DSGVO und KI in der Medizin: Was wirklich erlaubt ist

Sobald Diagnosen, Befunde, Anamnesen oder auch nur Versicherten­nummern verarbeitet werden, handelt es sich um Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO – eine besondere Kategorie personen­bezogener Daten. Für deren Verarbeitung ist die Schwelle deutlich höher als für „normale“ personenbezogene Daten.

Art. 9 Abs. 2 DSGVO listet abschließend auf, wann Gesundheitsdaten verarbeitet werden dürfen. Praxisrelevant sind vor allem:

• Buchstabe h: Verarbeitung zu Zwecken der Gesundheitsvorsorge, Diagnostik und Behandlung – das deckt den eigentlichen Behandlungs­vertrag ab.

• Buchstabe a: ausdrückliche Einwilligung der Betroffenen – relevant, wenn Daten den engeren Behandlungszweck verlassen.

Die Nutzung eines KI-Schreib­assistenten für die Erstellung von Arztbriefen lässt sich in der Regel über Buchstabe h begründen, weil die KI Teil der Behandlungs­dokumentation ist – aber nur, solange die KI als Auftrags­verarbeiter sauber eingebunden ist.

Jeder externe Dienstleister, der Patientendaten verarbeitet, ist Auftragsverarbeiter und braucht einen AVV mit der verantwortlichen Stelle (Praxis, MVZ, Klinik). Im AVV werden u.a. Zweck, Dauer, Art der Daten, technisch-organisatorische Maßnahmen, Subunternehmer und Löschpflichten geregelt.

Ohne AVV ist die Verarbeitung formell rechtswidrig – auch dann, wenn der Dienst technisch tadellos arbeitet.

Werden Daten in die USA oder andere Drittländer übertragen, greift Kapitel V der DSGVO. Seit Schrems II (2020) reicht der bloße Vertrag nicht mehr; es braucht zusätzliche Garantien (Standardvertragsklauseln plus Risikoabwägung) oder eine Zertifizierung nach EU-US-Data-Privacy-Framework.

Bei Gesundheitsdaten erhöht sich die Schwelle erheblich. Praktisch bedeutet das: Wer einen US-basierten KI-Anbieter ohne EU-Datengrenze einsetzt, hat ein dauerhaftes Compliance-Risiko – auch wenn die Server „zufällig“ in Europa stehen, solange der Mutterkonzern US-Behörden-Zugriffspflichten unterliegt.

Vor dem Einsatz sollten Sie folgende Punkte schriftlich beantwortet bekommen:

• Existiert ein AVV nach Art. 28 DSGVO?

• Wo werden die Daten verarbeitet (Land, Rechenzentrum, Subunternehmer)?

• Werden Eingaben für KI-Training genutzt? (Antwort sollte „nein“ sein.)

• Welche technisch-organisatorischen Maßnahmen sind dokumentiert (Verschlüsselung in transit / at rest, idealerweise Ende-zu-Ende)?

• Wie sieht das Löschkonzept aus, und wie schnell werden Daten nach Auftragsende gelöscht?

• Liegt eine Datenschutz-Folgenabschätzung (DSFA) vor oder hilft der Anbieter dabei?

• Wer haftet bei Datenpannen, und gibt es eine Cyber-Versicherung?

Bei automatisierter Verarbeitung großer Mengen besonderer Datenkategorien ist nach Art. 35 DSGVO eine DSFA Pflicht. Das gilt typischerweise auch für KI-gestützte Dokumentations­systeme. Seriöse Anbieter stellen Bausteine für die DSFA bereit oder leisten dazu Hilfestellung.