Braucht ein Krankenhaus für KI-Systeme eine eigene Datenschutz-Folgenabschätzung?

Ja, ein Krankenhaus braucht für den Einsatz von KI-Systemen in vielen Fällen eine Datenschutz-Folgenabschätzung (DSFA). Die Pflicht ergibt sich direkt aus Art. 35 DSGVO und greift immer dann, wenn die Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Im Krankenhauskontext ist das bei KI-gestützten Anwendungen, die Gesundheitsdaten verarbeiten, die Regel und nicht die Ausnahme. Dieser Artikel klärt, wann die Pflicht konkret gilt, welche Systeme sie auslösen und was bei Verstößen droht.

Wann ist eine Datenschutz-Folgenabschätzung gesetzlich vorgeschrieben?

Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO immer dann gesetzlich vorgeschrieben, wenn eine Verarbeitung personenbezogener Daten wahrscheinlich ein hohes Risiko für betroffene Personen zur Folge hat. Für Krankenhäuser bedeutet das: Sobald ein KI-System Gesundheitsdaten systematisch verarbeitet, automatisiert bewertet oder für klinische Entscheidungen heranzieht, ist die DSFA keine Option, sondern Pflicht.

Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele, die unmittelbar auf Krankenhäuser zutreffen: automatisierte Entscheidungen mit erheblichen Auswirkungen auf Personen, systematische Verarbeitung sensibler Datenkategorien sowie umfangreiche Überwachung öffentlich zugänglicher Bereiche. Gesundheitsdaten gehören nach Art. 9 DSGVO zur besonderen Kategorie sensibler Daten. Ihre systematische Verarbeitung durch KI-Systeme löst die DSFA-Pflicht daher nahezu automatisch aus.

Zusätzlich veröffentlichen die nationalen Datenschutzbehörden sogenannte Muss-Listen, in denen Verarbeitungsarten aufgeführt sind, für die eine DSFA zwingend durchzuführen ist. Die Datenschutzkonferenz (DSK) hat solche Listen für Deutschland veröffentlicht. KI-gestützte Diagnosesysteme und klinische Entscheidungsunterstützungssysteme stehen dort in der Regel ausdrücklich auf der Liste.

Welche KI-Systeme im Krankenhaus lösen eine DSFA-Pflicht aus?

Die DSFA-Pflicht wird nicht durch den Begriff „KI“ ausgelöst, sondern durch das Risikopotenzial der Datenverarbeitung. Entscheidend ist, ob das System Gesundheitsdaten systematisch verarbeitet und ob automatisierte Bewertungen mit Auswirkungen auf Patienten oder Personal getroffen werden.

Folgende KI-Anwendungen im Krankenhaus lösen die DSFA-Pflicht in aller Regel aus:

Klinische Bildanalyse: KI-gestützte Radiologie, Endoskopiebefundung (z. B. Polypenerkennung), Dermatoskopie und Fundoskopie verarbeiten medizinische Bilddaten und generieren klinische Befundaussagen. Diese Systeme gelten nach dem EU AI Act als Hochrisiko-KI (Anhang III bzw. als Medizinprodukt nach Anhang I) und unterliegen damit der DSFA-Pflicht nach DSGVO.
Intensivmedizinische Vorhersagesysteme: Systeme zur Sepsisvorhersage, Delirrisikobewertung oder Scoringanalyse treffen automatisierte Einschätzungen mit direkter klinischer Relevanz.
Triage-KI in der Notaufnahme: Automatisierte Priorisierungsentscheidungen auf Basis von Patientendaten erfüllen den Tatbestand der automatisierten Entscheidungsfindung nach Art. 35 Abs. 3 lit. a DSGVO.
Ambient-Speech-Systeme: KI, die Arzt-Patienten-Gespräche aufzeichnet, transkribiert und auswertet, verarbeitet besonders sensible Daten unter Bedingungen, die ein hohes Datenschutzrisiko begründen.
KI-generierte Arztbriefe: Soweit das System eigenständig klinische Inhalte formuliert und nicht nur Texte formatiert, ist eine DSFA erforderlich.
KI-gestütztes Recruiting: Systeme, die Bewerberdaten automatisiert bewerten, fallen unter Art. 35 Abs. 3 DSGVO, auch wenn sie keine Gesundheitsdaten verarbeiten.

Ausdrücklich nicht gemeint sind reine Kodierunterstützungssysteme, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlagen. Solche Werkzeuge weisen ein deutlich niedrigeres regulatorisches Risikoprofil auf, weil sie keine eigenständigen klinischen Diagnosen treffen. Sie fallen im Regelfall in die Kategorie des begrenzten Risikos nach dem EU AI Act und lösen keine DSFA-Pflicht aus, sofern keine systematische Profilbildung stattfindet.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Was muss eine Datenschutz-Folgenabschätzung für KI konkret enthalten?

Eine DSFA für KI-Systeme muss nach Art. 35 Abs. 7 DSGVO vier Kernelemente enthalten: eine systematische Beschreibung der Verarbeitung und ihrer Zwecke, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die betroffenen Personen sowie die geplanten Abhilfemaßnahmen.

Für KI-Systeme im Krankenhaus bedeutet das konkret:

Systembeschreibung: Welche Daten verarbeitet das KI-System, auf welcher Grundlage trifft es Aussagen, wer hat Zugriff, und wo werden Ergebnisse gespeichert? Dazu gehört auch die Einordnung nach dem EU AI Act: Risikoklasse, CE-Kennzeichnung und Rolle des Krankenhauses als Betreiber.
Zweck und Rechtsgrundlage: Auf welcher Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO werden die Daten verarbeitet? Im Krankenhaus kommt häufig Art. 9 Abs. 2 lit. h DSGVO (medizinische Versorgung) in Betracht.
Risikoanalyse: Welche konkreten Risiken entstehen für Patienten oder Personal, etwa durch fehlerhafte KI-Ausgaben, unzulässige Profilbildung oder Datenpannen? Die Eintrittswahrscheinlichkeit und Schwere der Risiken sind zu bewerten.
Schutzmaßnahmen: Welche technischen und organisatorischen Maßnahmen begegnen den identifizierten Risiken? Dazu zählen Zugriffskontrollen, Protokollierung, menschliche Aufsicht (nach Art. 14 KI-VO bei Hochrisiko-Systemen) sowie Schulungen nach Art. 4 KI-VO.

Bei Hochrisiko-KI-Systemen nach dem EU AI Act kommt zusätzlich die Grundrechte-Folgenabschätzung (FRIA, Art. 27 KI-VO) hinzu, die der Betreiber eigenständig durchzuführen hat. DSFA und FRIA sind rechtlich getrennte Instrumente, können aber in einem gemeinsamen Dokument zusammengefasst werden.

Wer ist im Krankenhaus für die Durchführung der DSFA verantwortlich?

Verantwortlich für die Durchführung der DSFA ist der Verantwortliche im Sinne der DSGVO, also die Krankenhausleitung als juristische Person. In der Praxis liegt die operative Umsetzung beim Datenschutzbeauftragten, der nach Art. 35 Abs. 2 DSGVO zwingend hinzuzuziehen ist.

Im Krankenhaus sind typischerweise mehrere Stellen an der DSFA beteiligt:

Datenschutzbeauftragter (DSB): Pflichtbeteiligung nach Art. 35 Abs. 2 DSGVO. Der DSB berät, prüft die Vollständigkeit und dokumentiert seine Stellungnahme.
IT-Abteilung: Liefert technische Details zur Systemarchitektur, Datenspeicherung und Zugriffskonzepten.
Medizincontrolling und Fachabteilung: Beschreiben den konkreten Einsatzzweck, die betroffenen Patientengruppen und die klinischen Abläufe rund um das KI-System.
KI-Beauftragter: Nicht gesetzlich vorgeschrieben, aber in der Praxis unverzichtbar. Er koordiniert das KI-Inventar, pflegt die Dokumentation und ist Ansprechpartner für Behörden. Die Funktion kann intern oder extern besetzt werden.

Wichtig: Das Krankenhaus agiert gegenüber dem KI-Anbieter als Betreiber. Die DSFA ist eine eigene Pflicht des Betreibers und kann nicht auf den Anbieter abgewälzt werden, auch wenn dieser technische Dokumentation nach Art. 11 KI-VO bereitstellt.

Was passiert, wenn ein Krankenhaus die DSFA-Pflicht ignoriert?

Wer eine vorgeschriebene DSFA unterlässt, riskiert nach Art. 83 Abs. 4 DSGVO Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Hinzu kommen Bußgelder aus dem EU AI Act: Bei Verstößen gegen die Betreiberpflichten im Hochrisikobereich sieht die KI-Verordnung Sanktionen von bis zu 15 Millionen Euro vor.

Praktisch bedeutsam ist auch das nationale Durchführungsgesetz zur KI-Verordnung, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das voraussichtlich im Sommer 2026 in Kraft tritt. Es benennt die Bundesnetzagentur und das BfArM als zentrale Marktüberwachungsbehörden. Über eine zentrale Beschwerdestelle können auch Patienten und Krankenhausmitarbeiter Verstöße anonym melden. Das erhöht das Entdeckungsrisiko erheblich.

Neben Bußgeldern drohen Untersagungsverfügungen, die den Betrieb eines KI-Systems sofort stoppen können, sowie Reputationsschäden und zivilrechtliche Haftung gegenüber betroffenen Patienten.

Wie unterscheidet sich die DSFA von einer normalen Datenschutzprüfung?

Die DSFA ist keine nachgelagerte Kontrolle, sondern eine vorausschauende Risikoanalyse, die vor dem Einsatz eines neuen Systems durchgeführt werden muss. Eine normale Datenschutzprüfung stellt fest, ob bestehende Verarbeitungen regelkonform sind. Die DSFA bewertet prospektiv, welche Risiken eine geplante Verarbeitung erzeugen kann, und verlangt Maßnahmen, bevor der Betrieb beginnt.

Weitere wesentliche Unterschiede:

Auslöser: Eine Datenschutzprüfung kann anlassbezogen oder routinemäßig erfolgen. Die DSFA ist gesetzlich vorgeschrieben, sobald die Risikovoraussetzungen des Art. 35 DSGVO erfüllt sind.
Dokumentationstiefe: Die DSFA erfordert eine strukturierte, schriftliche Dokumentation nach Art. 35 Abs. 7 DSGVO, die aufbewahrt und auf Anfrage der Aufsichtsbehörde vorgelegt werden muss.
Behördenkonsultation: Wenn die DSFA ergibt, dass das Restrisiko trotz aller Maßnahmen hoch bleibt, schreibt Art. 36 DSGVO eine vorherige Konsultation der Aufsichtsbehörde vor. Diesen Mechanismus kennt die normale Datenschutzprüfung nicht.
Fortlaufende Pflicht: Die DSFA ist kein einmaliges Dokument. Ändert sich das KI-System wesentlich, ist die DSFA zu wiederholen oder zu aktualisieren.

Wie Medcontroller Krankenhäuser bei der KI-Compliance unterstützt

Medcontroller begleitet Krankenhäuser bei der regelkonformen Einführung und dem Betrieb von KI-Systemen. Das Leistungsangebot umfasst konkrete, praxisnahe Unterstützung:

KI-Inventar aufbauen: Systematische Erfassung aller eingesetzten KI-Tools mit Risikoklassifizierung nach dem EU AI Act, Anbieterinformationen und Dokumentation der Betreiberpflichten.
Schulungen nach Art. 4 KI-VO: Rollen- und anwendungsbezogene E-Learning-Module für KI-Kompetenz, dokumentationsfähig mit Prüfung und Zertifikat, auch für große Belegschaften skalierbar.
KI-Beauftragter als externe Dienstleistung: Medcontroller übernimmt die Funktion des KI-Beauftragten in einem fest umrissenen Leistungspaket zu einem Pauschalpreis, inklusive Pflege des KI-Inventars, Koordination der Dokumentation und Behördenkontakt.
Webinar und Zertifikatslehrgang: Das Online-Seminar „KI im Krankenhaus: Ihr Fahrplan zur Compliance“ (4,5 Stunden Live-Online mit Zertifikat) sowie ein berufsbegleitender Zertifikatslehrgang zum KI-Beauftragten im Krankenhaus bereiten Fachkräfte gezielt vor.

Für Krankenhäuser, die jetzt mit dem Aufbau einer KI-Compliance-Struktur beginnen möchten, bietet Medcontroller einen klaren ersten Schritt: Jetzt KI-Beratung anfragen und gemeinsam prüfen, welche Systeme im Haus eine DSFA-Pflicht auslösen und wie die Dokumentation rechtssicher aufgebaut wird.