Recht 08.10.2025
Praxis-Labor-Schnittstelle: Klare Rollen statt Grauzonen
share
Scanqualität (Praxis):
Liefert die Praxis unvollständige oder fehlerhafte Daten, trägt sie die Verantwortung für etwaige Folgeschäden.
Anwendung und Validierung (Labor):
Das Labor muss KI-gestützte Ergebnisse grundsätzlich prüfen, freigeben und dokumentieren. Unterlassene Kontrollen sind haftungsrelevant.
Produktverantwortung (Hersteller):
Liefert die Software fehlerhafte Ergebnisse aufgrund von Mängeln im System, haftet der Hersteller.
Damit verschiebt sich der Blick über die klassische Schnittstelle hinaus: Auch die europäische Produkthaftung wird angepasst. Die neue europäische Produkthaftungsrichtlinie 2024/2853, die bis Dezember 2026 in nationales Recht umzusetzen ist, bezieht ausdrücklich auch Software und Machine-Learning-Modelle ein. Neu ist, dass Gerichte in bestimmten Fällen widerlegbare Vermutungen zu Produktfehler und/oder Kausalität anwenden dürfen – etwa wenn die Beweisführung wegen technischer Komplexität übermäßig schwierig ist und die klagende Partei Fehler bzw. Ursächlichkeit plausibel darlegt sowie bei Verstößen gegen zwingende Sicherheitsanforderungen oder bei Nichtbefolgung gerichtlicher Offenlegungsanordnungen. Für Praxen und Labore bedeutet das: Vertragliche Regelungen zu Prüfungen, Freigaben, Meldungen und Regresspfaden sind essenziell, um im Streitfall die Beweisführung abzusichern.
Nutzerpflichten nach AI Act
Der AI Act spricht nicht von „Betreibern“, sondern von Nutzern bzw. Deployern. Für Praxen und Labore bedeutet das:
- KI-Systeme sachgerecht und entsprechend den
- Herstellerangaben einsetzen,
- wesentliche Prüfungen und Freigaben nachweisbar dokumentieren,
- System-Logs und relevante Protokolle vorhalten,
- Meldungen bei Auffälligkeiten oder sicherheitsrelevanten Vorkommnissen machen.
So wird Nachvollziehbarkeit geschaffen, ohne in eine Überdokumentation zu geraten.
Datenschutz sauber gestalten
Prothetikdaten sind Gesundheitsdaten – ihre Verarbeitung stützt sich in der Regel auf Art. 9 Abs. 2 lit. h DSGVO i. V. m. dem zahnärztlichen Berufsgeheimnis. Eine gesonderte Einwilligung ist also nicht zwingend erforderlich, solange die Verarbeitung innerhalb dieser Zweckbindung bleibt.
Eine Einwilligung kann jedoch geboten sein, wenn:
- zusätzliche Zwecke verfolgt werden,
- Cloud- oder Drittlandlösungen ohne entsprechende Geheimhaltung eingesetzt werden,
- oder Transparenz gegenüber Patienten besonders wichtig ist (z. B. Hinweis auf KI-generierte Inhalte).
Wichtig ist auch hier die Rollenzuordnung:
- Nach Art. 4 Nr. 7 DSGVO ist Verantwortlicher, wer über Zwecke und Mittel der Verarbeitung entscheidet. Das Labor ist daher in aller Regel eigener Verantwortlicher, da es eigenständig über technische Verfahren, Materialien und Aufbewahrung entscheidet.
- Nach Art. 26 DSGVO können Praxis und Labor auch gemeinsam Verantwortliche sein, wenn sie Zwecke und Mittel gemeinsam festlegen. Dann ist eine Vereinbarung über die datenschutzrechtlichen Pflichten erforderlich.
- Eine Auftragsverarbeitung nach Art. 4 Nr. 8 DSGVO liegt nur vor, wenn das Labor tatsächlich ausschließlich weisungsgebunden im Auftrag der Praxis handelt – was in der Praxis selten der Fall ist.
Praxistipps
- Bestandsaufnahme: Welche Systeme im Einsatz sind Hochrisiko-relevant?
- Verträge anpassen: Verantwortlichkeiten, Prüfungen, Meldungen und Regressmöglichkeiten klar festlegen.
- Team schulen: KI-Kompetenz ist seit Februar 2025 Pflicht – Nachweise gehören ins QM-Handbuch.
- Dokumentation schlank halten: Logs sichern, Prüf- und Freigabeschritte erfassen
- Datenschutz differenzieren: Zweckbindung beachten, Einwilligungen gezielt einsetzen, Verantwortlichkeiten sauber bestimmen.