Medikationsanalyse mit ChatGPT: Adexa sieht erhebliche Datenschutzrisiken für Apotheken

Apotheken dürfen reale Patientendaten nicht ohne Weiteres in ChatGPT oder andere externe KI-Dienste eingeben. Die Adexa-Rechtsberatung macht deutlich, dass die DSGVO Gesundheitsdaten nach Artikel 9 als besonders schützenswert einstuft und ihre Verarbeitung grundsätzlich untersagt, sofern keine Einwilligung oder gesetzliche Ausnahme vorliegt.

Ein verbreiteter Irrtum ist, dass das Entfernen von Name und Geburtsdatum ausreicht, um einen Datensatz zu anonymisieren. Die Adexa widerspricht: Entscheidend ist, ob eine Person anhand der verbleibenden Informationen noch identifiziert werden kann. Bei einer Medikationsanalyse kann das schnell der Fall sein, etwa durch seltene Erkrankungen, ungewöhnliche Polymedikation oder die Kombination aus Alter, Geschlecht und Dosierungsangaben.

Die DSGVO unterscheidet klar: Pseudonymisierte Daten gelten weiterhin als personenbezogen und unterliegen dem vollen Datenschutzrecht. Echte Anonymisierung setzt voraus, dass eine Identifizierung nicht mehr möglich ist. Bei individuellen Medikationsplänen ist diese Schwelle schwerer zu erreichen als oft angenommen.

Will eine Apotheke KI-Tools beruflich einsetzen, muss sie vorab die Rechtsgrundlage für die Datenverarbeitung klären, prüfen, welche Daten an den Anbieter übermittelt werden, und feststellen, ob eine Auftragsverarbeitungsvereinbarung erforderlich ist. Auch Business-Angebote wie jene von OpenAI, die Geschäftsdaten standardmäßig nicht zum Modelltraining nutzen, entbinden nicht von dieser Prüfpflicht. Die Apotheke muss den konkreten Einsatz selbst datenschutzrechtlich bewerten und klare Vorgaben für Beschäftigte festlegen.