LG Köln verschärft Datenschutzregeln für KI-Chatbots in Arztpraxen und Kliniken

Das Landgericht Köln hat mit Urteil vom 17.09.2026 (Az. 33 O 120/24) verbindliche Leitlinien für den Umgang mit Gesundheitsdaten in KI-Chatbots formuliert. Anlass war der Chatbot „My AI“ von Snapchat, über den Nutzer sensible Informationen zu Gesundheit, politischen Ansichten oder Privatleben eingeben konnten.

Das Gericht stellte fest, sobald ein Chatbot besondere Kategorien personenbezogener Daten verarbeitet, muss ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO vorliegen. Das gilt auch dann, wenn Nutzer diese Angaben freiwillig und ohne Nachfrage machen. Bereits ein Satz wie „Ich habe starke Rückenschmerzen“ kann als Gesundheitsdatum gelten. Auch die Kombination zunächst unauffälliger Angaben kann sensible Rückschlüsse ermöglichen.

Für eine wirksame Einwilligung verlangt das Gericht eine bewusste, aktive Entscheidung. Ein allgemeiner Hinweis, ein „OK“-Klick oder ein voreingestelltes Kontrollkästchen genügt nicht. Die Verarbeitung beginnt bereits mit dem Empfang der Nachricht und umfasst auch das Speichern, Auswerten oder Weiterleiten an externe KI-Anbieter. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO reicht bei Gesundheitsdaten allein nicht aus.

Für Arztpraxen, Kliniken und Telemedizinanbieter bedeutet das: Zweck, Rechtsgrundlage, Speicherdauer und die Einbindung externer Anbieter müssen vor dem ersten Patientenkontakt geklärt sein. Bei risikoreichen Verarbeitungen kann zudem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich werden.