Geprüfte KI-Anwendungen durch den HmbBfDI

KI in der praktischen Anwendung

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat im Berichtsjahr 2024/2025 mehrere KI-gestützte Systeme unter datenschutzrechtlichen Gesichtspunkten begleitet und bewertet. Die Anwendungen betreffen sowohl den öffentlichen Sektor als auch den Gesundheitsbereich und zeigen exemplarisch, welche Herausforderungen mit dem Einsatz lernender Systeme verbunden sind.

1. KI-gestützte Entlassbrief-Erstellung am UKE („ARGO CL“)

Das Universitätsklinikum Hamburg-Eppendorf nutzt mit „ARGO Clinical Letters“ ein KI-Sprachmodell zur automatisierten Erstellung von Arztbriefen. Grundlage des Systems ist ein LLM, das mit pseudonymisierten Behandlungsdaten aus der digitalen Patientenakte des UKE trainiert wurde. Die Datenschutzaufsicht prüft unter anderem:

  • die datenschutzrechtliche Verantwortlichkeit (IDM/UKE),
  • die Zulässigkeit des KI-Trainings auf Basis von Art. 9 Abs. 2 lit. j DSGVO i.V.m. § 12 HmbKHG,
  • die Sicherstellung von Betroffenenrechten und
  • die Qualität der Pseudonymisierung sowie Anonymisierung nach dem Training.

Besonderes Augenmerk gilt der wissenschaftlichen Zielsetzung des Projekts und der Pflicht zur transparenten Information der Betroffenen. Der Abschluss der Prüfung ist für 2025 vorgesehen.

2. „LLMoin“ – KI-Textassistent für die Hamburger Verwaltung

Der KI-Chatbot „LLMoin“, basierend auf GPT-4o, wird zur Textgenerierung und Recherche eingesetzt. Während zunächst keine personenbezogenen Daten verarbeitet werden durften, erlaubt die erweiterte Nutzung inzwischen deren Verarbeitung bei „normalem Schutzbedarf“. Der HmbBfDI bewertet laufend:

  • die Verantwortlichkeitsverteilung zwischen Senatskanzlei und Fachbehörden,
  • die Umsetzung von Betroffenenrechten, insbesondere im Prompting und bei Logdaten,
  • die Notwendigkeit einer Datenschutz-Folgenabschätzung sowie
  • die geplante zentrale Protokollierung und deren mögliche Verstöße gegen das Trennungsprinzip.

Positiv ist die frühzeitige Einbindung der Datenschutzaufsicht. Kritisch bleibt insbesondere die zentrale Speicherung von Logdaten mit möglichen Rückschlüssen auf Nutzerverhalten.

3. Erkennung von Ertrinkenden durch KI im Hamburger Schwimmbad

Im Bille-Bad testet die Stadt Hamburg das System „Lynxight“, das mithilfe maschinellen Lernens Bewegungsmuster erkennt, die auf drohende Ertrinkungsunfälle hinweisen. Der HmbBfDI begleitet den Pilotbetrieb unter besonderer Beachtung:

  • der Zweckbindung und Datenminimierung,
  • der räumlichen Begrenzung der Videoüberwachung,
  • des Verzichts auf Cloud-Speicherung,
  • der Gestaltung der Alarmierung (anonymisiert auf Smartwatch) sowie
  • der datenschutzkonformen Kalibrierung.

Die Systeme sollen ausschließlich präventiv arbeiten und keine dauerhafte Videoauswertung zulassen. Eine kontinuierliche Beratung stellt sicher, dass offene datenschutzrechtliche Fragen eng begleitet werden.

(Foto: tippapatt – stock.adobe.com)

Letztes Update:06.04.25

  • Interessenkollision DSB in Personalunion

    Interessenkonflikte bei DSB in (zusätzlich) leitender Funktion

    Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hat zwei Fälle geprüft, in denen betriebliche Datenschutzbeauftragte gleichzeitig in leitenden Positionen innerhalb ihrer Unternehmen tätig waren. Konkret handelte es sich um Funktionen als Leiter der IT-Abteilung bzw. der Konzernsicherheit. Beide Fälle wurden aufgrund von Beschwerden geprüft und im Rahmen aufsichtsbehördlicher Verfahren behandelt. Rechtlicher Hintergrund Nach Art. 37

    Mehr erfahren
  • Rauchwarnmelder und Datenschutz

    Datenschutzrechtliche Anforderungen an Rauchwarnmelder mit Klima-Monitoring

    Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat berreits Ende 2024 Stellung zu Rauchwarnmeldern mit integrierter Klimaüberwachung bezogen. Diese Geräte erfassen neben Rauchentwicklung auch Raumtemperatur und Luftfeuchtigkeit und übermitteln die Daten an externe Dienstleister, die sie analysieren und den Bewohner*innen beispielsweise Lüftungsempfehlungen geben. Zentrale Datenschutzaspekte: Empfehlungen der LDI NRW: Auch die Sächsische Datenschutz-

    Mehr erfahren
  • Data Act

    Data Act: Neue Anforderungen an Datenzugang und Datenschutz

    Am 12. September 2025 wird der Data Act der Europäischen wirksam. Ziel der Verordnung ist es, den Zugang zu und die Nutzung von Daten, insbesondere aus vernetzten Geräten, zu fördern. Hersteller und Anbieter entsprechender Produkte werden künftig verpflichtet, sowohl nicht-personenbezogene als auch personenbezogene Daten Dritten auf Anforderung bereitzustellen – etwa Nutzenden oder Dienstleistern. Dies betrifft

    Mehr erfahren
WordPress Cookie Hinweis von Real Cookie Banner