Datenschutz und Sicherheit bei KI in der Apotheke
KI darf in der Apotheke eingesetzt werden, wenn Rechtsgrundlage, Einwilligung, Hosting und Löschkonzept sauber geregelt sind. Dieser Beitrag beschreibt die Anforderungen entlang der DSGVO und nennt die Punkte, die vor der Einführung mit dem Anbieter zu klären sind.
Von Align Health · KI-Praxis · 8 Min. Lesezeit · Veröffentlicht:
Kurz erklärt
- Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO – der KI-Einsatz braucht eine klare Rechtsgrundlage.
- Für Aufnahme und Transkription von Beratungsgesprächen ist eine dokumentierte Einwilligung Standard.
- Hosting in Deutschland oder der EU plus Auftragsverarbeitungsvertrag sind Mindestanforderung.
- Rollen- und Filialrechte begrenzen den Zugriff auf das fachlich Notwendige.
- Löschfristen und Protokollierung müssen technisch durchgesetzt, nicht nur zugesagt sein.
Was ist das?
KI-Datenschutz in der Apotheke regelt den rechtmäßigen Umgang mit Gesundheitsdaten bei KI-gestützten Prozessen nach DSGVO, Einwilligung und Auftragsverarbeitung.
Welche Rechtsgrundlage braucht KI in der Apotheke?
Gesundheitsdaten fallen unter Art. 9 DSGVO und dürfen nur verarbeitet werden, wenn eine der dort genannten Ausnahmen greift. In der Apothekenpraxis sind das im Wesentlichen die ausdrückliche Einwilligung der Patient:in und die Verarbeitung zum Zweck der Gesundheitsversorgung durch Fachpersonal mit Schweigepflicht.
Für KI-gestützte Transkription oder Zusammenfassung von Beratungsgesprächen ist die ausdrückliche, dokumentierte Einwilligung der belastbare Weg. Sie muss freiwillig, informiert und jederzeit widerrufbar sein.
Wie wird die Einwilligung praxistauglich eingeholt?
- Kurze, verständliche Erklärung vor Beginn der Aufnahme.
- Einwilligung digital in der Akte protokollieren, inklusive Zeitstempel.
- Beratung auch ohne KI-Unterstützung anbieten – sonst ist sie nicht freiwillig.
- Widerruf mit einem Klick möglich machen und Aufnahmen dann löschen.
Welche Anforderungen gelten an Hosting und Verarbeitung?
- Verarbeitung in Rechenzentren in Deutschland oder der EU.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter.
- Verschlüsselung bei Übertragung und Speicherung.
- Kein Training öffentlicher Modelle mit Patientendaten.
- Unterauftragnehmer transparent gelistet und vertraglich gebunden.
Wie begrenzen Rollen und Rechte das Risiko?
Datenschutz wird im Alltag über Zugriffsrechte durchgesetzt. Im Filialverbund heißt das: Rollen definieren, welche Person in welcher Filiale welche Daten sieht, und jeder Zugriff wird protokolliert.
- Rollen für Inhaber:in, Approbierte, PTA, Backoffice und Vertretung.
- Filialbezogene Sichtbarkeit mit bewusst freigegebener Ausnahme.
- Revisionssicheres Zugriffsprotokoll je Akte.
Wie sieht ein tragfähiges Löschkonzept aus?
Ein Löschkonzept legt für jede Datenart fest, wie lange sie aufbewahrt und wann sie automatisch gelöscht wird. Für KI-Funktionen sind vor allem Audioaufnahmen und Zwischenergebnisse relevant.
- Audioaufnahmen nach Freigabe der Doku automatisch löschen.
- Transkripte an die Aufbewahrungsfrist der Dokumentation binden.
- Löschung protokollieren, damit sie nachweisbar ist.
- Auskunfts- und Löschanfragen innerhalb eines Monats bearbeiten.
Welche Fragen sollte die Apotheke dem Anbieter stellen?
- Wo genau werden Daten verarbeitet und gespeichert?
- Werden Daten für Modelltraining verwendet – und wenn ja, wie widerrufen?
- Gibt es einen AV-Vertrag inklusive TOM-Beschreibung?
- Wie werden Einwilligung und Widerruf technisch abgebildet?
- Welche Löschfristen sind voreingestellt und veränderbar?
- Wie werden Sicherheitsvorfälle gemeldet?
Häufige Fragen
Ist der Einsatz von KI in der Apotheke DSGVO-konform möglich?
Ja. Voraussetzung sind eine gültige Rechtsgrundlage – meist die ausdrückliche Einwilligung –, Verarbeitung in der EU, ein Auftragsverarbeitungsvertrag und ein umgesetztes Löschkonzept.
Braucht die Aufzeichnung eines Beratungsgesprächs eine Einwilligung?
Ja. Die Einwilligung muss vor der Aufnahme eingeholt, dokumentiert und jederzeit widerrufbar sein; ohne Einwilligung findet die Beratung ohne KI-Unterstützung statt.
Werden Patientendaten für das Training von KI-Modellen genutzt?
Bei Align Health nicht. Patientendaten werden ausschließlich für die Leistungserbringung verarbeitet und nicht zum Training öffentlicher Modelle verwendet.
Wer haftet für die fachliche Richtigkeit der KI-Dokumentation?
Die pharmazeutische Verantwortung bleibt beim Team. KI erstellt einen Entwurf, der vor Ablage in der Patientenakte geprüft und freigegeben wird.