Das revDSG (revidiertes Datenschutzgesetz) ist seit dem 1. September 2023 in Kraft. Für eine Arzt- oder Zahnarztpraxis hat es nicht alles auf den Kopf gestellt, aber es hat Pflichten ausdrücklich gemacht, die oft nur stillschweigend galten. Hier steht konkret, was das Gesetz von einer Praxis verlangt, und welche Fragen Sie stellen sollten, bevor Sie ein Werkzeug mit künstlicher Intelligenz einführen.
Dieser Artikel gibt einen Überblick; er ersetzt keine auf Ihre Situation zugeschnittene Rechtsberatung.
Von Natur aus besonders schützenswerte Daten
Gesundheitsdaten gehören zu den «besonders schützenswerten Personendaten» im Sinne des revDSG. Sie verlangen daher einen erhöhten Schutz. Diese Regeln kommen zum Berufsgeheimnis nach dem Strafgesetzbuch (Art. 321 StGB) und zu den kantonalen Gesundheitsgesetzen hinzu, die insbesondere die Führung und Aufbewahrung der Patientenakte regeln.
Was das Gesetz von der Praxis verlangt
Die Patienten informieren. Wenn Sie Daten beschaffen, müssen Sie angeben, wer sie bearbeitet, zu welchem Zweck und wem sie bekanntgegeben werden können. Eine klare Datenschutzerklärung, in der Praxis abgegeben oder ausgehängt und auf Ihrer Website veröffentlicht, erfüllt diese Pflicht.
Ein Verzeichnis der Bearbeitungstätigkeiten führen. Das revDSG sieht ein Verzeichnis der Bearbeitungstätigkeiten vor. Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, ausser wenn sie in grossem Umfang besonders schützenswerte Daten bearbeiten. Im Zweifel ist es gute Praxis, ein einfaches Verzeichnis zu führen.
Die Risiken beurteilen. Wenn eine Bearbeitung ein hohes Risiko für die Patienten mit sich bringt, muss vor ihrer Einführung eine Datenschutz-Folgenabschätzung durchgeführt werden.
Daten von Anfang an schützen. Das Gesetz verlangt dem Risiko angemessene technische und organisatorische Massnahmen (Zugriff, Verschlüsselung, Sicherungskopien) sowie Voreinstellungen, die die Bearbeitung standardmässig auf das Nötige beschränken.
Verletzungen melden. Ein Datenabfluss oder Datenverlust, der voraussichtlich zu einem hohen Risiko führt, muss so rasch wie möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden.
Auskunftsbegehren beantworten. Ein Patient kann verlangen zu erfahren, welche Daten Sie über ihn haben. Die Auskunft ist grundsätzlich kostenlos und muss innert 30 Tagen erfolgen.
Auftragsbearbeiter einbinden. Wenn ein Dienstleister Daten für Sie bearbeitet (Praxissoftware, Hosting-Anbieter, KI-Werkzeug), muss ein Vertrag ihn binden, und Sie müssen sich vergewissern, dass er die Datensicherheit gewährleistet.
Bekanntgaben ins Ausland kontrollieren. Daten dürfen nur in ein Land bekanntgegeben werden, dessen Gesetzgebung einen angemessenen Schutz gewährleistet, oder mit geeigneten Garantien, zum Beispiel Standardvertragsklauseln.
Schliesslich werden bestimmte vorsätzliche Verstösse (Information, Auskunftsrecht, Auftragsbearbeitung, Bekanntgabe ins Ausland, Datensicherheit) mit Busse bis zu CHF 250 000 bestraft, die der verantwortlichen Person und nicht dem Unternehmen auferlegt wird.
Die Fragen an ein KI-Werkzeug
Ein Dokumentationsassistent bearbeitet den Kern der Akte: das, was der Patient in der Konsultation sagt. Vor der Einführung genügen vier Fragen, um die Spreu vom Weizen zu trennen:
- Wo werden die Daten gespeichert und bearbeitet? In der Schweiz oder anderswo?
- Läuft das KI-Modell beim Anbieter selbst oder bei einem Dritten? Eine Konsultation, die an einen grossen ausländischen KI-Anbieter gesendet wird, ist eine Bekanntgabe ins Ausland.
- Werden die Konsultationen zum Trainieren von Modellen verwendet? Und falls ja, mit welcher Zustimmung?
- Ist ein Auftragsbearbeitungsvertrag vorgesehen?
Die Antworten von Aida
Die Daten von Aida MD und Aida Dental werden in der Schweiz gespeichert und bearbeitet, bei einem ISO-27001-zertifizierten Hosting-Partner, und im Ruhezustand sowie bei der Übertragung verschlüsselt. Unsere KI-Modelle laufen auf unseren eigenen Servern in der Schweiz: Keine klinischen Daten werden an OpenAI, Google oder Anthropic gesendet. Wir verwenden Ihre Daten nie ohne Ihre schriftliche Zustimmung, um ein Modell zu trainieren, und unsere Auftragsbearbeitungsverträge sind unterschriftsbereit.
Eine Präzisierung: Die Nachrichten, die Aida Desk per WhatsApp und SMS mit Ihren Patienten austauscht, laufen wie bei jedem Messaging-Dienst über die Anbieter dieser Dienste.
Wo die Daten Ihrer Patientinnen und Patienten liegen, wie sie fliessen, und unsere Verträge zum Herunterladen: das Trust Center.