Die naheliegendste Frage zuerst: Warum überhaupt darüber reden, wo Daten liegen? Weil der Speicherort allein nicht entscheidet, ob Daten geschützt sind. Entscheidend ist, wer rechtlich Zugriff erzwingen kann — und genau hier wird es für Gesundheitsdaten heikel.
Der CLOUD Act reicht über den Atlantik
Der US-amerikanische CLOUD Act verpflichtet US-Anbieter, auf Anordnung Daten herauszugeben — unabhängig davon, ob diese in Frankfurt, Dublin oder Virginia gespeichert sind. Ein „EU-Rechenzentrum“ eines US-Konzerns ändert daran nichts: Maßgeblich ist, wer das Unternehmen kontrolliert, nicht wo der Server steht.
Schrems II hat den Boden verschoben
2020 hat der Europäische Gerichtshof das „Privacy Shield“ gekippt (Schrems II). Datenübermittlungen in die USA brauchen seither zusätzliche Garantien und eine Einzelfallprüfung. Für besonders sensible Daten — und Gesundheitsdaten sind nach Art. 9 DSGVO genau das — ist diese Hürde hoch.
Was das konkret bedeutet
Für eine Arztpraxis heißt das: Wer KI-Werkzeuge nutzt, die im Hintergrund über US-Clouds laufen, trägt ein Risiko, das sich kaum kontrollieren lässt. Nicht, weil die Technik schlecht wäre — sondern weil die Kontrolle über die Daten faktisch das Haus verlässt.
- Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO).
- Drittlandtransfers (Art. 44 ff. DSGVO) verlangen tragfähige Garantien.
- Der Speicherort ersetzt nicht die Frage nach der rechtlichen Kontrolle.
Unsere Konsequenz
Wir betreiben KI für das Gesundheitswesen in der EU oder direkt on-premise — auf Wunsch mit quelloffenen Modellen, ohne Datenabfluss und ohne Nutzung Ihrer Daten fürs Training. Das ist kein Marketing-Versprechen, sondern eine Engineering-Entscheidung, die wir technisch nachvollziehbar machen.
Souveränität ist für uns kein Add-on. Sie ist der Grund, warum man uns als IT-Partner kannte — und der rote Faden, den wir in die KI mitnehmen.