Wenn eine Gesundheitssoftware verspricht “Ihre Daten sind verschlüsselt”, sagt sie in Wirklichkeit: wir bewahren sie auf, und wenn jemand auf unsere Server zugreift, braucht er einen Schlüssel, um sie zu lesen. Das Versprechen ist nützlich. Es ist auch schwächer als man denkt.

Für klinische Daten in der psychischen Gesundheit ist der eigentliche Standard — der, den die Logik der ärztlichen Schweigepflicht und der Geist der europäischen Regulierung vorgeben — nicht “gut verschlüsseln”. Er lautet: nicht speichern.

Was “Zero-Retention” konkret bedeutet

Zero-Retention (oder Null-Aufbewahrung) bedeutet, dass eine Software nichts vom klinischen Inhalt, den sie verarbeitet, aufbewahrt:

  • Die Diktat-Audiodatei wird nicht auf Platte geschrieben
  • Die Transkription wird nicht persistiert
  • Die erzeugte Notiz wird nicht auf den Servern gespeichert
  • Nichts erscheint in den Anwendungslogs
  • Nichts bleibt in einem Cache

Konkret: die Daten durchqueren den Arbeitsspeicher während der Verarbeitung (einige Sekunden), die Notiz wird an den Browser des Klinikers zurückgegeben, und alle Spuren werden sofort gelöscht. Wenn der Server am Folgetag beschlagnahmt wird, gibt es nichts zu beschlagnahmen.

Auf Seite der Plattform verbleibt nur, was zum Betrieb des Dienstes nötig ist: die E-Mail des Klinikers, sein Abonnement, aggregierte Nutzungsstatistiken. Kein Patienteninhalt.

Warum es stärker ist als Verschlüsselung

Verschlüsselung schützt gegen einen Angreifer, der den Schlüssel nicht hat. Aber verschlüsselte Daten:

  • Werden in Backups kopiert
  • Liegen in Anwendungslogs, bis diese rotieren
  • Sind Systemadministratoren mit dem Schlüssel zugänglich (oder über einen Master-Key auf demselben Server)
  • Sind verwundbar, wenn der Entschlüsselungsprozess kompromittiert wird
  • Unterliegen gerichtlicher Anforderung

Nicht zu speichern beseitigt all diese Risiken mit einer einzigen Architekturentscheidung. Es gibt nichts zu beschlagnahmen, zu leaken, zu entschlüsseln, zu sichern. Das Risiko ist nicht reduziert, es ist abwesend.

Was DSGVO und Schweizer DSG sagen

Die DSGVO (EU-Datenschutzgrundverordnung) und das Schweizer DSG (revidiertes Datenschutzgesetz, in Kraft seit September 2023) teilen drei Prinzipien, die auf Zero-Retention konvergieren.

Datenminimierung (DSGVO Art. 5.1.c, DSG Art. 6.3). Es wird nur das verarbeitet, was strikt notwendig ist. Für ein Tool, das ein klinisches Diktat in eine Notiz strukturiert, ist die Zweckbindung in dem Moment erfüllt, in dem die Notiz zurückgegeben wird. Jede darüber hinausgehende Aufbewahrung dient keinem legitimen Zweck und ist nicht konform.

Speicherbegrenzung (DSGVO Art. 5.1.e, DSG Art. 6.4). Daten dürfen nicht länger als nötig aufbewahrt werden. “Nicht länger als nötig” kann für ein Transkriptions-Tool null Sekunden nach Erzeugung der Notiz bedeuten.

Datenschutz durch Voreinstellung (DSGVO Art. 25). Der Verantwortliche muss durch Voreinstellung sicherstellen, dass nur notwendige Daten verarbeitet werden. Die Architektur ist eine solche Massnahme. Software, die dafür konzipiert ist, Daten nicht zu persistieren, ist konform durch Konstruktion — nicht durch vertragliche Zusage.

Die ärztliche Schweigepflicht weist in dieselbe Richtung

Die ärztliche Schweigepflicht (Art. 321 des Schweizerischen StGB, § 203 des deutschen StGB) endet nicht an der Praxistür. Sie erstreckt sich auf alle Hilfspersonen des Klinikers — und eine Notiz-Software zählt dazu, sobald sie identifizierende oder klinische Inhalte verarbeitet.

Je mehr ein Auftragsverarbeiter speichert, desto mehr ist er einem Zwischenfall ausgesetzt, der die Schweigepflicht verletzt. Die beste Strategie für einen verantwortungsbewussten Auftragsverarbeiter ist, seine Architektur so zu gestalten, dass er gar nicht in der Lage ist, die Schweigepflicht zu verletzen — auch nicht versehentlich.

Was Zero-Retention nicht löst

Intellektuelle Ehrlichkeit: Zero-Retention löst nicht alles.

  • Der KI-Anbieter (Whisper, Mistral, GPT usw.) verarbeitet die Daten einige Sekunden lang. Er kann Inferenz-Logs gemäss eigener Richtlinien aufbewahren. Sein Auftragsverarbeitungsvertrag (DPA) muss gelesen werden, um zu prüfen, dass Training und längere Aufbewahrung ausgeschlossen sind.
  • Der Browser des Klinikers kann die Notiz im Cache oder Verlauf behalten. Das liegt in der Verantwortung des Klinikers.
  • Technische Metadaten (IP, Zeitstempel, Diktatlänge, Fachrichtung) existieren weiterhin plattformseitig aus betrieblichen Gründen. Das ist kein klinischer Inhalt, aber es existiert.

Zero-Retention bedeutet nicht keine Daten existieren jemals. Es bedeutet kein identifizierbarer klinischer Inhalt wird aufbewahrt.

Was sich in der Praxis für den Kliniker ändert

Drei konkrete Folgen:

Kein langer DPA mit dem Auftragsverarbeiter nötig. Der Auftragsverarbeitungsvertrag bleibt erforderlich, aber sein Inhalt ist einfacher: keine Meldeverfahren bei Datenpannen, keine Rückgabeverfahren, keine Löschungsverfahren — weil es nichts zu leaken, zurückzugeben oder zu löschen gibt.

Das Auskunftsrecht des Patienten wird trivial. Fragt der Patient nach DSGVO Art. 15 / DSG Art. 25, welche Daten der Auftragsverarbeiter über ihn hält: keine. Der Kliniker kann dokumentiert antworten.

Sicherheitsvorfälle sind vom klinischen Inhalt entkoppelt. Eine Kompromittierung des Psydict-Servers (als Beispiel) würde die Liste der abonnierten Kliniker und Nutzungsmetadaten offenlegen. Sie würde nicht ein einziges Wort einer einzigen Notiz eines einzigen Patienten offenlegen.

Praktische Kriterien zur Bewertung eines Tools

Wenn eine Gesundheitssoftware “sicher” oder “DSGVO-konform” anpreist, drei präzise Fragen stellen:

  1. Wird klinischer Inhalt (Audio, Transkription, Notiz) auf Ihren Servern persistiert? Wenn ja, wie lange und wo?
  2. Erscheint er in den Anwendungslogs? Wenn ja, wie ist die Rotationspolitik?
  3. Wer bei Ihnen hat technischen Zugriff auf den Inhalt im Klartext, und unter welchen Umständen?

Die Antworten “verschlüsselt im Ruhezustand” und “verschlüsselt in Übertragung” reichen nicht aus. Sie sagen wie Daten geschützt werden, nicht wie lange sie existieren.

Fazit

Was man speichert, zu verschlüsseln, ist gute Praxis. Nicht zu speichern ist besser. Für ein Tool, das keinen funktionalen Grund hat, die klinischen Notizen, die es produziert, aufzubewahren, ist die Zero-Retention-Architektur kein Sicherheitsluxus — sie ist die logische Folge der Datenminimierung und der ärztlichen Schweigepflicht.

Der Standard für klinische Daten in der psychischen Gesundheit sollte lauten: wenn Sie es in fünf Sekunden nicht brauchen, hätten Sie es nie haben dürfen.