Doctolibs KI-Forschung: Warum das Opt-out bei Gesundheitsdaten nicht reicht

Eine Terminplattform wird zum Datenraum für medizinische KI. Doctolib hat in Frankreich im August Forschungsprojekte gestartet, für die Gesundheits- und Versorgungsdaten der Nutzer genutzt werden können, sofern diese nicht widersprechen. Das Vorhaben ist mit öffentlichen Forschungspartnern verbunden und verspricht bessere Versorgung. Gerade deshalb ist es ein interessanter Testfall: Bei sensiblen Daten entscheidet nicht allein, ob Forschung sinnvoll ist. Entscheidend ist, ob Menschen den Zweck, die Reichweite und ihren Ausweg wirklich verstehen.

Das Wichtigste in Kürze

• Doctolib nutzt in Frankreich für zwei KI-Forschungsvorhaben Daten aus seiner Plattform, wenn Betroffene nicht widersprechen.
• Die Projekte sollen Versorgungspfade analysieren und die Zuverlässigkeit generativer Systeme im medizinischen Einsatz untersuchen.
• Pseudonymisierung ist eine wichtige Schutzmaßnahme, aber keine Anonymisierung: Eine Re-Identifizierung bleibt bei vorhandener Zuordnungstabelle grundsätzlich möglich.
• Die französische Datenschutzaufsicht CNIL fordert bei KI-Datennutzung verständliche, leicht zugängliche Information und Zeit für die Ausübung von Rechten.
• Für Deutschland ist der Fall kein unmittelbarer Rechtsfall, aber eine nützliche Warnung vor der bequemen Verwechslung von Widerspruchsmöglichkeit und informierter Entscheidung.

Forschung mit Daten, die schon im System liegen

Nach Angaben von Doctolib arbeitet das Unternehmen mit Inria an klinischen KI-Modellen, die Fachpersonal und Patienten unterstützen sollen. Die Ziele klingen zunächst vernünftig: Versorgung besser koordinieren, Risiken früher erkennen und medizinische KI verlässlicher machen. Auch die Verbraucherorganisation UFC-Que Choisir beschreibt zwei Forschungslinien: eine zur Optimierung von Versorgungspfaden und eine zur Verlässlichkeit generativer Modelle im Gesundheitsbereich. Beteiligte Institutionen sind neben Inria auch Inserm und die Universität Paris-Cité.

Die Datengrundlage ist allerdings nicht bloß abstrakte Nutzungsstatistik. Laut UFC-Que Choisir kann sie Angaben umfassen, die in der Praxissoftware erfasst werden: Vorerkrankungen, Medikamente, Diagnosen, Behandlungsverlauf und Dokumentation. Hinzu kommen Informationen, die Patienten vor einem Termin eingeben, etwa Fragebögen oder Überweisungen. Doctolib verweist darauf, dass die Daten pseudonymisiert werden und die Forschung in einem rechtlichen Rahmen stattfindet. Das ist relevant, aber es beantwortet nicht jede Vertrauensfrage.

Pseudonymisiert ist nicht anonym

Die Begriffe werden im Alltag gern vermischt, obwohl sie verschiedene Risiken beschreiben. Bei anonymisierten Daten soll eine Person nicht mehr bestimmbar sein. Bei pseudonymisierten Daten wird der Name durch eine Kennung ersetzt; wer eine zusätzliche Zuordnung besitzt, kann die Verbindung wiederherstellen. UFC-Que Choisir weist genau auf diesen Unterschied hin. Pseudonymisierung senkt das Risiko und ist bei medizinischer Forschung ein sinnvoller Baustein. Sie macht die Daten aber nicht zu harmlosen Tabellen, bei denen Transparenz und Zugriffskontrolle zweitrangig wären.

Das Gewicht dieser Unterscheidung steigt, sobald Daten aus unterschiedlichen Teilen eines Versorgungsvorgangs zusammenkommen. Ein einzelner Termin sagt wenig. Eine Folge aus Beschwerden, Medikamenten, Diagnosen und Verlauf kann sehr viel über eine Person verraten. Der Nutzen solcher Zusammenhänge ist gerade der Grund, weshalb Forschung sie auswerten möchte. Genau deshalb muss das Widerspruchsrecht ebenso auffindbar und begreifbar sein wie der Forschungsnutzen.

Ein Widerspruchsrecht ist nur so gut wie seine Sichtbarkeit

Die CNIL formuliert den Maßstab klar: Wer Daten für die Entwicklung eines KI-Systems weiterverwendet, muss Betroffene vorab informieren. Die Information soll knapp, transparent, verständlich und leicht zugänglich sein. Bei besonders sensiblen Daten empfiehlt die Behörde zudem einen angemessenen Zeitraum zwischen Information und Training, damit Rechte praktisch ausgeübt werden können. Das ist mehr als eine formale Pflicht. Es ist eine Produktanforderung: Eine Plattform, die ihren Nutzern die Entscheidung über Gesundheitsdaten überlässt, muss diese Entscheidung ohne Datenschutz-Schnitzeljagd ermöglichen.

Doctolib stellt ein Widerspruchsformular bereit. Das ist besser als gar keine Wahl. Doch bei einem Opt-out liegt die aktive Arbeit beim Nutzer: Er muss die Nachricht wahrnehmen, den Zweck einordnen und rechtzeitig handeln. Wer eine Terminplattform vor allem nutzt, weil es schnell gehen soll, wird nicht zwangsläufig jedes Datenschutzmenü studieren. Das ist kein Argument gegen Forschung. Es ist ein Argument dafür, die Standardentscheidung bei besonders schutzbedürftigen Daten nicht als bloßen Nebensatz zu behandeln.

Was Deutschland aus dem französischen Fall lernen kann

Der konkrete Doctolib-Prozess betrifft Frankreich und ist nicht einfach auf Deutschland übertragbar. Gesundheitsdaten unterliegen aber auch hier besonders strengen Regeln. Wer daraus vorschnell ein Urteil über deutsche Dienste ableitet, würde Fakten und Befürchtungen vermischen. Nützlich ist der Fall trotzdem, weil er die richtige Prüffrage schärft: Welche Daten fließen in welches Modell, wer kontrolliert die Zugriffe, wie lange bleiben sie nutzbar und wie leicht ist der Widerspruch?

Die Debatte berührt damit einen Punkt, den wir auch bei der Frage, was ChatGPT über seine Nutzer speichert, sehen: Datenschutz ist nicht erst dann ein Problem, wenn Daten abfließen. Er beginnt mit dem Verständnis dafür, welche Informationen ein Dienst aus dem normalen Gebrauch macht. In der Medizin ist diese Transparenz keine Komfortfunktion, sondern Teil der Behandlungsbeziehung.

Der Fortschritt braucht eine bessere Voreinstellung

Medizinische KI braucht gute Daten, und gute Forschung darf nicht an einem Reflex gegen jede Datennutzung scheitern. Modelle, die Versorgungslücken erkennen oder Ärzte von Routinearbeit entlasten, können einen echten Nutzen stiften. Aber das öffentliche Interesse an Forschung ersetzt nicht die Pflicht, Betroffene als Entscheider ernst zu nehmen. Pseudonymisierung, klare Zweckbindung, unabhängige Kontrolle und ein sichtbarer Widerspruch sind kein Bürokratieaufschlag. Sie sind die Bedingungen, unter denen eine Plattform das Vertrauen bekommt, das sie für medizinische KI benötigt.