Mit KI-Werkzeugen lassen sich Auswertungen, Dashboards und kleine Anwendungen heute in Tagen statt Monaten bauen. Viele Kliniken tun das bereits: Eine Ärztin baut sich eine Übersicht für ihre Station, ein Therapieteam eine Auswertung für die Teambesprechung. Die Frage ist dabei selten, ob eine Anwendung technisch funktioniert. Die Frage ist, ob sie mit Gesundheitsdaten rechtssicher betrieben werden kann. Software zu bauen ist günstiger geworden. Sie sicher zu betreiben nicht.
Gesundheitsdaten sind besondere Daten
Gesundheitsdaten gehören nach der DSGVO zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Ihre Verarbeitung ist nur unter engen Voraussetzungen erlaubt, etwa mit ausdrücklicher Einwilligung oder im Rahmen der Behandlung. Für jede neue Anwendung muss deshalb klar sein, auf welcher Grundlage sie welche Daten zu welchem Zweck verarbeitet.
Die erste Frage lautet also nicht „Was kann die Anwendung?“, sondern: Welche Daten braucht sie wirklich – und wofür?
Einwilligung und Zweckbindung
Einwilligungen müssen dokumentiert, nachweisbar und widerrufbar sein. Das gilt auch für jede selbstgebaute Anwendung. Widerruft eine Patientin ihre Einwilligung, muss dieser Widerruf überall ankommen, wo ihre Daten genutzt werden – auch in der Auswertung, die ein Team vor drei Monaten gebaut hat.
Fragen Sie deshalb: Wo sind die Einwilligungen gespeichert? Wie erfährt eine eigene Anwendung von einem Widerruf? Deckt die vorhandene Einwilligung den neuen Zweck überhaupt ab?
Rollen und Rechte
Eigene Anwendungen umgehen häufig bestehende Berechtigungen, weil sie direkt auf eine Datenbank oder einen Export zugreifen. Dann sieht eine Auswertung plötzlich Daten, die die Person, die sie nutzt, im KIS nie sehen dürfte.
Rollen und Rechte müssen deshalb auch für selbstgebaute Anwendungen gelten. Wo der Personenbezug für den Zweck nicht nötig ist, sollten die Daten pseudonymisiert sein.
Wo die Daten liegen
Hosting-Ort, Auftragsverarbeitung und Datenflüsse entscheiden über die Zulässigkeit. Besonders kritisch sind Gesundheitsdaten, die zur Verarbeitung an einen KI-Dienst außerhalb der EU gesendet werden. Klären Sie: Wo werden die Daten gespeichert und verarbeitet? Gibt es Verträge zur Auftragsverarbeitung mit allen Beteiligten? Verlassen Daten die EU, etwa über eine Cloud-KI?
Ein Ansatz, der dieses Risiko verringert: Die KI hilft beim Bauen der Anwendung, sieht aber die Rohdaten nicht. Sie konfiguriert Auswertungen und Dashboards, die eigentliche Berechnung läuft danach in der eigenen, geschützten Umgebung – nachvollziehbar und reproduzierbar.
Nachvollziehbarkeit und Audit Trail
Wer hat wann welche Daten genutzt, und auf welcher Datengrundlage ist ein Ergebnis entstanden? Ohne Audit Trail und klare Herkunft der Daten lässt sich das weder gegenüber Patienten noch gegenüber Aufsichtsbehörden belegen.
Dazu gehört auch die Herkunft jedes einzelnen Werts. Werte aus verschiedenen Geräten haben unterschiedliche Formate, Einheiten und Messmethoden. Eine KI-Anwendung ist nur so gut wie ihre Daten. Bei jedem Wert sollte erkennbar sein, von welchem Gerät er stammt, wann und wie er gemessen wurde.
Wann aus einer Anwendung ein Medizinprodukt wird
Software, die für Diagnose, Therapieentscheidungen oder die Überwachung von Patienten bestimmt ist, kann unter die Medizinprodukteverordnung (MDR) fallen. Entscheidend ist die Zweckbestimmung. Reine Dokumentation und Darstellung sind anders zu bewerten als automatische Therapieempfehlungen. Eine einfache Regel hilft: Die Anwendung zeigt, die Fachperson entscheidet.
Die Aufgabenteilung, die funktioniert
Bewährt hat sich eine klare Trennung. Ein geprüftes Fundament übernimmt die Pflichten, die dauerhaft erfüllt werden müssen: Geräteanbindung, Datenhaltung, Einwilligungen, Rollen und Rechte, Audit Trail. Darauf bauen Einrichtungen ihre eigenen Auswertungen und Anwendungen. So bleibt die Freiheit beim Bauen, und die Pflichten liegen dort, wo sie dauerhaft erfüllt werden.
Genau diese Rolle übernimmt Datico®. Der Datico® Life Hub verbindet Geräte, Wearables und Kliniksysteme, speichert die Daten mit ihrer Herkunft, verwaltet Einwilligungen per Double Opt-In, setzt Rollen und Rechte durch und protokolliert Zugriffe im Audit Trail. Gehostet in Deutschland oder auf Wunsch on-premise in Ihrer eigenen Infrastruktur. Ihre Anwendungen greifen über die Smart API und den KI Connector auf die Daten zu – mit denselben Rechten wie alle anderen Zugriffe.
Die Anwendung bauen Sie. Das Fundament liefern wir.
Kurze Checkliste
- Zweck und Rechtsgrundlage der Anwendung sind dokumentiert.
- Einwilligungen sind nachweisbar, Widerrufe kommen in der Anwendung an.
- Der Hosting-Ort ist bekannt, Verträge zur Auftragsverarbeitung liegen vor.
- Keine Gesundheitsdaten an Dienste außerhalb der EU ohne geprüfte Grundlage.
- Rollen und Rechte gelten auch in der eigenen Anwendung.
- Zugriffe werden protokolliert, die Herkunft jedes Werts ist nachvollziehbar.
- Die Zweckbestimmung ist im Hinblick auf die MDR geprüft, die Entscheidung bleibt bei der Fachperson.
- Die Datenschutzbeauftragte ist eingebunden.
Dieser Beitrag gibt eine Orientierung und ersetzt keine Rechtsberatung. Wenn Sie prüfen möchten, wie Ihre eigenen Anwendungen auf einem solchen Fundament laufen können, vereinbaren Sie ein Erstgespräch.
