Krankenhaus-IT: Datenschutz muss bereits bei der Systemauswahl beginnen
München Klinik zeigt Praxisprobleme bei Art. 25 DSGVO – ULD thematisiert zugleich KI, Herstellerverantwortung und mögliche Bußgelder
Datenschutz soll in Krankenhäusern nicht erst bei der Inbetriebnahme neuer IT-Systeme geprüft werden, sondern bereits bei Auswahl, Gestaltung und Konfiguration berücksichtigt werden. Auf der Sommerakademie 2026 des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) standen die Anforderungen des „Datenschutz by Design“ nach Art. 25 DSGVO im Mittelpunkt. Einen konkreten Blick auf die Umsetzung im Krankenhaus gab Daniela Will, Datenschutzbeauftragte und Datenschutzauditorin der München Klinik.
Der Krankenhausbetrieb verdeutlicht dabei einen besonderen Zielkonflikt: Digitale Systeme müssen die Behandlung unterstützen, wirtschaftlich betrieben werden können und gleichzeitig die datenschutzrechtlichen Anforderungen erfüllen. Datenschutzfreundliche Technikgestaltung wird damit auch zu einem Thema für Beschaffung und IT-Architektur.
Art. 25 DSGVO betrifft die technische Gestaltung
Die auf der Sommerakademie vorgestellten Beiträge betrachten Art. 25 DSGVO nicht allein als organisatorische Datenschutzanforderung. Datenschutz soll vielmehr bereits technisch in Systeme und Prozesse integriert werden. Dazu gehören auch datenschutzfreundliche Voreinstellungen und eine frühzeitige Bewertung möglicher Risiken.
Welche Bedeutung Verstöße haben können, zeigte Prof. Dr. Tobias Keber, Landesdatenschutzbeauftragter Baden-Württemberg, anhand der europäischen Aufsichtspraxis. Sein Beitrag stellte Art. 25 DSGVO ausdrücklich in den Zusammenhang mit aufsichtsrechtlichen Maßnahmen bis hin zu hohen Bußgeldern.
Für Krankenhäuser bedeutet dies insbesondere, Datenschutzanforderungen möglichst frühzeitig in Digitalisierungsprojekte einzubeziehen, statt notwendige Schutzmaßnahmen erst nach Einführung eines Systems nachzurüsten.
KI in Pflege und Versorgung mit Datenschutz verbinden
Auch Künstliche Intelligenz war Teil des Programms. In der Infobörse „AI meets Article 25“ zeigten Experten des ULD und der Hochschule Kiel am Beispiel eines Roboters für Pflegeeinrichtungen, wie KI-Funktionen mit technischen und organisatorischen Datenschutzmaßnahmen verbunden werden können.
Die zentrale Botschaft der Sommerakademie: Neue Technologien und Datenschutz müssen nicht im Widerspruch stehen. Entscheidend ist, Datenschutz bereits bei Entwicklung, Auswahl und Implementierung mitzudenken.
Für Krankenhäuser wird „Privacy by Design“ damit zunehmend zu einer gemeinsamen Aufgabe von IT, Datenschutz, Einkauf, Informationssicherheit und den klinischen Anwendern.
