Welche Rolle spielt der Datenschutzbeauftragte zusätzlich zum KI-Beauftragten im Krankenhaus?

Der Datenschutzbeauftragte (DSB) und der KI-Beauftragte im Krankenhaus sind zwei eigenständige Rollen mit unterschiedlichen gesetzlichen Grundlagen, die sich in zentralen Bereichen der KI-Nutzung jedoch erheblich überschneiden. Der DSB ist gesetzlich vorgeschrieben und prüft KI-Systeme aus der Perspektive der DSGVO, während der KI-Beauftragte die Compliance nach dem EU AI Act verantwortet. Die folgenden Abschnitte klären, wo die Zuständigkeiten enden, wo sie beginnen und wie Krankenhäuser beide Rollen sinnvoll verzahnen.

Welche Aufgaben überschneiden sich zwischen Datenschutzbeauftragtem und KI-Beauftragtem?

Beide Rollen treffen sich überall dort, wo KI-Systeme personenbezogene Daten verarbeiten. Das ist im Krankenhaus fast immer der Fall: Patientendaten, Befunde, Abrechnungsdaten. In diesen Bereichen müssen DSGVO und EU AI Act gleichzeitig eingehalten werden, was eine enge Abstimmung beider Funktionen zwingend macht.

Konkrete Überschneidungspunkte sind:

Datenschutz-Folgenabschätzung (DSFA) und Grundrechte-Folgenabschätzung (FRIA): Hochrisiko-KI-Systeme erfordern nach Art. 27 EU AI Act eine FRIA. Gleichzeitig lösen dieselben Systeme oft eine DSFA nach Art. 35 DSGVO aus. Beide Verfahren überlappen inhaltlich stark und sollten koordiniert durchgeführt werden.
Dokumentation eingesetzter Systeme: Das KI-Inventar, das der KI-Beauftragte führt, enthält Informationen, die der DSB für seine Prüfungen benötigt, insbesondere Anbieter, Zweck und Verarbeitungslogik.
Transparenzpflichten gegenüber Patienten: Patienten müssen sowohl über die Verarbeitung ihrer Daten (DSGVO) als auch über den Einsatz von KI in ihrer Behandlung informiert werden (EU AI Act, begrenztes und hohes Risiko).

Was sind die eigenständigen Pflichten des Datenschutzbeauftragten gegenüber KI-Systemen?

Der Datenschutzbeauftragte prüft KI-Systeme ausschließlich unter dem Blickwinkel der DSGVO. Seine Pflichten gegenüber KI sind keine neuen Aufgaben, sondern die Anwendung bestehender Datenschutzprinzipien auf eine neue Technologie.

Eigenständige Aufgaben des DSB im KI-Kontext umfassen:

Prüfung der Rechtsgrundlage für die Datenverarbeitung durch das KI-System
Beurteilung der Datensparsamkeit und Zweckbindung
Durchführung der DSFA bei hochriskanten Verarbeitungsvorgängen
Prüfung von Auftragsverarbeitungsverträgen mit KI-Anbietern
Sicherstellung von Betroffenenrechten, etwa Auskunft und Widerspruch

Der DSB bewertet also nicht, ob eine KI technisch sicher oder nach dem EU AI Act konform ist. Er bewertet, ob die Datenverarbeitung rechtmäßig, zweckgebunden und verhältnismäßig erfolgt.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Welche Aufgaben fallen ausschließlich in den Zuständigkeitsbereich des KI-Beauftragten?

Der KI-Beauftragte verantwortet die Compliance nach dem EU AI Act. Diese Aufgaben haben keinen direkten datenschutzrechtlichen Bezug und liegen damit außerhalb des Mandats des DSB.

Ausschließliche Aufgaben des KI-Beauftragten sind:

Risikoklassifizierung: Einordnung jedes KI-Systems in die vier Risikostufen des EU AI Acts (minimal, begrenzt, hoch, unannehmbar). Wichtig: Kodier-IT, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlägt, fällt in der Regel in die Kategorie begrenztes Risiko. Klinische Entscheidungsunterstützung wie Radiologie-KI oder Triage-KI ist dagegen Hochrisiko.
Schulungspflicht nach Art. 4 EU AI Act: Die Pflicht zur Sicherstellung ausreichender KI-Kompetenz bei Mitarbeitenden gilt seit Februar 2025 und ist sanktionsbewehrt ab August 2026. Der KI-Beauftragte organisiert und dokumentiert diese Schulungen.
Pflege des KI-Inventars: Erfassung aller eingesetzten KI-Systeme mit Anbieter, Versionsstand, Risikokategorie, CE-Kennzeichnung und interner Verantwortlichkeit.
Überwachungsplan und Vorfallsmeldung: bei Hochrisiko-Systemen
Behördenkontakt: Ab Inkrafttreten des KI-MIG wird die Bundesnetzagentur zentrale Marktüberwachungsbehörde. Der KI-Beauftragte ist Ansprechpartner für Audits und Beschwerden.

Wann müssen Datenschutzbeauftragter und KI-Beauftragter im Krankenhaus zwingend zusammenarbeiten?

Eine Zusammenarbeit ist immer dann zwingend, wenn ein KI-System als Hochrisiko eingestuft wird und gleichzeitig besondere Kategorien personenbezogener Daten verarbeitet, was bei Gesundheitsdaten grundsätzlich der Fall ist. In diesen Situationen greifen DSGVO und EU AI Act gleichzeitig mit vollem Gewicht.

Konkrete Pflichtmomente der Zusammenarbeit:

Einführung eines neuen KI-Systems in der Radiologie, Triage oder Intensivmedizin
Durchführung von DSFA und FRIA, die inhaltlich aufeinander abgestimmt sein müssen
Erstellung und Prüfung von Auftragsverarbeitungsverträgen mit KI-Anbietern
Vorfallsmeldungen, wenn ein KI-System Fehler produziert, die Patientendaten betreffen
Beantwortung von Beschwerden bei der Bundesnetzagentur oder dem Landesdatenschutzbeauftragten

Muss der Datenschutzbeauftragte auch die Anforderungen des EU AI Acts kennen?

Ja, der Datenschutzbeauftragte muss die Grundstruktur des EU AI Acts kennen, aber er muss kein vollständiger Experte dafür sein. Sein Mandat bleibt die DSGVO. Dennoch ist ein Grundverständnis der Risikoklassen und der zentralen Betreiberpflichten unverzichtbar, weil er sonst nicht beurteilen kann, ob eine DSFA erforderlich ist oder welche Verarbeitungsrisiken ein KI-System konkret mit sich bringt.

Praktisch bedeutet das: Der DSB muss wissen, dass Hochrisiko-KI nach Anhang III des EU AI Acts (zum Beispiel Triage-KI oder KI-gestützte Arztbriefschreibung) ab Dezember 2027 volle Compliance-Pflichten auslöst, und er muss einschätzen können, wann eine FRIA nach Art. 27 seine eigene DSFA-Arbeit berührt. Das vollständige technische Compliance-Management für den EU AI Act gehört jedoch zum Aufgabenbereich des KI-Beauftragten.

Wie sollten Krankenhäuser die Zusammenarbeit beider Rollen organisatorisch verankern?

Krankenhäuser sollten die Zusammenarbeit zwischen DSB und KI-Beauftragtem nicht dem Zufall überlassen, sondern strukturell verankern. Ohne klare Prozesse entstehen Doppelarbeit, Lücken in der Dokumentation und im Ernstfall Haftungsrisiken für die Einrichtung.

Bewährte Maßnahmen zur organisatorischen Verankerung:

Gemeinsames KI-Register: Ein zentrales Inventar, das beide Rollen nutzen und pflegen, verhindert parallele, inkonsistente Dokumentation.
Definierter Eskalationspfad: Festlegen, wer bei der Einführung eines neuen KI-Systems zuerst einbezogen wird und in welcher Reihenfolge DSFA und FRIA abgearbeitet werden.
Regelmäßiger Abstimmungsrhythmus: Quartalsweise Meetings zwischen DSB und KI-Beauftragtem, um neue Systeme, Vorfälle und regulatorische Änderungen gemeinsam zu bewerten.
Klare Rollentrennung in der Stellenbeschreibung: Wer welche Pflichten trägt, muss schriftlich fixiert sein, besonders wenn eine Person beide Funktionen in Personalunion ausübt.

Der KI-Beauftragte ist gesetzlich nicht vorgeschrieben, aber praktisch unverzichtbar. Er kann intern oder extern besetzt werden. Entscheidend ist, dass seine Aufgaben klar definiert und von denen des DSB abgegrenzt sind, damit beide Rollen effektiv arbeiten können.

Wie Medcontroller Krankenhäuser bei KI-Compliance und Datenschutz unterstützt

Medcontroller begleitet Krankenhäuser beim Aufbau einer regelkonformen KI-Struktur, die sowohl den Anforderungen des EU AI Acts als auch der DSGVO gerecht wird. Das Angebot richtet sich an Einrichtungen, die ihre Rollen klar definieren, ihre Mitarbeitenden schulen und ihre Dokumentation revisionssicher aufstellen wollen.

KI-Beratung: Analyse des KI-Einsatzes im Haus, Risikoklassifizierung der eingesetzten Systeme und Aufbau eines KI-Inventars nach den Anforderungen des EU AI Acts. Mehr dazu unter KI-Compliance im Krankenhaus.
Schulungen nach Art. 4 EU AI Act: Dokumentationsfähige E-Learning-Module zur KI-Kompetenz, aufgabenbezogen und mit Zertifikat, auch für große Belegschaften skalierbar.
Inhouse-Trainings: Maßgeschneiderte Präsenzschulungen für Führungsebene, Medizincontrolling und spezifische Berufsgruppen, abgestimmt auf den konkreten KI-Einsatz im jeweiligen Haus.
Lehrgang KI-Beauftragter im Krankenhaus: Zertifikatslehrgang in Vorbereitung, der auf die komplexen Verwaltungsaufgaben des KI-Beauftragten vorbereitet.

Nehmen Sie Kontakt auf und klären Sie, welche Schritte Ihr Haus 2026 noch umsetzen muss, bevor die Sanktionspflichten nach dem EU AI Act vollständig greifen.