Microsoft Copilot im Gesundheitswesen: Das sollten Arztpraxen jetzt zum Datenschutz wissen

Viele Arztpraxen, MVZ und Pflegeeinrichtungen nutzen bereits Microsoft 365 im Arbeitsalltag: E-Mails laufen über Outlook, interne Abstimmungen über Teams, Dokumente werden in Word erstellt. Gleichzeitig gewinnt Microsoft Copilot zunehmend an Bedeutung: Die KI-Funktion soll Texte zusammenfassen, Dokumente durchsuchen, E-Mails vorbereiten, Besprechungen auswerten und Mitarbeitende im Alltag entlasten.

Gerade für Einrichtungen im Gesundheitswesen klingt das zunächst attraktiv. Denn Zeit ist knapp, Verwaltungsaufwand hoch und digitale Unterstützung wird dringend gesucht. Doch mit dem Einsatz von KI-Systemen stellen sich auch neue Datenschutzfragen. Besonders dann, wenn im Hintergrund nicht sofort erkennbar ist, wo Daten tatsächlich verarbeitet werden.

Eine aktuelle Funktion von Microsoft sorgt deshalb für Aufmerksamkeit: das sogenannte Flex Routing. Dabei können Anfragen an Microsoft Copilot unter bestimmten Voraussetzungen auch außerhalb der europäischen Rechenzentren verarbeitet werden. Microsoft nennt als mögliche Regionen unter anderem die USA, Kanada und Australien.

Für Arztpraxen, MVZ und Pflegeeinrichtungen ist das datenschutzrechtlich bedeutsam. Denn im Gesundheitswesen werden regelmäßig besonders schützenswerte personenbezogene Daten verarbeitet. Dazu gehören nicht nur klassische Patientendaten, sondern auch Informationen aus Terminabsprachen, Befunden, internen Notizen, E-Mails, Personalunterlagen, Qualitätsmanagement-Dokumenten oder Pflege- und Behandlungsprozessen.

Die wichtigste Frage lautet daher nicht: „Ist Microsoft Copilot grundsätzlich erlaubt oder verboten in der Arztpraxis?“ Die wichtigere Frage lautet:

Wissen Sie, welche Daten Ihre Einrichtung mit KI-Systemen verarbeitet, wo diese Daten verarbeitet werden und ob Ihre Datenschutzdokumentation dazu passt?

In diesem Artikel erfahren Sie,

was Microsoft Flex Routing genau bedeutet,
welche Daten bei der Nutzung von Copilot betroffen sein können,
warum das Thema für Arztpraxen, MVZ und Pflegeeinrichtungen relevant ist,
wie Sie Flex Routing im Microsoft Admin Center prüfen und deaktivieren können,

und welche Datenschutzmaßnahmen Einrichtungen im Gesundheitswesen jetzt ergreifen sollten.

Was genau ist Microsoft Flex Routing?

Flex Routing ist eine Funktion im Zusammenhang mit Microsoft 365 Copilot. Microsoft beschreibt damit die Möglichkeit, bestimmte KI-Verarbeitungen flexibler über verfügbare Rechenzentrumskapazitäten zu steuern.

Technisch geht es dabei vor allem um die sogenannte KI-Inferenz. Damit ist der Vorgang gemeint, bei dem ein KI-Modell eine konkrete Anfrage verarbeitet und daraus eine Antwort erzeugt. Zum Beispiel, wenn ein Nutzer Copilot bittet, eine E-Mail zusammenzufassen, ein Word-Dokument zu analysieren oder eine Antwort auf Basis vorhandener Informationen vorzuschlagen, dann muss diese Anfrage durch ein KI-Modell verarbeitet werden.

Aus Datenschutzsicht ist jedoch entscheidend, dass bei dieser Verarbeitung Daten die europäische Datengrenze verlassen können. Microsoft erklärt, dass Copilot-Prompts, Antworten und sogenannte Grounding Data unter bestimmten Bedingungen außerhalb der EU Data Boundary für die KI-Inferenz verarbeitet werden können. Grounding Daten sind vereinfacht gesagt diejenigen Inhalte, die Copilot heranzieht, um eine Antwort im jeweiligen Arbeitskontext zu erstellen. Dazu können zum Beispiel Inhalte aus Dokumenten, E-Mails oder anderen Microsoft-365-Diensten gehören.

Die EU Data Boundary ist nach eigener Beschreibung eine geografisch definierte Grenze, innerhalb der Microsoft zugesagt hat, Kundendaten und personenbezogene Daten für bestimmte Microsoft Enterprise Online Services zu speichern und zu verarbeiten. Dazu zählen unter anderem Microsoft 365, Azure, Dynamics 365 und Power Plattform. Flex Routing ist damit keine kleine technische Nebensache. Es betrifft den Kern der Frage, wo Daten bei der Nutzung von Microsoft Copilot verarbeitet werden können.

Warum wurde Flex Routing eingeführt?

KI-Systeme wie Microsoft Copilot benötigen enorme Rechenkapazitäten. Anders als klassische Office-Funktionen verarbeitet Copilot nicht nur einen einfachen Befehl, sondern analysiert Kontext, Dokumente, Sprache und Nutzeranfragen. Je nach Funktion werden dabei verschiedene Informationen aus dem Microsoft-365-Umfeld berücksichtigt, um eine passende Antwort zu erstellen.

Wenn viele Unternehmen gleichzeitig Copilot nutzen, entsteht eine hohe Last auf den Rechenzentren. Flex Routing soll Microsoft ermöglichen, diese Last besser zu verteilen und Copilot auch während Spitzenzeiten zuverlässig verfügbar zu halten. Für Microsoft ist das ein technisches Skalierungsproblem.

Die IT-Abteilung betrachtet Flex Routing möglicherweise als technische Einstellung. Die Praxisleitung oder Geschäftsführung weiß davon oft nichts. Der Datenschutzbeauftragte wird eventuell erst später eingebunden. Gleichzeitig können Mitarbeitende Copilot bereits produktiv nutzen.

Das bedeutet konkret, wenn Gesundheitsdaten und andere sensible personenbezogene Daten verarbeitet werden, sollten Praxen und Pflegeeinrichtungen prüfen, ob Mitarbeitende Copilot nutzen, welche Daten eingegeben werden, ob Flex Routing aktiviert ist. Und darüber hinaus, ob ein Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsvertrag, Datenschutzinformationen und interne KI-Richtlinien angepasst werden müssen.

Einrichtungen müssen nachweisen können, dass sie sich mit den datenschutzrechtlichen Auswirkungen auseinandergesetzt haben.

Welche Daten können bei Microsoft Copilot betroffen sein?

Welche Daten bei Microsoft Copilot verarbeitet werden, hängt stark davon ab, wie Copilot konkret genutzt wird. Nicht jede Anfrage enthält personenbezogene Daten. Wer Copilot beispielsweise bittet, eine allgemeine Formulierung für eine interne Teams-Nachricht zu verbessern, verarbeitet möglicherweise keine sensiblen Informationen.

Anders sieht es aus, wenn Copilot Inhalte aus dem Arbeitskontext auswertet. Gerade darin liegt der praktische Nutzen von Microsoft 365 Copilot: Das System kann auf Informationen aus der Microsoft-365-Umgebung zugreifen, sofern der jeweilige Nutzer auch selbst Zugriff auf diese Inhalte hat. Dadurch kann Copilot E-Mails zusammenfassen, Dokumente analysieren, Besprechungen auswerten oder Antworten vorbereiten.

In einer Arztpraxis, einem MVZ oder einer Pflegeeinrichtung können dabei sehr unterschiedliche Datenarten betroffen sein:

E-Mails aus Outlook

In vielen Praxen laufen organisatorische und teilweise auch patientenbezogene Informationen über E-Mail. Dazu können Terminanfragen, Rückfragen von Patienten, Kommunikation mit Laboren, Schreiben von Krankenhäusern, interne Abstimmungen oder Nachrichten von Dienstleistern gehören.

Wenn Copilot E-Mails zusammenfasst, Antwortvorschläge erstellt oder Inhalte aus Postfächern verarbeitet, können personenbezogene Daten betroffen sein. Je nach Inhalt können sogar Gesundheitsdaten verarbeitet werden.

Teams-Nachrichten und Besprechungen

Microsoft Teams wird in vielen Organisationen für interne Kommunikation genutzt. In größeren Praxen, MVZ-Strukturen oder Pflegeeinrichtungen können dort Schichtabsprachen, organisatorische Entscheidungen, Qualitätsmanagement-Themen oder interne Fallbesprechungen stattfinden.

Auch Besprechungsnotizen und Transkripte können sensible Informationen enthalten. Wenn Copilot Sitzungen zusammenfasst oder Aufgaben aus Besprechungen ableitet, werden die entsprechenden Inhalte in den KI-Verarbeitungsprozess einbezogen.

Word-Dokumente und hochgeladene Dateien

Word-Dokumente können in Gesundheitseinrichtungen viele unterschiedliche Inhalte enthalten. Dazu gehören beispielsweise Vorlagen, Arbeitsanweisungen, Patienteninformationen, Beschwerdeberichte, interne Protokolle, Auditberichte, Datenschutzunterlagen oder Korrespondenz.

Wenn Nutzer Copilot bitten, ein Dokument zusammenzufassen, umzuschreiben oder inhaltlich auszuwerten, werden die Inhalte dieses Dokuments verarbeitet. Enthält das Dokument personenbezogene Daten, betrifft auch die Copilot-Nutzung personenbezogene Daten.

Excel-Dateien

Auch Excel-Dateien können datenschutzrelevant sein. In Praxen und Pflegeeinrichtungen werden Tabellen häufig für Auswertungen, Listen, Dienstplanung, Fortbildungsübersichten, Geräteprüfungen, Maßnahmenpläne, Qualitätskennzahlen oder interne Organisation genutzt.

Nicht jede Tabelle enthält sensible Daten. Sobald jedoch Namen, Rollen, Patientenzuordnungen, Fehlzeiten, Beschwerden oder medizinische Informationen enthalten sind, muss die Verarbeitung datenschutzrechtlich bewertet werden.

QM-, Hygiene- und Arbeitsschutzdokumente

Auf den ersten Blick wirken QM-, Hygiene- oder Arbeitsschutzdokumente weniger kritisch als Patientenakten. Dennoch können auch diese Unterlagen personenbezogene Daten enthalten. Beispiele sind Verantwortlichkeiten, Schulungsnachweise, Maßnahmenpläne, Begehungsberichte, Unfallereignisse, interne Abweichungen, Beschwerden oder Protokolle aus Audits.

Gerade wenn Copilot genutzt wird, um solche Dokumente zu analysieren, zusammenzufassen oder neue Versionen zu erstellen, sollte geprüft werden, ob personenbezogene Daten oder sensible interne Informationen verarbeitet werden.

Patientendaten und Gesundheitsdaten

Besonders kritisch wird es, wenn Eingaben oder Dokumente konkrete Patientendaten enthalten. Gesundheitsdaten gehören nach der DSGVO zu den besonderen Kategorien personenbezogener Daten und sind deshalb besonders geschützt.

Dazu gehören beispielsweise:

Diagnosen,
Befunde,
Medikationsinformationen,
Laborwerte,
Behandlungsverläufe,
Pflegeinformationen,
Arztbriefe,
Anamnesedaten,
AU-Informationen,
psychische oder soziale Informationen,
Angaben zu Behinderungen oder Pflegegrad.

Solche Informationen sollten nicht unbedacht in KI-Systeme eingegeben oder durch KI-Systeme verarbeitet werden. Selbst wenn ein Anbieter grundsätzlich DSGVO-konforme Rahmenbedingungen anbietet, bleibt die Einrichtung verantwortlich dafür, wie das System konkret genutzt wird.

Warum das Risiko im Praxisalltag oft unterschätzt wird

Viele Datenschutzrisiken entstehen nicht durch die offizielle Einführung eines Systems, sondern durch die alltägliche Nutzung. Gerade bei KI-Tools ist die Einstiegshürde niedrig. Ein Mitarbeiter testet eine Funktion, ein Arzt lässt sich eine E-Mail formulieren, eine Praxismanagerin fasst ein Dokument zusammen, eine Leitungskraft nutzt Copilot für Protokolle.

Was dabei schnell übersehen wird: Der Inhalt des Prompts ist oft entscheidender als das Tool selbst. Ein harmloser Prompt wie „Formuliere diese Nachricht freundlicher“ ist datenschutzrechtlich anders zu bewerten als „Fasse die Beschwerden von Frau Müller nach der heutigen Behandlung zusammen und erstelle eine Antwortmail.“

Im zweiten Fall können konkrete Gesundheitsdaten, Behandlungsinformationen und Kommunikationsdaten verarbeitet werden. Wenn solche Inhalte im Rahmen von Flex Routing außerhalb Europas verarbeitet werden können, muss dies in der Datenschutzbewertung berücksichtigt werden.

Es gilt grundsätzlich: Je sensibler die verarbeiteten Daten sind, desto sorgfältiger sollten Verantwortliche prüfen, welche KI-Anwendungen eingesetzt werden und unter welchen Bedingungen diese Daten verarbeitet werden. Es braucht klare Regeln für die Nutzung von KI-Systemen festlegen. Mitarbeitende müssen wissen, welche Daten sie in Copilot, ChatGPT, Gemini oder andere KI-Anwendungen eingeben dürfen und welche nicht.

Warum ist Flex Routing datenschutzrechtlich relevant?

Nicht jede technische Änderung eines Softwareanbieters hat automatisch datenschutzrechtliche Konsequenzen. Bei Microsoft Flex Routing ist das jedoch anders. Der Grund dafür liegt darin, dass personenbezogene Daten unter bestimmten Voraussetzungen außerhalb der Europäischen Union verarbeitet werden können.

Was ist ein Drittlandtransfer?

Die DSGVO unterscheidet grundsätzlich zwischen Datenverarbeitungen innerhalb der Europäischen Union und Datenübermittlungen in sogenannte Drittländer. Als Drittland gelten Staaten außerhalb der EU beziehungsweise des Europäischen Wirtschaftsraums (EWR), z.B. wenn personenbezogene Daten beispielsweise in den USA verarbeitet werden.

Das bedeutet nicht automatisch, dass eine solche Verarbeitung unzulässig ist. Die DSGVO stellt jedoch zusätzliche Anforderungen. Unternehmen müssen sicherstellen, dass auch außerhalb Europas ein angemessenes Datenschutzniveau besteht und geeignete Schutzmaßnahmen getroffen wurden.

Gerade Datenübermittlungen in die USA werden seit Jahren intensiv diskutiert. Spätestens seit den Urteilen des Europäischen Gerichtshofs zu den sogenannten Safe-Harbor- und Privacy-Shield-Abkommen ist das Thema vielen Datenschutzbeauftragten bekannt. Zwar existiert inzwischen das EU-U.S. Data Privacy Framework, dennoch bleibt die datenschutzrechtliche Bewertung internationaler Datenübermittlungen ein sensibles Thema - insbesondere bei Gesundheitsdaten.

Nicht Microsoft allein entscheidet über die Datenschutzkonformität

Ein häufiger Irrtum besteht darin, dass die Verantwortung vollständig beim Softwareanbieter liege.

Tatsächlich stellt Microsoft technische Funktionen und vertragliche Rahmenbedingungen bereit. Die Verantwortung für den konkreten Einsatz innerhalb der Einrichtung bleibt jedoch beim Verantwortlichen - also beispielsweise bei der Arztpraxis, dem MVZ oder der Pflegeeinrichtung.

Entscheidend ist daher nicht nur, was Microsoft technisch ermöglicht, sondern auch:

welche Funktionen aktiviert sind,
welche Daten Mitarbeitende tatsächlich eingeben,
welche organisatorischen Vorgaben existieren,
und ob die Nutzung angemessen dokumentiert wurde.

Mit anderen Worten: Zwei Arztpraxen können denselben Microsoft-365-Tarif nutzen und dennoch zu unterschiedlichen datenschutzrechtlichen Bewertungen kommen, weil sie Copilot unterschiedlich einsetzen.

Was bedeutet das konkret für Arztpraxen, MVZ und Pflegeeinrichtungen?

Die gute Nachricht vorweg: Die Einführung von Flex Routing bedeutet nicht, dass Microsoft Copilot künftig grundsätzlich unzulässig oder nicht DSGVO-konform wäre. Ebenso wenig müssen Einrichtungen Microsoft Copilot vorsorglich abschalten.

Vielmehr sollte Flex Routing als Anlass verstanden werden, die eigene KI-Nutzung kritisch zu überprüfen und gegebenenfalls anzupassen. Dabei sollten Verantwortliche insbesondere folgende Fragen beantworten können:

1. Wird Microsoft Copilot überhaupt genutzt?

Diese Frage klingt zunächst selbstverständlich. In der Praxis stellt sich jedoch häufig heraus, dass einzelne Mitarbeitende Copilot bereits verwenden, obwohl die Einrichtung bislang keine offizielle Entscheidung getroffen hat.

Gerade in größeren Organisationen empfiehlt es sich daher zunächst festzustellen,

welche Microsoft-Lizenzen vorhanden sind,
ob Copilot bereits aktiviert wurde,
und welche Personengruppen Zugriff besitzen.

2. Welche Daten werden tatsächlich verarbeitet?

Nicht jede Copilot-Anfrage enthält sensible Informationen. Dennoch sollte bewertet werden,

ob Mitarbeitende Patientendaten eingeben,
ob Dokumente mit personenbezogenen Informationen analysiert werden,
ob interne Protokolle oder Qualitätsmanagement-Unterlagen verarbeitet werden,
und welche Inhalte Copilot im Arbeitsalltag tatsächlich nutzt.

Oft zeigt sich bereits an dieser Stelle, dass organisatorische Vorgaben fehlen.

3. Gibt es Regeln für die Nutzung von KI?

Viele Einrichtungen verfügen mittlerweile über Datenschutzrichtlinien oder IT-Richtlinien. Für KI-Anwendungen existieren dagegen häufig noch keine verbindlichen Vorgaben.

Dabei lassen sich viele Risiken bereits durch einfache organisatorische Maßnahmen reduzieren. Dazu gehören beispielsweise Festlegungen,

welche Daten niemals in KI-Systeme eingegeben werden dürfen,
welche Anwendungen genutzt werden dürfen,
welche Funktionen deaktiviert werden,
und wann Rücksprache mit dem Datenschutzbeauftragten erforderlich ist.

Eine schriftliche KI-Richtlinie schafft hier Transparenz und gibt Mitarbeitenden Sicherheit.

4. Wurde die Datenschutzdokumentation überprüft?

Neue technische Funktionen führen häufig dazu, dass bestehende Datenschutzunterlagen nicht mehr vollständig aktuell sind. Je nach konkreter Nutzung sollten unter anderem folgende Dokumente überprüft werden:

Verzeichnis von Verarbeitungstätigkeiten (VVT)
Datenschutzinformationen
interne Richtlinien
technische und organisatorische Maßnahmen (TOM)
Auftragsverarbeitungsverträge
Dokumentationen zur Risikobewertung
gegebenenfalls Datenschutz-Folgenabschätzungen

Nicht jede Änderung macht automatisch eine Anpassung aller Dokumente erforderlich. Die Prüfung selbst sollte jedoch nachvollziehbar dokumentiert werden.

Flex Routing deaktivieren: So überprüfen Sie die Einstellung

Microsoft bietet Administratoren die Möglichkeit, die Flex-Routing-Funktion zu verwalten. Ob und in welchem Umfang die Option verfügbar ist, hängt von den eingesetzten Microsoft-365-Lizenzen sowie der jeweiligen Copilot-Konfiguration ab.

Wenn Ihre Einrichtung Microsoft 365 Copilot nutzt, empfiehlt es sich, die Einstellungen im Microsoft Admin Center regelmäßig zu überprüfen.

Der grundsätzliche Ablauf sieht wie folgt aus:

Melden Sie sich im Microsoft Admin Center an.
Öffnen Sie die Microsoft 365 Copilot-Einstellungen.
Suchen Sie nach der Einstellung Flex Routing beziehungsweise der Option zur Verarbeitung außerhalb der EU Data Boundary.
Prüfen Sie, ob die Funktion aktiviert ist.
Entscheiden Sie anhand Ihrer Datenschutzbewertung, ob die Einstellung beibehalten oder deaktiviert werden soll.

Dokumentieren Sie die getroffene Entscheidung.

Hinweis: Microsoft entwickelt die Verwaltungsoberfläche kontinuierlich weiter. Menübezeichnungen und Einstellungsorte können sich daher im Laufe der Zeit ändern. Prüfen Sie im Zweifel die aktuelle Microsoft-Dokumentation oder stimmen Sie Änderungen mit Ihrer IT-Abteilung beziehungsweise Ihrem Microsoft-Partner ab.

Reicht das Deaktivieren von Flex Routing aus?

Nein. Die Einstellung ist zwar ein wichtiger Baustein, sie ersetzt jedoch keine datenschutzrechtliche Bewertung. Selbst wenn Flex Routing deaktiviert wurde, sollten Verantwortliche weiterhin prüfen,

welche Daten Mitarbeitende in Copilot eingeben,
welche Funktionen genutzt werden,
welche organisatorischen Vorgaben bestehen,
und ob die vorhandene Datenschutzdokumentation aktuell ist.

Datenschutz entsteht nicht allein durch eine technische Einstellung, sondern durch das Zusammenspiel aus Technik, Organisation und Mitarbeiterschulung.

Datenschutz bedeutet auch Dokumentation

Aus unserer Erfahrung werden Datenschutzprüfungen häufig nicht deshalb beanstandet, weil eine bestimmte Software eingesetzt wird. Viel häufiger fehlt eine nachvollziehbare Dokumentation darüber,

warum eine bestimmte Entscheidung getroffen wurde,
welche Risiken bewertet wurden,
welche Schutzmaßnahmen umgesetzt wurden,
und wer diese Entscheidung freigegeben hat.

Genau hier liegt derzeit die größte Herausforderung beim Einsatz von KI-Anwendungen.

Die technischen Möglichkeiten entwickeln sich nahezu monatlich weiter. Funktionen ändern sich, neue Modelle werden eingeführt und Datenverarbeitungsprozesse werden angepasst.

Wer diese Entwicklungen regelmäßig bewertet und dokumentiert, zeigt im Prüfungsfall, dass die Einrichtung ihrer Rechenschaftspflicht nachkommt und Datenschutz aktiv lebt.

Microsoft Copilot ist nur ein Beispiel

Flex Routing zeigt eindrucksvoll, wie dynamisch sich KI-Anwendungen derzeit entwickeln. Neue Funktionen werden eingeführt, bestehende Prozesse angepasst und technische Rahmenbedingungen regelmäßig verändert. Das betrifft nicht nur Microsoft.

Auch andere KI-Anbieter entwickeln ihre Systeme kontinuierlich weiter. Dazu gehören beispielsweise:

ChatGPT von OpenAI
Google Gemini
Claude von Anthropic
Perplexity AI
weitere spezialisierte KI-Anwendungen für den Gesundheitsbereich

Dabei verändern sich unter anderem

Datenverarbeitungsorte,
Unterauftragnehmer,
Speicherdauern,
Trainingsmechanismen,
Sicherheitsfunktionen,
Administratoreneinstellungen,
Lizenzmodelle.

Eine Datenschutzbewertung sollte deshalb niemals als einmaliges Projekt verstanden werden. Wer heute eine KI-Anwendung einführt und anschließend mehrere Jahre keine Überprüfung mehr durchführt, läuft Gefahr, dass die tatsächliche Nutzung längst nicht mehr zur ursprünglichen Bewertung passt.

KI entwickelt sich schneller als viele Datenschutzkonzepte

Vor wenigen Jahren bestand die größte Herausforderung häufig darin, Cloud-Dienste datenschutzkonform einzusetzen. Heute verändern sich KI-Systeme teilweise innerhalb weniger Wochen: Neue Sprachmodelle werden veröffentlicht. Funktionen werden ergänzt. Administratoreinstellungen ändern sich. Anbieter passen ihre Infrastruktur an.

Für Einrichtungen im Gesundheitswesen bedeutet das vor allem eines:

Datenschutz muss künftig als kontinuierlicher Prozess verstanden werden.

Genau wie Qualitätsmanagement oder Informationssicherheit sollte auch der Einsatz von KI regelmäßig überprüft werden. Ein jährlicher Blick auf die eingesetzten Systeme genügt häufig bereits, um Änderungen frühzeitig zu erkennen und gegebenenfalls Maßnahmen einzuleiten.

Checkliste: Datenschutz bei KI-Anwendungen im Gesundheitswesen

Die folgende Übersicht kann als erste Orientierung dienen. Sie ersetzt keine individuelle Datenschutzbewertung, hilft aber dabei, typische Fragestellungen systematisch zu prüfen.

Wird Microsoft Copilot oder eine andere KI-Anwendung genutzt?
Ist bekannt, welche Mitarbeitenden Zugriff auf die KI haben?
Werden personenbezogene Daten verarbeitet? Werden Gesundheitsdaten verarbeitet?
Wurde Flex Routing beziehungsweise der Datenverarbeitungsstandort geprüft?
Wurde die Datenschutzbewertung dokumentiert?
Sind Mitarbeitende zur Nutzung von KI geschult?
Existiert eine interne KI-Richtlinie?
Wurden Datenschutzinformationen und das Verzeichnis von Verarbeitungstätigkeiten überprüft?
Werden Änderungen an KI-Anwendungen regelmäßig bewertet?

Gerade bei Datenschutzprüfungen zeigt eine solche strukturierte Vorgehensweise, dass sich die Einrichtung aktiv mit den datenschutzrechtlichen Anforderungen auseinandersetzt.

Fazit: Flex Routing ist ein guter Anlass, die eigene KI-Strategie zu überprüfen

Microsoft Flex Routing ist kein Grund, Microsoft Copilot grundsätzlich abzulehnen. Die neue Funktion macht jedoch deutlich, wie schnell sich KI-Anwendungen weiterentwickeln und wie wichtig es ist, technische Änderungen nicht nur aus IT-Sicht, sondern auch unter datenschutzrechtlichen Gesichtspunkten zu betrachten.

Für Arztpraxen, MVZ und Pflegeeinrichtungen bedeutet dies vor allem, den Einsatz von KI bewusst zu gestalten. Dazu gehört, technische Einstellungen regelmäßig zu überprüfen, Mitarbeitende für den verantwortungsvollen Umgang mit KI zu sensibilisieren und datenschutzrechtliche Bewertungen nachvollziehbar zu dokumentieren.

Wer KI-Anwendungen strukturiert einführt und kontinuierlich überprüft, schafft nicht nur Rechtssicherheit. Gleichzeitig entstehen klare Prozesse, mehr Transparenz und ein verantwortungsvoller Umgang mit sensiblen Gesundheitsdaten.

Benötigen Sie Unterstützung beim datenschutzkonformen Einsatz von KI in ihrer Einrichtung?

Die Einführung von Microsoft Copilot, ChatGPT oder anderen KI-Anwendungen wirft häufig Fragen auf, die sich nicht pauschal beantworten lassen. Jede Einrichtung verarbeitet unterschiedliche Daten, nutzt andere Arbeitsabläufe und verfügt über individuelle technische Rahmenbedingungen.

Als spezialisierte Datenschutzberater für Arztpraxen, MVZ und Pflegeeinrichtungen unterstützen wir Sie unter anderem bei:

der datenschutzrechtlichen Bewertung von KI-Anwendungen,
der Aktualisierung Ihres Verzeichnisses von Verarbeitungstätigkeiten,
der Prüfung Ihrer Auftragsverarbeitungsverträge,
der Erstellung interner KI-Richtlinien,
der Schulung Ihrer Mitarbeitenden,
sowie der Vorbereitung auf Datenschutzprüfungen.

So können Sie die Vorteile moderner KI-Anwendungen nutzen und gleichzeitig die Anforderungen der DSGVO im Blick behalten.