Fällt im Krankenhaus die Informationstechnik aus Gründen eines Cyberangriffs aus, zählt jede Minute. Neben der Wiederherstellung des Betriebs stellt sich gleichzeitig die Frage, wen das Haus informieren muss. Für Krankenhäuser greifen dabei typischerweise zwei Meldepflichten parallel: die datenschutzrechtliche Meldung nach DSGVO und die Meldung als kritische Einrichtung nach dem BSI-Gesetz (BSIG). Beide sind fristgebunden und richten sich an unterschiedliche Stellen.

Datenschutzrechtliche Meldung

Sobald ein IT-Sicherheitsvorfall personenbezogene Daten betrifft – und in einem Krankenhaus sind das praktisch immer auch besonders sensible Gesundheitsdaten von Patienten –, ist Art. 33 DSGVO zu prüfen. Meldepflichtig ist das Krankenhaus als Verantwortlicher der Datenverarbeitung, sofern aus dem Vorfall ein voraussichtliches Risiko für die Rechte und Freiheiten der betroffenen Personen folgt. Die Meldung geht an die zuständige Landesdatenschutzaufsichtsbehörde und muss unverzüglich, möglichst binnen 72 Stunden nach Kenntnisnahme, erfolgen.

Besteht sogar ein voraussichtlich hohes Risiko, sind zusätzlich die betroffenen Patienten selbst nach Art. 34 DSGVO zu benachrichtigen – in verständlicher Sprache, mit Angaben zu Folgen, Abhilfemaßnahmen und einer Ansprechstelle, in der Regel dem Datenschutzbeauftragten. Wichtig für die Praxis: Auch wenn das Krankenhaus zu dem Schluss kommt, ausnahmsweise nicht melden zu müssen, ist der Vorfall vollständig zu dokumentieren. Ein Verstoß gegen die Meldepflicht kann mit Bußgeldern bis zu zehn Millionen Euro geahndet werden.

Ein Urteil des US Supreme Court erschüttert die rechtliche Grundlage des transatlantischen Datenaustauschs – und bringt auch Anbieter unter Druck, auf die Krankenhäuser täglich angewiesen sind.

Was ist passiert?

Ende Juni 2026 hat der Oberste Gerichtshof der USA in der Rechtssache Trump v. Slaughter entschieden, dass die Unabhängigkeit der Federal Trade Commission (FTC) verfassungswidrig ist. Die FTC untersteht damit künftig direkt den politischen Weisungen des US-Präsidenten.

Das klingt zunächst nach einem rein amerikanischen Verfassungsstreit. Für den europäischen Datenschutz hat die Entscheidung jedoch weitreichende Konsequenzen: Das EU-US Data Privacy Framework (DPF) – der aktuelle Rechtsrahmen für den Transfer personenbezogener Daten zwischen der EU und den USA – beruft sich in seinem Angemessenheitsbeschluss 259 Mal auf die Kontrollrolle der FTC. Mit dem Urteil ist die Unabhängigkeit dieser Behörde formal hinfällig. Die Datenschutzorganisation Noyb hat die EU-Kommission bereits formell aufgefordert, das Abkommen aufzuheben.

Solange die Kommission das DPF nicht widerruft oder der Europäische Gerichtshof (EuGH) es für nichtig erklärt, bleibt es formell in Kraft. Bis zu einer endgültigen EuGH-Entscheidung – Experten rechnen mit zwei bis drei Jahren – droht jedoch eine Phase erheblicher Rechtsunsicherheit. Max Schrems, der bereits zweimal frühere EU-US-Datentransferabkommen vor dem EuGH zu Fall gebracht hat, bereitet auch diesmal den Klageweg vor.

Am 31. Mai und 1. Juni 2026 trafen sich rund 60 Experten aus Industrie, Krankenhäusern und Beratung zum jährlichen Sommer-Camp des Eco Systems Entscheiderfabrik in Köln.

In Arbeitsgruppen mit jeweils etwa neun Teilnehmenden wurden die fünf zentrale Digitalisierungsthemen der Gesundheitswirtschaft bearbeitet:

• CyberSecurity-Datensicherheit – Beratung: Prof. Dr. Pierre-Michael Meier
• E-Brief-KIM-Zuweiserportal – Beratung: Dr. Andreas Zimolong
• BDT-FHIR-Behandlungsdokumentation – Beratung: Dirk Holthaus
• NavigationspsychGesundheit – Beratung: Patrick Reintges und Noemi Kucharz
• Klick-Digitalisierung-Klinik – Beratung: Jasper Nolting

Die Projektteams präsentierten ihre Zwischenergebnisse und Abschlussarbeiten

Mit die MPBetreibV von Februar 2025 werden Gesundheitseinrichtungen in Bezug auf Software als Medizinprodukt und Software als In-vitro-Diagnostikum mit neuen Pflichten konfrontiert: §17 fordert die Prüfung einer ordnungsgemäßen Installation und eine IT-Sicherheitsüberprüfung. Weitere Punkte wie Nutzereinweisung waren schon zuvor präsent – ergänzend werden nun Einweisung nach jeder Installation von Softwareaktualisierungen gefordert. Außerdem wird der Umfang der Einweisung der „vom Betreiber beauftragten Person“ in einigen Punkten konkretisiert. Die Anforderungen gehen weit über reine Technik hinaus und beeinflussen künftig Schulungen, Prozesse und Verantwortlichkeiten in jeder Gesundheitseinrichtung.

In diesem Jahr feiert die Entscheiderfabrik das 20-jährige Jubiläum. Seit der Gründung im Jahr 2006 hat sich die Entscheiderfabrik als zentrale Plattform für digitale Transformationsthemen im Gesundheitswesen etabliert und bringt Entscheidungsträger aus Kliniken, Industrie, IT-Anbietern und Verbänden zusammen, um Innovationen entlang definierter Herausforderungen praktisch umzusetzen und nachhaltig zu verankern.

Statement von Andreas Zimolong

Im Rahmen der Jubiläumsveranstaltungen, die auch auf YouTube übertragen wurden, hat Dr. Andreas Zimolong, Geschäftsführer der Synagon GmbH und langjähriger Berater im Entscheiderfabrik-Umfeld, hervorgehoben, wie wichtig kontinuierlicher Austausch und praxisnahe Zusammenarbeit zwischen Kliniken, Technologieanbietern und Beratern für die digitale Weiterentwicklung der Gesundheitsversorgung sind. Sein Statement betonte dabei die Rolle der Plattform als vertrauenswürdigen Multiplikator für Innovationen und die Bedeutung einer gemeinschaftlichen, nutzerorientierten Entwicklung digitaler Gesundheitslösungen.

Die Videoaufnahme mit dem Statement ist auf dem offiziellen YouTube-Channel der Entscheiderfabrik abrufbar: Statement 20 Jahre Entscheiderfabrik (externer Link)

Künstliche Intelligenz (KI) gewinnt in nahezu allen Branchen zunehmend an Bedeutung, auch im Gesundheitswesen. Automatisierte Systeme unterstützen bei der Terminplanung, Patientenkommunikation, Dokumentation und Datenanalyse. Gleichzeitig steigen die Anforderungen an Datenschutz, IT-Sicherheit und gesetzliche Compliance. Vor diesem Hintergrund gewinnt die Rolle eines KI-Beauftragten an Relevanz, um den Einsatz von KI-Systemen sicher, effizient und rechtskonform zu gestalten.

Aufgaben einer KI-Beauftragten

Das BSI hat einen Kriterienkatalog für den sicheren Einsatz von KI bereitgestellt (Kriterienkatalog des BSI). Ganz oben auf der Liste der Forderungen: die Bestellung eines KI-Beauftragten. Dieser wird in die Nähe des ISB gerückt. Auch die GMDS erhebt hier die Forderung nach einem KI-Beauftragten (CAIO). Darüber hinaus hat das Netzwerk EURAID (European Responsible AI Development) einen praxisnahen Leitfaden zur Implementierung von Anwendungen Künstlicher Intelligenz (KI) im Krankenhaus vorgestellt (vgl. Journal of Medical Internet Research, 2026; DOI: 10.2196/80754 und als Kurzfassung der Bundesanstalt für Arbeitsschutz und Arbeitsmedizin, 2026; DOI: 10.21934/baua:berichtkompakt20260122). Dabei fokussiert dieser Leitfaden auf Krankenhäusern, die eine eigene Entwicklung von KI-Werkzeugen und deren Implementierung in den Alltag betreiben.

 Tätigkeiten als CAIO / KI-Beauftragter

Die Tätigkeiten des Chief AI Officer (CAIO) bzw. KI-Beauftragten umfassen strategische, organisatorische, rechtliche sowie technische Aufgaben. Ziel ist es, den Einsatz von KI-Systemen im Unternehmen und im Gesundheitswesen verantwortungsvoll, datenschutzkonform und rechtskonform zu gestalten und zugleich das Potenzial dieser Systeme zur Unterstützung von Arbeitsprozessen zu nutzen.

Ein KI-Beauftragter übernimmt die kontinuierliche Überwachung der Einführung und Nutzung von KI-Anwendungen. Zu seinen Aufgaben gehört die Unterstützung des Betreibers bei der Sicherstellung der rechtskonformen Nutzung von KI-Systemen, insbesondere im Umgang mit sensiblen personenbezogenen Daten und Unternehmensdaten, sowie die Integration der Systeme in bestehende IT-Sicherheitsarchitekturen. Darüber hinaus prüft der KI-Beauftragte Risiken durch automatisierte Prozesse, berät zu ethischen Fragestellungen und unterstützt bei der Entwicklung oder dem Einkauf von Konzepten für die Schulung von Mitarbeitenden im sicheren Umgang mit KI-Lösungen. Damit trägt der KI-Beauftragte entscheidend dazu bei, dass KI-Anwendungen effizient, sicher und vertrauenswürdig in die Geschäftsprozesse integriert werden.

Vom 11. bis 13. Februar 2026 trafen sich Entscheidungsträger aus Krankenhäusern, Industrie, IT-Anbietern und Verbänden im Industrie Club Düsseldorf, um den jährlichen Digitalisierungsgipfel der Gesundheitswirtschaft im Rahmen des 20-jährigen Jubiläums des ENTSCHEIDERFABRIK zu feiern. 

Im Fokus des Gipfels standen erneut die fünf Digitalisierungsthemen der Gesundheitswirtschaft: am 1. Tag wurden die Ergebnisse aus dem vergangenen Jahr präsentiert. Zusammen mit dem Team präsentierte Dr. Zimolong das Projekt „Closed-Loop Medikation“ bei dem es um die Unterstützung der Pflege beim Stellen und Geben der Medikation ging. 

Am 2. Tag wurden die insgesamt 12 Finalistenprojekten präsentiert, aus denen anschließend die 5 in diesem Jahr umzusetzenden Digitalisierungsprojekte durch die Krankenhausvertreter gewählt wurden. In diesen 5 Proof-of-Concept-Projekte testen die beteiligten Krankenhäuser gemeinsam mit Industriepartnern ein Jahr lang innovative Lösungen unter Realbedingungen. Ziel ist es, entlang klar definierter Fragestellungen Mehrwert, Umsetzbarkeit und Skalierbarkeit der vorgestellten Innovationen systematisch zu bewerten.