KI im Gesundheitswesen: Patientendaten, § 393 SGB V und DSGVO
Kurz gesagt
Kliniken und Praxen dürfen KI einsetzen, aber Patientendaten gehören nicht in einen öffentlichen Chatbot. Gesundheitsdaten sind besondere Kategorien nach der DSGVO, die ärztliche Schweigepflicht nach § 203 StGB gilt auch gegenüber Softwareanbietern, und wer Gesundheitsdaten in der Cloud verarbeitet, braucht nach § 393 SGB V einen Anbieter mit C5-Testat. Der sicherste Weg ist KI in der eigenen Umgebung, mit Protokoll, wer welche Daten genutzt hat.
Was in einer Hausarztpraxis schiefging
2024 warnte die niederländische Datenschutzbehörde vor Datenpannen durch KI-Chatbots. Eine der Meldungen kam aus einer Hausarztpraxis: Eine Mitarbeiterin hatte, entgegen den Vorgaben, medizinische Daten von Patienten in einen KI-Chatbot eingegeben. Die Behörde betonte, dass medizinische Daten besonders sensibel sind und daher besonderen rechtlichen Schutz genießen.
Das Beispiel zeigt, wo das Risiko im Gesundheitswesen liegt, in den Niederlanden wie in Deutschland. Nicht bei böswilligen Beschäftigten, sondern bei vielbeschäftigten, die einen Arztbrief zusammenfassen oder einen Brief an einen Patienten umformulieren wollen und dafür das Werkzeug nutzen, das sie kennen. Siehe auch Schatten-KI.
Welche Regeln gelten für KI mit Patientendaten?
| Regel | Was sie bei KI verlangt |
|---|---|
| Ärztliche Schweigepflicht (§ 203 StGB) | Patientengeheimnisse nur für an der Behandlung Beteiligte. Mitwirkende Dienstleister dürfen nach § 203 Abs. 3 StGB nur einbezogen werden, soweit das erforderlich ist, und müssen zur Verschwiegenheit verpflichtet sein. |
| DSGVO, Art. 9 und 35 | Gesundheitsdaten sind besondere Kategorien personenbezogener Daten. Bei umfangreicher Verarbeitung oder neuer Technologie ist eine Datenschutz-Folgenabschätzung in der Regel Pflicht. |
| § 393 SGB V: Cloud im Gesundheitswesen | Wer Gesundheits- und Sozialdaten mit Cloud-Computing-Diensten verarbeitet, braucht einen Anbieter mit C5-Testat des BSI, seit dem 1. Juli 2025 vom Typ 2. |
| Medizinprodukteverordnung (EU 2017/745) | Software für Diagnose oder Therapie kann ein Medizinprodukt sein, mit eigenen Anforderungen und Zertifizierung. |
| KI-Verordnung | KI in Medizinprodukten ist Hochrisiko-KI; diese Regeln gelten nach dem Digital Omnibus ab dem 2. August 2028. KI-Kompetenz und Transparenz gelten schon jetzt. |
§ 393 SGB V verdient besondere Aufmerksamkeit. Ein allgemeiner KI-Dienst eines großen Anbieters ist Cloud-Computing; ohne C5-Testat dürfen Leistungserbringer Gesundheitsdaten dort nicht verarbeiten. Läuft das Modell dagegen auf eigener Infrastruktur, betrieben von der eigenen IT-Abteilung, fällt diese Verarbeitung nicht unter die Cloud-Regel.
Wo KI im Gesundheitswesen sicher helfen kann
KI muss nicht bei der Diagnose anfangen, um Nutzen zu stiften. Der größte Gewinn liegt in Verwaltung und Unterstützung, wo keine medizinische Entscheidung vom Modell abhängt:
- Arzt- und Entlassbriefe für die Übergabe zusammenfassen;
- Entwürfe für Briefe an Patienten in verständlicher Sprache, von Ärztin oder Arzt geprüft;
- in Leitlinien, SOPs und internen Verfahren suchen und Fragen beantworten;
- Freitext für Qualitätsregister und Berichte strukturieren;
- Service Desk und Sekretariat unterstützen.
Sobald KI Diagnose- oder Therapieentscheidungen unterstützen soll, kommt die Medizinprodukteverordnung ins Spiel. Das ist ein eigener Weg mit eigener Zertifizierung.
So setzen Sie KI sicher mit Patientendaten ein
- Verarbeitung in der eigenen Umgebung halten. Lassen Sie das Modell auf Infrastruktur Ihrer Einrichtung laufen, sodass kein externer KI-Anbieter Patientendaten erhält. Das macht die Datenschutz-Folgenabschätzung übersichtlicher und hält diese Verarbeitung aus § 393 SGB V heraus.
- Zugriff an Rollen koppeln. Eine Abteilung bekommt nur die Quellen und Automatisierungen, die zu ihrer Arbeit gehören, im Einklang mit der Schweigepflicht.
- Alles protokollieren. Wer hat welches Modell mit welcher Quelle wann genutzt.
- Blockieren, was nicht hineingehört. Safeguards, die Versichertennummern und andere identifizierende Muster aufhalten, wo sie nicht nötig sind.
- Der Mensch entscheidet. KI erstellt einen Entwurf; eine Ärztin oder ein Arzt prüft und zeichnet ab.
werqly stellt dafür einen dedizierten KI-Node in den Serverraum Ihrer Einrichtung. Rollen pro Abteilung, Safeguards und das Audit-Log legen Sie in werqly AI Control fest. Für Gesundheitsdaten kommt nur der eigene Serverraum infrage: werqly Cloud hat kein C5-Testat. Übernimmt werqly den Betrieb (werqly Pro-Betrieb), ist werqly mitwirkende Person im Sinne von § 203 StGB und wird zur Verschwiegenheit verpflichtet. Mehr zu unserem Ansatz steht auf KI im Gesundheitswesen.
Häufige Fragen
Fragen zu diesem Thema
Dürfen Beschäftigte im Gesundheitswesen ChatGPT nutzen?
Nicht mit Patientendaten in einer öffentlichen oder privaten Version. Dann erhält ein Dritter unbefugt Zugang zu Gesundheitsdaten, was eine Datenpanne und ein Verstoß gegen die Schweigepflicht sein kann. Für allgemeine Fragen ohne Patientendaten kann die Einrichtung es erlauben, mit klarer Richtlinie.
Braucht ein KI-Dienst für Gesundheitsdaten ein C5-Testat?
Wenn er als Cloud-Computing-Dienst Gesundheits- oder Sozialdaten verarbeitet, ja: § 393 SGB V verlangt ein C5-Testat, seit Juli 2025 vom Typ 2. Läuft das Modell auf eigener Infrastruktur der Einrichtung, betrieben von der eigenen IT, greift diese Cloud-Regel nicht.
Ist KI im Gesundheitswesen ein Medizinprodukt?
Nur wenn die Software für Diagnose, Vorbeugung, Überwachung oder Behandlung bestimmt ist. KI für Verwaltung, Zusammenfassungen von Briefen oder die Suche in Leitlinien ist das meist nicht. Nutzen Sie solche Tools dann auch nicht für Therapieentscheidungen.
Brauchen wir eine Datenschutz-Folgenabschätzung für KI mit Patientendaten?
In der Regel ja. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten, und generative KI gilt als neue Technologie. Eine Verarbeitung auf eigenem Node ohne Übermittlung an Dritte macht die Folgenabschätzung aber übersichtlicher.
Quellen
- § 393 SGB V — Cloud-Einsatz im Gesundheitswesen
- § 203 StGB — Verletzung von Privatgeheimnissen
- Datenschutzkonferenz — Orientierungshilfe Künstliche Intelligenz und Datenschutz (Mai 2024)
- Verordnung (EU) 2017/745 über Medizinprodukte
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.