LG Köln: Gesundheitsdaten im Chatbot brauchen eine passende Rechtsgrundlage

Das Urteil vom 17.09.2026 (Az. 33 O 120/24) schärft die Anforderungen an KI-Dialoge in Praxen und Kliniken. Auch ein Chatbot für Termine oder allgemeine Informationen kann sensible Angaben erhalten. Anbieter müssen die Verarbeitung deshalb vor dem Einsatz rechtlich und technisch einordnen.

Im Verfahren ging es um Snapchats Chatbot „My AI“, in den Nutzer eigene Texte eingeben konnten, auch zu Gesundheit, politischen Ansichten oder ihrem Privatleben. Das Landgericht Köln stellte klar, dass für besondere Kategorien personenbezogener Daten grundsätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen muss. Besonders relevant ist eine ausdrückliche Einwilligung. Andere Ausnahmen bleiben möglich, müssen aber zum konkreten Verarbeitungsvorgang passen. Gesundheitsdaten können schon kurze Angaben zu Schmerzen, Symptomen, Medikamenten, Therapien, psychischen Belastungen, einem Arztbesuch oder einer möglichen Erkrankung umfassen. Auch mehrere Angaben zusammen können sensible Rückschlüsse ermöglichen.

Die Verarbeitung beginnt mit dem Empfang der Nachricht. Speicherung, Auswertung, Weitergabe an externe KI-Anbieter und die Nutzung von Chatverläufen für das Training zählen ebenfalls dazu. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO reicht bei Gesundheitsdaten allein nicht aus. Eine Verarbeitung zur medizinischen Versorgung kann zulässig sein, wenn sie für die konkrete Aufgabe erforderlich ist.

Vorab sollten Praxen Zweck und benötigte Daten festlegen und Speicherwege, externe Anbieter sowie Verantwortlichkeiten prüfen. Bei Termin- oder Informationsangeboten sind Gesundheitsdaten meist nicht erforderlich, können aber freiwillig eingegeben werden. Hinweise und technische Filter können solche Eingaben begrenzen, ersetzen jedoch keine Rechtsgrundlage. Eine Einwilligung muss vor der Verarbeitung aktiv, ausdrücklich und informiert erfolgen. Sie sollte Angaben zu Daten, Zweck, Speicherdauer und externen Anbietern abdecken. Für die Nutzung zu Trainingszwecken sollte eine gesonderte Zustimmung eingeholt werden. Bei umfangreicher oder risikoreicher Verarbeitung kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein.