DSK Liste Gesundheitswesen: DSFA-Mussliste

Ein Leitfaden für die Praxisleitung und Datenschutzbeauftragte

Arztpraxen, MVZ und Kliniken stehen täglich vor derselben Herausforderung: Patientendaten gehören zu den sensibelsten Informationen überhaupt – und müssen trotzdem effizient verarbeitet werden. Hier setzt die DSK-Liste Gesundheitswesen als wichtiges Orientierungsinstrument an. Als zentrales Steuerungsinstrument für Datenschutz-Folgenabschätzungen (DSFA) gibt sie vor, welche Verarbeitungstätigkeiten zwingend einer solchen Prüfung bedürfen.

Herausgegeben wird die Liste von der Datenschutzkonferenz (DSK) – dem Zusammenschluss sämtlicher Datenschutzaufsichtsbehörden von Bund und Ländern. Grundlage ist Artikel 35 DSGVO, der den rechtlichen Rahmen für DSFAs absteckt. Ob kleine Einzelpraxis oder überregionales Klinikum, ob öffentlicher oder privater Träger – die Pflicht gilt ohne Ausnahme.

Was löst diese Pflicht konkret aus? Die Pflicht zur DSFA entsteht laut Art. 35 Abs. 1 DSGVO immer dann, wenn ein erhebliches Risiko für die Rechte und Freiheiten der betroffenen Personen nicht ausgeschlossen werden kann. Die DSK hat daraus 17 Verarbeitungsvorgänge abgeleitet, bei denen genau dieses Risiko als gegeben gilt. Hinzu kommt eine Negativliste mit weiteren Beispielsfällen – wobei beide Listen ausdrücklich nicht als abschließend zu verstehen sind.

Im Alltag von Praxisleitungen und Kliniken heißt das: Wer regelmäßig Diagnosen, Therapiepläne, Laborwerte oder genetische Daten verarbeitet – also besondere Kategorien nach Art. 9 DSGVO – muss davon ausgehen, dass die DSK-Liste greift. Die DSK versteht sich dabei weniger als Kontrollinstanz, sondern vielmehr als Orientierungshilfe, die aufzeigt, an welchen Stellen Patientenrechte besonders betroffen sind.

Die Bedeutung der DSK-Liste für das Gesundheitswesen

Wer im Gesundheitswesen digital arbeitet – etwa mit Videosprechstunden, digitalen Gesundheitsanwendungen (DiGAs), KI-gestützter Diagnostik oder Cloud-Systemen – erfüllt in der Regel mehrere Kriterien der DSK-Mussliste gleichzeitig. Die Folgen bei Nichtbeachtung sind erheblich: Aufsichtsbehörden messen der DSK-Liste erhebliches Gewicht bei ihrer Beurteilung bei. Wer keine DSFA durchführt, obwohl die Mussliste dies vorschreibt, riskiert empfindliche Bußgelder nach Art. 83 DSGVO sowie Haftungsrisiken für die Praxisleitung.

Drei Schutzprinzipien stehen dabei im Mittelpunkt jeder DSFA im Gesundheitswesen:

• Vertraulichkeit – Schutz der ärztlichen Schweigepflicht, etwa durch Ende-zu-Ende-Verschlüsselung
• Integrität – Schutz vor unbefugter Manipulation sensibler Patientendaten
• Verfügbarkeit – Sicherstellung, dass lebensrelevante Daten im Behandlungsfall jederzeit abrufbar sind

Für alle Einrichtungen im Gesundheitswesen, die personenbezogene Daten digital nutzen, stellt die DSFA eine verbindliche rechtliche Pflicht dar – kein freiwilliges Zusatzangebot.

Die DSK-Mussliste erklärt: Grundlage der Datenschutz-Folgenabschätzung

Bevor bestimmte Datenverarbeitungen überhaupt beginnen dürfen, verlangt Artikel 35 DSGVO eine abgeschlossene Datenschutz-Folgenabschätzung (DSFA) – die praktische Folgefrage für Praxen und Kliniken lautet: Wann genau gilt das? Hier kommt die DSK-Mussliste ins Spiel. Anhand konkreter Fallgruppen zeigt sie auf, wo das Datenschutzrecht eine vertiefte Risikoprüfung fordert – und fungiert so als maßgebliche Orientierung für Praxen, MVZ und Kliniken. Die vollständige öffentliche DSK-Liste ist unter „Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist" abrufbar.

Gerade im Gesundheitswesen ist das schnell erreicht. Diagnosen, Therapiepläne oder Laborwerte landen heute routinemäßig in Cloud-Systemen oder werden digital übertragen – aus Sicht der Aufsichtsbehörden ist das ein risikobehafteter Vorgang, sobald besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO im Spiel sind.

Was bringt die DSFA dann konkret? Wer sie ernsthaft durchführt, deckt Schwachstellen auf, bevor sie zum Problem werden – und kann gezielt technische sowie organisatorische Maßnahmen (TOM) einsetzen, statt hinterher zu reagieren.

Gesetzliche Anforderungen an die Benennung eines Datenschutzbeauftragten

Ein weit verbreiteter Irrtum in Praxen: Der Datenschutzbeauftragte (DSB) sei erst relevant, sobald eine gewisse Mitarbeiterzahl überschritten wird. Tatsächlich zieht das Bundesdatenschutzgesetz eine ganz andere Grenze – nämlich dort, wo eine DSFA durchzuführen ist. Ab diesem Punkt ist ein DSB gesetzlich vorgeschrieben, Mitarbeiterzahl hin oder her.

Damit besteht ein unmittelbarer Zusammenhang zur DSK-Liste, da Videosprechstunden, DiGAs und vergleichbare digitale Versorgungslösungen in der Regel mehrere Kriterien der DSK-Mussliste zugleich erfüllen. Für die meisten digital arbeitenden Praxen ergibt sich daraus eine gesetzliche Pflichtaufgabe nach § 38 Abs. 1 S. 2 BDSG – ob sie es wissen oder nicht.

Praxisleitungen sollten sich bewusst sein: Die DSFA ist gesetzlich verpflichtend – wer sie auslässt, setzt sich Haftungsrisiken und möglichen Bußgeldern aus.

Fokus: Risikomanagement durch Datenschutz-Folgenabschätzungen in der digitalen Patientenversorgung

Für die Umsetzung digitaler Prozesse ist eine fundierte Bewertung unerlässlich. Dabei sind insbesondere drei Aspekte von zentraler Bedeutung.

1. Vertraulichkeit: Sicherstellung der ärztlichen Schweigepflicht z.B. durch Ende-zu-Ende-Verschlüsselung.
2. Integrität: Patientendaten dürfen nicht unbefugt verändert oder verfälscht werden.
3. Verfügbarkeit: Gewährleistung, dass lebenswichtige Informationen im Behandlungsfall jederzeit abrufbar sind.

Datenschutz-Folgenabschätzungen sind dabei ein zentrales Instrument des Risikomanagements im Gesundheitswesen, um die gesetzlichen Vorgaben der DSK-Liste zu erfüllen und Risiken bei der Verarbeitung sensibler Gesundheitsdaten zu bewerten.

Als spezialisierte Berater unterstützen wir Praxen dabei, diese komplexen Anforderungen der DSK-Liste zu erfüllen und die notwendige DSFA soweit möglich zu dokumentieren.

Bei Fragen, schreiben Sie uns bitte zwecks kostenfreier telefonischer Ersteinschätzung über unser Kontaktformular unter aid24.de/kontakt

Überblick: DSK-Liste 1–17 – Die 17 Verarbeitungsvorgängen im Gesundheitskontext

Um zu verstehen, warum die Digitalisierung Ihrer Praxis oft eine DSFA auslöst, hilft ein Blick in die konkreten Fallgruppen der Datenschutzkonferenz (DSK). Die folgenden Einträge der „Muss-Liste“ (1–17) zeigen beispielhaft typische Konstellationen im Gesundheitswesen.

Nr. 1 Biometrische Daten zur eindeutigen Identifizierung

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Jede Verarbeitung biometrischer Daten i.S.v. Art. 9 Abs. 1 DSGVO, die der eindeutigen Identifizierung einer Person dient, kombiniert mit mindestens einem weiteren Kriterium aus den WP248-Leitlinien.

Praxisbeispiel: Systeme zur Patientenidentifikation per Fingerabdruck oder Gesichtserkennung beim Check-in, etwa um Verwechslungen vor Operationen oder in der Notaufnahme zu vermeiden.

Rechtlicher Rahmen: Die Zuordnung ist datenschutzrechtlich eindeutig. Art. 9 Abs. 1 DSGVO stuft biometrische Daten ausdrücklich als besondere Kategorie ein – keine Aufsichtsbehörde hat diese Einordnung bislang in Frage gestellt.

Nr. 2 Genetische Daten (Art. 4 Nr. 13 DSGVO)

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Gemeint ist die Verarbeitung genetischer Daten, die mit weiteren risikobehafteten Kriterien kombiniert wird, wie zum Beispiel Scoring, Datenzusammenführung oder automatisierten Entscheidungen (nach den WP248-Leitlinien).

Praxisbeispiel: Humangenetische Labore verbinden Ergebnisse aus dem Next-Generation Sequencing (NGS) mit klinischen Stammdaten, um Risikoprofile für Patientinnen und Patienten sowie deren Angehörige zu erstellen. Auch Praxissoftware, die genetische Befundberichte mit Laborwerten, Medikation und Diagnosen zusammenführt, fällt hierunter.

Rechtlicher Rahmen: Das Gendiagnostikgesetz stellt außerdem zusätzliche Anforderungen an die Qualitätssicherung und Dokumentation. NGS-Geräte sind In-vitro-Diagnostika nach IVDR (EU) 2017/746. Diese Konformitätsbewertung ist seit 26. Mai 2022 verpflichtend.

Praxishinweis: Die bloße Speicherung eines genetischen Befundbriefes in der PVS begründet nach unserer Ansicht wahrscheinlich allein noch keine DSFA-Pflicht nach Nr. 2, es muss mindestens ein weiteres WP248-Kriterium hinzutreten.

Nr. 3 Daten unter Sozial- oder Berufsgeheimnis

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Erfasst sind Verarbeitungen von Daten, die dem ärztlichen Berufsgeheimnis (§ 203 StGB) oder dem Sozialgeheimnis (§ 35 SGB I) unterliegen.

Praxisbeispiel: Sobald eine Praxisverwaltungssoftware (PVS) im Einsatz ist, verarbeitet sie routinemäßig Diagnosen, Abrechnungsdaten und Versichertennummern – Vorgänge, die im Rahmen der gesetzlichen Krankenversicherung nach SGB V anfallen und nach unserer Ansicht in der Regel eine DSFA-Pflicht begründen. Diese Daten unterliegen besonderen Geheimhaltungspflichten. Im MVZ-Betrieb, wo dieselben Daten abteilungsübergreifend genutzt werden, verstärkt sich die DSFA-Pflicht.

Rechtlicher Rahmen: Die DSK hat in Kurzpapier Nr. 17 (Gesundheitsversorgung) klargestellt, dass umfangreiche Verarbeitungen von Daten, die dem ärztlichen Berufsgeheimnis unterliegen, einen Anwendungsfall der DSFA-Muss-Liste darstelle können. Die Pflicht zur Durchführung einer Datenschutz-Folgeabschätzung trifft dabei den Verantwortlichen, z.B. die Praxis oder das MVZ.

Nr. 4 Aufenthaltsdaten natürlicher Personen

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Umfangreiche Verarbeitung von Daten über den Aufenthalt von Personen, also wann, wo und wie lange sich jemand in einer Einrichtung aufhält.

Praxisbeispiel: Ein großes MVZ, das mittels Terminplanungssoftware erfasst, wann ein Patient in der Dermatologie, Orthopädie und Sonographie war, wie lange er wartete, welchen Raum er nutzte und diese Daten für Auslastungsreports, Qualitätskennzahlen und Verrechnung auswertet. Krankenhäuser, die Aufnahme, Verlegung und Entlassung vollständig digital erfassen, sind nach unserer Ansicht wohl in der Regel betroffen.

Wichtige Behördenentscheidung: Die DSK hat am 16. Juni 2025 ein Positionspapier zu Terminverwaltungsunternehmen verabschiedet (109./110. DSK-Beschluss).

Kernaussagen: (1) Online-Termindienstleister sind Auftragsverarbeiter nach Art. 28 DSGVO; (2) Es dürfen nur für den konkreten Termin erforderliche Mindestdaten übermittelt werden, eine Vorab-Übermittlung sämtlicher Patientenstammdaten ist unzulässig; (3) Eine alternative Buchungsmöglichkeit (z.B. Telefon) muss stets bestehen bleiben; (4) Patienten sind über die Einbindung des Dienstleisters zu informieren (Art. 13 DSGVO).

Praxishinweis: Für Einzelpraxen gilt Erwägungsgrund 91 S. 4 DSGVO: Die Verarbeitung durch einen einzelnen Arzt gilt nach unserer Ansicht in der Regel nicht als „umfangreich". Die DSFA-Pflicht nach Nr. 4 greift meist erst bei MVZ, tagesklinischen Einrichtungen und Krankenhäusern. Für KIS-Systeme ist die Orientierungshilfe Krankenhausinformationssysteme (OH KIS v2, März 2014) der verbindliche Prüfmaßstab der Aufsichtsbehörden.

Nr. 5 Zusammenführung mit undurchschaubaren Algorithmen (Dataminig/KI)

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Zusammenführung von Daten aus verschiedenen Quellen und Auswertung mittels nicht nachvollziehbarer Algorithmen, die zu Erkenntnissen führen, die Betroffene nicht vorhersehen konnten.

Praxisbeispiel: Ein KI-Copilot in der Praxissoftware, der Laborwerte, Diagnosen, Medikation und Vitalparameter kombiniert, um automatisch Patienten als „Hochrisiko für Wiederaufnahme" zu flaggen.

Rechtlicher Rahmen: Zusätzlich zur DSFA: KI-Systeme im Gesundheitswesen können als Hochrisiko-KI nach Anhang III Nr. 5 lit. a der EU-KI-Verordnung (2024/1689) eingestuft sein. In diesem Fall reicht in der Regel die DSFA allein nicht mehr aus, es ist zusätzlich eine Konformitätsbewertung nach KI-VO erforderlich.

Nr. 6 mobile Videoüberwachung und sensorbasierte Erfassung in großem Umfang

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Es werden Verarbeitungen erfasst, bei denen das Verhalten von Nutzern online systematisch verfolgt und ausgewertet wird, insbesondere wenn dies umfangreich geschieht.

Praxisbeispiel: Ein typisches Beispiel ist der Einsatz von Trackingtools und Analyse-Pixeln, die das Nutzerverhalten der Patienten systematisch erfassen. Dies geschieht oft z.B. durch die Einbindung externer Dienste wie Google Maps für die Anfahrtsbeschreibung. Die sächsische Datenschutzbeauftragte hat hierzu Prüfmaßstäbe veröffentlicht.

Nr. 7 Umfangreiche Verarbeitung zur Bewertung von Verhalten oder Persönlichkeit durch Dritte

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Es handelt sich um Verarbeitung, bei denen personenbezogenen Daten von Mitarbeitern aus verschiedenen Quellen oder Systemen miteinander verknüpft werden.

Praxisbeispiel: In einer Klinik oder Praxis werden Daten aus dem digitalen Zeiterfassungssystem mit Krankmeldung, Fehlzeiten und individuellen Leistungsdaten wie Fallzahlen oder Abrechnungsvolumina kombiniert.

Nr. 8 Beschäftigtendaten zur Leistungsbewertung mit Rechtsfolgen

Was ist gemeint?Nach unserer Ansicht kann darunter verstanden werden, die Systematische Verarbeitung von Beschäftigtendaten zur Leistungs- und Verhaltensbeurteilung, wenn daraus arbeitsrechtliche Konsequenzen folgen können.

Praxisbeispiel: Einsatz von Performance-Management-Plattformen für 360°-Feedback, Zielvereinbarungen und Jahresgespräche im Praxis- oder Klinikbetrieb.

Nr. 9 Umfassende Persönlichkeitsprofile

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Verarbeitungen, die geeignet sind, umfassende Profile über Interessen, persönliche Beziehungen oder Persönlichkeitseigenschaften von Personen zu erstellen.

Praxisbeispiel: Psychologische Testverfahren, die automatisiert ausgewertet werden und tiefgreifende Persönlichkeitsbewertungen erzeugen.

Nr. 10 Zusammenführung mit intransparenten Algorithmen zur Entdeckung unbekannter Zusammenhänge

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Es geht um den Einsatz von Data-Mining oder KI-Verfahren. Diese werten große Datenmengen aus und erkennen dabei Muster oder Zusammenhängn, die für Betroffenen nicht nachvollziehbar oder vorhersehbar sind.

Praxisbeispiel: Ein Beispiel wäre die KI-gestützte Auswertung von Röntgen oder CT-Bildern, bei denen Bilddaten mit klinischen Informationen kombiniert werden, um Diagnosen vorzuschlagen.

Nr. 11 Auswertung persönlicher Aspekte zur Vorhersage von Verhalten

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Mit der automatisierten Verarbeitung personenbezogener Daten, soll persönliche Eigenschaften, wie Gesundheit, Verhalten oder Persönlichkeit analysiert werden, um darauf basierend Vorhersagen treffen zu können.

Praxisbeispiel: Dazu zählen KI-gestützte Triage-Chatbots, die anhand von Symptombeschreibungen die Dringlichkeit einschätzen und Termine steuern. Auch Sprachanalyse-Tools, die Arzt-Patienten-gespräche in Echtzeit auswerten, fallen darunter.

Nr. 12 Daten über den Gesundheitszustand (Art. 9 Abs. 1 DSGVO) im großen Umfang

Dieser Eintrag erfasst die umfangreiche Verarbeitung von Gesundheitsdaten schlechthin, und ist damit der datenschutzrechtliche Dreh- und Angelpunkt des gesamten Gesundheitswesens. Art. 35 Abs. 3 lit. b DSGVO nennt dies explizit als regelhafte DSFA-Pflicht. Krankenhäuser und größere MVZ sind hier nach unserer Ansicht stets betroffen.

Nr. 13 Automatisierte Auswertung von Bild-, Video- oder Tonaufnahmen zur Bewertung persönlicher Aspekte

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Gemeint sind Systeme, die Bild-, Video- oder Tonaufnahmen automatisiert auswerten, um Rückschlüsse auf physische oder psychische Eigenschaften, Stimmungen oder Verhaltensweisen zu ziehen.

Praxisbeispiele:

• Telefon-KI: Automatisierte Analysen von Anrufen auf Persönlichkeitsmerkmalen wie Aggressivität oder Verwirrtheit.
• Audio-Tools: Echtzeit-Transkription und Stimmungsanalyse via Mikrofon, welches die Emotionalität der Profile in Gesprächen

Rechtlicher Rahmen: Die BlnBDI hat 2022 allgemeine Anforderungen für videobasierte KI-Systeme in medizinischen Einrichtungen veröffentlicht: Zweckbindung, Datensparsamkeit, keine biometrische Identifizierung ohne Einwilligung.

Nr. 14 Scoring/Profiling bei schutzbedürftigen Personen

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden, es geht um automatisierte Verfahren, die Profile über Personen erstellen oder diese in Bewertungssysteme (Scoring) einordnen, wenn die Betroffenen aufgrund ihres Alters oder Zustands besonders schutzbedürftig sind. Da diese Gruppen die Tragweite der Datenverarbeitung oft nicht voll überblicken können oder eine schwächere Position gegenüber der Technik haben, stellt die Aufsichtsbehörde hier besonders strenge Anforderungen an den Schutz der Menschenwürde und die Transparenz.

Praxisbeispiel: Systeme, die Daten von Kindern analysieren, um langfristige Prognosen über Krankheitsverläufe oder Verhaltensstörungen zu erstellen. Hier besteht die Gefahr einer frühzeitigen, algorithmischen Stigmatisierung.

Nr. 15 Zusammenführung und Anonymisierung besonderer Kategorien

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Wer Gesundheitsdaten oder andere besondere Datenkategorien in großem Umfang anonymisieren oder pseudonymisieren will – etwa für Forschungsprojekte – kommt nicht darum herum: Schon der Prozess selbst ist datenschutzrechtlich relevant und löst in der Regel eine DSFA aus.

Praxisbeispiel: In der Forschungspraxis sieht das so aus: Ein Klinikum bereitet Arztbriefe und Befundberichte für eine Multicenterstudie auf – die Texte müssen raus aus dem Patientenkontext, rein in ein anonymisiertes Format. Genau diese Verarbeitung, auch wenn am Ende keine Namen mehr stehen, fällt nach unserer Ansicht in der Regel unter Nr. 15.

Hinweis: Dass Anonymisierung keine datenschutzrechtlich neutrale Zone ist, hat die DSK 2020 schwarz auf weiß festgehalten. Das Positionspapier stellt klar: Die DSGVO endet nicht dort, wo der Name verschwindet.

Nr. 16 Regelmäßige und systematische Überwachung öffentlich zugänglicher Orte und sensorbasierte Datenerhebung

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Nr. 16 geht über klassische Videoüberwachung hinaus. Gemeint sind alle sensorbasierten Verfahren, bei denen neue Technologien wiederholt und systematisch personenbezogene Daten erfassen – egal ob im öffentlichen Raum oder im medizinischen Kontext.

Praxisbeispiel: Smartwatches, Fitness-Tracker und Gesundheits-Apps, die dauerhaft Herzfrequenz, HRV, Schrittzahl oder Schlafverhalten messen und diese Daten an Gesundheitsplattformen weiterleiten, sind ein typischer Anwendungsfall. Der Datenstrom läuft kontinuierlich – und genau das macht ihn aus Sicht der Aufsichtsbehörden besonders riskant.

Wichtige Behördenentscheidung: 2022 hat die französische Datenschutzbehörde CNIL konkrete Anforderungen für vernetzte Gesundheitsgeräte formuliert. Wer Medizinprodukte mit Datenfunktion einsetzt oder vertreibt, sollte diese Empfehlungen kennen – eine detaillierte Zusammenfassung der französischen Vorgaben zu Cybersicherheit und Datenschutz bei Medizinprodukten bietet der Marktbericht von SPECTARIS/GTAI.

Nr. 17 Einsatz neuer Technologien zur Leistungs- und Fähigkeitsbewertung

Was ist gemeint? Nach unserer Ansicht kann darunter verstanden werden: Gemeint ist der Einsatz moderner Technologien im Gesundheitswesen, mit denen sich Aussagen über die körperliche oder geistige Leistungsfähigkeit von Personen treffen lassen.

Praxisbeispiel: Dazu zählen Digitale Rehabilitations- und Monitoring-Plattformen, die nach Operationen oder Therapien mithilfe von Sensoren und Künstlicher Intelligenz den Genesungsfortschritt bewerten. Auch Kognitive Testverfahren über Smartphone-App fallen darunter.

Handlungsempfehlungen für Datenschutzbeauftragte im Gesundheitswesen

1. DSFA vor der Inbetriebnahme: Die DSFA ist vor Beginn der Verarbeitung durchzuführen (Art. 35 Abs. 10 DSGVO) – nicht erst nach Einführung eines Systems. Bei verbleibendem hohem Risiko ist die zuständige Aufsichtsbehörde vorab zu konsultieren (Art. 36 DSGVO).

2. Auftragsverarbeitung konsequent abbilden: Nahezu alle genannten Softwareanbieter agieren als Auftragsverarbeiter. Ein wirksamer AVV nach Art. 28 DSGVO ist Grundvoraussetzung – kein System darf ohne ihn in Betrieb genommen werden.

3. US-Anbieter besonders prüfen: PathAI, Aidoc, Google Cloud Healthcare API, Fitbit, Dragon Copilot, Biostrap, Cognigram und andere US-Dienste erfordern neben der DSFA stets eine Drittlandtransfer-Folgenabschätzung (Transfer Impact Assessment, TIA) nach Art. 44 ff. DSGVO.

4. KI-VO im Blick behalten: Die EU-KI-Verordnung (2024/1689) ist seit August 2024 in Kraft. Systeme, die als Hochrisiko-KI nach Anhang III eingestuft sind (insbesondere KI im Gesundheitswesen nach Nr. 5 lit. a), erfordern ab 2026 eine Konformitätsbewertung zusätzlich zur DSFA.

5. DSK-Positionspapier Terminverwaltung umsetzen (DSK-Beschluss 16.06.2025): Für alle Praxen und MVZ mit externem Termindienstleister (Doctolib, Jameda u.a.) sind die neuen DSK-Anforderungen unmittelbar umzusetzen: AVV prüfen, Datensparsamkeit sicherstellen, Informationspflichten gegenüber Patienten erfüllen, alternative Buchungsmöglichkeit sicherstellen.

Fazit: Die DSK-Muss-Liste ist kein Bürokratiemonster - sie ist Risikomanagement

Die 17 Einträge der DSK-DSFA-Muss-Liste decken einen Großteil

es Spektrums moderner Gesundheits-IT ab: von biometrischer Identifikation über genetische Diagnostik, KI-gestützte Entscheidungsunterstützung, Wearables und Telemedizin bis hin zur alltäglichen Terminverwaltung. Wer im Gesundheitswesen digital arbeitet, wird in der Praxis unweigerlich auf mehrere dieser Kategorien stoßen.

Die gute Nachricht: Eine ordnungsgemäß durchgeführte und dokumentierte DSFA ist nicht nur gesetzliche Pflicht, sondern schafft auch Klarheit über die eigenen Risiken und tatsächlich schützenswerte Datenbestände. Sie ist damit sowohl Haftungsschutz als auch Qualitätsmerkmal, gegenüber Patienten, Aufsichtsbehörden und Geschäftspartnern.

Als spezialisierte Datenschutzberater unterstützen wir Praxen, MVZ und Kliniken dabei, diese gesetzlichen Anforderungen systematisch zu erfüllen und, soweit möglich, eine rechtssichere DSFA-Dokumentation zu erstellen.

Bei Fragen schreiben Sie uns für eine kostenfreie telefonische Ersteinschätzung über unser Kontaktformular 
unter aid24.de/kontakt an