Einwilligung bei Demenz: KI in der Pflege

Braucht KI in der Pflege eine Einwilligung?

Nicht immer. Daten über die Pflege sind Gesundheitsdaten und damit besonders geschützt (Art. 9 DSGVO). Die DSGVO kennt aber neben der Einwilligung weitere Grundlagen. Für die Versorgung selbst gilt Art. 9 Abs. 2 lit. h DSGVO, in Deutschland ausgestaltet durch § 22 Abs. 1 Nr. 1 lit. b BDSG: Die Verarbeitung ist erlaubt, soweit sie für die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich erforderlich ist und von Personal mit Schweigepflicht oder unter dessen Verantwortung geschieht.

Einsatz von KI	Grundlage in der Regel	Einwilligung nötig?
Pflegebericht aus gesprochenen Notizen entwerfen	Versorgung (Art. 9 Abs. 2 lit. h DSGVO, § 22 BDSG)	nein
Übergabe oder Überleitungsbericht zusammenfassen	Versorgung	nein
Brief an Angehörige formulieren	Versorgung, Vertrag	meist nein; Inhalt und Empfänger mit der Vertretung abstimmen
Sturzsensor ohne Kamera im Zimmer	Versorgung, wenn für die Pflege erforderlich	im Einzelfall prüfen
Kamera mit Bildauswertung, Ortung	je nach Zweck	häufig ja; dazu Betreuungsrecht prüfen
Daten für Forschung oder Training eines Modells	eigene Grundlage	in der Regel ja

Die Zuordnung im Einzelfall trifft die Einrichtung mit ihrem Datenschutzbeauftragten. Für neue KI-Systeme mit Gesundheitsdaten ist meist eine Datenschutz-Folgenabschätzung nötig (Art. 35 DSGVO).

Wann ist ein Mensch mit Demenz einwilligungsfähig?

Einwilligungsfähigkeit ist keine Frage der Diagnose, sondern der konkreten Entscheidung. Eine Person kann einwilligen, wenn sie versteht, worum es geht, welche Folgen ihre Entscheidung hat, und wenn sie danach handeln kann. Das gilt für eine Behandlung (§ 630d BGB) und sinngemäß für den Datenschutz. Geschäftsfähigkeit ist dafür nicht erforderlich.

Bei Demenz kann diese Fähigkeit schwanken, je nach Tageszeit, Stadium und Frage. Der Deutsche Ethikrat hat 2012 betont, dass Menschen mit Demenz Spielräume für Selbstbestimmung behalten, die anerkannt und unterstützt werden sollen. Für die Praxis heißt das:

• Verständlich erklären: In kurzen Sätzen, mit Beispielen, wenn möglich zu einer guten Tageszeit.
• Eine Frage nach der anderen: Nicht alles in einem Formular bündeln.
• Zeit lassen und nachfragen: Kann die Person mit eigenen Worten sagen, worum es geht?
• Dokumentieren: Wie erklärt wurde, wer dabei war und wie die Person reagiert hat.

Eine wirksame Einwilligung nach der DSGVO muss freiwillig, für einen bestimmten Zweck, informiert und eindeutig sein (Art. 4 Nr. 11 und Art. 7 DSGVO); für Gesundheitsdaten muss sie ausdrücklich erteilt werden (Art. 9 Abs. 2 lit. a DSGVO).

Wer entscheidet, wenn die Person nicht mehr einwilligen kann?

Wer	Wann	Grenze
Bevollmächtigte (Vorsorgevollmacht)	wenn die Vollmacht die Angelegenheit umfasst	für freiheitsentziehende Maßnahmen nur bei ausdrücklicher, schriftlicher Vollmacht und mit Genehmigung des Gerichts (§§ 1820, 1831 BGB)
Betreuerin oder Betreuer	im Aufgabenbereich, den das Betreuungsgericht festgelegt hat	einige Bereiche nur bei ausdrücklicher Anordnung, etwa Telekommunikation oder freiheitsentziehende Maßnahmen (§ 1815 Abs. 2 BGB)
Ehegatte im Notvertretungsrecht	Angelegenheiten der Gesundheitssorge	höchstens sechs Monate; erfasst Untersuchungen, Behandlungen und bestimmte Verträge (§ 1358 BGB)
Angehörige ohne Vollmacht oder Betreuung	keine Vertretungsmacht	können über Wünsche der Person Auskunft geben

Vertreterinnen und Vertreter entscheiden nicht nach eigenem Geschmack. Betreuer müssen die Wünsche der betreuten Person ermitteln und ihnen grundsätzlich folgen; lassen sich Wünsche nicht feststellen, zählt der mutmaßliche Wille, etwa aus früheren Äußerungen und Wertvorstellungen (§ 1821 BGB). Eine Patientenverfügung oder geäußerte Behandlungswünsche sind zu beachten (§ 1827 BGB). Ob ein Betreuer für eine Einwilligung in eine Datenverarbeitung zuständig ist, hängt von seinem Aufgabenbereich ab; im Zweifel fragt er beim Betreuungsgericht nach.

Was ist bei Sensorik und Ortung zu beachten?

Sensoren und Ortung berühren neben dem Datenschutz die Bewegungsfreiheit. Dienen sie dazu, eine Person am Weggehen zu hindern, kann eine freiheitsentziehende Maßnahme vorliegen, die das Betreuungsgericht genehmigen muss. Freiheitsentziehende Maßnahmen durch KI-Sensorik? →

Die KI-Verordnung verbietet zudem KI-Systeme, die eine Schwäche wegen Alter oder Behinderung ausnutzen, um das Verhalten einer Person so zu beeinflussen, dass ihr ein erheblicher Schaden entsteht (Art. 5 Abs. 1 lit. b). Für Pflege und Dokumentation ist das selten einschlägig, für Systeme, die mit Menschen mit Demenz sprechen oder sie zu etwas bewegen sollen, aber zu prüfen.

Was sollte eine Einrichtung festlegen?

1. Grundlage je Zweck: Für welche KI-Anwendung die Versorgung genügt und wo eine Einwilligung nötig ist.
2. Information: Bewohnerinnen, Bewohner und ihre Vertretung verständlich informieren (Art. 13 DSGVO), auch wenn keine Einwilligung nötig ist.
3. Vertretung klären: Bei der Aufnahme festhalten, ob eine Vorsorgevollmacht oder Betreuung besteht und welche Bereiche sie umfasst.
4. Wünsche festhalten: Was der Person wichtig ist, etwa zu Kameras oder Ortung, solange sie es noch selbst sagen kann.
5. Nicht gegen den Willen: Lehnt eine Person eine Technik erkennbar ab, das ernst nehmen und mit der Vertretung besprechen.
6. Anbieter prüfen: Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO), Verschwiegenheit, Ort der Verarbeitung, kein Training mit den Daten.

Wie geht das mit basebox?

In der Cloud und beim Betrieb durch basebox verarbeitet basebox die Daten Ihrer Einrichtung in Ihrem Auftrag. Der AVV nach Art. 28 DSGVO ist Teil jedes Vertrags, die Vereinbarung nach § 203 StGB wird einbezogen, wenn Ihre Beschäftigten Berufsgeheimnisträger sind. Ihre Daten trainieren kein Modell. Für Gesundheitsdaten nach Art. 9 DSGVO empfiehlt basebox Ihre eigene Umgebung in der Cloud oder den Server in Ihrem Haus, nicht die gemeinsame Startumgebung. Sicherheit und Datenschutz →

Für die Datenschutz-Folgenabschätzung gibt es Vorlagen für Cloud und Server, in denen die Angaben zu basebox schon ausgefüllt sind. Sie erstellen und verantworten die Folgenabschätzung als Verantwortlicher. Pflegeheimen bietet basebox die Cloud an; erbringt Ihr Dienst häusliche Krankenpflege nach dem SGB V, gilt § 393 SGB V für diese Daten. Für die Cloud auf unseren Servern führt basebox den Nachweis nach § 393 Abs. 4 SGB V über das ISO-27001-Zertifikat mit Maßnahmenplan nach § 1 C5GleichwV und geht den Weg zum C5-Testat: zuerst Typ 1, danach Typ 2.

Keine Rechtsberatung: Dieser Artikel gibt einen Überblick nach dem Stand vom 11. Oktober 2026. Die Einordnung von § 393 SGB V für Pflegeeinrichtungen nach dem SGB XI ist eine verbreitete Auslegung, keine gerichtlich bestätigte. Für Ihren Fall fragen Sie Ihren Datenschutzbeauftragten, das Betreuungsgericht oder eine Anwältin.