Der Grundsatz
Eine Datenart ist für sich genommen weder grün noch rot
Die verbreiteten Ampeln färben Datenarten: Diagnose rot, Terminvorschlag grün. Das klingt
eingängig und führt zu genau dem Fehler, den es zu vermeiden gilt. Wer gelernt hat, dass
ein Terminvorschlag grün ist, tippt ihn irgendwann in ein Fenster, das niemand freigegeben
hat.
Deshalb hat diese Ampel zwei Eingaben statt einer. Die erste Frage lautet nicht, was Sie
eingeben, sondern wohin. Ein System, das nicht freigegeben ist, ist rot, unabhängig vom
Inhalt. Und eine Freigabe gilt für die Datenarten, die ausgewiesen sind, nicht darüber
hinaus.
Woher die Liste der freigegebenen Systeme kommt: Anlage 1 der Nutzungsrichtlinie →
Einordnung in zwei Angaben
Was geben Sie ein, und wohin?
Die Ampel
Drei Stufen mit Beispielen
Grün: geht in ein freigegebenes System
Die Angabe lässt keine Person erkennen, weder direkt noch über den Zusammenhang, und das Zielsystem ist freigegeben.
Prüffrage Könnte jemand, der die Station kennt, aus dieser Eingabe auf eine Person schließen?
Beispiele
- Eine allgemein formulierte Frage zu einem Krankheitsbild ohne Bezug zu einem Fall
- Ein Entwurf für einen Aushang im Wartezimmer
- Die Umformulierung eines Merkblatts in einfache Sprache
- Eine Zusammenfassung einer veröffentlichten Leitlinie
- Ein Vorschlag für die Gliederung einer Fortbildung
- Eine Textvorlage für eine Terminerinnerung ohne Namen und Datum
Was zu tun ist: Eingeben, Ergebnis anhand der zugrunde liegenden Unterlagen prüfen, verwenden. Die Prüfpflicht entfällt auch hier nicht.
Gelb: nur in das dafür freigegebene System, mit Auflage
Die Angabe lässt eine Person bestimmen oder betrifft ihre Gesundheit. Sie darf ausschließlich in das System, das in Anlage 1 genau für diese Datenart ausgewiesen ist.
Prüffrage Steht dieses System in Anlage 1 mit genau dieser Datenart, oder nehme ich das nur an?
Beispiele
- Ein Diktat, aus dem ein Arztbrief entstehen soll
- Die Vorgeschichte einer Patientin für eine Zusammenfassung im eigenen Haus
- Laborwerte mit Fallnummer zur Aufbereitung in der eigenen Dokumentation
- Ein Foto einer Hautveränderung
- Eine Beschwerde-E-Mail, die beantwortet werden soll
- Terminlisten mit Namen zur Umsortierung
Was zu tun ist: Vor der Eingabe in Anlage 1 nachsehen. Steht die Datenart dort nicht ausdrücklich, gilt Rot. Ergebnis fachlich prüfen und die Verwendung dokumentieren, wo Ihre Dokumentationspflicht das vorsieht.
Rot: gehört nicht hinein
Entweder ist das Ziel nicht freigegeben, oder die Datenart ist für dieses Ziel nicht ausgewiesen, oder Sie wissen es nicht.
Prüffrage Bin ich mir sicher, oder nehme ich es an?
Beispiele
- Alles, was in ein System geht, das nicht in Anlage 1 steht, unabhängig vom Inhalt
- Angaben zu einer Person in ein System, das nur für allgemeine Texte freigegeben ist
- Unterlagen aus einem anderen Haus, für die keine Übermittlungsgrundlage geklärt ist
- Eine seltene Diagnose zusammen mit Alter und Station, auch ohne Namen
- Zugangsdaten, Schlüssel oder interne Kennungen
- Alles, bei dem Sie die Freigabe nur vermuten
Was zu tun ist: Nicht eingeben. Wenn Sie das System brauchen, melden Sie es auf dem Weg, den Ihre Richtlinie vorsieht. Eine Meldung ist billiger als ein Vorfall.
Offengelegt
Die Regel, nach der die Ampel schaltet
Eine Ampel, deren Schaltung geheim bleibt, kann niemanden anleiten. Deshalb steht sie hier,
und zwar vollständig. Es sind vier Zeilen.
-
Ziel nicht freigegeben oder unklar, dann Rot, unabhängig vom Inhalt.
- Kein Personenbezug, dann Grün.
-
Personenbezug, aber das Ziel ist für andere Datenarten freigegeben, dann
Rot.
-
Personenbezug und das Ziel ist genau dafür freigegeben, dann Gelb, mit
Auflage.
Gelb heißt nie „einfach machen“. Es heißt: zulässig, und die Sorgfaltspflichten gelten
weiter. Bei Gesundheitsangaben kommen Schweigepflicht und Dokumentationspflichten hinzu,
die durch kein KI-System entfallen.
Häufige Fragen
Sechs Antworten vorweg
- Warum ist dieselbe Eingabe mal grün und mal rot?
- Weil die Ampel die Eingabe zusammen mit dem Ziel bewertet. Ein Diktat in das dafür freigegebene Diktiersystem ist zulässig. Dasselbe Diktat in ein beliebiges Fenster im Browser ist es nicht. Eine Ampel, die nur die Datenart einfärbt, verleitet zu genau diesem Fehler.
- Reicht es, den Namen wegzulassen?
- Nein. Eine Person kann sich aus dem Zusammenhang bestimmen lassen, etwa aus einer seltenen Diagnose zusammen mit Alter und Station. Die Prüffrage lautet deshalb nicht, ob ein Name vorkommt, sondern ob jemand, der die Station kennt, auf eine Person schließen könnte.
- Was gilt, wenn ich die Freigabe nicht sicher weiß?
- Dann gilt Rot. Unsicherheit und fehlende Freigabe zählen in dieser Ampel gleich, weil sie im Ergebnis dasselbe bedeuten: Es ist nicht belegt, dass die Eingabe dorthin darf.
- Was ist Anlage 1?
- Die Liste der freigegebenen Systeme mit Anbieter, Einsatzzweck, Ort der Verarbeitung und den zulässigen Datenarten. Ohne diese Liste kann die Ampel nicht schalten, weil die zweite Frage unbeantwortbar bleibt. Die Liste steht als Anlage 1 in der KI-Nutzungsrichtlinie und als Baustein 2 im Schulungskonzept.
- Ersetzt die Ampel eine Datenschutz-Folgenabschätzung?
- Nein. Sie ist eine Entscheidungshilfe für den Arbeitsalltag und ersetzt weder die Prüfung vor der Einführung eines Systems noch eine Folgenabschätzung noch eine rechtliche Bewertung Ihres konkreten Falls.
- Darf ich die Ampel im eigenen Haus aushängen?
- Ja. Sie ist gemeinfrei gestellt und darf kopiert, gekürzt, umgeschrieben und ohne Quellenangabe verwendet werden. Der Knopf oben legt eine Aushangfassung in die Zwischenablage.
Nutzung
Nehmen Sie die Ampel, sie gehört Ihnen
Gemeinfrei gestellt. Sie dürfen sie kopieren, kürzen, umschreiben, im Teamraum aushängen
und ohne Quellenangabe im eigenen Namen verwenden. Eine Rechtsberatung ist sie nicht, und
sie ersetzt weder die Prüfung vor der Einführung eines Systems noch eine
Datenschutz-Folgenabschätzung.
Der Kurs dahinter: Welche Daten dürfen in welche KI? →
Alle Werkzeuge →