Ja, Ihre Befunde können sicher verarbeitet werden, aber nur wenn eine Plattform bestimmte Nachweise liefert. Dazu zählen verschlüsselte Übertragung und Speicherung, ein Auftragsverarbeitungsvertrag, ein nachvollziehbares Löschkonzept, bei hohem Risiko eine Datenschutz-Folgenabschätzung und verständliche Datenschutzhinweise. Fehlt einer dieser Punkte, sollten Sie nachfragen, bevor Sie ein medizinisches Dokument hochladen.

Kurz gesagt:

• Plattformen müssen verschlüsselte Datenübertragung, Löschkonzepte und gegebenenfalls eine Datenschutz-Folgenabschätzung nachweisen, um Ihre Befunde sicher verarbeiten zu können.
• Bei der Verarbeitung von Gesundheitsdaten sind klare Angaben zu Zweck, Zugriff und Speicherdauer in den Datenschutzhinweisen unerlässlich; Fehlen diese, sollten Sie nachfragen.
• Für cloudbasierte Gesundheitsanwendungen sind Schutzmaßnahmen wie Mehr-Faktor-Authentifizierung, Zugriffskontrollen und regelmäßige Sicherheitsprüfungen empfohlen, um Datenrisiken zu minimieren.
• KI-gestützte Analyse erfordert zusätzliche Transparenz, etwa zur Nutzung Ihrer Eingaben für Trainingszwecke, und sollte mit anonymisierten oder vorverarbeiteten Daten erfolgen.
• Vor dem Upload sollten Identifikationsdaten geschwärzt, sichere Netzwerke genutzt und bei Bedarf Löschanfragen gestellt werden, um den Datenschutz zu gewährleisten.

Inhaltsverzeichnis

• Welche Rechtsgrundlagen gelten beim Upload von Gesundheitsdaten?
• Technische und organisatorische Maßnahmen: Was eine sichere Plattform ausmacht
• Was ist bei KI-gestützter Analyse von Befunden zu beachten?
• Checkliste: So prüfen Sie den Upload Schritt für Schritt
• Welche Fragen sollten Sie einem Anbieter vor dem Upload stellen?
• Wie Mein-Arztbefund.de mit Datenschutz und Sicherheit umgeht
• Datenschutzorientierte Analyseangebote für Ihren Befund
• Quellen
• FAQ
• Empfehlungen

Welche Rechtsgrundlagen gelten beim Upload von Gesundheitsdaten?

Gesundheitsdaten gehören zu den besonders schützenswerten Datenkategorien. Der Europäische Datenschutzausschuss stuft sie als sensible Daten ein, für die Verantwortliche eine Rechtsgrundlage, die damit verbundenen Risiken und passende Schutzmaßnahmen nachweisen müssen. Für die Verarbeitung selbst braucht ein Anbieter eine Grundlage nach Artikel 6 der Datenschutz-Grundverordnung, etwa einen Vertrag mit Ihnen oder Ihre Einwilligung. Weil es sich um Gesundheitsdaten handelt, kommt zusätzlich Artikel 9 ins Spiel: Dieser verlangt eine der dort genannten Ausnahmen, zum Beispiel Ihre ausdrückliche Einwilligung oder die Verarbeitung zur Gesundheitsversorgung.

Nach Artikel 13 und 14 müssen Sie außerdem vorab erfahren:

• Zu welchem Zweck die Daten verarbeitet werden
• Wer Zugriff erhält, einschließlich etwaiger Unterauftragsverarbeiter
• Wie lange die Daten gespeichert bleiben
• Wie Sie den Datenschutzbeauftragten erreichen

Fehlen diese Angaben in den Datenschutzhinweisen, ist das ein klares Warnsignal.

Technische und organisatorische Maßnahmen: Was eine sichere Plattform ausmacht

Technische und organisatorische Maßnahmen, kurz TOMs, sind der Kern jeder seriösen Datenverarbeitung. Verschlüsselung während der Übertragung und bei der Speicherung gehört zu den wichtigsten davon: Sie verhindert, dass Dritte Ihre Befunde unterwegs oder auf dem Server einfach mitlesen können. Der EDPB weist allerdings darauf hin, dass Verschlüsselung allein kein vollständiger Vertrauensbeleg ist. Verschlüsselte Daten bleiben personenbezogen, und ohne Zweckbindung, Löschregeln und ein Verbot der Trainingsnutzung bringt die beste Verschlüsselung wenig.

Die Datenschutzkonferenz empfiehlt für cloudbasierte Gesundheitsanwendungen ein ganzes Bündel an Maßnahmen:

• Starke Authentifizierung, in der Regel per Mehr-Faktor-Verfahren
• Zugriffskontrollen nach dem Prinzip der minimalen Rechtevergabe
• Automatische Sitzungs-Timeouts bei Inaktivität
• Regelmäßige Sicherheits- und Penetrationstests
• Protokollierung und Überwachung ungewöhnlicher Zugriffe

Diese Punkte stammen aus dem Beschluss der Datenschutzkonferenz zu cloudbasierten digitalen Gesundheitsanwendungen und gelten als Richtwert für die Branche.

Ein ISMS nach ISO 27001 oder ein Vorgehen nach BSI-Grundschutz zeigt, dass ein Anbieter Sicherheit strukturiert statt improvisiert angeht. Wichtig ist auch das Löschkonzept: Es muss nicht nur das Originaldokument erfassen, sondern auch OCR-Zwischendateien, Analyseergebnisse, Backups und Kopien bei beteiligten Unterauftragsverarbeitern. Genau an dieser Kette scheitern viele Löschkonzepte in der Praxis, weil einzelne Stationen schlicht vergessen werden. Bei hohem Risiko für die Betroffenen schreibt die Datenschutz-Grundverordnung eine Datenschutz-Folgenabschätzung vor, die mögliche Gefahren systematisch bewertet.

Tipp: Fragen Sie gezielt nach dem Datum des letzten Penetrationstests. Anbieter, die diesen Nachweis nicht nennen können, haben ihn meist auch nicht durchgeführt.

Was ist bei KI-gestützter Analyse von Befunden zu beachten?

Künstliche Intelligenz verarbeitet Ihre Befunde anders als ein klassisches Formular. Die Systeme lernen häufig aus Eingaben, speichern Sitzungsverläufe oder nutzen Zwischenschritte, die Nutzer gar nicht sehen. Genau deshalb braucht KI-gestützte Verarbeitung von Gesundheitsdaten zusätzliche Transparenz und klare Grenzen.

Die Datenschutzkonferenz hat dazu konkrete Empfehlungen veröffentlicht. In ihrer Orientierungshilfe zu KI und Datenschutz rät sie zu Datenschutz durch Technikgestaltung als Standardeinstellung, nicht als Zusatzoption. Konkret bedeutet das:

• Ihre Eingaben dürfen nicht automatisch zum Training der KI-Modelle verwendet werden
• Eine dauerhafte Sitzungshistorie wird nur gespeichert, wenn sie wirklich nötig ist
• Anbieter dokumentieren, welche Daten in welche Trainingsprozesse einfließen

Ein zusätzlicher Schutzansatz: Wo möglich, sollte vorverarbeitete oder anonymisierte Information übermittelt werden statt der vollständigen Rohdaten. Das reduziert, was im Zweifel überhaupt preisgegeben wird. Fragen Sie bei jeder KI-gestützten Plattform aktiv nach, ob Ihre Eingaben für Trainingszwecke genutzt werden, denn diese Information steht nicht immer prominent in den Nutzungsbedingungen.

Checkliste: So prüfen Sie den Upload Schritt für Schritt

Bevor Sie einen Befund hochladen, lohnt sich eine kurze, aber konsequente Prüfung. Die BfDI rät zusätzlich, nicht benötigte Identifikationsdaten vorab zu schwärzen, etwa die vollständige Patientennummer, wenn sie für die Analyse selbst keine Rolle spielt.

1. Lesen Sie die Datenschutzhinweise und prüfen Sie, ob ein Auftragsverarbeitungsvertrag erwähnt wird
2. Schwärzen Sie Namen, Geburtsdatum oder Versichertennummer, sofern diese für die Auswertung nicht nötig sind
3. Aktivieren Sie die Mehr-Faktor-Authentifizierung für Ihr Konto, falls verfügbar
4. Nutzen Sie ein sicheres Netzwerk, kein offenes öffentliches WLAN, und ein aktuelles Gerät mit Betriebssystem-Updates
5. Bewahren Sie die Bestätigungsnachricht nach dem Upload auf
6. Stellen Sie bei Bedarf eine Löschanfrage und nutzen Sie Ihr Auskunftsrecht, um zu erfahren, welche Daten gespeichert wurden

Tipp: Ein starkes, einzigartiges Passwort für medizinische Plattformen ist Pflicht, denn ein wiederverwendetes Passwort aus einem anderen Datenleck öffnet sonst auch hier die Tür.

Welche Fragen sollten Sie einem Anbieter vor dem Upload stellen?

Ein kurzer, gezielter Fragenkatalog bringt mehr als jedes Werbeversprechen. Fragen Sie konkret nach:

• Wer ist Auftragsverarbeiter, und gibt es einen schriftlichen Vertrag dazu?
• Werden Unterauftragsverarbeiter eingesetzt, und wo sitzen diese?
• Wie lange werden Dokumente gespeichert, und was passiert mit Backups?
• Welche Verschlüsselung kommt bei Übertragung und Speicherung zum Einsatz?
• Gibt es Mehr-Faktor-Authentifizierung für Nutzerkonten?
• Wann fand der letzte Penetrationstest statt?
• Werden Eingaben für das Training von KI-Modellen genutzt?
• Wie lange bleiben Sitzungsdaten oder Zwischenergebnisse gespeichert?

Ein Anbieter, der jede dieser Fragen klar und ohne Ausweichen beantwortet, verdient mehr Vertrauen als einer, der nur allgemein von „höchster Sicherheit“ spricht.

Wie Mein-Arztbefund.de mit Datenschutz und Sicherheit umgeht

Eine KI-gestützte Plattform kann Technologien wie OCR nutzen, um hochgeladene Befunde, Laborwerte und Arztberichte zu analysieren und verständlich zu erklären. Bei Mein-Arztbefund.de ist die Übertragung verschlüsselt. Mehr zu den Abläufen rund um die Erhebung von Gesundheitsdaten finden Sie in einem weiteren Beitrag.

Symbolbild, KI-generiert

Datenschutzorientierte Analyseangebote für Ihren Befund

Wer einen Befund verständlich erklärt bekommen möchte, findet bei Mein-Arztbefund.de mehrere Optionen. Die Übertragung ist verschlüsselt.

Symbolbild, KI-generiert

• Arztbefund Analyse light: Einstiegsoption für kurze Befunde, 3,90 €
• Arztbefund Analyse: Standardanalyse mit ausführlicheren Erklärungen, 4,90 €
• Arztbefund Analyse Plus: Für umfangreichere oder komplexere Dokumente 7,90 €
• Arztbefund Test Übersetzung: Ein erster Einstiegspunkt, um die Erklärung unverbindlich auszuprobieren

Prüfen Sie die Datenschutzhinweise selbst oder starten Sie einen Test-Upload, um zu sehen, wie Ihr Befund einfach erklärt aussieht.

Quellen

Der EDPB-Leitfaden zur Verarbeitung personenbezogener Daten erklärt die Rechtsgrundlagen für sensible Daten. Die BfDI-Informationen zu eHealth richten sich direkt an Patienten. Der EU Cloud Code of Conduct beschreibt Pflichten von Cloud-Anbietern, der DSK-Beschluss zu Gesundheitsanwendungen listet konkrete technische Maßnahmen.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Arzt. Wenden Sie sich an eine qualifizierte medizinische Fachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

• Sichere personenbezogene Daten | Data protection guide for small business | European Data Protection Board
• Beschluss: Cloudbasierte digitale Gesundheitsanwendungen | Datenschutzkonferenz (DSK)
• eHealth‑Informationen für Bürgerinnen und Bürger | Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)

FAQ

Sind meine Gesundheitsdaten beim Upload auf einer Analyseplattform wirklich sicher?

Sicher sind sie dann, wenn der Anbieter Verschlüsselung bei Übertragung und Speicherung, einen Auftragsverarbeitungsvertrag und ein vollständiges Löschkonzept nachweisen kann. Fehlt einer dieser Punkte in den Datenschutzhinweisen, sollten Sie vor dem Hochladen nachfragen oder einen anderen Anbieter wählen.

Dürfen meine Eingaben zum Training von KI-Modellen genutzt werden?

Nach den Empfehlungen der Datenschutzkonferenz sollten Nutzereingaben grundsätzlich nicht automatisch für das Training von KI-Modellen verwendet werden. Fragen Sie den Anbieter direkt danach, denn diese Praxis ist nicht immer klar ausgewiesen.

Was gehört in ein vollständiges Löschkonzept für Befunde?

Ein vollständiges Löschkonzept erfasst nicht nur das hochgeladene Originaldokument, sondern auch OCR-Zwischendateien, Analyseergebnisse, Backups und Kopien bei Unterauftragsverarbeitern. Jede Station braucht eine klare Löschfrist und eine Bestätigung, dass die Löschung tatsächlich erfolgt ist.

Welche Daten sollte ich vor dem Upload schwärzen?

Die BfDI empfiehlt, Identifikationsdaten wie die vollständige Versichertennummer zu schwärzen, wenn sie für die eigentliche Analyse nicht benötigt werden. So bleibt das Risiko einer Zuordnung geringer, falls Daten doch einmal in falsche Hände geraten.

Was kostet eine datenschutzkonforme Befundanalyse bei Mein-Arztbefund.de?

Die Analyse kostet je nach Umfang zwischen 3,90 € für die Einstiegsoption und 7,90 € für umfangreichere Dokumente. Alle Varianten arbeiten mit verschlüsselter Übertragung Ihrer Befunde.

Empfehlungen

• Erhebung von Gesundheitsdaten: sicher hochladen, verstehen
• Patientendaten Schutz: Was ein Dienst wirklich leisten muss
• Datensicherheit im Gesundheitswesen: Leitfaden 2026
• Sensible Daten im Gesundheitswesen: Was gilt rechtlich?