KI Gesundheitsdaten: Datenschutz, Rechte und Risiken

KI-Systeme können ärztliche Diagnosen unterstützen, Behandlungsabläufe strukturieren, Laborwerte auswerten oder Gesundheits-Apps personalisieren. Sobald dabei Gesundheitsdaten verwendet werden, entsteht jedoch ein rechtlich sensibler Bereich. KI Gesundheitsdaten betreffen nicht nur den Datenschutz, sondern häufig auch ärztliche Schweigepflichten, Medizinprodukterecht, Forschungsrecht, Sozialdatenschutz und Haftungsfragen.

Für Betroffene stellt sich oft die Frage, wer welche Informationen nutzt, ob eine Einwilligung erforderlich ist und wie man gegen eine unzulässige Verarbeitung vorgehen kann. Unternehmen, Praxen, Kliniken und App-Anbieter müssen dagegen klären, auf welcher Rechtsgrundlage Daten in ein KI-System eingespeist, analysiert oder zur Weiterentwicklung genutzt werden dürfen.

Der rechtliche Rahmen ist nicht pauschal zu beantworten. Entscheidend sind insbesondere Zweck, Datenart, Beteiligte, technische Ausgestaltung, Transparenz, Sicherheitsniveau und die Frage, ob Entscheidungen mit Wirkung für Patienten, Versicherte, Arbeitnehmer oder Kunden getroffen werden. Der Beitrag ordnet die wichtigsten Grundlagen ein und zeigt praxisnahe Prüfungsschritte.

Inhaltsverzeichnis

1. KI und Gesundheitsdaten: rechtliche Einordnung
2. Gesetzliche Grundlagen: DSGVO, Schweigepflicht und KI-Verordnung
3. Abgrenzung: Gesundheitsdaten, Wellnessdaten, anonymisierte Daten und Scoring
4. Praxisrelevante Fallkonstellationen bei KI-Systemen im Gesundheitsbereich
5. Risiken, Haftung und typische Fehler bei KI Gesundheitsdaten
6. Fristen, Meldepflichten und Verjährung
7. Beweisfragen und Dokumentation: Was sollte gesichert werden?
8. Handlungsschritte für Betroffene, Praxen und Unternehmen
9. Besondere Anforderungen für Anbieter, Praxen und Forschungseinrichtungen
10. FAQ: Häufige Fragen zu KI und Gesundheitsdaten
11. Fazit: KI Gesundheitsdaten rechtlich sauber behandeln

KI und Gesundheitsdaten: rechtliche Einordnung

Gesundheitsdaten sind nach der Datenschutz-Grundverordnung besonders geschützte personenbezogene Daten. Erfasst sind Informationen über die körperliche oder geistige Gesundheit einer Person, einschließlich Daten über medizinische Leistungen, Diagnosen, Befunde, Medikationen, genetische Merkmale, Vitalwerte oder Hinweise auf künftige Krankheitsrisiken. Der Begriff ist weit. Es genügt häufig, dass aus einer Information Rückschlüsse auf den Gesundheitszustand gezogen werden können.

KI im Gesundheitsbereich meint Systeme, die mithilfe statistischer, maschineller oder modellbasierter Verfahren Muster erkennen, Prognosen erstellen, Inhalte generieren oder Entscheidungen vorbereiten. Das kann ein diagnostisches Bildanalyse-System sein, ein Chatbot zur Symptomabfrage, ein Tool zur Priorisierung von Patientenanfragen oder ein Modell, das aus Wearable-Daten Gesundheitsrisiken ableitet. Rechtlich kommt es weniger auf das Etikett KI an, sondern darauf, welche personenbezogenen Daten verarbeitet werden und welche Folgen die Verarbeitung für die betroffene Person hat.

Bei KI Gesundheitsdaten ist zunächst zu trennen zwischen der Nutzung zur unmittelbaren Behandlung, der Nutzung zu Verwaltungszwecken, Forschung und Entwicklung, Training eines Modells, Qualitätssicherung, Marketing oder Risikobewertung. Jeder Zweck kann eine eigene Rechtsgrundlage, eigene Informationspflichten und eigene Grenzen auslösen. Eine Einwilligung für die Behandlung bedeutet beispielsweise nicht automatisch, dass dieselben Daten zum Training eines kommerziellen KI-Modells verwendet werden dürfen.

Wichtig ist außerdem die Rollenverteilung. Eine Arztpraxis, Klinik oder Krankenkasse kann Verantwortliche sein. Ein Softwareanbieter kann Auftragsverarbeiter sein, aber auch gemeinsam Verantwortlicher oder eigenständig Verantwortlicher, wenn er Zwecke und Mittel der Verarbeitung mitbestimmt. Diese Einordnung hat unmittelbare Folgen für Verträge, Informationspflichten, Haftung, Betroffenenrechte und die Frage, wer auf Anfragen oder Beschwerden reagieren muss.

Grundsätzlich gilt: Der Einsatz von KI ist im Gesundheitsbereich nicht verboten. Er muss jedoch rechtmäßig, transparent, zweckgebunden, sicher und für Betroffene nachvollziehbar organisiert werden. Je sensibler die Daten und je stärker die Auswirkungen auf Behandlung, Versicherung, Beschäftigung oder Versorgung sind, desto höher sind die Anforderungen.

Gesetzliche Grundlagen: DSGVO, Schweigepflicht und KI-Verordnung

Die zentrale Grundlage für die Verarbeitung personenbezogener Gesundheitsdaten ist die DSGVO. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt, es sei denn, ein gesetzlicher Ausnahmetatbestand greift. Zusätzlich braucht es regelmäßig eine allgemeine Rechtsgrundlage nach Art. 6 DSGVO, etwa Vertragserfüllung, rechtliche Pflicht, berechtigtes Interesse oder Einwilligung. Bei Gesundheitsdaten reicht Art. 6 allein nicht aus.

Typische Erlaubnistatbestände sind die ausdrückliche Einwilligung, die Verarbeitung für Zwecke der Gesundheitsversorgung, Arbeitsmedizin, medizinischen Diagnostik, Versorgung oder Behandlung durch Berufsgeheimnisträger, öffentliche Gesundheitsinteressen oder wissenschaftliche Forschung. In Deutschland können ergänzend das Bundesdatenschutzgesetz, Landeskrankenhausgesetze, Sozialgesetzbücher, Berufsordnungen und Spezialvorschriften einschlägig sein. Bei Krankenkassen und Leistungserbringern spielen Sozialdaten und das Sozialgeheimnis eine erhebliche Rolle.

Daneben ist die ärztliche Schweigepflicht zu beachten. Ärztinnen, Ärzte, Psychotherapeuten, Apotheker und weitere Berufsgeheimnisträger dürfen Patientengeheimnisse nicht unbefugt offenbaren. Eine Weitergabe an externe KI-Anbieter, Cloud-Dienstleister oder Analyseplattformen kann daher nicht nur datenschutzrechtlich, sondern auch strafrechtlich relevant sein, wenn keine wirksame Befugnis, Einwilligung oder zulässige Einbindung als mitwirkende Person vorliegt. § 203 StGB und die berufsrechtlichen Vorgaben verlangen eine sorgfältige Gestaltung.

Die EU-KI-Verordnung ergänzt diesen Rahmen. Sie ersetzt die DSGVO nicht, sondern stellt zusätzliche Anforderungen an bestimmte KI-Systeme. Im Gesundheitsbereich können Systeme als Hochrisiko-KI eingestuft werden, insbesondere wenn sie als Medizinprodukt eingesetzt werden, eine sicherheitsrelevante Funktion erfüllen oder über Zugang, Priorisierung oder Bewertung von Personen mitentscheiden. Je nach Anwendungsfall können Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Transparenz erforderlich sein. Viele Pflichten gelten gestaffelt, sodass der konkrete Zeitpunkt und die Produktkategorie genau geprüft werden müssen.

Auch das Medizinprodukterecht kann einschlägig sein. Software, die medizinische Zwecke verfolgt, etwa Diagnose, Therapieentscheidung, Überwachung oder Prognose von Krankheiten, kann als Medizinprodukt gelten. Dann sind Klassifizierung, Konformitätsbewertung, klinische Bewertung, Marktüberwachung und Herstellerpflichten zu prüfen. Nicht jede Gesundheits-App ist automatisch ein Medizinprodukt; reine Fitness-, Organisations- oder Wellnessfunktionen können außerhalb liegen. Die Grenze verläuft jedoch im Einzelfall oft entlang der Zweckbestimmung und der tatsächlichen Funktion.

Für Anbieter bedeutet dies: Eine KI-Lösung muss nicht nur technisch funktionieren, sondern rechtlich in mehreren Ebenen tragfähig sein. Für Betroffene bedeutet es: Eine Verarbeitung kann zulässig sein, wenn sie auf einer belastbaren Grundlage beruht. Fehlen Transparenz, Zweckbindung oder Sicherheitsmaßnahmen, bestehen aber Ansatzpunkte für Auskunft, Widerspruch, Löschung, Beschwerde oder Schadensersatzprüfung.

Abgrenzung: Gesundheitsdaten, Wellnessdaten, anonymisierte Daten und Scoring

Viele Streitfälle entstehen nicht, weil eindeutig medizinische Diagnosen verarbeitet werden, sondern weil scheinbar harmlose Informationen zu Gesundheitsprofilen verdichtet werden. Schrittzahlen, Schlafdauer, Zyklusdaten, Ernährungsgewohnheiten, Suchanfragen, Einkaufsverhalten oder Standortdaten können für sich genommen neutral wirken. In Kombination mit KI-Analysen können sie aber Hinweise auf Erkrankungen, Schwangerschaft, psychische Belastungen oder Suchtrisiken liefern.

Die rechtliche Einordnung hängt deshalb nicht allein davon ab, wie der Anbieter die Daten bezeichnet. Entscheidend ist, ob ein Personenbezug besteht und ob die Information objektiv oder durch Auswertung Rückschlüsse auf Gesundheit zulässt. Pseudonymisierte Daten bleiben personenbezogen, wenn eine Zuordnung mit Zusatzinformationen möglich ist. Anonymisierte Daten fallen grundsätzlich nicht unter die DSGVO, allerdings nur, wenn eine Re-Identifizierung mit vertretbaren Mitteln praktisch ausgeschlossen ist. Bei kleinen Datensätzen, seltenen Erkrankungen oder kombinierten Merkmalen ist echte Anonymisierung anspruchsvoll.

Die folgende Gegenüberstellung zeigt typische Abgrenzungen. Sie ersetzt keine Einzelfallprüfung, verdeutlicht aber, warum pauschale Aussagen wie „nur Fitnessdaten“ oder „alles anonym“ rechtlich riskant sein können.

Besondere Aufmerksamkeit verdient das Profiling. Wenn ein KI-System Gesundheitswahrscheinlichkeiten berechnet, entsteht nicht nur ein technisches Ergebnis, sondern möglicherweise ein personenbezogener Risikowert. Dieser kann für Betroffene erhebliche Folgen haben, etwa wenn er in Versicherungsentscheidungen, Arbeitsprozesse, Patientenpriorisierung oder Versorgungsprogramme einfließt. Ob Art. 22 DSGVO zur automatisierten Entscheidung anwendbar ist, hängt davon ab, ob eine Entscheidung ausschließlich automatisiert erfolgt und rechtliche oder ähnlich erhebliche Wirkungen hat.

Auch synthetische Daten sind differenziert zu betrachten. Sie werden künstlich erzeugt und können echte Daten statistisch nachbilden. Das kann Datenschutzrisiken reduzieren, beseitigt sie aber nicht automatisch. Wenn synthetische Datensätze Rückschlüsse auf einzelne reale Personen ermöglichen oder aus sensiblen Ausgangsdaten ohne tragfähige Grundlage erzeugt wurden, bleibt der rechtliche Prüfungsbedarf bestehen.

Für die Praxis empfiehlt sich daher eine frühe Datenklassifikation. Wer erst nach Projektstart klärt, ob Gesundheitsdaten, Sozialdaten, Berufsgeheimnisse oder Medizinproduktfunktionen betroffen sind, riskiert nachträgliche Umbauten, Verzögerungen und rechtliche Auseinandersetzungen.

Praxisrelevante Fallkonstellationen bei KI-Systemen im Gesundheitsbereich

Die rechtlichen Fragen unterscheiden sich erheblich nach Einsatzszenario. Eine Klinik, die KI zur Erkennung auffälliger Röntgenbilder nutzt, steht vor anderen Anforderungen als ein Arbeitgeber, der Krankheitsrisiken aus Fehlzeiten ableiten möchte. Ebenso ist ein Forschungsprojekt anders zu bewerten als eine App, die Nutzerdaten für personalisierte Produktempfehlungen analysiert.

In der medizinischen Versorgung kann KI die Diagnose vorbereiten, Dokumentation automatisieren oder Therapieempfehlungen unterstützen. Grundsätzlich kann eine solche Nutzung zulässig sein, wenn sie zur Behandlung erforderlich ist, angemessen abgesichert wird und die Verantwortung nicht unzulässig auf ein System verlagert wird. Entscheidend ist, ob behandelnde Personen die Ergebnisse nachvollziehen und kritisch prüfen können. Ein blindes Vertrauen in KI-Ausgaben kann haftungsrechtlich problematisch sein, insbesondere wenn Warnhinweise ignoriert oder Befunde nicht plausibilisiert werden.

Bei Gesundheits-Apps und Wearables stellt sich häufig die Frage, ob Nutzer wirksam informiert wurden. Datenschutzerklärungen sind oft lang, unklar oder vermischen verschiedene Zwecke. Eine Einwilligung kann unwirksam sein, wenn sie nicht ausdrücklich, freiwillig, informiert und zweckbezogen erfolgt. Besonders kritisch ist die Weitergabe an Werbenetzwerke, Analyseanbieter oder KI-Dienste, wenn Nutzer davon nicht transparent erfahren oder keine echte Wahl haben.

In der Forschung kann die Nutzung großer Datenbestände für KI-Training sachlich sinnvoll sein. Rechtlich sind jedoch Zweckbindung, Rechtsgrundlage, Ethikvotum, Datenschutz-Folgenabschätzung, Pseudonymisierung, Zugriffsbeschränkungen und Löschkonzepte zu prüfen. Forschungsklauseln erlauben nicht jede beliebige Weiterverwendung. Bei kommerzieller Produktentwicklung steigt der Begründungsaufwand regelmäßig.

Krankenkassen und Versicherungen arbeiten mit besonders sensiblen Informationen. Gesetzliche Krankenkassen unterliegen sozialrechtlichen Vorgaben und dürfen Sozialdaten nur im Rahmen gesetzlicher Aufgaben verarbeiten. Private Versicherer müssen zusätzlich darauf achten, dass Gesundheitsprognosen, Risikobewertungen und Tarifierung nicht auf unzulässigen Datenquellen oder intransparenten KI-Modellen beruhen. Je nach Einsatz können Diskriminierungs- und Gleichbehandlungsfragen hinzukommen.

Auch im Arbeitsverhältnis ist Vorsicht geboten. Arbeitgeber erhalten Gesundheitsdaten meist nur in begrenztem Umfang, etwa Arbeitsunfähigkeitszeiten ohne Diagnose oder Informationen im Rahmen des betrieblichen Eingliederungsmanagements. KI-gestützte Analysen zur Leistungsfähigkeit, Belastbarkeit oder Krankheitswahrscheinlichkeit können unzulässig sein, wenn keine klare Rechtsgrundlage besteht oder Beschäftigte faktisch unter Druck gesetzt werden. Eine Einwilligung im Arbeitsverhältnis ist wegen des Abhängigkeitsverhältnisses besonders kritisch zu bewerten.

Schließlich gibt es Grenzfälle wie Chatbots, die medizinische Fragen beantworten. Wenn Nutzer Symptome eingeben, entstehen schnell Gesundheitsdaten. Der Anbieter muss klären, ob er nur allgemeine Informationen bereitstellt, eine Triage vornimmt oder medizinische Beratung unterstützt. Je konkreter die Empfehlung und je größer die Auswirkungen, desto höher sind Anforderungen an Qualität, Transparenz, Haftungsausschlüsse, menschliche Aufsicht und gegebenenfalls Zulassung als Medizinprodukt.

Risiken, Haftung und typische Fehler bei KI Gesundheitsdaten

Die Verarbeitung von KI Gesundheitsdaten kann verschiedene Haftungsebenen auslösen. Datenschutzrechtlich drohen behördliche Anordnungen, Bußgelder, Löschverpflichtungen und Schadensersatzansprüche. Berufsrechtlich können Kammern oder Aufsichtsstellen einschreiten. Strafrechtliche Risiken bestehen vor allem bei unbefugter Offenbarung von Patientengeheimnissen. Zivilrechtlich kommen Haftungsansprüche wegen Behandlungsfehlern, fehlerhafter Software, unzureichender Aufklärung oder Verletzung von Schutzpflichten in Betracht.

Für Betroffene ist nicht jede unklare KI-Nutzung automatisch rechtswidrig. Es muss geprüft werden, welche Daten verarbeitet wurden, wer verantwortlich war, ob eine Rechtsgrundlage bestand, welche Informationen erteilt wurden und ob ein nachweisbarer Schaden entstanden ist. Bei immateriellen Schäden nach Art. 82 DSGVO genügt nicht jede bloße Unzufriedenheit; zugleich kann der Verlust von Kontrolle über sensible Gesundheitsdaten erheblich sein. Die Bewertung hängt von Intensität, Dauer, Datenumfang, Folgen und Beweisbarkeit ab.

Für Organisationen liegt das größte Risiko häufig nicht im KI-Modell selbst, sondern in der fehlenden Governance. Wenn Verantwortlichkeiten unklar bleiben, Datenschutzfolgen nicht dokumentiert werden oder externe Anbieter ohne belastbare Verträge eingebunden werden, können auch technisch sinnvolle Projekte rechtlich scheitern. Besonders kritisch sind nachträgliche Zweckänderungen: Daten, die für Behandlung erhoben wurden, dürfen nicht ohne Weiteres für Modelltraining, Produktoptimierung oder Marketing verwendet werden.

Typische Fehler sind insbesondere:

• Gesundheitsdaten werden als normale Kundendaten behandelt, obwohl Art. 9 DSGVO anwendbar ist.
• Pseudonymisierte Daten werden fälschlich als anonym eingestuft.
• Einwilligungen sind zu pauschal, nicht ausdrücklich oder mit der Leistungserbringung unzulässig verknüpft.
• Auftragsverarbeitungsverträge fehlen oder beschreiben KI-Training, Unterauftragnehmer und Speicherorte nicht ausreichend.
• Patienten oder Nutzer werden nicht klar über Zwecke, Empfänger, Speicherdauer und Betroffenenrechte informiert.
• KI-Ausgaben werden ohne menschliche Kontrolle in Entscheidungen übernommen.
• Cloud- oder Drittlandtransfers werden nicht auf Übermittlungsgrundlagen und Zugriffsmöglichkeiten geprüft.
• Lösch-, Sperr- und Widerspruchsprozesse sind technisch nicht umsetzbar.
• Datenschutz-Folgenabschätzungen werden trotz hoher Risiken nicht durchgeführt.
• Modellfehler, Verzerrungen oder diskriminierende Ergebnisse werden nicht überwacht.

Haftungsrechtlich ist außerdem relevant, ob ein KI-System nur unterstützt oder tatsächlich entscheidet. Bei medizinischer Behandlung bleibt die fachliche Verantwortung grundsätzlich beim behandelnden Personal, soweit es die KI als Hilfsmittel nutzt. Hersteller und Anbieter können jedoch haften, wenn Software fehlerhaft ist, Sicherheitsanforderungen nicht eingehalten werden oder Informationen über Grenzen des Systems fehlen. Im Einzelfall kommen Produkthaftung, vertragliche Haftung, deliktische Ansprüche und spezialgesetzliche Regelungen in Betracht.

Ein weiteres Risiko liegt in Diskriminierung und Verzerrung. KI-Modelle lernen aus vorhandenen Daten. Wenn Trainingsdaten bestimmte Gruppen unterrepräsentieren, können Diagnosen oder Risikobewertungen ungenau sein. Im Gesundheitsbereich kann dies gravierende Folgen haben, etwa bei seltenen Erkrankungen, Geschlecht, Alter, Herkunft oder Behinderung. Rechtlich sind solche Risiken nicht nur ethisch relevant, sondern Teil der Anforderungen an Datenqualität, Risikomanagement und Sorgfalt.

Fristen, Meldepflichten und Verjährung

Bei KI und Gesundheitsdaten spielen Fristen auf mehreren Ebenen eine Rolle. Datenschutzrechtliche Betroffenenrechte sind grundsätzlich unverzüglich und regelmäßig innerhalb eines Monats zu beantworten. Dazu zählen Auskunft, Löschung, Berichtigung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die Frist kann in komplexen Fällen verlängert werden, die betroffene Person muss darüber aber rechtzeitig informiert werden. Eine ausbleibende oder unvollständige Antwort kann Anlass für eine Beschwerde bei der Datenschutzaufsicht oder weitere rechtliche Schritte sein.

Bei Datenschutzverletzungen gilt eine besonders kurze Reaktionszeit. Muss eine Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde gemeldet werden, hat dies grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden zu erfolgen. Bei hohem Risiko für Betroffene kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich sein. Gesundheitsdaten erhöhen regelmäßig die Sensibilität der Bewertung. Ob tatsächlich eine Meldepflicht besteht, hängt von Art, Umfang, Schutzmaßnahmen und möglichen Folgen ab.

Aufbewahrungs- und Löschfristen sind ebenfalls entscheidend. Medizinische Dokumentation muss häufig über längere Zeiträume aufbewahrt werden, etwa nach berufsrechtlichen oder spezialgesetzlichen Vorgaben. Diese Pflicht kann einer sofortigen Löschung entgegenstehen. Zugleich dürfen Daten nicht unbegrenzt in KI-Systemen, Trainingsdatensätzen oder Analyseumgebungen verbleiben, wenn der Zweck entfällt. Verantwortliche müssen daher trennen zwischen Behandlungsdokumentation, Forschungsdaten, Protokolldaten, Modellparametern und Backups.

Verjährung ist vor allem für Ansprüche relevant. Datenschutzrechtliche Schadensersatzansprüche unterliegen regelmäßig den allgemeinen zivilrechtlichen Verjährungsregeln, häufig also der regelmäßigen Verjährungsfrist von drei Jahren ab Schluss des Jahres, in dem der Anspruch entstanden ist und die betroffene Person von den maßgeblichen Umständen und der Person des Anspruchsgegners Kenntnis erlangt oder ohne grobe Fahrlässigkeit hätte erlangen müssen. Im Einzelfall können abweichende Fristen, Hemmungstatbestände oder spezialgesetzliche Regeln eine Rolle spielen.

Bei Behandlungsfehlern, fehlerhaften Medizinprodukten oder Vertragsverletzungen können andere Fristen und Beweisregeln relevant werden. Auch arbeitsrechtliche Ausschlussfristen können Ansprüche verkürzen, sofern sie wirksam vereinbart sind und den konkreten Anspruch erfassen. Für Betroffene ist deshalb wichtig, Unterlagen früh zu sichern und nicht erst kurz vor Jahresende zu reagieren. Für Unternehmen, Praxen und Kliniken ist wichtig, Anfragen, Vorfälle und Entscheidungen zeitlich nachvollziehbar zu protokollieren.

Praktisch sinnvoll ist ein Fristenkalender. Darin sollten zumindest der Eingang von Auskunfts- oder Löschanträgen, der Zeitpunkt des Bekanntwerdens einer Datenschutzverletzung, interne Eskalationen, Meldungen an Behörden, Antworten an Betroffene sowie Lösch- und Prüfzyklen dokumentiert werden. Gerade bei KI-Projekten mit mehreren Dienstleistern entstehen Verzögerungen oft dadurch, dass Zuständigkeiten unklar sind. Das kann die rechtliche Bewertung verschärfen.

Beweisfragen und Dokumentation: Was sollte gesichert werden?

Beweisfragen sind bei KI Gesundheitsdaten besonders anspruchsvoll. Betroffene sehen häufig nur das Ergebnis: eine abgelehnte Leistung, eine auffällige Risikobewertung, eine unerklärliche Empfehlung oder eine Datenpanne. Wie das KI-System zu diesem Ergebnis gekommen ist, welche Daten verwendet wurden und wer Zugriff hatte, liegt meist im Verantwortungsbereich des Anbieters oder der Einrichtung. Auskunftsansprüche können helfen, sind aber nicht immer vollständig oder technisch leicht auswertbar.

Für Betroffene ist wichtig, konkrete Anhaltspunkte zu sichern. Allgemeine Vermutungen reichen für viele Ansprüche nicht aus. Hilfreich sind Screenshots, E-Mails, App-Mitteilungen, Vertragsunterlagen, Datenschutzhinweise und zeitliche Abläufe. Wer eine Auskunft nach DSGVO verlangt, sollte möglichst genau benennen, welche Verarbeitung gemeint ist, etwa KI-gestützte Symptomprüfung, Weitergabe an Analyseanbieter, Profilbildung oder automatisierte Entscheidung. Das erhöht die Chance auf eine verwertbare Antwort.

Unternehmen und medizinische Einrichtungen müssen umgekehrt nachweisen können, dass sie rechtmäßig handeln. Die Rechenschaftspflicht der DSGVO verlangt dokumentierte Rechtsgrundlagen, technische und organisatorische Maßnahmen, Verträge, Informationspflichten und gegebenenfalls Datenschutz-Folgenabschätzungen. Bei KI-Systemen kommen Modellinformationen, Protokolle, Datenquellen, Testberichte, Risikobewertungen und menschliche Kontrollprozesse hinzu.

Wichtige Nachweise können insbesondere sein:

• Datenschutzerklärungen, Einwilligungstexte und Versionen zum Zeitpunkt der Datenerhebung
• Auskunftsersuchen, Antworten des Verantwortlichen und Fristnachweise
• Screenshots aus Apps, Patientenportalen, Chatbots oder Wearable-Dashboards
• Verträge mit Praxen, Kliniken, Versicherungen, App-Anbietern oder Dienstleistern
• Nachweise über Datenweitergaben, Empfänger, Schnittstellen und Drittlandübermittlungen
• Protokolle zu Zugriffen, KI-Auswertungen, automatisierten Entscheidungen und menschlicher Prüfung
• Behandlungsunterlagen, Befunde, Ablehnungsbescheide oder Leistungsentscheidungen
• Kommunikation mit Datenschutzbeauftragten, Aufsichtsbehörden oder Supportstellen
• Dokumentation von Schäden, Belastungen, Kosten oder konkreten Nachteilen

In gerichtlichen Auseinandersetzungen kann entscheidend werden, wer welche Tatsachen darlegen und beweisen muss. Die DSGVO enthält eine Rechenschaftspflicht für Verantwortliche; gleichwohl müssen Betroffene regelmäßig den Sachverhalt und einen Schaden hinreichend konkret machen. Bei medizinischen Haftungsfragen gelten teilweise besondere Beweisregeln, etwa bei groben Behandlungsfehlern. Ob diese greifen, hängt jedoch nicht allein vom Einsatz einer KI ab, sondern vom gesamten Behandlungsablauf.

Dokumentation ist daher kein Formalismus. Sie entscheidet häufig darüber, ob ein Anliegen aufgeklärt, ein Anspruch begründet oder ein Vorwurf entkräftet werden kann. Gerade bei KI-Systemen sollten relevante Unterlagen früh gesichert werden, weil App-Oberflächen, Datenschutzhinweise, Modelle und Anbieterstrukturen sich schnell ändern können.

Handlungsschritte für Betroffene, Praxen und Unternehmen

Der richtige Umgang mit KI und Gesundheitsdaten beginnt mit einer klaren Bestandsaufnahme. Betroffene sollten zunächst klären, welche Daten tatsächlich verarbeitet wurden und welche Entscheidung oder Folge sie beanstanden. Praxen, Kliniken und Unternehmen sollten dagegen prüfen, ob ihr KI-Einsatz auf einer tragfähigen rechtlichen, technischen und organisatorischen Grundlage steht. Beide Seiten profitieren von einem strukturierten Vorgehen, weil pauschale Vorwürfe oder allgemeine Datenschutzkonzepte bei Gesundheitsdaten selten ausreichen.

Die folgenden Schritte sind praxisorientiert. Nicht jeder Schritt ist in jedem Fall erforderlich, aber die Reihenfolge hilft, typische Lücken sichtbar zu machen:

1. Verarbeitung identifizieren: Klären Sie, welches KI-System eingesetzt wurde, welche Funktion es erfüllt und ob Daten nur angezeigt, analysiert, trainiert oder für Entscheidungen genutzt wurden.
2. Datenarten bestimmen: Prüfen Sie, ob Gesundheitsdaten, Sozialdaten, genetische Daten, Beschäftigtendaten, Abrechnungsdaten oder lediglich allgemeine Nutzungsdaten betroffen sind.
3. Rechtsgrundlage prüfen: Fragen Sie nach der konkreten Grundlage nach Art. 6 und Art. 9 DSGVO. Eine allgemeine Zustimmung zu Nutzungsbedingungen ersetzt nicht zwingend eine ausdrückliche Einwilligung für Gesundheitsdaten.
4. Einwilligung und Widerruf dokumentieren: Sichern Sie Datum, Wortlaut und Umfang einer Einwilligung. Wenn Sie widerrufen, tun Sie dies nachweisbar, etwa per E-Mail mit Versandnachweis oder über dokumentierte Portalnachricht.
5. Auskunft verlangen: Betroffene können Auskunft über verarbeitete Daten, Zwecke, Empfänger, Speicherdauer und gegebenenfalls Informationen zu automatisierten Entscheidungen verlangen. Notieren Sie den Eingang, da die Monatsfrist für die Antwort relevant ist.
6. Fristen erfassen: Dokumentieren Sie Auskunftsfristen, Reaktionszeiten bei Datenpannen, interne Prüfvermerke und mögliche Verjährungszeitpunkte. Bei laufenden Streitigkeiten sollte ein Fristenkalender geführt werden.
7. Technische Sicherheit bewerten: Verantwortliche sollten Verschlüsselung, Zugriffskonzepte, Rollenrechte, Protokollierung, Löschung, Backups und Unterauftragnehmer prüfen. Bei Gesundheitsdaten reicht eine pauschale IT-Sicherheitsbeschreibung meist nicht aus.
8. Verträge und Rollen klären: Prüfen Sie, ob Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder eigenständige Verantwortlichkeit vorliegt. Verträge müssen KI-Training, Supportzugriffe, Speicherorte und Unterdienstleister konkret abbilden.
9. Datenschutz-Folgenabschätzung durchführen: Bei hohem Risiko, etwa umfangreichen Gesundheitsdaten, Profiling oder neuen Technologien, ist regelmäßig eine strukturierte Risikoprüfung erforderlich. Ergebnisse und Maßnahmen sollten nachvollziehbar dokumentiert werden.
10. Menschliche Kontrolle sicherstellen: Wenn KI Ergebnisse für Behandlung, Versicherung, Priorisierung oder Beschäftigung liefert, sollte festgelegt sein, wer das Ergebnis prüft und wie Betroffene eine Überprüfung verlangen können.
11. Lösch- und Sperrkonzept umsetzen: Trennen Sie gesetzliche Aufbewahrungspflichten von Trainings-, Analyse- und Protokolldaten. Prüfen Sie, ob ein Widerruf technisch in allen relevanten Systemen berücksichtigt werden kann.
12. Beschwerde oder rechtliche Prüfung vorbereiten: Wenn Antworten ausbleiben, widersprüchlich sind oder konkrete Nachteile entstanden sind, können Beschwerde bei der Aufsichtsbehörde, außergerichtliche Geltendmachung oder gerichtliche Schritte in Betracht kommen.

Für Betroffene empfiehlt es sich, zunächst sachlich Auskunft zu verlangen und Unterlagen zu sichern. Eine sofortige Eskalation ist nicht immer zweckmäßig, insbesondere wenn unklar ist, ob tatsächlich Gesundheitsdaten verarbeitet wurden. Wenn jedoch sensible Daten an Dritte gelangt sind, eine automatisierte Entscheidung erhebliche Folgen hatte oder Fristen laufen, sollte eine strukturierte rechtliche Prüfung nicht zu lange aufgeschoben werden.

Für Verantwortliche ist entscheidend, Datenschutz nicht erst als Reaktion auf Beschwerden zu organisieren. KI-Projekte sollten vor Einführung rechtlich geprüft werden, idealerweise gemeinsam mit Datenschutzbeauftragten, IT-Sicherheit, Fachabteilungen und medizinischer Leitung. Gerade im Gesundheitsbereich ist eine nachvollziehbare Dokumentation oft der Unterschied zwischen einem beherrschbaren Projekt und einem schwer erklärbaren Risiko.

Besondere Anforderungen für Anbieter, Praxen und Forschungseinrichtungen

Anbieter von KI-Lösungen im Gesundheitsumfeld stehen vor der Aufgabe, rechtliche Anforderungen bereits in Produktarchitektur und Vertragsmodell einzubauen. Dazu gehört zunächst eine klare Zweckbestimmung. Soll das System Diagnoseentscheidungen unterstützen, medizinische Dokumentation vereinfachen, Forschung ermöglichen oder nur allgemeine Gesundheitsinformationen strukturieren? Die Antwort beeinflusst Datenschutz, Medizinprodukterecht, KI-Verordnung und Haftung.

Besonders relevant ist die Trennung von Kundenumgebung und Anbieterinteresse. Viele Anbieter möchten Nutzungsdaten, Eingaben oder Fehlerkorrekturen zur Modellverbesserung verwenden. Das kann zulässig sein, wenn es transparent, rechtlich gestützt und technisch abgesichert geschieht. Es ist aber problematisch, wenn Behandlungsdaten automatisch in Trainingsdaten übergehen oder Supportteams auf Patientendaten zugreifen, ohne dass Rollen, Befugnisse und Schutzmaßnahmen sauber geregelt sind.

Praxen und Kliniken sollten nicht allein auf Herstellerzusagen vertrauen. Sie bleiben häufig Verantwortliche gegenüber Patienten und müssen prüfen, ob der Einsatz in ihren Abläufen rechtmäßig ist. Dazu gehören Fragen nach Serverstandort, Unterauftragnehmern, Protokollierung, Löschbarkeit, Exportfunktionen, Zugriffen des Supports, Ausfallkonzepten und der Möglichkeit, KI-Ergebnisse fachlich zu überprüfen. Bei cloudbasierten Lösungen sind Drittlandübermittlungen und Zugriffsmöglichkeiten aus Nicht-EU-Staaten besonders sorgfältig zu betrachten.

Forschungseinrichtungen benötigen häufig ein eigenes Governance-Modell. Forschungsprivilegien erleichtern unter bestimmten Voraussetzungen die Verarbeitung, entbinden aber nicht von Datensparsamkeit, Transparenz, Schutzmaßnahmen und Zweckbindung. Bei großen KI-Trainingsdatensätzen stellt sich zudem die Frage, ob die ursprüngliche Erhebung mit der neuen Nutzung vereinbar ist oder eine neue Grundlage erforderlich wird. Ethikvoten, Studienprotokolle und Datenschutz-Folgenabschätzungen sollten nicht getrennt nebeneinanderstehen, sondern konsistent auf denselben Datenfluss Bezug nehmen.

Ein praktischer Prüfpunkt ist die Erklärbarkeit. Medizinische Nutzer müssen nicht jedes mathematische Detail eines Modells verstehen. Sie müssen aber einschätzen können, wofür das System geeignet ist, welche Grenzen bestehen, welche Datenqualität erforderlich ist und wann eine menschliche Prüfung zwingend bleibt. Fehlen solche Informationen, kann die Nutzung in sensiblen Behandlungssituationen rechtlich und fachlich problematisch werden.

Schließlich sollten Anbieter und Einrichtungen einen Vorfallplan haben. Dieser sollte regeln, wer bei falschen KI-Ergebnissen, Sicherheitsvorfällen, Beschwerden oder behördlichen Anfragen zuständig ist. Datenschutz, IT-Sicherheit, Medizinprodukte-Compliance, Rechtsabteilung und fachliche Leitung müssen zusammenarbeiten. Gerade die 72-Stunden-Frist bei meldepflichtigen Datenschutzverletzungen lässt wenig Raum für nachträgliche Zuständigkeitsklärungen.

FAQ: Häufige Fragen zu KI und Gesundheitsdaten

Fazit: KI Gesundheitsdaten rechtlich sauber behandeln

KI Gesundheitsdaten verbinden technische Chancen mit hohen rechtlichen Anforderungen. Im Vordergrund stehen eine klare Zweckbestimmung, belastbare Rechtsgrundlagen, transparente Information, sichere Datenflüsse und dokumentierte menschliche Verantwortung. Betroffene sollten bei unklarer Nutzung zunächst Auskunft verlangen, Unterlagen sichern und Fristen im Blick behalten. Bei konkreten Nachteilen, Datenpannen oder automatisierten Entscheidungen kann eine vertiefte Prüfung sinnvoll sein.

Für Praxen, Kliniken, Forschungseinrichtungen und Anbieter empfiehlt sich eine Prüfung vor dem Einsatz: Welche Daten werden verarbeitet, wer ist verantwortlich, welche Verträge gelten, ist eine Datenschutz-Folgenabschätzung erforderlich und greifen zusätzliche Pflichten aus Schweigepflicht, Medizinprodukterecht oder KI-Verordnung?

Pauschale Antworten sind in diesem Bereich selten tragfähig. Ob eine Verarbeitung zulässig ist oder Ansprüche bestehen, hängt vom konkreten Datenfluss, Zweck, technischen System und nachweisbaren Folgen ab. Eine früh strukturierte Dokumentation erleichtert sowohl rechtmäßige Nutzung als auch die Klärung von Streitfällen.