1. Zwei Rollen, zwei Phasen. Transport, Virenprüfung und Pseudonymisierung geschehen im Auftrag der Praxis — Auftragsverarbeitung nach Art. 28 DSGVO, mit Vertrag, Weisungsbindung und Unterauftragnehmerliste. Sobald das Zentrum den Fall beurteilt, handelt es eigenverantwortlich als Behandler.
2. Rechtsgrundlage. Gesundheitsdaten sind Art. 9 DSGVO. Tragfähig ist die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a) zusammen mit der Schweigepflichtentbindung; der Behandlungstatbestand (lit. h) allein deckt die Weitergabe an einen privaten Betreiber nicht sauber ab.
3. § 203 StGB. Seit 2017 dürfen Ärztinnen und Ärzte IT-Dienstleister als „mitwirkende Personen“ einbeziehen. Bedingung: Der Dienstleister ist auf die Schweigepflicht verpflichtet (Abs. 4), der Zugriff bleibt auf das Erforderliche beschränkt.
4. Anonym ist es nicht. Bei einer seltenen Erkrankung genügen Krankheitsbild, Alter und Region oft zur Wiedererkennung. Was das System liefert, ist praktisch eine Pseudonymisierung — damit bleiben alle Pflichten der DSGVO bestehen: Rechtsgrundlage, Betroffenenrechte, Löschfristen, Nachweise. Wer das „anonymisiert“ nennt, verspricht mehr, als er hält.
5. Was die Architektur dafür leisten muss. Getrennte Zonen (Klartext-Eingang, Pseudonymisierung, Auswertung), Löschfrist für den Klartextsatz, Zugriff nur für benannte Personen mit Protokoll, das Sprachmodell sieht ausschließlich die pseudonymisierte Fassung. Wegen Umfang und Sensibilität ist eine Datenschutz-Folgenabschätzung (Art. 35) fällig, dazu Verarbeitungsverzeichnis und Meldewege für Datenpannen.
Kein Rechtsrat — Stand für die Konzeptdiskussion, vor dem Echtbetrieb anwaltlich und mit dem Datenschutzbeauftragten prüfen.