Zum Inhalt springen 
Für Leitungen, Qualitätsbeauftragte und Datenschutzbeauftragte in Pflegeeinrichtungen. Lesezeit etwa 3 Minuten.
Ist KI in der Pflegedokumentation DSGVO-konform?
Die kurze Antwort: Es kommt weniger darauf an, ob Sie KI einsetzen, als darauf, wo die Daten dabei verarbeitet werden. Dieser Text erklärt den Unterschied und was in beiden Fällen zu tun bleibt.
Warum Pflegedaten besonders geschützt sind
Was in einer Pflegedokumentation steht – Diagnosen, Medikation, Verhaltensauffälligkeiten, Angaben zur körperlichen und seelischen Verfassung – gehört zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Für diese Kategorie gilt ein grundsätzliches Verarbeitungsverbot mit Ausnahmen; sie ist damit nicht einfach nur „sensibel", sondern rechtlich anders behandelt als eine Lieferadresse.
Dazu kommt eine zweite Ebene, die im Alltag oft untergeht: Pflegekräfte unterliegen der Schweigepflicht nach § 203 StGB. Der Datenschutz regelt, unter welchen Bedingungen Daten verarbeitet werden dürfen. Das Strafrecht regelt zusätzlich, wem gegenüber überhaupt etwas offenbart werden darf. Beide Ebenen müssen erfüllt sein, nicht nur eine.
Was passiert, wenn Sie einen öffentlichen KI-Dienst nutzen
Angenommen, eine Pflegefachkraft tippt Stichworte zu einem Bewohner in ein frei zugängliches Chat-Werkzeug, damit daraus ein sauber formulierter Bericht wird. Technisch ist das ein Datentransfer: Die Angaben verlassen die Einrichtung und landen bei einem Unternehmen, das die Verarbeitung betreibt.
Daraus ergeben sich mehrere Fragen auf einmal. Es braucht einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, den frei zugängliche Dienste in aller Regel nicht bieten. Es stellt sich die Frage, ob und wo außerhalb der EU verarbeitet wird. Es stellt sich die Frage, ob Eingaben zur Verbesserung der Modelle genutzt werden. Und über allem steht die Frage der Schweigepflicht, denn der Anbieter ist aus Sicht des Strafrechts ein Dritter.
Was sich ändert, wenn die KI im Haus läuft
Beim lokalen Betrieb läuft das Sprachmodell auf einem Rechner in der Einrichtung. Die Eingabe geht an dieses Gerät, nicht ins Internet. Damit fällt der schwierigste Teil der Prüfung weg: Es gibt keinen externen Empfänger, keine Übermittlung, keinen Auftragsverarbeitungsvertrag für die Verarbeitung selbst und keine Frage nach Drittländern.
Das ist ein echter Unterschied und nicht bloß eine Formalie. Es ist aber auch keine Generalabsolution – wer das behauptet, verkauft Ihnen etwas.
Der lokale Betrieb beseitigt die Übermittlung an Dritte. Alle übrigen Datenschutzpflichten bleiben bestehen, weil Sie die Daten nach wie vor verarbeiten – nur eben selbst.
Was auch bei lokaler KI zu tun bleibt
Diese Punkte gehören unabhängig vom Betriebsmodell erledigt. Die meisten davon haben Sie ohnehin schon, weil Sie längst eine Pflegesoftware einsetzen.
- Verzeichnis von Verarbeitungstätigkeiten um den neuen Verarbeitungszweck ergänzen.
- Datenschutz-Folgenabschätzung prüfen. Bei umfangreicher Verarbeitung besonderer Datenkategorien mit neuer Technologie liegt sie nach Artikel 35 DSGVO nahe. Ob sie erforderlich ist, entscheidet Ihr Datenschutzbeauftragter.
- Zweckbindung und Datenminimierung. Es gehört nur hinein, was für den Eintrag gebraucht wird – nicht die halbe Akte, weil es bequemer ist.
- Zugriffsrechte und Löschkonzept für das neue System festlegen.
- Mitbestimmung. Systeme, die zur Verhaltens- oder Leistungskontrolle geeignet sind, unterliegen nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung. Den Betriebsrat früh einzubinden ist auch praktisch klüger, als es nachträglich zu erklären.
- Schulung. Ihre Mitarbeitenden müssen wissen, was sie eingeben dürfen – und dass private Chat-Werkzeuge auf dem eigenen Handy tabu bleiben.
- Fachliche Verantwortung. Die KI formuliert, die Fachkraft prüft und gibt frei. Diese Verantwortung lässt sich nicht an Software abgeben.
Das unterschätzte Risiko: die KI, die längst benutzt wird
In vielen Einrichtungen ist die Frage längst nicht mehr, ob KI eingesetzt wird, sondern ob die Leitung davon weiß. Mitarbeitende, die abends Berichte formulieren müssen, greifen zum Werkzeug auf dem eigenen Handy. Das passiert selten aus Nachlässigkeit, sondern aus Zeitdruck.
Diese stille Nutzung ist der riskanteste Zustand von allen: kein Vertrag, keine Kontrolle, keine Dokumentation und niemand, der es steuert. Ein bereitgestelltes, geprüftes System ist daher auch ein Mittel gegen ein Problem, das in vielen Häusern bereits besteht.
Fazit
KI in der Pflegedokumentation ist nicht per se datenschutzwidrig. Der Weg über einen öffentlich zugänglichen Dienst ist für Gesundheitsdaten allerdings schwer sauber zu bekommen – und scheitert in der Praxis meist schon beim Auftragsverarbeitungsvertrag. Wer die Verarbeitung im eigenen Haus behält, räumt genau diese Hürde weg und behält die restlichen Pflichten, die ohnehin zum Betrieb gehören.
Wie das in Ihrer Einrichtung aussehen könnte
Wir bauen KI-Server, die in der Einrichtung stehen und ohne Verbindung nach außen arbeiten – inklusive Aufbau, Schulung und einer Dokumentation der Netzwerktrennung für Ihre Unterlagen.
- Lokale KI für Pflegeeinrichtungen – wie ein System im Haus aufgebaut wird
- Mandantendaten in KI-Diensten: was § 203 StGB dazu sagt
- Alle Ratgeber im Überblick
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Ob und wie die genannten Vorschriften auf Ihre Einrichtung anzuwenden sind, klären Sie bitte mit Ihrem Datenschutzbeauftragten oder einer Rechtsanwältin beziehungsweise einem Rechtsanwalt.
