Besondere Kategorien personenbezogener Daten
Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung von Daten über Gesundheit, genetische und biometrische Merkmale, ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben und sexuelle Orientierung. Art. 9 Abs. 2 nennt die Ausnahmen, zum Beispiel ausdrückliche Einwilligung (lit. a), Arbeitsrecht (lit. b) und Gesundheitsversorgung durch Personen unter Schweigepflicht (lit. h). § 22 BDSG regelt die Ausnahmen für Deutschland und verlangt Schutzmaßnahmen.
Für Deinen KI-Server
- Eine Praxis darf Patientendaten auf dem KI-Server verarbeiten: Art. 9 Abs. 2 lit. h DSGVO mit § 22 Abs. 1 Nr. 1 lit. b BDSG, Zugriff nur für Personen unter Schweigepflicht.
- Die DSK bestätigt für RAG-Systeme: Daten nach Art. 9 können verarbeitet werden, wenn sie in Referenzdokumenten und Vektordatenbank getrennt gespeichert sind und kein Nachtraining stattfindet.
- Schutzmaßnahmen nach § 22 Abs. 2 BDSG: Zugriffsbeschränkung, Verschlüsselung, Protokollierung, Sensibilisierung. Dazu eine Folgenabschätzung.
Rechtsgrundlagen
- Art. 9 DSGVO
- § 22 BDSG
- § 203 StGB
- Art. 35 Abs. 3 lit. b DSGVO
Quellen
- Art. 9 DSGVO Verarbeitung besonderer Kategorien personenbezogener Daten: dsgvo-gesetz.de, eur-lex.europa.eu
- § 22 BDSG Verarbeitung besonderer Kategorien personenbezogener Daten: www.gesetze-im-internet.de, dsgvo-gesetz.de
- § 203 StGB Verletzung von Privatgeheimnissen: www.gesetze-im-internet.de
- DSK Orientierungshilfe Datenschutzrechtliche Aspekte generativer KI-Systeme mit RAG, Version 1.0, Oktober 2025: www.datenschutzkonferenz-online.de, www.baden-wuerttemberg.datenschutz.de
- DSK Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0, 06.05.2024: www.datenschutzkonferenz-online.de, www.lfd.niedersachsen.de, www.baden-wuerttemberg.datenschutz.de
- Psychotherapeutenkammer Berlin, Datenschutz in der Praxis, Rechtsgrundlagen der Verarbeitung von Gesundheitsdaten: psychotherapeutenkammer-berlin.de