Künstliche Intelligenz eröffnet der Gesundheitsbranche viele neue Möglichkeiten. Chatbots können Informationen vermitteln, Termine organisieren und den Zugang zu digitalen Angeboten erleichtern.
Im Gespräch mit Chatbots teilen Nutzer oft persönliche Angaben. Dazu gehören auch Beschwerden, Diagnosen oder Angaben zu Medikamenten. Das Landgericht Köln hat nun in seinem Urteil vom 17.09.2026 (Az. 33 O 120/24) wichtige Leitlinien für den Umgang mit solchen Daten entwickelt.
Worum ging es?
Im Mittelpunkt des Verfahrens stand der KI-Chatbot „My AI“ von Snapchat. Nutzer konnten eigene Texte eingeben und mit dem Chatbot kommunizieren. Dabei konnten sie auch sensible Informationen zu ihrer Gesundheit, ihren politischen Ansichten oder ihrem Privatleben mitteilen. Das LG Köln stellte klar: Verarbeitet ein Chatbot besondere Kategorien personenbezogener Daten, muss grundsätzlich ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO erfüllt sein. In der Praxis kommt dabei insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Betracht. Andere Ausnahmen bleiben möglich, müssen allerdings zum konkreten Verarbeitungsvorgang passen.
Der besondere Schutz greift auch dann, wenn Nutzer sensible Angaben freiwillig und ohne konkrete Nachfrage machen. Entscheidend ist nicht, wer die Information angestoßen hat. Maßgeblich ist vielmehr, dass der Chatbot die Daten empfängt und verarbeitet. Für eine wirksame Einwilligung muss der Nutzer eine bewusste und aktive Entscheidung treffen. Ein allgemeiner Hinweis auf einer Unterseite, ein bloßer Klick auf „OK“ oder ein bereits aktiviertes Kontrollkästchen genügt dafür nicht.
Welche Daten können Gesundheitsdaten sein?
Art. 9 Abs. 1 DSGVO schützt Gesundheitsdaten besonders streng. Der Begriff umfasst mehr als Diagnosen, Befunde oder Arztbriefe. Auch alltägliche Angaben können einen Gesundheitsbezug haben. Dazu zählen etwa Schmerzen, Symptome, Medikamente, Therapien oder psychische Belastungen. Gleiches gilt für Hinweise auf einen Arztbesuch oder eine mögliche Erkrankung. Oft reicht bereits eine kurze Nachricht aus. Nutzer müssen keine ausführliche Krankengeschichte eingeben. Schon der Satz „Ich habe starke Rückenschmerzen“ kann ein Gesundheitsdatum enthalten.
Auch eine zunächst unauffällige Information kann im Zusammenhang mit anderen Angaben sensible Rückschlüsse ermöglichen. Ein Hinweis auf die regelmäßige Einnahme eines bestimmten Medikaments kann beispielsweise auf eine Erkrankung oder eine laufende Behandlung hindeuten.
Wann beginnt die Verarbeitung?
Die Verarbeitung beginnt bereits mit dem Empfang der Nachricht. Auch das Speichern, Auswerten oder Weiterleiten an einen externen KI-Anbieter fällt darunter. Dasselbe gilt, wenn ein Anbieter Chatverläufe für das Training oder die Verbesserung seines Systems nutzt. Auch eine solche Verwendung stellt eine Verarbeitung personenbezogener Daten dar. Für diese Verarbeitung benötigt der Anbieter eine passende datenschutzrechtliche Grundlage. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO reicht bei Gesundheitsdaten allein nicht aus. Zusätzlich muss eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. In der Praxis ist dabei häufig die ausdrückliche Einwilligung relevant. Sie muss vor Beginn der Verarbeitung erfolgen und eine bewusste, aktive Zustimmung voraussetzen. Ein allgemeiner Hinweis oder ein voreingestelltes Kontrollkästchen genügt nicht.
Was folgt daraus für Ärzte und Anbieter?
Für Arztpraxen, Kliniken und Telemedizinanbieter hängt die datenschutzrechtliche Bewertung zunächst vom konkreten Zweck des Chatbots ab. Für Terminvereinbarungen oder allgemeine Informationen sind Gesundheitsdaten meist nicht erforderlich. Patienten können solche Angaben allerdings freiwillig ergänzen. So kann eine Terminfrage schnell mit einer Schilderung von Schmerzen, Medikamenten oder einer laufenden Behandlung verbunden werden. Auch ein allgemeiner Chatbot kann dadurch Gesundheitsdaten erhalten. Für ihre weitere Verarbeitung gelten dann die strengeren Anforderungen des Art. 9 DSGVO.
Praxen sollten diese Möglichkeit bereits bei der Planung berücksichtigen. Klare Hinweise vor Beginn des Chats und technische Filter können sensible Eingaben begrenzen. Sie ersetzen allerdings nicht die Prüfung der Rechtsgrundlage. Wird der Chatbot gezielt zur Unterstützung der medizinischen Versorgung eingesetzt, kann eine Verarbeitung nach Art. 9 Abs. 2 DSGVO zulässig sein, sofern sie für die konkrete medizinische Aufgabe erforderlich ist.
Einwilligung rechtssicher, klar und verständlich gestalten
Ist eine Einwilligung erforderlich, muss die Praxis sie vor Beginn der Verarbeitung einholen. Patienten sollten verständlich darüber informiert werden, welche Angaben verarbeitet werden, welchem Zweck dies dient, wie lange die Daten gespeichert werden und ob ein externer KI-Anbieter beteiligt ist.
Die Zustimmung muss aktiv, ausdrücklich und informiert erfolgen. Ein allgemeiner Hinweis, ein bloßer Klick auf „OK“ oder ein voreingestelltes Kontrollkästchen reicht nicht aus. Werden Chatverläufe zusätzlich für das KI-Training oder die Verbesserung des Systems genutzt, sollte die Praxis hierfür eine gesonderte Zustimmung einholen.
Was sollten Praxen vor dem Einsatz prüfen?
Vor der Einführung sollte die Praxis festlegen, welche Aufgabe der Chatbot übernimmt und welche Daten er dafür tatsächlich benötigt. Außerdem sollte sie prüfen, ob Chatverläufe gespeichert, an externe Anbieter übermittelt oder für eigene Zwecke des Anbieters genutzt werden.
Auch die Verantwortlichkeiten zwischen der Praxis und dem Chatbot-Anbieter müssen klar geregelt sein. Bei umfangreichen oder risikoreichen Verarbeitungen kann zudem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein.
Fazit
Das Urteil des LG Köln (Az. 33 O 120/24) stellt klar: Sobald ein KI-Chatbot Gesundheitsdaten empfängt und verarbeitet, greifen die strengen Anforderungen des Art. 9 DSGVO, auch wenn Patienten diese Angaben freiwillig und ohne Nachfrage machen. Schon ein Satz wie „Ich habe starke Rückenschmerzen“ kann ausreichen.
Für Praxen, Kliniken und digitale Gesundheitsanbieter heißt das: Zweck, Rechtsgrundlage, Speicherdauer und die Einbindung externer KI-Anbieter müssen vor dem ersten Patientenkontakt stehen, nicht danach. Ein berechtigtes Interesse allein reicht bei Gesundheitsdaten nicht aus, und eine wirksame Einwilligung verlangt mehr als einen „OK“-Button.
Sie planen den Einsatz eines KI-Chatbots oder möchten Ihre bestehende Lösung auf den Prüfstand stellen? Wir begleiten Sie von der datenschutzrechtlichen Einordnung über die passende Rechtsgrundlage bis zur sicheren Umsetzung. Sprechen Sie uns an.
