Seit dem 1. September 2023 ist das revidierte Bundesgesetz über den Datenschutz (nDSG) in der Schweiz in Kraft. Es gilt für jede Bearbeitung von Personendaten — auch wenn diese durch ein künstliches Intelligenzsystem erfolgt. Für Ärzte, die KI einsetzen oder einzusetzen planen, sind die Konsequenzen konkret und die Verantwortung persönlich.
Die Totalrevision von 2023 passt den Rechtsrahmen an die digitale Realität an: Cloud, KI, automatisierte Entscheidungen, internationale Datentransfers. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat klargestellt: Das nDSG gilt direkt für KI-Tools, ohne dass ein spezifisches KI-Gesetz erforderlich ist.[1]
Gesundheitsdaten sind besonders schützenswerte Personendaten im Sinne von Art. 5 Bst. c nDSG.[2] Ihre Bearbeitung erfordert eine ausdrückliche Rechtfertigungsgrundlage, und jede Verletzung muss dem EDÖB unverzüglich gemeldet werden (Art. 24 nDSG).
Der Arzt oder die Arztpraxis ist die verantwortliche Person für die Bearbeitung von Patientendaten. Diese Verantwortung überträgt sich nicht auf den KI-Anbieter.[3]
Das nDSG sieht Bussen bis zu CHF 250'000 für vorsätzliche Verletzungen vor (Art. 60 nDSG). Diese Sanktionen sind persönlich: Der Arzt haftet — nicht nur der Softwareanbieter.
Jeder KI-Anbieter, der Daten in Ihrem Auftrag bearbeitet, muss einen Auftragsverarbeitungsvertrag abschliessen (Art. 9 nDSG).
Praxen, die besonders schützenswerte Daten bearbeiten, müssen ihre Tätigkeiten dokumentieren (Art. 24 nDSG). Die FMH stellt Vorlagen zur Verfügung.[4]
Die KI-Bearbeitung muss für den Patienten erkennbar sein (Art. 6 Abs. 3 nDSG). Ein Hinweis in der Datenschutzerklärung der Praxis genügt in der Regel.
Nutzer von KI-Systemen müssen über Zweck, Funktionsweise und Datenquellen informieren.[1]
Das nDSG gibt Betroffenen das Recht, eine automatisierte Entscheidung durch einen Menschen überprüfen zu lassen (Art. 21 nDSG). KI-Outputs müssen vor jedem klinischen Einsatz validiert werden.
Der CLOUD Act (2018) erlaubt US-Behörden den Zugriff auf Daten amerikanischer Unternehmen, unabhängig vom physischen Standort der Server. Ein Tool eines US-Unternehmens, selbst in Europa gehostet, bleibt potenziell zugänglich.
Hosting ausschliesslich auf Schweizer Servern, betrieben von einem Unternehmen ohne US-Mutterfirma, eliminiert dieses Risiko. Dies ist die sicherste Position im Hinblick auf das nDSG und das ärztliche Berufsgeheimnis (Art. 321 StGB).
| Frage | Was zu prüfen ist |
|---|---|
| Wo werden die Daten gehostet? | Schweizer Server oder angemessenes Drittland |
| Unterliegt das Unternehmen dem CLOUD Act? | Keine US-Muttergesellschaft |
| Wird ein Auftragsverarbeitungsvertrag angeboten? | Pflicht gemäss Art. 9 nDSG |
| Werden Daten für KI-Training verwendet? | Nein, ausser ausdrücklicher Einwilligung |
| Welche Verschlüsselung wird eingesetzt? | TLS 1.3 beim Transfer, Verschlüsselung bei Ruhe |
| Wie werden Datenpannen gehandhabt? | Meldung und dokumentiertes Verfahren |
| Können Daten zurückgefordert werden? | Vollständiger Export und zertifizierte Löschung |
Das nDSG verbietet den KI-Einsatz im medizinischen Bereich nicht. KI-gestützte Datenbearbeitungen sind erlaubt, sofern angemessene Massnahmen getroffen werden.[1] Ein gut konzipiertes Tool, in der Schweiz gehostet, mit einem Auftragsverarbeitungsvertrag, ist vollständig nDSG-konform.
Benötige ich die Einwilligung meines Patienten für den KI-Einsatz?
Nicht zwingend als systematische Unterschrift. Das nDSG verlangt, dass die Datenbearbeitung für den Patienten erkennbar ist. Ein klarer Hinweis in der Datenschutzerklärung der Praxis, ergänzt durch eine mündliche Information beim ersten Kontakt, genügt in der Regel. Für Audioaufzeichnungen empfiehlt sich jedoch eine ausdrückliche Einwilligung.
Sind ChatGPT oder andere generative KI-Tools nDSG-konform für den medizinischen Einsatz?
Der Einsatz von Tools wie ChatGPT für identifizierbare Patientendaten ist problematisch: kein Auftragsverarbeitungsvertrag, Hosting auf US-amerikanischen Servern (CLOUD Act), und mögliche Nutzung der Daten für das Modelltraining. Für den klinischen Einsatz sollten speziell für den medizinischen Bereich entwickelte Tools mit Schweizer Hosting und Auftragsverarbeitungsvertrag verwendet werden.
Welche Strafen drohen bei einem Verstoss gegen das nDSG?
Das nDSG sieht Bussen bis zu CHF 250'000 für vorsätzliche Verstösse vor. Diese Sanktionen sind persönlich: Es ist der Arzt als verantwortliche Person, der haftet — nicht nur der Softwareanbieter.
Gilt das nDSG auch für Papierdossiers?
Ja. Das nDSG erfasst jede Bearbeitung von Personendaten, ob elektronisch oder nicht. Das Einsehen eines Papierdossiers oder das Diktieren einer Notiz gelten als Datenbearbeitung im Sinne des Gesetzes. KI schafft keine neuen Pflichten — sie verlagert die Bearbeitung in eine digitale Umgebung, die denselben Grundsätzen unterliegt.
Auftragsverarbeitungsvertrag inklusive. Daten ausschliesslich auf Infomaniak-Servern.
Kostenlos testen →