KI, DSGVO und das Patientengeheimnis: Der Datenschutz-Kompass
In Sektoren, in denen mit hochsensiblen Gesundheitsdaten gearbeitet wird, schrillen beim Thema KI oft die Alarmglocken. Ein pauschales Verbot führt jedoch unweigerlich zur gefährlichen Schatten-KI. Fachkräfte weichen dann heimlich auf private Apps aus, was den unkontrollierten Datenabfluss erst recht provoziert.
Eine datenschutzrechtliche Lösung zeigt: Die Architektur für ein Universitätsklinikum sieht anders aus als für einen regionalen Pflegedienst. Dieser Leitfaden liefert den Realitätscheck für praktikable Governance-Modelle.
Der Realitätscheck: Cloud-Standard vs. Strafgesetzbuch
Das Kernproblem beim Einsatz von KI im Gesundheits- und Sozialwesen ist neben der DSGVO vor allem der § 203 StGB (Verletzung von Privatgeheimnissen). Global agierende Cloud-Anbieter sind selten bereit, ihre Mitarbeiter dem deutschen Strafrecht zu unterwerfen. Besonders für kleinere Einrichtungen und mittelgroße Träger werden Standard-Enterprise-Lizenzen so oft zur Haftungsfalle für die Geschäftsführung.
Zudem scheitert die manuelle Anonymisierung im Alltag oft an der Re-Identifizierbarkeit: Die Kombination aus Alter, Wohnort und Diagnose in einem Freitext reicht modernen Algorithmen meist aus, um eine Person eindeutig zuzuordnen. Datenschutz erfordert hier systemische Lösungen, keine individuellen Hoffnungen.
Datenschutz vs. Informationssicherheit
Für eine belastbare Strategie müssen wir zwingend zwischen den Rollen des Datenschutzbeauftragten (DSB) und des Informationssicherheitsbeauftragten (ISB) differenzieren:
Informationssicherheit (ISB)
Schützt die Organisation und den technischen Tresor. Er prüft die Widerstandsfähigkeit gegen Angriffe (Hacker-Schutz, Vertraulichkeit, NIS-2).
Datenschutz (DSB)
Schützt den Menschen und die informationelle Selbstbestimmung. Er prüft die Rechtsgrundlage, Zweckbindung und Trainingsmodelle der KI.
Hinweis für kleine und mittlere Träger: Falls in Ihrem Haus keine explizite Stelle für die Informationssicherheit (ISB) existiert, muss die IT-Leitung oder ein externer IT-Dienstleister diese Perspektive einnehmen. Um dieses Spannungsfeld zu moderieren, empfiehlt sich ein „AI-Board“, in dem Geschäftsführung, IT und der Datenschutzbeauftragte (DSB) Leitplanken gemeinsam festlegen.
Der 3-Wege-Kompass für Ihre Trägergröße
Weg 1: On-Premises
Das „KI-Gehirn“ im eigenen Rechenzentrum. 100% Datensouveränität. Kein Byte verlässt das Hausnetzwerk. Kein § 203-Konflikt.
Weg 2: Sovereign Clouds
Spezialisierte EU-Anbieter mit standardisierten § 203-Zusatzverträgen und „Zero Data Retention“ Garantie.
Weg 3: Privacy Gateways
Technische Vorfilterung zur Pseudonymisierung („Schwärzung“) sensibler Daten vor dem Senden an externe KI.
Souveräne On-Premises-Modelle (Der Goldstandard)
Anstatt sensible Daten ins Internet zu schicken, holen wir leistungsstarke Sprachmodelle physisch ins eigene Haus. Dies ist die sicherste Form der KI-Governance. Da die Schweigepflicht den physischen Raum der Einrichtung nie verlässt, können wir rechtssicher mit echten Klardaten arbeiten.
European Sovereign Clouds
Für Träger ohne eigenes Hochleistungs-Rechenzentrum sind spezialisierte europäische Hoster die Lösung. Diese Anbieter kennen den deutschen Markt und bringen unterschriftsreife Vereinbarungen nach § 203 Abs. 3 StGB mit. Zudem wird vertraglich garantiert, dass Fallakten niemals für das Training der KI-Modelle missbraucht werden.
Privacy Gateways & Prozess-Disziplin
Kleinere Einrichtungen nutzen oft smarte Gateways. Eine Software erkennt auf dem Rechner Namen oder Diagnosen und maskiert diese, bevor der Text verschlüsselt an die KI gesendet wird. Ergänzt wird dies durch strenge hausinterne Regeln, die KI ausschließlich als abstrakte Strukturierungs-Hilfe zu nutzen.
Das Pflichtprogramm: 2 unverhandelbare Schritte
- 01 Die Datenschutz-Folgenabschätzung (DSFA): Das zentrale Management-Dokument nach Art. 35 DSGVO. Es weist nach, dass die Risiken Ihrer Architektur methodisch minimiert wurden.
- 02 Menschliche Letztverantwortung: Die Maschine liefert immer nur eine Hypothese. Eine Fachkraft muss den Vorschlag validiert haben und als Letztverantwortliche freigeben („Human-in-the-Loop“).