Datenschutz
Datenschutz und KI:
so wird beides möglich.
Gesundheitsdaten gehören zu den sensibelsten Informationen überhaupt. Die DSGVO schützt sie besonders streng, und das ist auch gut so. Wer KI im Krankenhaus einsetzt, braucht deshalb klare Strukturen.
Rechtsgrundlage dokumentieren
Jedes KI-System, das Patientendaten verarbeitet, braucht eine klare, dokumentierte Rechtsgrundlage, sei es Einwilligung, Behandlungsvertrag oder berechtigtes Interesse.
Datenschutz-Folgenabschätzung (DSFA)
Wenn KI systematisch Gesundheitsdaten verarbeitet, ist eine DSFA nach Art. 35 DSGVO in der Regel verpflichtend. Sie hilft, Risiken frühzeitig zu erkennen.
Datenminimierung leben
KI-Systeme dürfen nur die Daten verarbeiten, die für den jeweiligen Zweck tatsächlich nötig sind. Überschüssige Daten müssen gelöscht werden.
Verarbeitungsverzeichnis führen
Jedes KI-System gehört ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, mit Zweck, Rechtsgrundlage und Empfängern.
Besondere Kategorien
Gesundheitsdaten:
besonders schützenswert.
Gesundheitsdaten fallen unter Art. 9 DSGVO, besondere Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, es liegt eine ausdrückliche Rechtsgrundlage vor. Das macht eine saubere Governance umso wichtiger.
Rechtsgrundlage dokumentieren
Jedes KI-System, das Patientendaten verarbeitet, braucht eine klare, dokumentierte Rechtsgrundlage, sei es Einwilligung, Behandlungsvertrag oder berechtigtes Interesse.
Datenschutz-Folgenabschätzung (DSFA)
Wenn KI systematisch Gesundheitsdaten verarbeitet, ist eine DSFA nach Art. 35 DSGVO in der Regel verpflichtend. Sie hilft, Risiken frühzeitig zu erkennen.
Datenminimierung leben
KI-Systeme dürfen nur die Daten verarbeiten, die für den jeweiligen Zweck tatsächlich nötig sind. Überschüssige Daten müssen gelöscht werden.
Verarbeitungsverzeichnis führen
Jedes KI-System gehört ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, mit Zweck, Rechtsgrundlage und Empfängern.
KI-spezifisch
Wo KI den Datenschutz
besonders fordert.
KI-Systeme bringen eigene Herausforderungen mit, die über den klassischen Datenschutz hinausgehen.
Transparenzpflicht
Betroffene Personen müssen erfahren, dass KI an Entscheidungen beteiligt ist, die sie betreffen (Art. 13/14 DSGVO). Das gilt auch dann, wenn die KI nur unterstützt.
Automatisierte Einzelentscheidungen
Art. 22 DSGVO schränkt vollautomatisierte Entscheidungen ein, die Personen erheblich betreffen. In der Medizin bedeutet das: Immer ein Mensch in der Schleife.
Auftragsverarbeitung
Wird ein KI-System von einem externen Anbieter betrieben, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend erforderlich.
Zusammenspiel
DSGVO trifft EU AI Act:
und das ist kein Widerspruch.
Der EU AI Act ersetzt die DSGVO nicht, er ergänzt sie. Kliniken müssen beide Regelwerke gleichzeitig erfüllen. Die gute Nachricht: Die DSFA nach DSGVO und die Risikobewertung nach EU AI Act überschneiden sich in vielen Punkten. Wer einen integrierten Governance-Ansatz wählt, spart sich doppelte Arbeit.
- DSFA und KI-Risikobewertung lassen sich gemeinsam führen
- Verarbeitungsverzeichnis und KI-Register ergänzen sich
- Technische Dokumentation dient beiden Regelwerken
Gespräch vereinbaren
Sprechen wir darüber, wie Ihre Klinik konkret profitieren kann.
In einem persönlichen Gespräch lernen wir Ihre Situation kennen und zeigen Ihnen, wie Sie die Betreiberverantwortung für KI in Ihrem Haus strukturiert und effizient umsetzen können.