Patientendaten anonymisieren für KI: Was DSGVO wirklich verlangt
„Ich gebe ja nur anonymisierte Daten in ChatGPT“ – ein Satz, den Datenschutzbeauftragte regelmäßig hören. Das Problem: Echte Anonymisierung im Sinne der DSGVO ist deutlich anspruchsvoller, als die meisten denken. Dieser Ratgeber erklärt den Unterschied zu Pseudonymisierung, zeigt die typischen Fehler und sagt, wann KI-Einsatz wirklich rechtssicher ist.
→ Berichte mit Scribamed erstellen — DSGVO-konform aus Stichpunkten oder aus dem mitgeschnittenen Gespräch.
Direkt ausprobieren — ohne Anmeldung
Stichpunkte eintippen oder diktieren, Scribamed strukturiert den Text in Sekunden. Die Demo ist auf wenige Durchläufe pro Tag begrenzt.
Jetzt selbst ausprobieren — ohne Login
Diktieren oder Stichpunkte eintippen — Scribamed formuliert daraus einen vollständigen Brief. Berufsgruppe und Dokumententyp wählen, einen fiktiven Fall beschreiben (bitte keine echten Patientendaten). Namen, Geburtsdaten und Kontaktdaten werden vor dem Versand an die KI automatisch pseudonymisiert.
Möchten Sie einfach nur etwas diktieren? Wählen Sie als Dokumententyp — geordnete Stichpunkte ohne Briefkopf, direkt kopierbar.
Anonymisierung vs. Pseudonymisierung
Anonymisierte Daten sind solche, bei denen ein Personenbezug auch mit allen verfügbaren Mitteln nicht mehr herstellbar ist – sie fallen vollständig aus dem Anwendungsbereich der DSGVO heraus.
Pseudonymisierte Daten ersetzen identifizierende Merkmale durch einen Schlüssel (z. B. Patient_4711). Solange der Schlüssel existiert, bleiben es personenbezogene Daten – die DSGVO gilt voll.
In der Praxis ist das, was Ärzt:innen „anonymisieren“ nennen, meist Pseudonymisierung.
Warum „Name weg“ nicht reicht
Ein 73-jähriger Patient mit Pankreas-Adenokarzinom, Aufnahme 12.04. in Klinik X, ist auch ohne Namen identifizierbar – über die Kombination aus Alter, Diagnose, Datum und Ort. Genau das meint die DSGVO mit „mit verfügbaren Mitteln identifizierbar“.
Echte Anonymisierung bedeutet: keine Quasi-Identifikatoren, die in Kombination eine Re-Identifikation ermöglichen. Bei seltenen Diagnosen ist das oft schlicht nicht möglich.
Was die Aufsichtsbehörden erwarten
Die deutschen Datenschutzaufsichten orientieren sich an den Kriterien der ehemaligen Art-29-Gruppe: Singling out, Linkability, Inference. Wenn auch nur eines dieser Risiken besteht, gelten die Daten als pseudonym, nicht als anonym.
Für KI-Tools in der Cloud bedeutet das: „Ich habe nur die Initialen weggelassen“ ist datenschutzrechtlich keine Anonymisierung.
Anonymisierung im Alltag ist fehleranfällig
Mit Scribamed entfällt die Frage. Inhalte werden Ende-zu-Ende verschlüsselt – der Anbieter sieht nichts, was anonymisiert werden müsste.
Sicheren Weg ausprobierenWas tatsächlich funktioniert
Variante A – echte Anonymisierung: Aggregation, Generalisierung (Altersgruppen statt Alter), Entfernung aller Quasi-Identifikatoren. Funktioniert für Statistik, kaum für Einzelfall-Dokumentation.
Variante B – Pseudonymisierung mit rechtskonformem Auftragsverarbeiter: AVV, EU-Hosting, § 203-konforme Einbindung. Daten bleiben personenbezogen, dürfen aber rechtlich verarbeitet werden.
Variante C – Ende-zu-Ende-Verschlüsselung: Der KI-Anbieter sieht keinen Klartext. Damit entfällt das Offenbarungs-Risiko aus § 203 StGB nahezu vollständig. Mehr unter /ratgeber/schweigepflicht-cloud-software-arzt.
Konkrete Empfehlung für die Praxis
Wer KI für Patientendokumentation einsetzen will, sollte sich nicht auf Anonymisierung verlassen, sondern auf einen Anbieter, der DSGVO und § 203 strukturell erfüllt: AVV, EU-Hosting, Ende-zu-Ende-Verschlüsselung, keine Trainingsnutzung. Damit entfällt die fehleranfällige manuelle Anonymisierung im Alltag komplett.
Häufige Fragen
„Ich verantworte die technische Sicherheit von Scribamed persönlich – Verschlüsselung, automatische Löschung und die sichere Anbindung der KI. Ihre Inhalte werden nicht zum Training von KI-Modellen verwendet."
Allgemeine Information, keine Rechtsberatung. Konkrete Anonymisierungs- und Compliance-Fragen mit Datenschutzbeauftragtem klären.
Bereit, Stunden pro Woche zu sparen?
Mit Scribamed Berichte per KI erstellen — Ende-zu-Ende-verschlüsselt, in der EU gehostet, ohne Trainingsnutzung.