Checkliste: Welche Nachweise ein Anonymisierungs-Proxy für Patientendaten erbringen sollte

Warum braucht ein Proxy für Patientendaten Nachweise?

Ein Anonymisierungs- oder Pseudonymisierungs-Proxy ersetzt Namen und Daten, bevor eine Anfrage an ein externes KI-Modell geht. Für Ihr Haus bleiben die Daten Gesundheitsdaten nach Art. 9 DSGVO und, bei Ärztinnen, Ärzten und Pflege, Geheimnisse nach § 203 StGB. Rechnet der Modellanbieter als Auftragsverarbeiter in Ihrem Auftrag, gilt nach dem Entwurf der EDSA-Leitlinien 02/2026 (Rn. 15 und 21) Ihre Sicht: Die Daten bleiben auch für ihn personenbezogen. Anonym aus seiner Sicht können sie nur bei einem unabhängigen Empfänger ohne realistische Mittel zur Identifizierung sein (EuGH, 4. September 2025, C-413/23 P, an das Gericht der EU zurückverwiesen). Die Pseudonymisierung ist dann eine Schutzmaßnahme nach Art. 32 DSGVO, die Sie belegen müssen, kein Ausweg aus den Pflichten. Die Datenschutzkonferenz verlangt auch bei vorgeschalteter Maskierung eine Prüfung im Einzelfall.

Die Checkliste sammelt, was ein Anbieter dafür liefern sollte. Für die allgemeine Auswahl eines KI-Anbieters gibt es die Checkliste KI-Anbieter bewerten.

1. Datenfluss: Wo liegen Klartext und Zuordnung?

• Schaubild des Datenflusses: Browser, Proxy, Modellanbieter, Protokolle, Sicherungen.
• Ort der Erkennung: im Browser, auf einem Server in Ihrem Haus oder in der Cloud des Anbieters.
• Ort der Zuordnungstabelle (Platzhalter zu Klartext), getrennt aufbewahrt und geschützt (Art. 4 Nr. 5 DSGVO).
• Wer beim Proxy-Anbieter Klartext oder Zuordnung sehen kann, und wie Zugriffe protokolliert werden.
• Ob Protokolle des Proxys Klartext enthalten, wie lange sie aufbewahrt werden.
• Was mit Anhängen, eingescannten Dokumenten, Bildern und Metadaten von Dateien geschieht.
• Ob Websuche, angebundene Werkzeuge oder Agenten Inhalte am Proxy vorbei nach außen geben können.

2. Erkennung: Wie gut findet der Proxy Angaben in Ihren Texten?

• Gemessene Trefferquote (Anteil gefundener Angaben) auf deutschen klinischen Texten, nicht nur auf englischen Testdaten.
• Test mit Ihren eigenen, typischen Dokumenten: Arztbriefe, Pflegeberichte, Befunde, E-Mails.
• Hausinterne Angaben: Stationskürzel, Gebäudenamen, Fallnummern, Namen von Ärztinnen und Ärzten. Eine Studie mit 100 Arztbriefen (Palacios und andere, 2026) zeigt, dass fertige Werkzeuge genau solche Angaben übersehen.
• Wie Fehlerkennungen behandelt werden: Medikamente oder Fachbegriffe, die als Name gelten und verschwinden.
• Prüfung der Rückzuordnung: Kommen alle Angaben richtig in die Antwort zurück, auch wenn das Modell Platzhalter umformuliert?

3. Restrisiko: Wie gut schützt die Pseudonymisierung?

• Bewertung nach den drei Prüffragen des Europäischen Datenschutzausschusses (Entwurf 02/2026): Herausgreifen, Verknüpfen, Rückschluss, für die Texte, die beim Modellanbieter ankommen.
• Umgang mit Kombinationen wie Alter, Wohnort und seltener Diagnose: Verallgemeinern, Weglassen, Ausnehmen bestimmter Fälle.
• Platzhalter je Anfrage neu, damit Anfragen derselben Person nicht verknüpfbar sind.
• Was der Modellanbieter speichert, wie lange und wofür (Missbrauchserkennung, Training ausgeschlossen?).
• Regel für Fälle, die der Proxy nicht sicher schützen kann, etwa bekannte Personen oder seltene Erkrankungen.

Hintergrund: Re-Identifikationsrisiko bei pseudonymisierten KI-Anfragen.

4. Verträge: Wer ist wie gebunden?

• AVV nach Art. 28 DSGVO mit dem Proxy-Anbieter, wenn er Klartext oder Zuordnung verarbeitet.
• Liste der Unterauftragsverarbeiter, einschließlich Hosting.
• Rolle des Modellanbieters: Auftragsverarbeiter in Ihrem Auftrag (dann personenbezogen, AVV nötig) oder unabhängiger Empfänger; wer schließt den Vertrag?
• Verpflichtung zur Verschwiegenheit nach § 203 StGB für alle, die Geheimnisse zur Kenntnis nehmen können, mit lückenloser Kette (§ 203 StGB und KI).
• Bei Modellanbietern außerhalb der EU: Bewertung nach Kapitel V DSGVO, weil pseudonymisierte Texte für einen Auftragsverarbeiter personenbezogen bleiben (Drittlandübermittlung bei KI).
• Löschung und Herausgabe bei Vertragsende.

5. Sicherheit: Welche Nachweise liegen vor?

• Zertifikat nach ISO 27001 mit Geltungsbereich, der den Proxy umfasst.
• Läuft der Proxy oder das Modell als Cloud-Dienst und verarbeitet Gesundheitsdaten: Nachweis nach § 393 SGB V, also aktuelles C5-Testat oder der gleichwertige Weg nach § 1 C5GleichwV (ISO 27001 mit Maßnahmenplan). Klären Sie mit Ihrem Datenschutzbeauftragten, ob das auch für den Modellanbieter gilt.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
• Bei vertraulichem Rechnen (Trusted Execution Environment): Schutz für Prozessor und Grafikprozessor, Attestierung vor Freigabe der Schlüssel, Vor- und Nachverarbeitung in derselben geschützten Umgebung, Umgang mit Seitenkanälen und unabhängige Prüfung der konkreten Umsetzung. Hersteller veröffentlichen selbst Sicherheitshinweise zu Seitenkanälen, etwa Intel für SGX (Confidential Computing bei KI).
• Unterlagen für Ihre Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

Was tun, wenn ein Nachweis fehlt?

Dann gehören Patientendaten nicht in diesen Weg. Ein Proxy kann für Texte ohne Personenbezug oder mit geringem Risiko trotzdem sinnvoll sein, etwa für Leitlinien, Verwaltungstexte oder allgemeine Fragen. Für Patientendaten bleibt der Weg, das KI-Modell dort zu betreiben, wo die Daten verarbeitet werden dürfen.

Wie geht das mit basebox?

basebox ist kein Proxy: Plattform und KI-Modell laufen in Ihrer Umgebung, auf einem Server nur für Sie, auf Wunsch ohne Internetverbindung, oder in einer eigenen Umgebung in unserer Cloud im Rechenzentrum München-Ost. basebox schickt Ihre Daten standardmäßig an kein KI-Modell eines anderen Anbieters, deshalb dürfen Patientendaten hinein, ohne dass Sie sie vorher anonymisieren; die Punkte 2 und 3 entfallen. Für die übrigen Punkte gibt es Unterlagen: AVV, TOMs, Liste der Unterauftragsverarbeiter und Vereinbarung nach § 203 StGB auf /sicherheit. basebox ist nach ISO 27001 zertifiziert; das C5-Testat Typ 1 für die Cloud ist in Arbeit; bis dahin führt basebox für die Cloud ab November 2026 den Nachweis nach § 393 Abs. 4 SGB V über ISO 27001 mit Maßnahmenplan nach § 1 C5GleichwV. Die App mit externem Modell ist optional; ob Sie sie für Patientendaten freigeben, entscheiden Sie mit Ihrem Datenschutzbeauftragten (Einzelheiten).

Keine Rechtsberatung: Stand 11. Oktober 2026. Die Leitlinien des EDSA zur Anonymisierung sind ein Entwurf in der Konsultation bis 30. Oktober 2026, die Leitlinien zur Pseudonymisierung liegen als Konsultationsfassung vor. Ob ein Einsatz zulässig ist, prüfen Sie mit Ihrem Datenschutzbeauftragten und, bei Berufsgeheimnissen, mit Ihrer Rechtsberatung.