Biometrische KI und Patientendaten: Was das niedersächsische Polizeigesetz für Kliniken bedeutet
Die Kritik des niedersächsischen Datenschutzbeauftragten an erweiterten Polizeibefugnissen für biometrische KI zeigt Risiken auf, die auch Klinik-IT und Praxis-Datenschutz betreffen können.
Mit KI-Unterstützung erstellt · redaktionell geprüft und verantwortet von Steven Breuer.
Wenn ein Datenschutzbeauftragter in seinem Jahresbericht von einem "Paradigmenwechsel" spricht, sollte das auch außerhalb der eigenen Landesgrenzen aufhorchen lassen. Genau das ist in Niedersachsen passiert: Der dortige Datenschutzbeauftragte Denis Lehmkemper hat die geplante Novelle des Niedersächsischen Gesetzes über die öffentliche Sicherheit und Ordnung (NPOG) scharf kritisiert – und dabei Fragen aufgeworfen, die weit über die Polizeiarbeit hinausreichen (heise online).
Worum es geht
Der Gesetzentwurf der niedersächsischen Landesregierung sieht eine deutliche Ausweitung von KI-gestützten und biometrischen Überwachungsinstrumenten vor: "intelligente" Videoüberwachung, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum, nachträglicher Abgleich mit öffentlich zugänglichen Internetdaten sowie eine automatisierte Datenanalyse, die sämtliche bislang vorgangsbezogen gespeicherten Polizeidaten auf einer zentralen Plattform zusammenführen würde.
Lehmkemper sieht darin das Ende der bisherigen Zweckbindung: Nicht nur Daten von Tatverdächtigen, sondern auch von Zeugen, Opfern und völlig Unbeteiligten würden verarbeitet – inklusive Telekommunikationsdaten und Gesprächsinhalten. Klare Grenzen für den Einsatz der KI-Systeme fehlten dabei ebenso wie eine Auseinandersetzung mit der europäischen KI-Verordnung, insbesondere hinsichtlich der Abgrenzung verbotener KI-Praktiken.
Warum das für Kliniken relevant ist
Auf den ersten Blick betrifft dieser Vorgang die Polizeiarbeit in einem Bundesland. Für Kliniken und Praxen sind aus meiner Sicht drei Punkte direkt anschlussfähig:
1. Biometrische Patientendaten sind besonders geschützte Daten. Fingerabdrücke zur Zutrittskontrolle im OP-Trakt, Gesichtserkennung zur Patientenidentifikation am Empfang, Iris- oder Venenscans für Medikamentenschränke – solche Systeme halten in immer mehr Kliniken Einzug. Sie fallen unter Art. 9 DSGVO als besondere Kategorie personenbezogener Daten. Die Debatte in Niedersachsen zeigt, wie schnell der gesetzliche Rahmen für biometrische Verfahren erweitert werden kann, ohne dass technische Umsetzungsvorgaben oder Abgrenzungen zu verbotenen Praktiken mitgeliefert werden. Wer in seiner Einrichtung biometrische Systeme betreibt, sollte genau beobachten, ob und wie sich solche Regelungen auf andere Bundesländer und angrenzende Rechtsbereiche übertragen.
2. Zweckbindung ist auch im Gesundheitswesen ein zentrales Prinzip. Der Kern der Kritik Lehmkempers – dass eine zentrale, vorgangsübergreifende Datenzusammenführung die Zweckbindung faktisch aushöhlt – lässt sich unmittelbar auf klinische Informationssysteme übertragen. Auch dort gilt: Daten, die für die Behandlung erhoben wurden, dürfen nicht ohne weiteres für andere Zwecke – etwa Forschung, Abrechnung oder eben behördliche Anfragen – weiterverwendet werden. Die niedersächsische Diskussion liefert ein aktuelles Beispiel dafür, wie unter dem Vorwand technischer Notwendigkeit Zweckbindungsgrenzen verschoben werden können.
3. Behördliche Zugriffsmöglichkeiten auf Klinik-Systeme sind kein rein theoretisches Szenario. Wenn Polizeibehörden künftig automatisierte Datenanalysen über zentrale Plattformen durchführen und dabei auch Daten von Zeugen und Unbeteiligten einbeziehen dürfen, stellt sich die Frage, unter welchen Voraussetzungen auch medizinische Einrichtungen zur Datenherausgabe verpflichtet werden könnten – etwa im Rahmen von Ermittlungsverfahren, an denen Patientinnen oder Patienten als Zeugen oder Opfer beteiligt sind. Der Gesetzentwurf selbst adressiert Kliniken nicht direkt, aber die grundsätzliche Richtung – mehr automatisierte Zusammenführung, weniger strikte Zweckbindung – sollte Datenschutzbeauftragte in Krankenhäusern aufmerksam machen.
Was Sie jetzt konkret tun können
- Bestandsaufnahme biometrischer Systeme: Prüfen Sie, welche biometrischen Verfahren in Ihrer Einrichtung im Einsatz sind, und dokumentieren Sie die jeweilige Rechtsgrundlage sauber nach Art. 9 DSGVO.
- KI-Verordnung im Blick behalten: Die vom niedersächsischen Datenschutzbeauftragten monierte fehlende Auseinandersetzung mit der KI-Verordnung zeigt, dass die Abgrenzung zwischen erlaubten und verbotenen KI-Praktiken bei biometrischer Fernidentifizierung noch nicht überall klar geregelt ist. Klinik-IT-Verantwortliche sollten diese Einordnung für eigene Systeme aktiv einfordern, statt sie stillschweigend vorauszusetzen.
- Gesetzgebungsverfahren in anderen Bundesländern beobachten: Die niedersächsische Novelle ist noch nicht final beschlossen, der Datenschutzbeauftragte hat seine Kritik im Februar erneut im Innenausschuss vorgetragen. Ähnliche Vorstöße sind in anderen Ländern denkbar. Es lohnt sich, entsprechende Verbandsanhörungen und Stellungnahmen der Landesdatenschutzbehörden im Blick zu behalten.
- Zweckbindung intern schärfen: Nutzen Sie die aktuelle Debatte als Anlass, die eigene Dokumentation zur Zweckbindung von Patientendaten – insbesondere bei KI-gestützten Systemen – zu überprüfen und Lücken zu schließen.
Die Auseinandersetzung um das NPOG ist noch nicht abgeschlossen. Für Kliniken und Praxen liegt der Wert dieser Diskussion weniger im unmittelbaren rechtlichen Effekt als in der Frühwarnfunktion: Sie zeigt exemplarisch, in welche Richtung sich der Umgang mit biometrischen Daten und KI-gestützter Datenanalyse in Deutschland entwickeln könnte – und wo Datenschutzbeauftragte im Gesundheitswesen frühzeitig ansetzen sollten.