Datenschutz-Folgenabschätzung

Datenschutz-Folgenabschätzung (DSFA)

System: DUKTUS PRO - Therapeutischer KI-Assistent Version: 1.5 Erstellt am: 2025-12-09 Letzte Aktualisierung: 2025-12-14

1. Verantwortlicher und Datenschutzbeauftragter

1.1 Verantwortlicher

1.2 Datenschutzbeauftragter

2. Beschreibung der Verarbeitung

2.1 Systemübersicht

Systemname: DUKTUS PRO - Therapeutischer KI-Assistent

Systembeschreibung: DUKTUS PRO ist ein KI-gestützter Assistent für approbierte Psychotherapeuten in Deutschland. Das System unterstützt bei:

  • Session Support: KI-gestützte Sitzungsbegleitung mit evidenzbasierten Interventionsvorschlägen
  • Klinische Dokumentation: Automatisierte Erstellung von Therapieberichten, Anträgen (PTV3), Verlaufsdokumentationen
  • Assessment Tools: Standardisierte Fragebögen (PHQ-9, GAD-7, C-SSRS, PCL-5, ISI, AUDITC) mit automatischer Auswertung
  • Memory System: 3-Layer Gedächtnissystem zur Kontexterhaltung über Sitzungen hinweg
  • Evidenzbasis: Integration deutscher S3-Leitlinien (Depression 2022, Angst 2021, PTSD 2019)

Technische Architektur:

  • Frontend: React + TypeScript + Tailwind CSS
  • Backend: Flask + Python
  • Datenbank: PostgreSQL mit pgvector Extension (semantische Suche)
  • KI/ML-Grundlagen:
    • Llama 405B (Diagnostik, komplexe Anfragen)
    • Llama 70B (Dialog, Balance)
    • Llama 8B (Templates, schnelle Antworten)
    • FAISS Vector Index (semantische Gedächtnissuche)
    • SpaCy de_core_news_md (Deutsche NLP)
  • Hosting: AWS eu-central-1 (Frankfurt) - GDPR-konformer EU-Standort
    • ECS Fargate (Container)
    • RDS PostgreSQL (Datenbank)
    • S3 (Dateispeicher)
    • CloudFront (CDN)
    • ALB (Load Balancer)
    • AWS Cognito (Authentifizierung)

2.2 Verarbeitete Datenarten

Datenart Kategorie Rechtsgrundlage Beispiele
Patientenstammdaten Personenbezogen Art. 6(1)(b) Name, Geburtsdatum, Kontakt
Diagnosen (ICD-10) Art. 9 Abs. 1 DSGVO (Gesundheitsdaten) Art. 9(2)(h) + Art. 6(1)(b) F32.1, F41.1
Therapienotizen Art. 9 Abs. 1 DSGVO (Gesundheitsdaten) Art. 9(2)(h) + Art. 6(1)(b) Sitzungsprotokolle, Verlauf
Assessment-Ergebnisse Art. 9 Abs. 1 DSGVO (Gesundheitsdaten) Art. 9(2)(h) + Art. 6(1)(b) PHQ-9 Score, GAD-7 Score
KI-Konversationen Art. 9 Abs. 1 DSGVO (Gesundheitsdaten) Art. 9(2)(h) + Art. 6(1)(b) Chat-Verläufe mit KI
Memory Entries Art. 9 Abs. 1 DSGVO (Gesundheitsdaten) Art. 9(2)(h) + Art. 6(1)(b) Extrahierte klinische Fakten (8 Typen)
Therapeuten-Stammdaten Personenbezogen Art. 6(1)(b) Login, Präferenzen
Zahlungsdaten Personenbezogen Art. 6(1)(b) E-Mail, Subscription-Status (via Stripe)
Audit Logs Technisch Art. 6(1)(c) + Art. 6(1)(f) Zugriffsprotokolle

Memory Entry Typen (8):

  • clinical_fact - Diagnosen, Symptome, Beobachtungen
  • therapeutic_goal - Kurz-/Langfristige Therapieziele
  • intervention - Angewandte Techniken, Übungen
  • preference - Patientenpräferenzen, Kommunikationsstil
  • context - Lebensumstände, Beziehungen, Trigger
  • warning - Risikofaktoren, Krisenindikatoren
  • progress - Fortschrittsdokumentation, Verbesserungen
  • resource - Bewältigungsstrategien, Unterstützungssysteme

2.3 Verarbeitungszwecke

  1. Primärzweck: Unterstützung approbierter Psychotherapeuten bei der Patientenversorgung durch KI-gestützte Werkzeuge für Dokumentation, Assessment und evidenzbasierte Interventionsvorschläge

  2. Sekundärzwecke:

    • Qualitätssicherung der therapeutischen Versorgung
    • Einhaltung gesetzlicher Dokumentationspflichten (§ 630f BGB)
    • Verlaufskontrolle und Outcome-Monitoring (PHQ-9/GAD-7 Trends)

2.4 Betroffene Personengruppen

  • Patienten/Nutzer (primär betroffen - Gesundheitsdaten)
  • Mitarbeiter (Therapeuten als Systemnutzer)
  • Minderjährige (falls in Therapie - besonderer Schutz)
  • Besonders schutzbedürftige Personen (psychisch Erkrankte)

2.5 Empfänger der Daten

Empfänger Zweck Rechtsgrundlage
Therapeut (Anwender) Patientenversorgung Art. 9(2)(h) DSGVO
AWS (Auftragsverarbeiter) Cloud-Infrastruktur (eu-central-1) Art. 28 DSGVO + AVV
IONOS (Auftragsverarbeiter) KI-API-Verarbeitung (Deutsche Server) Art. 28 DSGVO + AVV
Stripe (Auftragsverarbeiter) Zahlungsabwicklung, Subscription Management Art. 28 DSGVO + DPA + SCCs

2.6 Drittlandübermittlung

Kernverarbeitung (Patientendaten):

  • Keine Übermittlung in Drittländer
    • AWS Region: eu-central-1 (Frankfurt, Deutschland)
    • IONOS: Deutsche Server (GDPR-konform)
    • PostgreSQL: Self-hosted auf AWS Frankfurt
    • Alle Gesundheitsdaten verbleiben in der EU

Zahlungsverarbeitung (Stripe):

  • Drittlandübermittlung mit Schutzmaßnahmen

    • Stripe Inc. (USA) als Auftragsverarbeiter

    • Übermittelte Daten: E-Mail-Adresse, Zahlungsmethode, Subscription-Status

    • Keine Gesundheitsdaten an Stripe

    • Rechtsgrundlage: Art. 46 Abs. 2 lit. c DSGVO (Standardvertragsklauseln/SCCs)

    • Stripe DPA: https://stripe.com/legal/dpa

    • Zusätzliche Maßnahmen: Verschlüsselung, PCI-DSS Zertifizierung

2.7 Speicherfristen

Datenart Speicherdauer Löschfrist Grundlage
Therapiedokumentation 10 Jahre Nach Behandlungsende + 10 Jahre § 630f Abs. 3 BGB
Assessment-Ergebnisse 10 Jahre Mit Therapiedokumentation § 630f Abs. 3 BGB
KI-Konversationen 10 Jahre Mit Therapiedokumentation § 630f Abs. 3 BGB
Memory Entries 10 Jahre Mit Therapiedokumentation § 630f Abs. 3 BGB
Audit Logs 10 Jahre Mit Therapiedokumentation Art. 5(2) DSGVO
Therapeuten-Accounts Bis Kündigung + 3 Jahre Nach Vertragsende § 195 BGB
Zahlungsdaten (Stripe) Bis Kündigung + 10 Jahre Nach Vertragsende § 147 AO (Aufbewahrungspflicht)

3. Notwendigkeit und Verhältnismäßigkeit

3.1 Erforderlichkeit der Verarbeitung

Datenart Erforderlichkeit
Patientenstammdaten Erforderlich zur eindeutigen Zuordnung und Dokumentationspflicht
Diagnosen Erforderlich für evidenzbasierte Behandlung und Abrechnung
Therapienotizen Gesetzliche Dokumentationspflicht § 630f BGB
Assessment-Ergebnisse Erforderlich für Verlaufskontrolle und Qualitätssicherung
KI-Konversationen Erforderlich für Kontexterhaltung und Nachvollziehbarkeit
Memory Entries Erforderlich für sitzungsübergreifende Behandlungskontinuität

3.2 Datenminimierung

Implementierte Maßnahmen:

  • Nur zwingend erforderliche Datenfelder werden erhoben
  • Optionale Felder sind klar gekennzeichnet
  • Pseudonymisierung wo möglich (HMAC-SHA256 PID-Transformation)
  • Aggregierung für Analysen (Patient Summaries statt Rohdaten)

Technische Umsetzung:

  • Reversible Anonymisierung
  • 3-Level Anonymisierung: MINIMAL, MODERATE, THOROUGH
  • Multi-tenant Isolation mit HMAC-SHA256
  • Patient Summaries statt vollständiger Rohdaten-Export

3.3 Speicherbegrenzung

Implementierte Maßnahmen:

  • Automatische Löschung nach Ablauf der Speicherfrist (konfigurierbar)
  • Anonymisierung statt Löschung wo erforderlich (für Forschungszwecke)
  • Regelmäßige Überprüfung der Speicherfristen (Audit-System)

Technische Umsetzung:

  • Retention Policies in PostgreSQL
  • GDPR Export Endpoint
  • Audit Logging mit 10-Jahre Retention

3.4 Verhältnismäßigkeitsprüfung

Kriterium Bewertung
Geeignetheit für den Zweck [x] Ja - KI-Unterstützung verbessert Dokumentationsqualität und spart Zeit
Erforderlichkeit (kein milderes Mittel) [x] Ja - Manuelle Dokumentation ist zeitaufwendiger und fehleranfälliger
Angemessenheit (Nutzen > Risiko) [x] Ja - Bei implementierten TOM überwiegt therapeutischer Nutzen

4. Risikobewertung

4.1 Methodik

Risikobewertungsmatrix (STRIDE-basiert):

Eintrittswahrscheinlichkeit Schwere: Gering Schwere: Mittel Schwere: Hoch
Gering Akzeptabel Akzeptabel Maßnahmen
Mittel Akzeptabel Maßnahmen Kritisch
Hoch Maßnahmen Kritisch Nicht akzeptabel

4.2 Identifizierte Risiken

Risiko Wahrscheinlichkeit Schwere Risikostufe Status
Unbefugter Datenzugriff Niedrig Hoch Maßnahmen ✅ Mitigiert
Datenpanne/Datenleck Niedrig Hoch Maßnahmen ✅ Mitigiert
Fehlentscheidung durch KI Mittel Mittel Maßnahmen ✅ Mitigiert
Diskriminierung durch Bias Niedrig Hoch Maßnahmen 🟡 Monitoring
Verlust der Datenintegrität Niedrig Mittel Akzeptabel ✅ Mitigiert
Unzureichende Einwilligung Niedrig Mittel Akzeptabel ✅ Mitigiert
Stigmatisierung bei Bekanntwerden Niedrig Hoch Maßnahmen ✅ Mitigiert
Missbrauch für Versicherungszwecke Niedrig Hoch Maßnahmen ✅ Mitigiert

4.3 Detaillierte Risikobewertung

Risiko 1: Unbefugter Datenzugriff

  • Beschreibung: Unbefugte Personen könnten Zugriff auf Patientendaten erhalten
  • Betroffene Rechte: Vertraulichkeit, informationelle Selbstbestimmung, § 203 StGB
  • Potenzielle Auswirkungen: Verletzung Berufsgeheimnis, Vertrauensverlust, rechtliche Konsequenzen
  • Begründung der Einstufung: Niedrig durch Multi-Layer Security
  • Implementierte Mitigierung:
    • AWS Cognito OAuth2 + JWT Authentifizierung
    • Multi-tenant Isolation (HMAC-SHA256 PID)
    • Rollenbasierte Zugriffskontrolle (RBAC)
    • Audit Logging aller Zugriffe (3-Stream CloudWatch Logging)
    • 16 CloudWatch Security Alarms (inkl. 4 PII Leak Detection)

Risiko 2: Datenpanne/Datenleck

  • Beschreibung: Unbeabsichtigte Offenlegung von Patientendaten
  • Betroffene Rechte: Vertraulichkeit, Recht auf Vergessenwerden
  • Potenzielle Auswirkungen: DSGVO-Bußgelder, Reputationsschaden
  • Begründung der Einstufung: Niedrig durch Verschlüsselung + Anonymisierung
  • Implementierte Mitigierung:
    • Fernet AES-128 Verschlüsselung at rest
    • TLS 1.2+ für alle Übertragungen
    • Reversible Anonymisierung (TherapyAnonymizer)
    • PII Leak Detection (4 CloudWatch Alarms: Email, Namen, Geburtsdaten, Versicherungsnummern)

Risiko 3: Fehlentscheidung durch KI

  • Beschreibung: KI-System könnte fehlerhafte therapeutische Empfehlungen geben
  • Betroffene Rechte: Recht auf menschliche Entscheidung, Patientensicherheit
  • Potenzielle Auswirkungen: Fehlbehandlung, Verschlechterung des Zustands
  • Begründung der Einstufung: Mittel, da KI nur unterstützt, nicht entscheidet
  • Implementierte Mitigierung:
    • Human-in-the-Loop: Therapeut trifft IMMER finale Entscheidung
    • Evidenzbasis: Alle Empfehlungen basieren auf S3-Leitlinien (Depression 2022, Angst 2021, PTSD 2019)
    • Transparenz: KI-Quellen werden angezeigt
    • Krisenprotokolle: Automatische Eskalation bei Suizidrisiko (C-SSRS Integration)
    • Keine Diagnosestellung: System unterstützt nur, diagnostiziert NICHT

Risiko 4: Diskriminierung durch Bias

  • Beschreibung: KI könnte bestimmte Patientengruppen benachteiligen
  • Betroffene Rechte: Gleichbehandlung, Würde
  • Potenzielle Auswirkungen: Ungleiche Behandlungsqualität
  • Begründung der Einstufung: Niedrig, aber kontinuierliches Monitoring erforderlich
  • Implementierte Mitigierung:
    • Deutsche S3-Leitlinien als Evidenzbasis (standardisiert)
    • Multi-Model Architecture (405B/70B/8B) für Diversität
    • Human-in-the-Loop Kontrolle
    • Regelmäßiges Bias-Monitoring (TODO: Formalisieren)

Risiko 5: Stigmatisierung bei Bekanntwerden

  • Beschreibung: Bekanntwerden der Therapie könnte zu sozialer Stigmatisierung führen
  • Betroffene Rechte: Informationelle Selbstbestimmung, Würde
  • Potenzielle Auswirkungen: Diskriminierung, berufliche Nachteile
  • Begründung der Einstufung: Niedrig durch umfassende Sicherheitsmaßnahmen
  • Implementierte Mitigierung:
    • Reversible Anonymisierung (TherapyAnonymizer)
    • Fernet AES-128 Verschlüsselung
    • TLS 1.2+ für alle Übertragungen
    • Keine Drittlandübermittlung
    • PII Leak Detection (4 CloudWatch Alarms)

5. Abhilfemaßnahmen

5.1 Technische Maßnahmen (TOM)

Maßnahme Adressiertes Risiko Status Implementierung
Fernet AES-128 Verschlüsselung at rest Datenpanne, Unbefugter Zugriff [x] Implementiert core/security.py
TLS 1.2+ für alle Übertragungen Datenpanne [x] Implementiert ALB + CloudFront
Reversible Anonymisierung Stigmatisierung [x] Implementiert TherapyAnonymizer.py
Multi-tenant Isolation (HMAC-SHA256) Unbefugter Zugriff [x] Implementiert tenant_db.py
Human-in-the-loop Fehlentscheidung KI [x] Implementiert Therapeut = Entscheider
S3-Leitlinien Integration Fehlentscheidung KI, Bias [x] Implementiert core/enhanced_evidence_prompts.py
AWS Cognito OAuth2 Unzureichende Auth [x] Implementiert auth/ Module
Audit-Logging (3-Stream) Unbefugter Zugriff, Compliance [x] Implementiert CloudWatch Logs
PII Leak Detection (4 Alarms) Datenpanne [x] Implementiert terraform/modules/ecs/alarms.tf
Rate Limiting DDoS, Missbrauch [x] Implementiert Flask Middleware
C-SSRS Krisenprotokoll Patientensicherheit [x] Implementiert Assessment Tools

5.2 Organisatorische Maßnahmen

Maßnahme Adressiertes Risiko Status Dokumentation
Datenschutz-Compliance Skill Alle Risiken [x] Implementiert .claude/skills/datenschutz-compliance-v2/
Software-Security Skill Technische Risiken [x] Implementiert .claude/skills/software-security/
STRIDE Threat Modeling Alle Risiken [x] Implementiert Security Skill
Incident-Response-Plan Datenpanne [x] Dokumentiert Security Skill
CloudWatch Monitoring (16 Alarms) Alle Risiken [x] Implementiert terraform/modules/ecs/alarms.tf

5.3 Restrisiken nach Maßnahmen

Risiko Ursprüngliche Stufe Nach Maßnahmen Akzeptabel?
Unbefugter Datenzugriff Kritisch Niedrig [x] Ja
Datenpanne Maßnahmen erforderlich Niedrig [x] Ja
Fehlentscheidung KI Maßnahmen erforderlich Niedrig [x] Ja (Human-in-loop)
Diskriminierung Bias Maßnahmen erforderlich Niedrig [x] Ja (mit Monitoring)
Stigmatisierung Maßnahmen erforderlich Niedrig [x] Ja

6. Konsultation der Aufsichtsbehörde

6.1 Erforderlichkeit

  • Restrisiken sind akzeptabel → Keine Konsultation erforderlich
  • Hohes Restrisiko besteht → Konsultation gemäß Art. 36 DSGVO erforderlich

Begründung: Nach Implementierung aller TOM sind die Restrisiken auf ein akzeptables Niveau reduziert. Die Verarbeitung erfolgt im Rahmen der Behandlung durch approbierte Psychotherapeuten (Art. 9(2)(h) DSGVO - Behandlung im Gesundheitsbereich).

6.2 Konsultationsergebnis (falls durchgeführt)

Nicht erforderlich.

7. Stellungnahme des Datenschutzbeauftragten

DSB-Stellungnahme vom: [AUSSTEHEND]

[Stellungnahme des DSB zur DSFA]

Empfehlungen des DSB:

  1. [Ausstehend]
  2. [Ausstehend]

8. Freigabe und Überprüfung

8.1 Freigabe

Rolle Name Datum Unterschrift
Verantwortlicher Joshua Quattek
DSB [Zu benennen]
IT-Sicherheit Joshua Quattek

8.2 Überprüfungsplan

  • Nächste reguläre Überprüfung: 2026-12-09 (jährlich)
  • Anlassbezogene Überprüfung bei:
    • Wesentlichen Änderungen am System
    • Neuen Verarbeitungszwecken
    • Sicherheitsvorfällen
    • Gesetzesänderungen (insb. EU AI Act)

Anhang

A. Dokumentenhistorie

Version Datum Änderung Autor
1.0 2025-12-09 Ersterstellung (Template) Claude AI
1.1 2025-12-09 Befüllung mit Codebase-Daten Claude AI
1.2 2025-12-14 Stripe als Auftragsverarbeiter hinzugefügt, Drittlandübermittlung dokumentiert Claude AI
1.3 2025-12-14 AWS GDPR DPA dokumentiert (gilt automatisch via Service Terms) Claude AI
1.4 2025-12-14 IONOS AVV dokumentiert (automatisch via AGB seit 19.07.2022), alle AVVs vollständig Claude AI
1.5 2025-12-14 Verantwortlicher-Adresse ergänzt, AGB referenziert Claude AI

B. Referenzierte Dokumente

  • Allgemeine Geschäftsbedingungen (AGB)
  • Verarbeitungsverzeichnis (VVT)
  • Technisch-organisatorische Maßnahmen (TOM)
  • Auftragsverarbeitungsverträge (AVV):
    • AWS GDPR DPA - Gilt automatisch via AWS Service Terms
    • IONOS AVV - Gilt automatisch via IONOS AGB (seit 19.07.2022)
    • Stripe DPA - https://stripe.com/legal/dpa (automatisch akzeptiert bei Nutzung)
  • Einwilligungstexte
  • Datenschutzerklärung

C. Technische Referenzen aus Codebase

Komponente Datei Funktion
Anonymisierung TherapyAnonymizer.py Reversible GDPR-Anonymisierung (1.616 Zeilen)
Multi-tenant Security tenant_db.py HMAC-SHA256 PID Isolation
Audit Logging terraform/modules/ecs/logging.tf 3-Stream CloudWatch Logs
PII Detection terraform/modules/ecs/alarms.tf 4 PII Leak Alarms
Evidence Base core/enhanced_evidence_prompts.py S3-Leitlinien Integration (889 Zeilen)
Memory System core/memory_extractor.py 8 Memory Types
Authentication AWS Cognito OAuth2 + JWT
Encryption core/security.py Fernet AES-128
Security Alarms terraform/modules/ecs/alarms.tf 16 CloudWatch Alarms
Dashboard terraform/modules/ecs/dashboard.tf Operations Dashboard

D. Assessment Tools (Implementiert)

Tool Zweck Deutsche Validierung
PHQ-9 Depression Screening Löwe et al. 2002
GAD-7 Angst Screening Löwe et al. 2008
C-SSRS Suizidrisiko Assessment DGPPN 2023
PCL-5 PTSD Screening Deutsche Version verfügbar
ISI Insomnie Screening Deutsche Version verfügbar
AUDITC Alkohol Screening Deutsche Version verfügbar
ORS Outcome Rating Scale Deutsche Version verfügbar
SRS Session Rating Scale Deutsche Version verfügbar

E. Enhanced Templates (11 Stück)

  1. verlaufsdokumentation_enhanced - Fortschrittsdokumentation
  2. risikobewertung_enhanced - Risikobewertung
  3. sitzungsprotokoll_enhanced - Sitzungsprotokoll
  4. therapieplan_enhanced - SMART Goals Therapieplanung
  5. krisenintervention - Kriseninterventionsplan
  6. abschlussbericht - Therapie-Abschlussbericht
  7. anamnese_enhanced - Erweiterte Anamnese
  8. ptv3_antrag_kurzzeittherapie - PTV3 Kassenantrag
  9. psychotherapie_verlaufsbericht - Therapie-Verlaufsbericht
  10. befundbericht - Klinischer Befundbericht
  11. supervisionsbericht - Supervisionsbericht

F. Compliance-Frameworks

Framework Status Implementierung
DSGVO Art. 9 (Gesundheitsdaten) ✅ Vollständig
DSGVO Art. 25 (Privacy by Design) ✅ TherapyAnonymizer
DSGVO Art. 28 (Auftragsverarbeitung) ✅ AWS ✅, IONOS ✅, Stripe ✅
DSGVO Art. 32 (TOM) ✅ Vollständig
DSGVO Art. 35 (DSFA) ✅ Dieses Dokument
DSGVO Art. 46 (Drittlandübermittlung) ✅ Stripe mit SCCs
EU AI Act (High-Risk) 🟡 Vorbereitet
PCI-DSS (Zahlungsdaten) ✅ Via Stripe (Level 1 Service Provider)
§ 203 StGB (Berufsgeheimnis) ✅ Encryption + Auth
§ 630f BGB (Dokumentationspflicht) ✅ 10-Jahre Retention
NIS2 (Cybersecurity) ✅ CloudWatch Monitoring

Kontakt für Datenschutzfragen: duktus.datenschutz@posteo.de