Nach Artikel 9 Datenschutz-Grundverordnung (DSGVO) gehören Gesundheitsdaten zu den personenbezogenen Daten, die es besonders zu schützen gilt. Ihre Verarbeitung ist untersagt, es sei denn, die betroffene Person hat dieser für festgelegte Zwecke zugestimmt oder sie dient dem Schutz der Person. Zudem gelten weitere Ausnahmen. Wer glaubt, es genüge Name und Geburtsdatum zu entfernen und eine Medikationsanalyse mit einem KI-Tool wie ChatGPT durchführen zu können, irrt.

„Das Entfernen von Patientenname, Geburtsdatum oder Anschrift reicht deshalb nicht automatisch aus, um einen Datensatz zu anonymisieren“, heißt es von der Adexa. Entscheidend sei vielmehr, ob die betreffende Person anhand der verbleibenden Informationen noch identifiziert werden kann.

Dies könne bei einer Medikationsanalyse schneller der Fall sein als gedacht. So könnten laut Apothekengewerkschaft eine seltene Erkrankung, eine ungewöhnliche Polymedikation, konkrete Dosierungen oder Angaben zu Alter, Geschlecht und Behandlungsverlauf in Kombination einen Patienten oder eine Patientin möglicherweise identifizierbar machen.

Pseudonymisiert oder anonym?

Denn die DSGVO unterscheide zwischen anonymen und pseudonymisierten Daten. „Bei einer Pseudonymisierung werden direkte Identifikationsmerkmale zwar entfernt oder ersetzt, eine Zuordnung zu einer Person bleibt mit zusätzlichen Informationen aber möglich“, heißt es aus der Adexa-Rechtsberatung. Daher bleiben pseudonymisierte Daten personenbezogene Daten und unterliegen weiterhin der DSGVO.

Im Gegensatz dazu ist bei anonymisierten Informationen eine Identifizierung nicht mehr möglich. „Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, das heißt für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann“, heißt es im Erwägungsgrund 26 der DSGVO.

Die Adexa weist darauf hin, dass bei einem individuellen Medikationsplan eine belastbare Anonymisierung daher schwieriger sein kann, als nur Name und Geburtsdatum zu entfernen.

Kann ChatGPT genutzt werden?

„Eine reale Medikationsanalyse sollte nicht in einen privaten oder von der Apotheke nicht freigegebenen ChatGPT-Account oder einen anderen externen KI-Dienst eingegeben werden“, heißt es von der Adexa.

Soll dieses oder ein ähnliches KI-Tool um beruflichen Umfeld genutzt werden, muss die Apotheke vorab klären, ob und auf welcher Rechtsgrundlage personenbezogene Daten verarbeitet werden dürfen. Außerdem muss geprüft werden, welche Informationen an den Anbieter übermittelt und zu welchen Zwecken diese verarbeitet werden. Gleiches gilt für Einstellungen und Vertragsbedingungen und ob eine Vereinbarung zur Auftragsverarbeitung erforderlich ist.

Auch die konkrete Variante eines KI-Dienstes sei relevant. So gebe beispielsweise OpenAI für Business-Angebote an, Geschäftsdaten standardmäßig nicht zum Training seiner Modelle zu verwenden. Außerdem werde für Geschäftskunden ein Data Processing Addendum angeboten. Doch die Adexa warnt: Allein daraus folge noch nicht, dass die Eingabe von Patientendaten in einem konkreten Anwendungsfall DSGVO-konform wäre. Der Appell: „Die Apotheke muss den vorgesehenen Einsatz und den Umgang mit den Gesundheitsdaten selbst datenschutzrechtlich prüfen und entsprechende Vorgaben für die Beschäftigten machen.“

Die Faustregel

„Keine Daten realer Patienten in ChatGPT oder andere externe KI-Dienste eingeben“, so die Adexa. Will eine Apotheke KI nutzen, ist dafür ein klar geregelter, datenschutzrechtlich geprüfter Prozess und ein ausdrücklich freigegebenes System vorzugeben.