Ein Urteil des US Supreme Court erschüttert die rechtliche Grundlage des transatlantischen Datenaustauschs – und bringt auch Anbieter unter Druck, auf die Krankenhäuser täglich angewiesen sind.

Was ist passiert?

Ende Juni 2026 hat der Oberste Gerichtshof der USA in der Rechtssache Trump v. Slaughter entschieden, dass die Unabhängigkeit der Federal Trade Commission (FTC) verfassungswidrig ist. Die FTC untersteht damit künftig direkt den politischen Weisungen des US-Präsidenten.

Das klingt zunächst nach einem rein amerikanischen Verfassungsstreit. Für den europäischen Datenschutz hat die Entscheidung jedoch weitreichende Konsequenzen: Das EU-US Data Privacy Framework (DPF) – der aktuelle Rechtsrahmen für den Transfer personenbezogener Daten zwischen der EU und den USA – beruft sich in seinem Angemessenheitsbeschluss 259 Mal auf die Kontrollrolle der FTC. Mit dem Urteil ist die Unabhängigkeit dieser Behörde formal hinfällig. Die Datenschutzorganisation Noyb hat die EU-Kommission bereits formell aufgefordert, das Abkommen aufzuheben.

Solange die Kommission das DPF nicht widerruft oder der Europäische Gerichtshof (EuGH) es für nichtig erklärt, bleibt es formell in Kraft. Bis zu einer endgültigen EuGH-Entscheidung – Experten rechnen mit zwei bis drei Jahren – droht jedoch eine Phase erheblicher Rechtsunsicherheit. Max Schrems, der bereits zweimal frühere EU-US-Datentransferabkommen vor dem EuGH zu Fall gebracht hat, bereitet auch diesmal den Klageweg vor.

Am 31. Mai und 1. Juni 2026 trafen sich rund 60 Experten aus Industrie, Krankenhäusern und Beratung zum jährlichen Sommer-Camp des Eco Systems Entscheiderfabrik in Köln.

In Arbeitsgruppen mit jeweils etwa neun Teilnehmenden wurden die fünf zentrale Digitalisierungsthemen der Gesundheitswirtschaft bearbeitet:

• CyberSecurity-Datensicherheit – Beratung: Prof. Dr. Pierre-Michael Meier
• E-Brief-KIM-Zuweiserportal – Beratung: Dr. Andreas Zimolong
• BDT-FHIR-Behandlungsdokumentation – Beratung: Dirk Holthaus
• NavigationspsychGesundheit – Beratung: Patrick Reintges und Noemi Kucharz
• Klick-Digitalisierung-Klinik – Beratung: Jasper Nolting

Die Projektteams präsentierten ihre Zwischenergebnisse und Abschlussarbeiten

Mit die MPBetreibV von Februar 2025 werden Gesundheitseinrichtungen in Bezug auf Software als Medizinprodukt und Software als In-vitro-Diagnostikum mit neuen Pflichten konfrontiert: §17 fordert die Prüfung einer ordnungsgemäßen Installation und eine IT-Sicherheitsüberprüfung. Weitere Punkte wie Nutzereinweisung waren schon zuvor präsent – ergänzend werden nun Einweisung nach jeder Installation von Softwareaktualisierungen gefordert. Außerdem wird der Umfang der Einweisung der „vom Betreiber beauftragten Person“ in einigen Punkten konkretisiert. Die Anforderungen gehen weit über reine Technik hinaus und beeinflussen künftig Schulungen, Prozesse und Verantwortlichkeiten in jeder Gesundheitseinrichtung.

In diesem Jahr feiert die Entscheiderfabrik das 20-jährige Jubiläum. Seit der Gründung im Jahr 2006 hat sich die Entscheiderfabrik als zentrale Plattform für digitale Transformationsthemen im Gesundheitswesen etabliert und bringt Entscheidungsträger aus Kliniken, Industrie, IT-Anbietern und Verbänden zusammen, um Innovationen entlang definierter Herausforderungen praktisch umzusetzen und nachhaltig zu verankern.

Statement von Andreas Zimolong

Im Rahmen der Jubiläumsveranstaltungen, die auch auf YouTube übertragen wurden, hat Dr. Andreas Zimolong, Geschäftsführer der Synagon GmbH und langjähriger Berater im Entscheiderfabrik-Umfeld, hervorgehoben, wie wichtig kontinuierlicher Austausch und praxisnahe Zusammenarbeit zwischen Kliniken, Technologieanbietern und Beratern für die digitale Weiterentwicklung der Gesundheitsversorgung sind. Sein Statement betonte dabei die Rolle der Plattform als vertrauenswürdigen Multiplikator für Innovationen und die Bedeutung einer gemeinschaftlichen, nutzerorientierten Entwicklung digitaler Gesundheitslösungen.

Die Videoaufnahme mit dem Statement ist auf dem offiziellen YouTube-Channel der Entscheiderfabrik abrufbar: Statement 20 Jahre Entscheiderfabrik (externer Link)

Künstliche Intelligenz (KI) gewinnt in nahezu allen Branchen zunehmend an Bedeutung, auch im Gesundheitswesen. Automatisierte Systeme unterstützen bei der Terminplanung, Patientenkommunikation, Dokumentation und Datenanalyse. Gleichzeitig steigen die Anforderungen an Datenschutz, IT-Sicherheit und gesetzliche Compliance. Vor diesem Hintergrund gewinnt die Rolle eines KI-Beauftragten an Relevanz, um den Einsatz von KI-Systemen sicher, effizient und rechtskonform zu gestalten.

Aufgaben einer KI-Beauftragten

Das BSI hat einen Kriterienkatalog für den sicheren Einsatz von KI bereitgestellt (Kriterienkatalog des BSI). Ganz oben auf der Liste der Forderungen: die Bestellung eines KI-Beauftragten. Dieser wird in die Nähe des ISB gerückt. Auch die GMDS erhebt hier die Forderung nach einem KI-Beauftragten (CAIO). Darüber hinaus hat das Netzwerk EURAID (European Responsible AI Development) einen praxisnahen Leitfaden zur Implementierung von Anwendungen Künstlicher Intelligenz (KI) im Krankenhaus vorgestellt (vgl. Journal of Medical Internet Research, 2026; DOI: 10.2196/80754 und als Kurzfassung der Bundesanstalt für Arbeitsschutz und Arbeitsmedizin, 2026; DOI: 10.21934/baua:berichtkompakt20260122). Dabei fokussiert dieser Leitfaden auf Krankenhäusern, die eine eigene Entwicklung von KI-Werkzeugen und deren Implementierung in den Alltag betreiben.

 Tätigkeiten als CAIO / KI-Beauftragter

Die Tätigkeiten des Chief AI Officer (CAIO) bzw. KI-Beauftragten umfassen strategische, organisatorische, rechtliche sowie technische Aufgaben. Ziel ist es, den Einsatz von KI-Systemen im Unternehmen und im Gesundheitswesen verantwortungsvoll, datenschutzkonform und rechtskonform zu gestalten und zugleich das Potenzial dieser Systeme zur Unterstützung von Arbeitsprozessen zu nutzen.

Ein KI-Beauftragter übernimmt die kontinuierliche Überwachung der Einführung und Nutzung von KI-Anwendungen. Zu seinen Aufgaben gehört die Unterstützung des Betreibers bei der Sicherstellung der rechtskonformen Nutzung von KI-Systemen, insbesondere im Umgang mit sensiblen personenbezogenen Daten und Unternehmensdaten, sowie die Integration der Systeme in bestehende IT-Sicherheitsarchitekturen. Darüber hinaus prüft der KI-Beauftragte Risiken durch automatisierte Prozesse, berät zu ethischen Fragestellungen und unterstützt bei der Entwicklung oder dem Einkauf von Konzepten für die Schulung von Mitarbeitenden im sicheren Umgang mit KI-Lösungen. Damit trägt der KI-Beauftragte entscheidend dazu bei, dass KI-Anwendungen effizient, sicher und vertrauenswürdig in die Geschäftsprozesse integriert werden.

Vom 11. bis 13. Februar 2026 trafen sich Entscheidungsträger aus Krankenhäusern, Industrie, IT-Anbietern und Verbänden im Industrie Club Düsseldorf, um den jährlichen Digitalisierungsgipfel der Gesundheitswirtschaft im Rahmen des 20-jährigen Jubiläums des ENTSCHEIDERFABRIK zu feiern. 

Im Fokus des Gipfels standen erneut die fünf Digitalisierungsthemen der Gesundheitswirtschaft: am 1. Tag wurden die Ergebnisse aus dem vergangenen Jahr präsentiert. Zusammen mit dem Team präsentierte Dr. Zimolong das Projekt „Closed-Loop Medikation“ bei dem es um die Unterstützung der Pflege beim Stellen und Geben der Medikation ging. 

Am 2. Tag wurden die insgesamt 12 Finalistenprojekten präsentiert, aus denen anschließend die 5 in diesem Jahr umzusetzenden Digitalisierungsprojekte durch die Krankenhausvertreter gewählt wurden. In diesen 5 Proof-of-Concept-Projekte testen die beteiligten Krankenhäuser gemeinsam mit Industriepartnern ein Jahr lang innovative Lösungen unter Realbedingungen. Ziel ist es, entlang klar definierter Fragestellungen Mehrwert, Umsetzbarkeit und Skalierbarkeit der vorgestellten Innovationen systematisch zu bewerten. 

Die Veröffentlichung der Kassenärztlichen Bundesvereinigung (KBV) vom November 2024 bietet eine umfassende Beantwortung von rechtlichen Fragen zur elektronischen Patientenakte (ePA) für Ärzte und Psychotherapeuten und hat damit auch Bedeutung für die Krankenhäuser. Die Antworten klären auf über Pflichten der Praxen und Krankenhäuser im Umgang mit der ePA, insbesondere im Hinblick auf die Befüllung, Aktualisierung, Löschung und Nutzung von ePA-Inhalten. Es werden detaillierte Ausführungen zu Informations- und Dokumentationspflichten gegeben, die bei der Verarbeitung von Patientendaten oder dem Widerspruch des Patienten entstehen, sowie auch zur Delegation von ePA-Aufgaben an „berufsmäßige Gehilfen“. Darüber hinaus beleuchtet das Dokument die Rahmenbedingungen für die Einsichtnahme in die ePA durch die Praxen und die damit verbundenen Sorgfaltspflichten und Haftungsfragen im Behandlungsalltag. Die aus unserer Sicht wichtigsten Punkte sind: Es besteht eine Pflicht zur Dokumentation, welche konkrete Person auf die elektronische Patientenakte zwecks Befüllung, Aktualisierung, Löschung oder Einsichtnahme zugegriffen oder zuzugreifen versucht hat (§ 309 Abs. 1 SGB V). In der sollte dies durch die Log-Funktion des KIS erfüllt sei.