Hirn geladen werden. So war es jedenfalls (aus-)gedacht für den Klassiker Matrix aus dem Jahr 1999. Auch bei Avatar, 10 Jahre später, kam ein „neuraler Link“ zum Einsatz.

Brain-Computer-Interfaces klingen erstmal wie Science Fiction. Sie sind überraschender Weise in Deutschland erlaubt. Ein eigenes BCI-Geset gibt es nicht. Gleichwohl müssen Hersteller eine Reihe von Vorschriften aus dem Medizinprodukterecht, KI-Verordnung, DSGVO, Cybersicherheitsrecht und ab Dezember 2026 aus dem neuen Produkthaftungsrecht gleichzeitig erfüllen. Ein eigenes Gesetzesvorhaben für Neurotechnologie aus der EU gibt es aktuell nicht.

Der Markt bewegt sich schneller als der Gesetzgeber. Im März 2026 hat die chinesische Arzneimittelbehörde NMPA das erste kommerzielle Hirnimplantat zugelassen. Im Juli 2026 setzten Ärzte in Shanghai das Produkt erstmals regulär ein. In Europa dagegen diskutieren Fachgremien noch, ob es überhaupt eine Neurotechnologie-Strategie geben soll.

Für Hersteller und Startups entsteht daraus eine unangenehme Lage. Sie brauchen Rechtssicherheit, finden aber kein Gesetz, das ihr Produkt beschreibt. Stattdessen greifen acht verschiedene Regelwerke ineinander. Wer eines übersieht, verliert Zeit im Zulassungsverfahren oder haftet später.

Dieser Beitrag ordnet die Rechtslage für Hersteller ein. Er beantwortet drei Fragen:

1. Was ist in Deutschland erlaubt?

2. Welche Pflichten treffen mich als Hersteller?

3. Und was plant die EU wirklich?

Haben Sie Fragen zu Brain-Computer-Interfaces und der Rechtslage? Nehmen Sie jetzt Kontakt zu Maisch.law Rechtsanwälte uns auf. Wir freuen uns über jede Anfrage.

Zur Person: Dr. Marc Maisch ist Rechtsanwalt und Fachanwalt für IT-Recht in München. Er ist außerdem als externer Datenschutzbeauftragter tätig. Er berät Startups, Medizintechnik- und Tech-Unternehmen an der Schnittstelle von Produktrecht, Künstlicher Intelligenz und Datenschutz. Dazu gehören die datenschutzrechtliche Architektur sensibler Datenverarbeitungen, die Prüfung von KI-Systemen nach der KI-Verordnung und die Vertragsgestaltung mit Kliniken, Forschungspartnern und Cloud-Anbietern. Dieser Beitrag bündelt diese Praxiserfahrung für Neurotechnologie-Hersteller.

1. Was ist ein Brain-Computer-Interface?

Ein Brain-Computer-Interface, kurz BCI, ist eine Schnittstelle zwischen Gehirn und Computer. Das Gerät liest neuronale Signale aus und übersetzt sie in Steuerbefehle. Manche Systeme senden auch Signale zurück und stimulieren das Gehirn.

Für die rechtliche Einordnung zählt vor allem die Bauform. Es gibt drei Gruppen:

Invasive Systeme: Elektroden liegen im Hirngewebe. Ein Neurochirurg setzt sie ein. Beispiel: Systeme, die gelähmten Patienten die Steuerung eines Cursors ermöglichen.
Teilinvasive Systeme: Die Elektroden liegen auf der Hirnoberfläche oder in einem Blutgefäß. Der Eingriff ist kleiner, das Signal schwächer.
Nicht-invasive Systeme: EEG-Stirnbänder, Kopfhörer mit Sensoren, Ohrstecker mit Elektroden. Kein Eingriff, freier Verkauf möglich.

Die Bauform entscheidet über die Risikoklasse, über die Pflicht zur klinischen Prüfung und über die Anforderungen an die Einwilligung. Ein implantiertes System und ein EEG-Stirnband bewegen sich in völlig verschiedenen Rechtswelten, auch wenn beide Hirnsignale auslesen.

Praxisbeispiel: Ein Startup entwickelt ein EEG-Stirnband für Meditation. Ein zweites Startup entwickelt ein epikortikales Implantat für ALS-Patienten. Das erste Produkt kann innerhalb weniger Monate auf den Markt kommen. Das zweite Produkt braucht eine Benannte Stelle, eine genehmigte klinische Prüfung und mehrere Jahre Vorlauf. Der technische Unterschied wirkt klein. Der regulatorische Unterschied ist gewaltig.

2. Sind Brain-Computer-Interfaces in Deutschland zulässig?

Brain-Computer-Interfaces sind in Deutschland zulässig. Es gibt kein Verbot und es gibt kein Sondergesetz für Neurotechnologie.

Das bedeutet aber nicht, dass Hersteller frei sind. Die Zulässigkeit ergibt sich aus dem Zusammenspiel bestehender Regelwerke. Wer ein BCI in Deutschland auf den Markt bringen will, muss folgende Ebenen erfüllen:

Medizinprodukterecht: Verordnung (EU) 2017/745 (MDR) und Medizinprodukterecht-Durchführungsgesetz (MPDG).
KI-Verordnung: Verordnung (EU) 2024/1689, geändert durch die Digital-Omnibus-Verordnung (EU) 2026/1744.
Datenschutzrecht: DSGVO und Bundesdatenschutzgesetz.
Cybersicherheitsrecht: entweder die IT-Sicherheitsanforderungen der MDR oder der Cyber Resilience Act (Verordnung (EU) 2024/2847). Beides zusammen gilt nicht, denn der Cyber Resilience Act nimmt Medizinprodukte nach der MDR ausdrücklich aus (Art. 2 Abs. 6 CRA). Für Anhang-XVI-Produkte gilt diese Ausnahme ebenfalls, weil sie MDR-Produkte sind.
Produkthaftungsrecht: neues Produkthaftungsgesetz zur Umsetzung der Richtlinie (EU) 2024/2853, geplant zum 9. Dezember 2026.
Strafrecht: §§ 202a, 202b, 303a, 303b StGB für Angriffe auf das System.
Arztrecht und Einwilligung: §§ 630d, 630e BGB bei der Anwendung am Patienten.
Grundrechte: Art. 1 und Art. 2 GG schützen Menschenwürde, körperliche Unversehrtheit und das allgemeine Persönlichkeitsrecht.

Merksatz: In Deutschland ist nicht die Technologie genehmigungspflichtig, sondern das Produkt. Wer die Zweckbestimmung falsch setzt, verfehlt den gesamten Regulierungspfad.

3. Der wichtigste Hebel: die Zweckbestimmung

Die Zweckbestimmung entscheidet über alles Weitere. Sie legt fest, wofür das Produkt nach Angaben des Herstellers bestimmt ist.

Es gibt drei mögliche Pfade:

Medizinische Zweckbestimmung. Das Produkt dient der Diagnose, Therapie, Linderung oder Kompensation einer Krankheit oder Behinderung. Folge: volles MDR-Programm.
Keine medizinische Zweckbestimmung, aber Hirnstimulation. Anhang XVI MDR greift. Das Produkt fällt trotzdem unter die MDR.
Keine medizinische Zweckbestimmung, reines Auslesen. Es gilt das allgemeine Produktsicherheitsrecht, dazu Datenschutz, KI-Verordnung und Produkthaftung.

Praxisbeispiel: Zwei Hersteller verkaufen technisch dasselbe EEG-Stirnband. Hersteller A wirbt mit „besserer Fokus beim Lernen“. Hersteller B wirbt mit „unterstützt die Behandlung von ADHS“. Hersteller B hat damit ein Medizinprodukt geschaffen. Er braucht eine Benannte Stelle, klinische Daten und ein Qualitätsmanagementsystem. Der Unterschied liegt allein im Text auf der Verpackung.

! Warnung an Marketing und Vertrieb: Nicht nur die Gebrauchsanweisung schafft eine Zweckbestimmung. Auch Werbeaussagen, Pitch Decks, Landingpages und Aussagen von Vertriebsmitarbeitern zählen. Ich sehe in der Praxis regelmäßig Startups, die sich über den Vertrieb ungewollt in die MDR hineinschreiben. Legen Sie die zulässigen Claims schriftlich fest und schulen Sie das Team darauf.

4. Medizinprodukterecht: Wie funktioniert Klassifizierung und Konformität?

Ein implantierbares Brain-Computer-Interface fällt regelmäßig in die höchste Risikoklasse III. Das ergibt sich aus den Klassifizierungsregeln der MDR für implantierbare und langzeitig invasive Produkte, die in direktem Kontakt mit dem zentralen Nervensystem stehen.

Aus Klasse III folgen unter anderem diese Pflichten:

Einbindung einer benannten Stelle in das Konformitätsbewertungsverfahren.
Klinische Prüfung, da Literaturdaten für ein neuartiges Implantat praktisch nie ausreichen.
Qualitätsmanagementsystem nach ISO 13485.
Technische Dokumentation nach Anhang II und III MDR.
Eindeutige Produktkennung (UDI) und Registrierung in EUDAMED.
Überwachung nach dem Inverkehrbringen, PMCF-Plan und regelmäßige Sicherheitsberichte.
Kurzbericht über Sicherheit und klinische Leistung für Implantate.
Implantationsausweis für den Patienten.

Nicht-invasive EEG-Systeme mit medizinischer Zweckbestimmung liegen je nach Funktion niedriger, oft in Klasse IIa. Auch dort ist eine benannte Stelle nötig. Eine benannte Stelle ist übrigens nicht erst ab Klasse IIa erforderlich. Auch bestimmte Produkte der Klasse I brauchen sie, etwa Produkte mit Messfunktion oder in sterilem Zustand.

Sonderfall Anhang XVI: Was ist mit Produkten ohne medizinische Zweckbestimmung?

Anhang XVI der MDR erfasst sechs Produktgruppen ohne medizinische Zweckbestimmung. Nummer 6 dieser Liste betrifft Neurotechnologie. Erfasst sind Geräte zur Hirnstimulation, die elektrische Ströme oder magnetische oder elektromagnetische Felder anwenden, die den Schädel durchdringen, um die neuronale Aktivität im Gehirn zu verändern.

Achten Sie auf das Merkmal „den Schädel durchdringen„: Es ist das entscheidende Abgrenzungskriterium. Ein Gerät, das periphere Nerven außerhalb des Schädels stimuliert, fällt nicht unter Nummer 6. Ein Gerät, dessen Feld die Schädeldecke passiert und die Hirnaktivität verändert, fällt darunter. Zwischen diesen beiden Fällen liegt der gesamte regulatorische Unterschied.

Zwei Durchführungsverordnungen haben diesen Bereich konkretisiert. Die Durchführungsverordnung (EU) 2022/2346 legt gemeinsame Spezifikationen fest und gilt seit dem 22. Juni 2023. Die Durchführungsverordnung (EU) 2022/2347 regelt die Klassifizierung und gilt seit dem 22. Dezember 2022.

Der teuerste Irrtum der Branche: Für Anhang-XVI-Produkte gilt oft die Faustregel Klasse IIa oder IIb. Für Geräte zur Hirnstimulation stimmt sie nicht. Die Durchführungsverordnung (EU) 2022/2347 ordnet diese Produkte abweichend von den allgemeinen Klassifizierungsregeln der Klasse III zu. Das ist die höchste Risikoklasse, dieselbe wie bei einem Hirnimplantat. Wer mit Klasse IIa kalkuliert, verrechnet sich um Jahre und um einen erheblichen Teil des Budgets.

Eine Besonderheit gilt beim Nachweis: Für Anhang-XVI-Produkte muss kein klinischer Nutzen nachgewiesen werden, weil es keinen medizinischen Zweck gibt. Nachzuweisen sind Sicherheit und Leistung.

Praxisbeispiel: Ein Startup verkauft ein Headset zur transkraniellen Gleichstromstimulation und bewirbt es für „mehr Konzentration beim Gaming“. Der Hersteller hält sich für ein Lifestyle-Unternehmen. Tatsächlich fällt das Produkt unter Anhang XVI Nummer 6 MDR und wird in die Klasse III eingestuft. Es braucht eine Benannte Stelle, ein Konformitätsbewertungsverfahren, Risikomanagement nach den gemeinsamen Spezifikationen und eine Kennzeichnung, die klar sagt, dass keine medizinische Zweckbestimmung besteht. Der Weg zum Markt ist damit fast so aufwendig wie bei einem Medizinprodukt der höchsten Klasse.

Welche Übergangsfristen gelten für Bestandsprodukte?

Wer bereits ein Produkt am Markt hat, muss zusätzlich die Übergangsbestimmungen prüfen. Die Durchführungsverordnung (EU) 2023/1194 vom 20. Juni 2023 hat diese Fristen an die verlängerten MDR-Übergangsfristen der Verordnung (EU) 2023/607 angepasst. Sie enthält einen gestuften Zeitplan mit festen Stichtagen.

Ein Beispiel für die Schärfe dieser Regeln: Ein Produkt, das die Voraussetzungen der Übergangsregelung erfüllt, darf vom 1. Januar 2028 bis zum 31. Dezember 2029 nur dann noch in Verkehr gebracht werden, wenn zwischen Hersteller und Benannter Stelle eine schriftliche Vereinbarung über die Durchführung der Konformitätsbewertung besteht. Wer diese Vereinbarung nicht rechtzeitig schließt, verliert den Marktzugang, unabhängig davon, wie weit die eigene Dokumentation gediehen ist.

Für Neugründungen gilt: Die Übergangsfristen helfen Ihnen nicht. Sie betreffen Produkte, die vor den jeweiligen Stichtagen rechtmäßig in Verkehr gebracht wurden. Ein neues Produkt muss die Anforderungen von Anfang an vollständig erfüllen. Prüfen Sie die Fristen trotzdem, wenn Sie ein bestehendes Produkt oder Portfolio übernehmen.

Geräte, die Hirnsignale nur auslesen und nicht stimulieren, sind bisher nicht in Anhang XVI gelistet. Die Kommission kann die Liste durch Rechtsakt erweitern, wenn das Risikoprofil oder die Merkmale eines Produkts dies rechtfertigen. Wer heute ein reines Auslesegerät baut, sollte diese Entwicklung beobachten.

5. Klinische Prüfung in Deutschland: Wie ist der Ablauf?

Wer ein neuartiges BCI zur Konformitätsbewertung erprobt, braucht in Deutschland zwei Entscheidungen: die zustimmende Bewertung einer Ethikkommission und die Genehmigung des Bundesinstituts für Arzneimittel und Medizinprodukte (BfArM).

Das Verfahren läuft sequentiell ab. Zuerst geht der Antrag an die Ethikkommission. Erst danach stellt der Sponsor den Antrag beim BfArM und legt die zustimmende Bewertung bei. Die Anträge laufen über das Deutsche Medizinprodukte-Informations- und Datenbanksystem (DMIDS).

Rechtsgrundlage sind Art. 62 und Art. 70 MDR in Verbindung mit § 31 MPDG. Wesentliche Änderungen an einer laufenden Prüfung müssen nach Art. 75 MDR und § 54 MPDG vor der Umsetzung mitgeteilt werden. Schwerwiegende unerwünschte Ereignisse und Produktmängel sind zu melden.

Für BCI-Studien kommen drei Punkte hinzu, die Sponsoren regelmäßig unterschätzen:

Einwilligungsfähigkeit: Viele Zielgruppen sind schwer beeinträchtigt, etwa Patienten mit fortgeschrittener ALS oder nach schwerem Schlaganfall. Die MDR enthält für nicht einwilligungsfähige Personen besondere Anforderungen. Das Studiendesign muss darauf abgestimmt sein, sonst scheitert es an der Ethikkommission.
Aufklärung über Datenverarbeitung: Die Aufklärung nach Medizinprodukterecht und die Information nach Art. 13 DSGVO sind zwei verschiedene Dokumente mit unterschiedlichen Anforderungen. Sie dürfen nicht vermischt werden.
Was passiert nach Studienende? Wird das Implantat entfernt? Wer trägt die Kosten? Wer betreut den Patienten weiter, wenn das Startup insolvent wird? Ethikkommissionen fragen das inzwischen aktiv ab. Die Antwort gehört in den Prüfplan und in die Verträge mit der Klinik.

Praxistipp: Nutzen Sie die Beratungsmöglichkeit des BfArM vor Antragstellung. Ein Vorgespräch kostet Zeit, spart aber oft eine ganze Nachbesserungsrunde. Klären Sie parallel die Verträge mit dem Prüfzentrum, insbesondere zu Datenhoheit, Publikationsrechten und Rechten an den Studiendaten. Wer die Rohdaten seiner ersten Studie nicht kontrolliert, hat später ein Problem bei der Finanzierungsrunde.

6. KI-Verordnung: Was gilt seit Februar 2025 gilt und was wurde verschoben?

Fast jedes moderne BCI enthält Künstliche Intelligenz. Die Dekodierung neuronaler Signale in Steuerbefehle ist maschinelles Lernen. Damit gilt die KI-Verordnung.

Ebene 1: Verbotene Praktiken nach Art. 5 KI-Verordnung

Die Verbote gelten seit dem 2. Februar 2025. Die Bußgelder sind seit dem 2. August 2025 durchsetzbar. Der Rahmen liegt bei bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Das ist der höchste Bußgeldrahmen der gesamten Verordnung.

Drei Verbote sind für Neurotechnologie besonders relevant:

Art. 5 Abs. 1 lit. a: KI-Systeme, die unterschwellig, manipulativ oder täuschend auf das Verhalten einwirken und dadurch erheblichen Schaden verursachen. Systeme mit geschlossenem Regelkreis, die auf neuronale Zustände hin stimulieren, müssen hier sauber abgegrenzt werden.
Art. 5 Abs. 1 lit. b: das Ausnutzen von Schwachstellen aufgrund von Alter oder Behinderung. Die Zielgruppe medizinischer BCI ist häufig genau diese Gruppe. Das Verbot trifft nicht die Therapie, sondern die Ausnutzung. Die Grenze muss dokumentiert werden.
Art. 5 Abs. 1 lit. f: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Ausgenommen sind nur medizinische Gründe und Sicherheitsgründe.

Praxisbeispiel: Ein Hersteller vertreibt ein EEG-Stirnband an Unternehmen und wirbt mit einem „Wellbeing-Score“ und einer „Konzentrationsmessung“ für Beschäftigte. Das Produkt schließt aus neuronalen Signalen auf einen Gemütszustand. Vieles spricht dafür, dass das Verbot greift. Verboten wäre dann nicht nur der Einsatz beim Kunden, sondern bereits das Inverkehrbringen. Der Hersteller trägt das Risiko selbst, nicht nur sein Kunde.

So ist die Frage jedoch noch nicht geklärt: Das Verbot setzt voraus, dass die Emotion aus biometrischen Daten im Sinne der KI-Verordnung abgeleitet wird. Ob neuronale Daten unter diesen Begriff fallen, ist in der Fachliteratur umstritten und bisher weder von Gerichten noch von Aufsichtsbehörden entschieden. Wer ein solches Produkt plant, sollte diese Unsicherheit kennen. Verlassen Sie sich nicht darauf, dass die Auslegung zu Ihren Gunsten ausfällt. Bei einem Bußgeldrahmen von bis zu 35 Millionen Euro ist die Wette schlecht kalkuliert.

Ebene 2: Hochrisiko-KI

Ein medizinisches BCI wird regelmäßig als Hochrisiko-KI-System eingestuft. Der Weg dorthin führt über Art. 6 Abs. 1 KI-Verordnung in Verbindung mit Anhang I. Die Vorschrift kennt zwei Alternativen, und Hersteller übersehen häufig die zweite:

Alternative 1: Das KI-System ist Sicherheitsbauteil eines Produkts, das unter das in Anhang I genannte Unionsrecht fällt. Beispiel: Die Dekodierungssoftware steckt in einem Implantat.
Alternative 2: Das KI-System ist selbst ein solches Produkt. Beispiel: Eine eigenständige Software zur Signalanalyse, die als Medizinprodukt in Verkehr gebracht wird. Wer nur an das eingebaute Bauteil denkt, hält sich hier fälschlich für nicht betroffen.

Hinzu kommen muss, dass das Produkt eine Konformitätsbewertung durch eine dritte Stelle durchläuft. Die MDR ist in Anhang I der KI-Verordnung aufgeführt. Medizinprodukte, die eine Benannte Stelle einbinden müssen, erfüllen diese Voraussetzung.

Hier hat sich die Rechtslage im Juli 2026 geändert. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten. Sie ändert über vierzig Artikel der KI-Verordnung und verschiebt die Hochrisiko-Pflichten:

Eigenständige Hochrisiko-Systeme nach Anhang III: Geltung ab 2. Dezember 2027.
In Produkte eingebettete Hochrisiko-Systeme nach Anhang I, also der typische Fall beim medizinischen BCI: Geltung ab 2. August 2028.
Der Begriff des Sicherheitsbauteils wurde präzisiert. Systeme mit rein unterstützender oder optimierender Funktion gelten nicht automatisch als Hochrisiko, wenn von ihrem Ausfall keine unmittelbaren Sicherheits- oder Gesundheitsrisiken ausgehen.
Die Transparenzpflichten nach Art. 50 bleiben beim 2. August 2026, mit einer Übergangsfrist bis 2. Dezember 2026 für Bestandssysteme.

Die wichtigste Erleichterung für Medizintechnik: weniger Doppelregulierung

Der Digital Omnibus adressiert ausdrücklich das Nebeneinander von Produktsicherheitsrecht und KI-Verordnung. Die Kommission kann Anforderungen der KI-Verordnung einschränken, wenn bereits sektorale Regelungen ein gleichwertiges oder höheres Schutzniveau gewährleisten. Die Konformitätsbewertungsverfahren sollen enger mit den bestehenden Produktregelungen verzahnt werden.

Medizinprodukte sind einer der Bereiche, für die das besonders relevant sein dürfte, weil dort ohnehin eine hohe Regulierungsdichte besteht. Ziel ist, Mehrfachprüfungen und doppelte Dokumentation abzubauen, ohne das Schutzniveau zu senken.

Was das praktisch bedeutet: Bauen Sie Ihre technische Dokumentation nicht in zwei getrennten Silos auf. Risikomanagement, Datenqualität, Protokollierung und menschliche Aufsicht lassen sich für MDR und KI-Verordnung gemeinsam abbilden. Wie weit die Entlastung konkret reicht, hängt davon ab, ob und wie die Kommission von dieser Möglichkeit Gebrauch macht. Das ist noch offen.

Einordnung aus der Beratung: Die Verschiebung ist keine Entwarnung. Die Verbote nach Art. 5 gelten unverändert und werden bereits durchgesetzt. Die MDR-Pflichten gelten ohnehin. Und die zusätzliche Zeit ist Arbeitszeit, keine Wartezeit. Wer sein Qualitätsmanagementsystem jetzt so aufsetzt, dass es Risikomanagement, Datenqualität, Protokollierung und menschliche Aufsicht gemeinsam für MDR und KI-Verordnung abbildet, spart später eine komplette zweite Dokumentationsschicht.

7. Datenschutz: Welche Daten sind der kritischste Datenbestand Ihres Unternehmens?

Neuronale Daten sind personenbezogene Daten. In der Regel sind sie Gesundheitsdaten im Sinne von Art. 9 DSGVO und damit besonders geschützt.

Das gilt auch für Consumer-Produkte. Sobald sich aus dem Signal Rückschlüsse auf Epilepsie, Schlafstörungen, Depressionen oder kognitive Einschränkungen ziehen lassen, liegen Gesundheitsdaten vor. Die Absicht des Herstellers spielt dabei keine Rolle.

Wie können Sie Rohsignal und Ableitung differenzieren?

Unterscheiden Sie zwei Datenbestände:

Das Rohsignal. Es ist extrem umfangreich, hochauflösend und praktisch nicht anonymisierbar. Neuronale Muster sind individuell und wirken wie ein biometrischer Fingerabdruck.
Die Ableitung. Also der Wert, den Ihr Modell aus dem Signal berechnet, etwa ein Aufmerksamkeitswert. Auch diese Ableitung ist ein personenbezogenes Datum.

Beides unterliegt der DSGVO. Der Satz „wir speichern nur aggregierte Werte“ hilft rechtlich nur, wenn die Aggregation tatsächlich keinen Personenbezug mehr zulässt. Diesen Nachweis müssen Sie führen können.

Überblick: Welche Pflichten gelten?

Rechtsgrundlage: Bei Consumer-Produkten in der Regel die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Im Behandlungskontext kommt Art. 9 Abs. 2 lit. h DSGVO in Betracht.
Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: Bei BCI praktisch immer erforderlich. Es treffen mehrere Kriterien zusammen: innovative Technologie, sensible Daten, systematische Beobachtung, oft vulnerable Betroffene.
Datenschutz durch Technikgestaltung nach Art. 25 DSGVO: Verarbeiten Sie das Rohsignal möglichst auf dem Gerät. Übertragen Sie nur, was Sie brauchen. Löschen Sie früh.
Auftragsverarbeitung nach Art. 28 DSGVO: Jeder Cloud-Anbieter, jeder Analyse-Dienstleister braucht einen Vertrag zur Auftragsverarbeitung.
Drittlandtransfer nach Art. 44 ff. DSGVO: Prüfen Sie den Übertragungsweg, bevor Sie ihn bauen, nicht danach.
Zweckbindung nach Art. 5 DSGVO: Die Nutzung von Nutzerdaten zum Training des eigenen Modells ist ein eigener Zweck und braucht eine eigene Grundlage.
Betroffenenrechte: Auskunft und Löschung müssen technisch umsetzbar sein.

Praxisbeispiel: Ein Startup sammelt Rohdaten von 4.000 Nutzern und will damit sein Dekodierungsmodell verbessern. Die Einwilligung deckt aber nur die „Verbesserung der Nutzererfahrung“ ab. Zwei Jahre später widerruft ein Nutzer. Das Unternehmen kann nicht mehr sagen, welche Daten in welchem Modellstand stecken. Diese Situation ist im Rahmen einer Due Diligence ein ernstes Problem. Investoren fragen inzwischen gezielt nach der Herkunft der Trainingsdaten. Bauen Sie die Löschbarkeit von Anfang an ein und führen Sie ein Register, das Nutzerdaten und Modellversionen verknüpft.

Empfehlung: Behandeln Sie neuronale Rohdaten wie Kronjuwelen. Legen Sie schriftlich fest, wer im Unternehmen Zugriff hat, in welchen Systemen die Daten liegen und wann sie gelöscht werden. Diese Festlegung brauchen Sie ohnehin für die Datenschutz-Folgenabschätzung. Sie ist zugleich das beste Argument gegenüber Aufsichtsbehörden und Kunden.

8. Cybersicherheit und Strafrecht: Wie steht es um das Risiko „Brainhacking“?

Ein Angriff auf ein Brain-Computer-Interface ist kein Gedankenspiel. Denkbar sind zwei Szenarien: das Mitlesen neuronaler Daten und die Manipulation der Stimulation.

Strafrechtlich greifen bestehende Vorschriften:

§ 202a StGB: Ausspähen von Daten, wenn ein Angreifer die Zugangssicherung überwindet und Signale ausliest.
§ 202b StGB: Abfangen von Daten bei nicht öffentlicher Übertragung, etwa über eine Funkstrecke.
§ 303a StGB: Datenveränderung, wenn Konfigurations- oder Stimulationsparameter verändert werden.
§ 303b StGB: Computersabotage bei Störung einer wesentlichen Datenverarbeitung.
Bei einer Manipulation der Stimulation kommen zusätzlich Körperverletzungsdelikte nach §§ 223 ff. StGB in Betracht, weil der Eingriff unmittelbar auf den Körper wirkt.

Für Hersteller ist die strafrechtliche Seite aber nur die halbe Antwort. Wichtiger sind die eigenen Pflichten:

Anhang I MDR verlangt für Produkte mit Software ein angemessenes IT-Sicherheitsniveau über den gesamten Lebenszyklus.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) gilt vollständig ab dem 11. Dezember 2027. Meldepflichten für aktiv ausgenutzte Schwachstellen greifen bereits ab September 2026.
Wichtig ist die Abgrenzung: Der Cyber Resilience Act nimmt Medizinprodukte nach der MDR ausdrücklich von seinem Anwendungsbereich aus (Art. 2 Abs. 6 CRA). Ein CE-gekennzeichnetes medizinisches BCI unterliegt also der MDR, nicht dem CRA. Der CRA ist der zentrale Rahmen für vernetzte Neuro-Wearables ohne medizinische Zweckbestimmung, die nicht unter Anhang XVI fallen, also insbesondere für reine Auslesegeräte.
Sie brauchen eine Kontaktstelle für Schwachstellenmeldungen und einen dokumentierten Umgang mit Meldungen von Sicherheitsforschern.

Die harte Frage für Implantathersteller: Ein Hirnimplantat bleibt zehn Jahre oder länger im Körper. Können Sie über diesen Zeitraum Sicherheitsupdates liefern? Was passiert, wenn Ihr Bluetooth-Stack in Jahr sechs eine kritische Lücke hat? Und was passiert, wenn Ihr Unternehmen in Jahr acht nicht mehr existiert? Auf diese Fragen brauchen Sie eine Antwort, bevor die Benannte Stelle sie stellt. Praktische Ansätze sind Treuhandlösungen für den Quellcode, vertragliche Übernahmevereinbarungen und eine dokumentierte Update-Strategie in der technischen Dokumentation.

9. Produkthaftung: Was ändert der 9. Dezember 2026?

Die Richtlinie (EU) 2024/2853 modernisiert das europäische Produkthaftungsrecht und ändert somit die Risikoverteilung. Deutschland setzt sie mit einem neuen Produkthaftungsgesetz um, das zum 9. Dezember 2026 in Kraft treten soll.

Die wichtigsten Änderungen für BCI-Hersteller:

Software und KI-Systeme sind ausdrücklich Produkte. Die alte Diskussion, ob reine Software erfasst ist, ist beendet.
Ein Sicherheitsmangel kann einen Produktfehler begründen. Cybersicherheit wird damit zur Haftungsfrage.
Es gibt Beweiserleichterungen für Geschädigte und Offenlegungspflichten für Hersteller. Wer nicht darlegen kann, wie er entwickelt und getestet hat, steht schlechter da als früher.
Die bisherige Haftungshöchstgrenze entfällt.
Fehlende Sicherheitsupdates können einen Fehler begründen, wenn der Hersteller die Kontrolle über das Produkt behält.

Für Produkte, die bis einschließlich 8. Dezember 2026 in Verkehr gebracht werden, bleibt es beim bisherigen Recht. Für alles danach gilt das neue Regime.

Praxistipp: Zwei Maßnahmen sind jetzt sinnvoll. Erstens: Prüfen Sie Ihre Betriebshaftpflicht- und Produkthaftpflichtversicherung auf Deckungssummen und auf die Deckung von Softwarefehlern. Zweitens: Sorgen Sie dafür, dass Ihre Entwicklungs- und Testdokumentation lückenlos ist. Diese Dokumentation ist unter dem neuen Recht Ihr wichtigstes Verteidigungsmittel, weil Sie im Streitfall zur Offenlegung verpflichtet werden können.

10. Werbung und Claims: Gibt es ein unterschätztes Abmahnrisiko?

Art. 7 MDR verbietet irreführende Angaben über Zweckbestimmung, Sicherheit und Leistung eines Produkts. Das Verbot gilt auch für Produkte nach Anhang XVI.

Für Neurotechnologie ist das brisant, weil die Marketingsprache der Branche gern medizinisch klingt. Aussagen wie „reduziert Stress“, „lindert Angstzustände“ oder „verbessert die Schlafqualität“ bewegen sich im Grenzbereich. Kommt eine Krankheitsbezeichnung hinzu, ist die Grenze überschritten.

Die Folgen sind doppelt unangenehm. Aufsichtsbehörden können das Produkt als nicht konformes Medizinprodukt behandeln. Wettbewerber und Verbände können nach dem Gesetz gegen den unlauteren Wettbewerb abmahnen.

Praxisbeispiel: Ein Anbieter bewirbt ein Neurofeedback-Headset auf Social Media mit dem Satz „hilft nachweislich bei Burnout“. Er hat weder eine medizinische Zweckbestimmung erklärt noch klinische Daten. Ein Wettbewerber mahnt ab. Parallel prüft die Marktüberwachung, ob ein nicht konformes Medizinprodukt vorliegt. Die Kosten des Vertriebsversprechens übersteigen den Nutzen deutlich.

11. Einsatz beim Kunden: Warum betrifft Arbeitsrecht Ihr Geschäftsmodell?

Viele Neurotech-Startups planen ein B2B-Modell: Konzentrationsmessung im Betrieb, Müdigkeitserkennung bei Fahrern, Aufmerksamkeitstracking in der Ausbildung.

Diese Modelle stoßen in Deutschland auf drei Hürden:

Art. 5 Abs. 1 lit. f KI-Verordnung verbietet Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen.
Eine Einwilligung von Beschäftigten ist wegen des Abhängigkeitsverhältnisses nur eingeschränkt tragfähig. Das folgt bereits aus dem Freiwilligkeitserfordernis der DSGVO. Die Reichweite des § 26 BDSG ist nach der Entscheidung des EuGH in der Rechtssache C-34/21 umstritten, an der Bewertung der Einwilligung im Beschäftigungsverhältnis ändert das im Ergebnis wenig.
Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Ein Neuro-Wearable erfüllt dieses Kriterium eindeutig.

Warum das den Hersteller angeht: Ein Produkt, das Ihr Kunde rechtlich nicht einsetzen darf, ist kein Produkt. Klären Sie die Einsatzszenarien vor der Produktentwicklung. Die Ausnahme für Sicherheitsgründe, etwa Müdigkeitserkennung bei Berufskraftfahrern, ist tragfähiger als jedes Produktivitätsversprechen. Sie muss aber sauber begründet und dokumentiert sein.

12. Was plant die EU wirklich?

Die ehrliche Antwort lautet: Es gibt derzeit kein Gesetzgebungsverfahren der EU für Neurotechnologie oder Brain-Computer-Interfaces.

Es kursieren viele Begriffe, die nach Gesetzgebung klingen. Die Einordnung ist wichtig:

Die León-Erklärung zur europäischen Neurotechnologie aus dem Jahr 2023 ist eine politische Erklärung des Rates. Sie fordert einen menschenzentrierten und rechtebasierten Ansatz. Sie ist nicht verbindlich.
Die Europäische Charta für die verantwortungsvolle Entwicklung von Neurotechnologien stammt vom European Brain Council. Das ist ein Verband, kein Gesetzgeber. Die Charta ist ein freiwilliger Branchenstandard.
Die UNESCO-Empfehlung zur Ethik der Neurotechnologie wurde im November 2025 von allen 194 Mitgliedstaaten angenommen. Deutschland hat den Prozess maßgeblich mitgestaltet. Es ist der erste globale Rahmen, aber er ist rechtlich nicht bindend. Er richtet sich an Staaten, Forschungseinrichtungen und Unternehmen.
Vorschläge für eine EU-Neurotechnologie-Strategie kommen aus Think Tanks und Fachverbänden. Diskutiert werden Kennzeichnungspflichten, ein Gütesiegel, Reallabore und strengere Regeln für gesundheitsnahe Werbeaussagen. Ein Rechtsakt ist daraus bisher nicht geworden.

Der politische Trend zeigt derzeit sogar in die Gegenrichtung. Mit dem Digital Omnibus hat die EU im Juli 2026 bestehende KI-Pflichten vereinfacht und verschoben. Neue sektorspezifische Regulierung ist in diesem Klima unwahrscheinlich.

Meine Prognose: Die nächste Regulierungsstufe für Neurotechnologie kommt nicht als eigenes Gesetz, sondern als Auslegung des bestehenden Rechts. Zu erwarten sind Leitlinien der Medical Device Coordination Group zur Einordnung von Neuroprodukten, Stellungnahmen des Europäischen Datenschutzausschusses zu neuronalen Daten und eine Erweiterung von Anhang XVI MDR auf reine Auslesegeräte. Wer heute Datenminimierung, Transparenz und dokumentierte Sicherheit einbaut, erfüllt diese kommenden Vorgaben ohne Umbau. Wer wartet, baut zweimal.

13. Internationaler Vergleich in Kürze

Wer exportiert, trifft auf sehr unterschiedliche Regeln:

Chile hat 2021 als erstes Land Neurorechte in die Verfassung aufgenommen. Der Oberste Gerichtshof hat diese Regeln bereits in einem Verfahren gegen ein Neurotechnologie-Unternehmen angewendet.
In den USA gibt es kein Bundesgesetz, aber eine wachsende Zahl von Einzelstaaten. Colorado hat neuronale Daten im August 2024 als sensible Daten eingestuft. Kalifornien folgte zum 1. Januar 2025, Montana zum 1. Oktober 2025. Weitere Staaten bereiten Regelungen vor.
China hat im März 2026 als erstes Land ein invasives Hirnimplantat kommerziell zugelassen. Im Juli 2026 wurde es in Shanghai erstmals regulär eingesetzt.

Konsequenz für die Produktarchitektur: Bauen Sie Ihre Datenhaltung von Anfang an mandantenfähig und regional trennbar. Die Anforderungen an neuronale Daten unterscheiden sich pro Markt und sie werden strenger, nicht lockerer. Eine nachträgliche Trennung von Datenbeständen ist teuer.

14. Was sind die zehn häufigsten Fehler in der Praxis?

Die Zweckbestimmung wird vom Marketing bestimmt und nicht vom Regulatory-Team.
Neuronale Rohdaten wandern ohne Not in die Cloud.
Die Einwilligung ist zu allgemein formuliert und deckt das Modelltraining nicht ab.
Die KI-Komponente ist technisch dokumentiert, aber nicht nach den Anforderungen der KI-Verordnung.
Es gibt kein Update-Konzept über die Lebensdauer eines Implantats.
Die klinische Prüfung wird erst geplant, wenn das Produkt fertig ist.
Anhang XVI MDR wird bei Stimulationsgeräten ohne medizinische Zweckbestimmung übersehen, oder die Klasse III wird übersehen.
Der US-Markteintritt erfolgt ohne Prüfung der einzelstaatlichen Neurodaten-Gesetze.
Es fehlt eine Datenschutz-Folgenabschätzung, obwohl sie eindeutig erforderlich ist.
Verträge mit Kliniken und Forschungspartnern regeln weder Datenhoheit noch Rechte an den Ergebnissen.

15. Zehn-Punkte-Fahrplan für Hersteller und Startups

Schritt 1: Zweckbestimmung schriftlich festlegen und alle zulässigen Werbeaussagen daraus ableiten.
Schritt 2: Regulatorischen Pfad bestimmen. Medizinprodukt, Anhang XVI oder allgemeines Produktrecht.
Schritt 3: Risikoklasse ermitteln und frühzeitig Kontakt zu einer Benannten Stelle aufnehmen. Kapazitäten sind knapp.
Schritt 4: Qualitätsmanagementsystem aufsetzen und die Anforderungen der KI-Verordnung darin integrieren.
Schritt 5: Datenarchitektur festlegen. Was bleibt auf dem Gerät, was wird übertragen, was wird wann gelöscht.
Schritt 6: Datenschutz-Folgenabschätzung durchführen und dokumentieren.
Schritt 7: Klinische Strategie planen. Ethikkommission zuerst, dann BfArM über DMIDS.
Schritt 8: Sicherheitskonzept festlegen, einschließlich Update-Fähigkeit und Meldewegen für Schwachstellen.
Schritt 9: Haftung und Versicherung an das neue Produkthaftungsrecht ab Dezember 2026 anpassen.
Schritt 10: Verträge mit Kliniken, Forschungspartnern, Cloud-Anbietern und Investoren auf Datenhoheit und Rechte prüfen.

Entwickeln Sie ein Brain-Computer-Interface oder ein Neuro-Wearable?

Ich unterstütze Neurotechnologie-Hersteller und Startups bei der Einordnung ihres Produkts, bei der Datenschutzarchitektur für neuronale Daten, bei der Prüfung nach der KI-Verordnung und bei Verträgen mit Kliniken, Forschungspartnern und Dienstleistern. Wenn Sie dazu Fragen haben, melden Sie sich gerne über die Internetseite maisch.law. Eine kurze Einordnung zu Beginn spart in diesem Feld regelmäßig Monate.

FAQ

Sind Brain-Computer-Interfaces in Deutschland erlaubt?

Ja, Brain-Computer-Interfaces sind in Deutschland erlaubt. Es gibt weder ein Verbot noch ein eigenes Gesetz für Neurotechnologie. Die Zulässigkeit ergibt sich aus dem Zusammenspiel von Medizinprodukterecht, KI-Verordnung, Datenschutzrecht, Cybersicherheitsrecht und Produkthaftungsrecht. Hersteller brauchen deshalb keine Genehmigung für die Technologie, wohl aber ein Konformitätsbewertungsverfahren für ihr konkretes Produkt.

Braucht ein Brain-Computer-Interface eine CE-Kennzeichnung?

Ja, in nahezu allen Fällen. Hat das Produkt eine medizinische Zweckbestimmung, gilt die Medizinprodukteverordnung (EU) 2017/745. Stimuliert das Produkt das Gehirn ohne medizinische Zweckbestimmung, greift Anhang XVI derselben Verordnung. Reine Auslesegeräte ohne medizinische Zweckbestimmung unterliegen dem allgemeinen Produktsicherheitsrecht. Eine CE-Kennzeichnung ohne die richtige Rechtsgrundlage nützt nichts und begründet ein Marktüberwachungsrisiko.

In welche Risikoklasse fällt ein implantierbares Brain-Computer-Interface?

Ein implantierbares Brain-Computer-Interface fällt in der Regel in die höchste Risikoklasse III. Ausschlaggebend ist der dauerhafte invasive Kontakt mit dem zentralen Nervensystem. Aus Klasse III folgen die Einbindung einer Benannten Stelle, eine klinische Prüfung, ein Qualitätsmanagementsystem, ein Implantationsausweis und ein Kurzbericht über Sicherheit und klinische Leistung.

Was gilt für Brain-Computer-Interfaces ohne medizinische Zweckbestimmung?

Anhang XVI der Medizinprodukteverordnung erfasst Geräte zur Hirnstimulation, die elektrische Ströme oder magnetische oder elektromagnetische Felder anwenden, die den Schädel durchdringen, um die neuronale Aktivität im Gehirn zu verändern. Die gemeinsamen Spezifikationen der Durchführungsverordnung (EU) 2022/2346 gelten seit dem 22. Juni 2023. Ein klinischer Nutzen muss nicht nachgewiesen werden, wohl aber Sicherheit und Leistung. Reine Auslesegeräte sind derzeit nicht gelistet.

In welche Klasse fallen Geräte zur Hirnstimulation ohne medizinische Zweckbestimmung?

Diese Geräte fallen in die Klasse III. Die Durchführungsverordnung (EU) 2022/2347 ordnet Produkte zur Hirnstimulation, die den Schädel durchdringende Ströme oder Felder anwenden, abweichend von den allgemeinen Klassifizierungsregeln der höchsten Risikoklasse zu. Die verbreitete Faustregel, wonach Anhang-XVI-Produkte meist in Klasse IIa oder IIb liegen, trifft hier also nicht zu. Hersteller sollten das früh in ihre Zeit- und Budgetplanung einrechnen.

Gilt der Cyber Resilience Act für Brain-Computer-Interfaces?

Nur für Produkte, die keine Medizinprodukte sind. Der Cyber Resilience Act nimmt Medizinprodukte nach der Verordnung (EU) 2017/745 nach seinem Art. 2 Abs. 6 ausdrücklich aus. Für ein CE-gekennzeichnetes medizinisches Brain-Computer-Interface gelten deshalb die IT-Sicherheitsanforderungen der Medizinprodukteverordnung. Der Cyber Resilience Act erfasst dagegen vernetzte Neuro-Wearables ohne medizinische Zweckbestimmung und gilt vollständig ab dem 11. Dezember 2027.

Wie läuft die Genehmigung einer klinischen Prüfung in Deutschland ab?

Das Verfahren läuft sequentiell. Zuerst beantragt der Sponsor die zustimmende Bewertung bei der zuständigen Ethikkommission. Erst danach stellt er den Genehmigungsantrag beim Bundesinstitut für Arzneimittel und Medizinprodukte und legt die Bewertung der Ethikkommission bei. Die Einreichung erfolgt über das Deutsche Medizinprodukte-Informations- und Datenbanksystem. Rechtsgrundlage sind Art. 62 und Art. 70 MDR in Verbindung mit § 31 MPDG.

Sind Gehirndaten Gesundheitsdaten nach der DSGVO?

Ja, neuronale Daten sind in aller Regel Gesundheitsdaten nach Art. 9 DSGVO. Das gilt auch für Consumer-Produkte, sobald sich aus dem Signal Rückschlüsse auf den Gesundheitszustand ziehen lassen. Erfasst sind sowohl das Rohsignal als auch die daraus berechneten Werte. Neuronale Rohdaten lassen sich zudem kaum anonymisieren, weil die Muster individuell sind.

Brauche ich für ein Brain-Computer-Interface eine Datenschutz-Folgenabschätzung?

Ja, praktisch immer. Bei Brain-Computer-Interfaces treffen mehrere Kriterien des Art. 35 DSGVO zusammen: der Einsatz innovativer Technologie, die Verarbeitung besonderer Kategorien personenbezogener Daten, eine systematische Beobachtung und häufig eine vulnerable Nutzergruppe. Die Datenschutz-Folgenabschätzung sollte vor dem Produktivstart vorliegen und bei jeder wesentlichen Änderung aktualisiert werden.

Gilt die KI-Verordnung für Brain-Computer-Interfaces?

Ja, sobald das Produkt ein KI-System enthält. Die Dekodierung neuronaler Signale durch maschinelles Lernen erfüllt diese Voraussetzung. Medizinische Brain-Computer-Interfaces gelten regelmäßig als Hochrisiko-KI. Das gilt nach Art. 6 Abs. 1 KI-Verordnung sowohl, wenn das KI-System Sicherheitsbauteil eines Produkts ist, als auch, wenn das KI-System selbst das Produkt ist. Der zweite Fall betrifft eigenständige Software und wird von Herstellern häufig übersehen.

Ab wann gelten die Hochrisiko-Pflichten der KI-Verordnung?

Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat die Fristen verschoben. Sie ist am 27. Juli 2026 in Kraft getreten. Für eigenständige Hochrisiko-Systeme nach Anhang III gilt nun der 2. Dezember 2027. Für in Produkte eingebettete Systeme nach Anhang I, also den typischen Fall beim medizinischen Brain-Computer-Interface, gilt der 2. August 2028. Die Verbote des Art. 5 gelten unverändert seit dem 2. Februar 2025.

Darf ein Arbeitgeber Neuro-Wearables zur Konzentrationsmessung einsetzen?

Nein, in aller Regel nicht. Art. 5 Abs. 1 lit. f KI-Verordnung verbietet es, mit KI-Systemen am Arbeitsplatz und in Bildungseinrichtungen Emotionen abzuleiten. Ausnahmen bestehen nur aus medizinischen Gründen oder aus Sicherheitsgründen. Ob neuronale Daten unter den Begriff der biometrischen Daten fallen, den das Verbot voraussetzt, ist allerdings noch nicht abschließend geklärt. Unabhängig davon greifen die eingeschränkte Wirksamkeit von Einwilligungen im Beschäftigungsverhältnis und das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG.

Was kostet ein Verstoß gegen die verbotenen Praktiken der KI-Verordnung?

Verstöße gegen Art. 5 KI-Verordnung können mit bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Es gilt der höhere Wert. Das ist der höchste Bußgeldrahmen der Verordnung. Die Bußgelder sind seit dem 2. August 2025 durchsetzbar. Betroffen ist nicht nur der Anwender, sondern bereits der Anbieter, der ein solches System in Verkehr bringt.

Plant die EU ein eigenes Gesetz für Neurotechnologie?

Nein, derzeit läuft kein Gesetzgebungsverfahren der EU speziell für Neurotechnologie oder Brain-Computer-Interfaces. Es gibt die León-Erklärung des Rates von 2023, die Charta des European Brain Council und Vorschläge von Fachverbänden für eine EU-Neurotechnologie-Strategie. Alle diese Dokumente sind rechtlich nicht verbindlich. Die Regulierung erfolgt bislang über bestehende Rechtsakte.

Was regelt die UNESCO-Empfehlung zur Ethik der Neurotechnologie?

Die UNESCO-Empfehlung wurde im November 2025 von allen 194 Mitgliedstaaten angenommen und ist der erste globale Rahmen für Neurotechnologie. Sie behandelt mentale Privatheit, kognitive Freiheit, informierte Einwilligung und den gerechten Zugang zu Neurotechnologie. Sie ist rechtlich nicht bindend, dient aber als Grundlage für nationale Gesetzgebung. Deutschland hat den Verhandlungsprozess maßgeblich mitgestaltet.

Wer haftet, wenn ein Brain-Computer-Interface fehlerhaft ist?

In erster Linie haftet der Hersteller. Ab dem 9. Dezember 2026 gilt in Deutschland ein neues Produkthaftungsgesetz zur Umsetzung der Richtlinie (EU) 2024/2853. Software und KI-Systeme sind dann ausdrücklich Produkte, ein Sicherheitsmangel kann einen Produktfehler begründen, und Geschädigte profitieren von Beweiserleichterungen. Die bisherige Haftungshöchstgrenze entfällt. Für Produkte bis zum 8. Dezember 2026 bleibt es beim alten Recht.

Ist das Hacken eines Brain-Computer-Interface strafbar?

Ja, denn das unbefugte Auslesen neuronaler Daten kann als Ausspähen von Daten nach § 202a StGB oder als Abfangen von Daten nach § 202b StGB strafbar sein. Die Manipulation von Konfigurations- oder Stimulationsparametern erfüllt regelmäßig § 303a StGB oder § 303b StGB. Wirkt die Manipulation auf den Körper ein, kommen zusätzlich Körperverletzungsdelikte nach §§ 223 ff. StGB in Betracht.

Was müssen deutsche Hersteller beim Export in die USA beachten?

In den USA gibt es kein Bundesgesetz für neuronale Daten, aber Regelungen einzelner Bundesstaaten. Colorado stuft neuronale Daten seit August 2024 als sensible Daten ein, Kalifornien seit dem 1. Januar 2025 und Montana seit dem 1. Oktober 2025. Weitere Staaten bereiten Regelungen vor. Hersteller sollten ihre Datenhaltung deshalb von Anfang an regional trennbar aufbauen.

Welche Übergangsfristen gelten für bestehende Anhang-XVI-Produkte?

Die Durchführungsverordnung (EU) 2023/1194 vom 20. Juni 2023 hat die Übergangsbestimmungen für Anhang-XVI-Produkte an die verlängerten MDR-Fristen angeglichen. Der Zeitplan ist gestuft und an feste Stichtage gebunden. So darf ein Produkt, das die Übergangsvoraussetzungen erfüllt, vom 1. Januar 2028 bis zum 31. Dezember 2029 nur noch in Verkehr gebracht werden, wenn eine schriftliche Vereinbarung mit einer Benannten Stelle über die Konformitätsbewertung vorliegt. Für neue Produkte gelten diese Erleichterungen nicht.

Was ist der erste Schritt für ein Neurotech-Startup?

Der erste Schritt ist die schriftliche Festlegung der Zweckbestimmung. Sie entscheidet über den gesamten Regulierungspfad, über die Risikoklasse, über die Notwendigkeit einer klinischen Prüfung und über die zulässigen Werbeaussagen. Erst danach lassen sich Zeitplan, Budget und Zulassungsstrategie realistisch planen. Eine falsch gesetzte Zweckbestimmung kostet in der Praxis Monate.

Rechtlicher Hinweis

Dieser Beitrag gibt den Stand vom Juli 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung im Einzelfall. Die regulatorische Einordnung eines Brain-Computer-Interface hängt maßgeblich von der konkreten Zweckbestimmung, der technischen Ausgestaltung und dem Einsatzszenario ab. Mehrere hier behandelte Fragen sind rechtlich noch offen. Das gilt insbesondere für die Reichweite des Begriffs der biometrischen Daten in der KI-Verordnung, für den Umfang der von der Kommission geplanten Entlastung bei der Doppelregulierung und für die Umsetzung des neuen Produkthaftungsrechts. Lassen Sie Ihr Produkt vor der Markteinführung individuell prüfen.