Braucht eine Praxis vor dem Start einer KI-Patientenassistenz eine DSFA?
Praktische DSFA-Vorprüfung und Nachweisliste für KI bei Terminen, Patienteninformationen und Anrufweiterleitung.
Die kurze Antwort
Eine Praxis sollte eine dokumentierte DSFA-Vorprüfung abschließen, bevor eine KI-Patientenassistenz echte Anrufe verarbeitet. Nicht jeder Einsatz verlangt automatisch eine vollständige Datenschutz-Folgenabschätzung. Nach der DSGVO kommt es darauf an, ob die geplante Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Menschen verursacht.
Bei einer telefonischen Patientenassistenz können mehrere Faktoren zusammenkommen: Gesundheitsinformationen, möglicherweise schutzbedürftige Patienten, neue Technologie, Überwachung von Gesprächen und Verarbeitung in großem Umfang. Daraus folgt kein pauschales Ja oder Nein. Nötig sind eine frühe Prüfung des tatsächlichen Ablaufs, der Liste der zuständigen nationalen Aufsichtsbehörde und die Beratung durch den Datenschutzbeauftragten. Ist ein hohes Risiko wahrscheinlich, muss die DSFA vor Beginn der Verarbeitung abgeschlossen sein.
Prüfen Sie den echten Ablauf statt der Produktbezeichnung
Beginnen Sie mit den konkreten Aufgaben des Assistenten. Erfassen Sie ein- und ausgehende Anrufe, Terminänderungen, Identitätsprüfungen, freigegebene Informationen, Nachrichten, Weiterleitungen und Nachbearbeitung. Halten Sie fest, ob Audio, Transkript, strukturierte Zusammenfassung oder nur technische Ereignisse gespeichert werden. Benennen Sie jedes Quellsystem, jeden Empfänger und Auftragsverarbeiter, die Verarbeitungsorte und den Ausweichweg.
Ein Pilot fällt nicht automatisch aus dem Anwendungsbereich. Sobald echte Patienten und personenbezogene Daten beteiligt sind, muss diese Verarbeitung vor dem ersten Liveanruf bewertet sein. Synthetische Gespräche helfen beim Designtest, beantworten aber nicht die Risiken falscher Identität, unerwarteter Gesundheitsangaben, des Mitarbeiterzugriffs oder einer Nachricht in der falschen Praxiswarteschlange.
Begrenzen Sie jeden Anwendungsfall auf einen klaren Zweck
Begriffe wie Patientenservice oder Anrufautomatisierung sind für eine belastbare Prüfung zu weit. Terminbestätigung, Verschiebung, Wegbeschreibung, Rückrufbitte und administrative Nachricht sollten getrennt beschrieben werden. Legen Sie für jeden Fall das erlaubte Ergebnis und die dafür nötigen Daten fest.
Hinterfragen Sie danach jedes Feld und jede Datenkopie. Muss der Anruf aufgezeichnet werden? Wird das Transkript noch gebraucht, nachdem das Terminsystem die Änderung bestätigt hat? Benötigt der Empfang das ganze Gespräch oder reicht ein kurzer strukturierter Vorgang? Patienten können ungefragt Gesundheitsinformationen nennen. Das Design muss auch bei einem administrativen Skript damit umgehen können.
Nutzen Sie die DSFA-Kriterien als begründete Prüfung
Die EDPB-Leitlinien nennen unter anderem sensible oder höchstpersönliche Daten, Verarbeitung in großem Umfang, schutzbedürftige Personen, systematische Überwachung, automatisierte Entscheidungen mit erheblicher Wirkung, die Zusammenführung von Datensätzen und innovative Technologie. Ein Patientenanruf kann mehrere Kriterien berühren, doch das Ergebnis hängt von Umfang, Kontext, Zweck und Schutzmaßnahmen ab.
Reduzieren Sie die Prüfung nicht auf eine Punktzahl aus einem Lieferantenfragebogen. Prüfen Sie die verbindliche Liste der zuständigen nationalen Behörde und dokumentieren Sie für jedes relevante Kriterium, warum es anwendbar ist oder nicht. Der EDPB sieht mehrere Kriterien als starkes Signal, erkennt aber an, dass in einem Einzelfall auch eines genügen kann. Die Praxis braucht eine vertretbare Begründung, keine magische Schwelle.
Prüfen Sie Erforderlichkeit und Verhältnismäßigkeit vor der Maßnahmenwahl
Eine DSFA sollte fragen, ob dasselbe betriebliche Ergebnis mit weniger personenbezogenen Daten oder einer weniger eingreifenden Methode erreichbar ist. Vergleichen Sie Vollaufzeichnung mit keiner Aufzeichnung, vollständiges Transkript mit strukturiertem Vorgang, breiten Zugriff mit rollenbasierten Warteschlangen und unbegrenzte Speicherung mit zweckgebundener Aufbewahrung. Stärkere Identitätsprüfung gehört nur zu Handlungen, die sie wirklich benötigen.
Patienten brauchen außerdem eine praktische Alternative, wenn sie den KI-Kanal nicht nutzen können oder wollen. Der Hinweis am Gesprächsanfang muss klar sein. Die Offenlegung allein macht die übrige Verarbeitung jedoch weder erforderlich noch verhältnismäßig. Die Praxis braucht weiterhin eine Rechtsgrundlage, einen bestimmten Zweck, minimale Daten, begrenzten Zugriff und einen funktionierenden Weg zu einem Menschen.
Machen Sie aus jedem Risiko eine verantwortete und prüfbare Kontrolle
Beschreiben Sie konkrete Fehlerbilder: Der Termin des falschen Patienten wird geändert, eine sensible Nachricht erreicht das falsche Team, ein veralteter Vorbereitungshinweis wird vorgelesen, ein Integrationstimeout erzeugt zwei Aktionen oder ein Supportnutzer sieht mehr Gesprächsinhalt als nötig. Halten Sie je Szenario Auswirkung, Wahrscheinlichkeit, Vorbeugung, Erkennung, Wiederherstellung und die verantwortliche Person fest.
Kontrollen brauchen Nachweise. Testen Sie Identitätsschritte, Rollen, Löschläufe, Ereignisprotokolle, menschliche Übergabe, falsche Antworten, Ausfälle und Rücknahme. Der Anbieter kann Architektur, Auftragsverarbeiter, Sicherheitsmaßnahmen und Testergebnisse liefern. Diese Angaben helfen dem Verantwortlichen, aber ein Sicherheitspaket oder eine Vorlage des Anbieters ersetzt nicht die Bewertung des eigenen Zwecks, der Patienten und des Ablaufs.
Lassen Sie klinische und folgenreiche Entscheidungen bei befugten Menschen
Ein administrativer Assistent kann offenlegen, dass er KI ist, freigegebene Informationen verwenden, erlaubte Terminhandlungen ausführen und einen vollständigen Vorgang weiterleiten. Er sollte keine Diagnose stellen, Symptome oder Befunde interpretieren, klinische Dringlichkeit oder Zugang zur Versorgung bestimmen, Einwilligung oder Einwilligungsfähigkeit beurteilen, eine strittige Vertretungsbefugnis klären oder einen Hinweis zum Schutz einer Person abschließen.
Nehmen Sie diese Grenzen in die DSFA, das Gesprächsdesign und die Abnahmetests auf. Ein Schlüsselwort kann eine vorsichtige Übergabe auslösen, darf aber nicht als klinische Bewertung dargestellt werden. Bei unklaren, sensiblen oder nicht abgedeckten Anliegen ist eine sichtbare Übergabe mit Kontext und einer verantwortlichen Person das sichere Ergebnis.
Genehmigen Sie vor dem Start und prüfen Sie nach wesentlichen Änderungen neu
Binden Sie den Datenschutzbeauftragten so früh ein, dass das Design noch geändert werden kann. Bleibt trotz Schutzmaßnahmen ein hohes Restrisiko, verlangt die DSGVO vor Beginn der Verarbeitung eine vorherige Konsultation der Aufsichtsbehörde. Dokumentieren Sie Freigabe, offene Maßnahmen, Verantwortliche und Produktionsnachweise, statt die DSFA nach der Beschaffung nur abzulegen.
Prüfen Sie die Bewertung erneut, wenn sich Zweck, Modell, Auftragsverarbeiterkette, Aufzeichnung, Aufbewahrung, Integration, Umfang oder klinische Grenze ändern. Die Europäische Kommission beschreibt die DSFA als lebendiges Instrument. Für Einkäufer ist das auch praktisch: Das Dokument zeigt erlaubte Handlungen, nötige Tests und Änderungen mit neuem Entscheidungsbedarf. Dieser Artikel bietet Umsetzungshinweise und keine Rechtsberatung.
FAQ
Benötigt jede KI-Patientenassistenz eine DSFA?
Nein. Entscheidend ist, ob die tatsächliche Verarbeitung voraussichtlich ein hohes Risiko erzeugt. Gesundheitsdaten, Umfang, schutzbedürftige Patienten, Monitoring und neue Technologie können eine vollständige DSFA jedoch wahrscheinlich machen. Dokumentieren Sie die Vorprüfung und prüfen Sie die nationale Behördenliste.
Kann der Sicherheitsfragebogen des Anbieters die DSFA ersetzen?
Nein. Anbieternachweise sind wichtige Eingaben, aber der Verantwortliche muss den eigenen Zweck, die Rechtsgrundlage, Patientengruppe, Zugriffe, Systeme, Risiken und Maßnahmen bewerten. Die Rollen richten sich nach der tatsächlichen Ausgestaltung.
Darf ein Livepilot vor Abschluss der DSFA beginnen?
Wenn die geplante Pilotverarbeitung voraussichtlich ein hohes Risiko verursacht, muss die DSFA vor der Verarbeitung echter personenbezogener Daten abgeschlossen sein. Design und Tests mit synthetischen Daten können während der Bewertung weiterlaufen.
Quellen und weiterführende Informationen
- European Commission: data protection obligations and DPIAs
- European Data Protection Board: endorsed DPIA Guidelines WP248 rev.01
- Article 29 Working Party: Guidelines on Data Protection Impact Assessment
- European Commission: principles of the GDPR
- European Commission: Article 50 AI Act transparency guidelines