KI in der Arztpraxis und Datenschutz: Worauf es ankommt
Wer in der Praxis KI für die Dokumentation einsetzt, verarbeitet Gesundheitsdaten. Dieser Artikel ordnet die wichtigsten Regeln ein und zeigt, welche Fragen Sie einem Anbieter stellen sollten.
· 3 Minuten Lesezeit
Gesundheitsdaten sind besonders geschützt
Ein Behandlungsgespräch enthält Gesundheitsdaten im Sinne von Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt und nur in den dort genannten Ausnahmen erlaubt, für Praxen vor allem zur Gesundheitsvorsorge und Behandlung durch Personen, die einem Berufsgeheimnis unterliegen. Diese Erlaubnis deckt die Behandlung selbst. Sobald ein externer Dienst die Daten verarbeitet, kommen weitere Pflichten hinzu.
Schweigepflicht nach § 203 StGB
Ärztinnen, Ärzte, Zahnärztinnen und Zahnärzte unterliegen der Schweigepflicht. § 203 StGB erlaubt es, Geheimnisse gegenüber Personen offenzulegen, die an der beruflichen Tätigkeit mitwirken, etwa einem IT-Dienstleister, soweit das für dessen Tätigkeit erforderlich ist. Die Praxis muss diese Personen dann zur Geheimhaltung verpflichten. Wer einen Cloud-Dienst für die Dokumentation einsetzt, braucht deshalb neben dem Datenschutzvertrag auch eine solche Verpflichtung.
Auftragsverarbeitung
Verarbeitet ein Anbieter die Gesprächsdaten in Ihrem Auftrag, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Darin steht, welche Daten der Anbieter zu welchem Zweck verarbeitet, welche Unterauftragnehmer er einsetzt und wie er die Daten schützt und löscht. Prüfen Sie besonders, ob der Anbieter die Daten für eigene Zwecke nutzen darf, zum Beispiel zum Training seiner Modelle.
Übermittlung in Drittländer
Viele KI-Dienste laufen auf Servern außerhalb der EU oder nutzen Sprachmodelle von Anbietern aus den USA. Eine Übermittlung in ein Drittland ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig, etwa auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln. Fragen Sie nach, wo Spracherkennung und Sprachmodell tatsächlich laufen. Ein Firmensitz in Deutschland sagt darüber nichts aus.
Information der Patientinnen und Patienten
Patientinnen und Patienten müssen erfahren, dass ihr Gespräch für die Dokumentation erkannt wird (Art. 13 DSGVO). Üblich sind ein Hinweis in der Datenschutzinformation der Praxis und ein kurzer Satz vor Beginn der Aufnahme. Wer nicht möchte, dass das Gespräch erkannt wird, sollte ohne Nachteile darauf verzichten können.
Datenschutz-Folgenabschätzung
Bei neuen Technologien, die Gesundheitsdaten verarbeiten, kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig sein. Ob das für Ihre Praxis gilt, klären Sie am besten mit Ihrem Datenschutzbeauftragten. Gute Anbieter stellen Unterlagen bereit, die dabei helfen.
Cloud oder lokale Verarbeitung
Die meisten der genannten Pflichten entstehen, weil Daten die Praxis verlassen. Läuft die Verarbeitung vollständig auf dem Rechner der Praxis, entfällt die Übermittlung an einen Dienstleister für die Gesprächsdaten. Es bleiben die Pflichten, die für jede Praxissoftware gelten: Zugriffsschutz, Updates, Löschung und die Information der Patientinnen und Patienten.
Chetti geht diesen Weg. Für Konten verarbeitet der Chetti-Helfer Spracherkennung und Notiz auf dem Praxisrechner. Gespräche, Transkripte und Notizen erreichen uns nicht, Tonaufnahmen werden nicht gespeichert. Auf unseren Servern in Frankfurt liegen nur die Kontodaten. Unterlagen für Ihren Datenschutzbeauftragten finden Sie unter Compliance.
Fragen an einen Anbieter
- Verlassen Ton, Transkript oder Notiz den Praxisrechner? Wenn ja, wohin?
- Welche Unterauftragnehmer sind beteiligt, und in welchen Ländern?
- Wird die Aufnahme gespeichert, und wann werden Transkript und Notiz gelöscht?
- Werden Daten zum Training von Modellen verwendet?
- Gibt es einen Vertrag zur Auftragsverarbeitung und eine Verpflichtung nach § 203 StGB?
- Welche Unterlagen stellt der Anbieter für die Datenschutz-Folgenabschätzung bereit?
Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für die Bewertung im Einzelfall wenden Sie sich an Ihren Datenschutzbeauftragten.
Chetti in Ihrer Praxis ausprobieren
Mit einem kostenlosen Konto nutzen Sie Chetti direkt im Browser. Die Gespräche verarbeitet der Chetti-Helfer auf dem Rechner Ihrer Praxis.