Einsatz von Künstlicher Intelligenz

Datenschutz-Folgeabschätzung So erstellst du eine DSFA.

Jetzt anmelden! Zur Startseite.

Künstliche Intelligenz im Krankenhaus – Chance und Verantwortung

Künstliche Intelligenz (KI) hält Einzug in Kliniken und verspricht enorme Vorteile: Von präziseren Diagnosen über automatisierte Verwaltungsprozesse bis hin zur Entlastung des Personals revolutioniert sie den Klinikalltag. Laut einer Bitkom-Studie 2023 nutzen 62 % der deutschen Krankenhäuser bereits KI, etwa zur Analyse von Röntgenbildern oder zur Abrechnungsoptimierung. Doch viele Klinikmanager*innen, Ärzt*innen und Verwaltungsmitarbeiter*innen setzen Large Language Models (LLMs) wie ChatGPT oder spezialisierte Diagnose-Tools ein, ohne die Datenschutz-Grundverordnung (DSGVO) ausreichend zu beachten. Das kann teuer werden – Bußgelder drohen, und das Vertrauen der Patient*innen, Bewerber*innen oder Mitarbeitenden steht auf dem Spiel. In diesem Blogbeitrag der Klinikmanagement Akademie erklären wir dir, warum eine Datenschutz-Folgeabschätzung (DSFA) beim KI-Einsatz Pflicht sein kann und wie du sie Schritt für Schritt umsetzt.

Warum eine DSFA beim KI-Einsatz wichtig ist

Die DSGVO (eng: GDPR - General Data Protection Regulation) fordert gemäß Artikel 35 eine DSFA, sobald die Verarbeitung personenbezogener Daten „voraussichtlich ein hohes Risiko“ birgt. KI-Anwendungen, insbesondere Cloud-basierte LLMs wie ChatGPT oder Diagnose-Tools, fallen oft darunter, da sie sensible Daten wie Patient*innenakten, Mitarbeiterdaten oder Bewerberunterlagen verarbeiten, innovative Technologien nutzen und automatisierte Entscheidungen treffen. Laut der Datenschutzkonferenz (DSK) ist eine DSFA nötig, wenn mindestens zwei Kriterien zutreffen: Einsatz neuer Technologien wie KI, Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten oder umfangreiche Datenmengen bzw. Profiling. Ohne DSFA riskierst du Bußgelder von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes (Art. 83 DSGVO). Ein reales Beispiel: 2022 wurde ein Krankenhaus in den Niederlanden mit 300.000 Euro Strafe belegt, weil es KI ohne eine transparente DSFA einsetzte und Patient*innendaten ungeschützt an einen US-Anbieter übermittelte – Vertrauen und Rechtssicherheit litten massiv.

dsfa-bei-einsatz-ki

Typische KI-Einsätze im Krankenhaus und ihre Risiken

KI wird in Kliniken vielfältig genutzt – doch jedes Szenario birgt datenschutzrechtliche Risiken. Bei der Diagnoseunterstützung wertet KI Röntgenbilder aus, könnte aber durch fehlerhafte Algorithmen Patient*innen schädigen – etwa 5 % der KI-Diagnosen weichen laut einer Studie der Uniklinik München (2023) von Expertenmeinungen ab. In der Verwaltung erstellt ein LLM Berichte oder kodiert Abrechnungen, doch die Weitergabe von Daten an Drittanbieter wie in den USA gefährdet den Datenschutz. In der Pflege überwacht KI Vitalwerte, aber fehlende Transparenz über die Datenverarbeitung sorgt für Unsicherheit – 40 % der Kliniken wissen nicht genau, wie ihre KI-Tools Daten nutzen (Bitkom 2023). Eine DSFA identifiziert diese Risiken und schützt dich vor rechtlichen und ethischen Fallstricken.

Empfohlenes Vorgehen: So meisterst du die DSFA

Du willst KI in deiner Klinik einsetzen? So gehst du vor: Starte mit einer Vorabprüfung – verarbeitest du Gesundheitsdaten oder nutzt du neue Technologien wie KI? Dann ist eine DSFA wahrscheinlich Pflicht. Definiere Ziele und Daten: Was soll die KI leisten, etwa Diagnosen unterstützen, und welche Daten braucht sie, wie Patient*innenakten? Wer hat Zugriff, etwa der Anbieter? Identifiziere Risiken: Könnten Daten an Dritte weitergeleitet werden, besteht Bias in der KI oder fehlt Kontrolle? Plane Maßnahmen wie Verschlüsselung, Anonymisierung oder Auftragsverarbeitungsverträge (AVV) mit Anbietern, um diese Risiken zu minimieren. Dokumentiere und setze die DSFA um – zieh deinen Datenschutzbeauftragten hinzu – und überprüfe sie jährlich, da sich KI ständig weiterentwickelt. Tipp: Beziehe die DSGVO schon bei der Planung ein – das spart dir Zeit und Ärger.

Vorlage: Deine Datenschutz-Folgeabschätzung für KI

Hier ist eine praxisnahe Vorlage, ausgefüllt für eine Cloud-KI, die Bewerbungen prüft:

Datenschutz-Folgeabschätzung (DSFA) gemäß Art. 35 DSGVO

Titel: Einsatz einer Cloud-KI zur Bewertung und Vollständigkeitsprüfung von Bewerbungen

Datum: 21. Februar 2025

Verantwortliche: Anna Müller, Klinikmanagerin, Musterklinik

Datenschutzbeauftragter: Max Schmidt, datenschutz@musterklinik.de


1. Beschreibung der Verarbeitungsvorgänge

Zweck: Automatisierte Prüfung von Bewerbungsunterlagen wie Lebenslauf und Anschreiben auf Vollständigkeit und Eignung für Stellen in der Musterklinik.

KI-Anwendung: Cloud-basierte Software „TalentAI“ von TalentAI GmbH.

Daten: Name, Adresse, Kontaktdaten, Lebenslauf mit Ausbildung und Berufserfahrung, gelegentlich besondere Kategorien wie Schwerbehindertenstatus oder ethnische Herkunft gemäß Artikel 9 DSGVO.

Betroffene: Bewerber*innen für Stellen wie Pflegekräfte oder Ärzt*innen.

Datenquellen: Bewerbungen per E-Mail oder über das Klinikportal.

Empfänger: TalentAI GmbH mit Servern in den USA sowie das interne HR-Team.

Speicherort und -dauer: Cloud-Server in den USA mit 90 Tagen Speicherung, lokale Kopien bis sechs Monate nach Bewerbungsabschluss.


2. Notwendigkeit und Verhältnismäßigkeit

Zweck: Effizientere und objektivere Bewerbungsprüfung.

Rechtsgrundlage: Artikel 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen, Artikel 9 Abs. 2 lit. b DSGVO für arbeitsrechtliche Zwecke wie Schwerbehindertengleichstellung.

Verhältnismäßigkeit: KI spart Zeit gegenüber manueller Prüfung; ohne KI wäre der Prozess langsamer, aber machbar.


3. Risikobewertung

Risiken: Datenübermittlung an TalentAI in die USA als Drittland ohne adäquates Datenschutzniveau, Bias durch voreingenommene Algorithmen wie Ablehnung aufgrund von Geschlecht oder Alter, Fehler bei unvollständiger Prüfung mit ungerechtfertigter Ablehnung, Intransparenz, ob TalentAI Daten für Training nutzt.

Wahrscheinlichkeit und Schwere: Hoch, da sensible Daten und Drittland-Transfer beteiligt sind.


4. Maßnahmen zur Risikominderung

Technisch: Datenverschlüsselung bei Übertragung mit TLS/SSL, Pseudonymisierung vor Upload durch Ersetzen von Namen mit IDs.

Organisatorisch: Auftragsverarbeitungsvertrag (AVV) mit TalentAI gemäß Artikel 28 DSGVO mit Verbot der Nutzung für KI-Training, Standardvertragsklauseln (SCC) für den Datentransfer in die USA gemäß Artikel 46 DSGVO, Schulung des HR-Teams gegen unkontrollierte Eingabe sensibler Daten, manuelle Nachprüfung bei KI-Ablehnungen.

Transparenz: Hinweis im Bewerbungsportal „Wir nutzen KI zur Prüfung Ihrer Unterlagen“ mit Widerspruchsrecht gemäß Artikel 21 DSGVO.


5. Ergebnisse

Restrisiko: Gering, wenn Maßnahmen umgesetzt werden.

Fazit: Der KI-Einsatz ist mit Schutzmaßnahmen DSGVO-konform.


6. Beteiligung des Datenschutzbeauftragten

Stellungnahme: „Maßnahmen ausreichend, regelmäßige Überprüfung des Anbieters empfohlen.“


7. Genehmigung

Verantwortliche: Anna Müller, 21.02.2025. Datenschutzbeauftragter: Max Schmidt, 21.02.2025.


8. Anhänge

AVV mit TalentAI, SCC-Dokument, Schulungsprotokoll.

Vorlage-DSFA-Unternehmen

Fazit: Mit DSFA sicher KI nutzen

KI im Krankenhaus – wie bei der Bewerbungsprüfung – ist eine Chance, aber nur mit Datenschutz im Griff. Eine DSFA ist kein Hindernis, sondern dein Sicherheitsnetz. Mit unserer Vorlage kannst du Risiken wie Datenlecks oder Bias abfedern und bleibst rechtlich sicher. Starte mit einer Vorabprüfung, dokumentiere alles und halte die DSFA aktuell. Mehr lernen? Die Klinikmanagement Akademie bietet Kurse zu KI, Datenschutz und Klinikmanagement – Jetzt informieren. Mach deine Klinik fit für die KI-Zukunft, DSGVO-konform!

Jetzt anmelden!

Für wen ist der Kurs hilfreich?

Dieser Kurs ist ideal für Fach- und Führungskräfte im Gesundheitswesen: Sowohl erfahrene Klinikmanager, die ihr Wissen auffrischen wollen als auch Ärzte und Pflegekräfte, die eine Managementrolle übernehmen möchten, profitieren von den Inhalten des Onlinekurses.


Trustpilot

Ist der Kurs das Richtige für mich?

Finde es heraus und probiere unseren kostenlosen 7-Tage-E-Mail-Kurs aus.

    100 % DSG-VO konform. Jederzeit kündbar.

    Lerne die Kursleitung kennen

    Dr. Alexander Zuber, Kursleiter der Klinikmanagement Akademie, bringt über ein Jahrzehnt Erfahrung in der komplexen Welt des deutschen Krankenhausmanagements mit. Er versteht es, die vielschichtigen Zusammenhänge dieser stark regulierten Branche verständlich und praxisnah zu vermitteln.

    Seine Leidenschaft gilt dem Unterrichten – insbesondere mit modernen E-Learning-Technologien, die es den Teilnehmenden ermöglichen, individuell und im eigenen Tempo zu lernen. Mit seiner Expertise und Begeisterung schafft er eine inspirierende Lernatmosphäre, die Fachwissen greifbar macht.