Gesundheitsdaten gehören nach der DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist nur unter engen Voraussetzungen erlaubt. Wer KI einsetzt, sollte deshalb früh klären, ob und wie solche Daten verarbeitet werden.
Grundfragen, die vor dem Einsatz beantwortet sein sollten:
- Rechtsgrundlage: Worauf stützt sich die Verarbeitung, zum Beispiel Behandlungsvertrag oder Einwilligung?
- Zweckbindung: Werden die Daten nur für den vereinbarten Zweck genutzt, oder auch zum Training des Anbieters?
- Auftragsverarbeitung: Gibt es einen Vertrag mit dem Anbieter, und wo werden die Daten verarbeitet?
- Datensparsamkeit: Lassen sich Namen und Kennungen vor der Verarbeitung entfernen oder ersetzen?
- Schweigepflicht: Ist die Weitergabe an Dienstleister mit der beruflichen Schweigepflicht vereinbar?
Bei neuen Verfahren mit hohem Risiko kann eine Datenschutz-Folgenabschätzung nötig sein. Beziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten von Beginn an ein.
Ein sicherer Einstieg sind Aufgaben ohne Patientendaten, etwa Texte für die Website oder interne Abläufe. Dieser Beitrag gibt Orientierung und ersetzt keine Rechtsberatung.