Sensible Dokumente anonymisieren – KI erkennt, ein Mensch entscheidet.
Direkte und indirekte Identifikatoren erkennen, menschlich prüfen und dauerhaft entfernen, bevor weitere Systeme oder KI die Daten verarbeiten. Für Gutachten, Patientenakten, Versicherungsakten, Behördenunterlagen und Auskunftsersuchen nach Artikel 15 DSGVO.
Aktuell begrenzte Pilotplätze mit Festpreis und gemeinsamer Auswertung.
- Was wir machen
- Wenn Sie Unterlagen an Dritte herausgeben müssen – an Gutachter, Versicherung, Anwalt oder an den Patienten selbst – entfernen wir vorher alles, was fremde Personen erkennbar macht. Nicht mit einem schwarzen Balken, der sich wieder wegklicken lässt, sondern dauerhaft.
- Warum das wichtig ist
- Ein schwarzer Balken im PDF verdeckt den Namen nur optisch. Wer den Text markiert und kopiert, liest ihn wieder. Genau daraus entstehen Datenschutzverstöße, die später gemeldet werden müssen.
- Was Sie tun müssen
- Sie schicken uns die Unterlagen, wir bearbeiten sie und Sie erhalten eine fertige Kopie plus ein Protokoll, das belegt, wer geprüft und freigegeben hat. Ab 39 € im Monat, monatlich kündbar.
Das Problem
Erstens: schwarze Balken, die nichts entfernen. Ein Rechteck über einem Namen in einem PDF verdeckt ihn optisch. Der Text liegt weiterhin darunter und ist mit Kopieren-Einfügen oder einem Textextraktor auslesbar. Ebenso überleben alte OCR-Ebenen, eingebettete Dateien, Kommentare und Metadaten.
Zweitens: nur an Namen gedacht. Ein Dokument ohne Namen ist nicht anonym. Ein 45-jähriger Bürgermeister einer kleinen Gemeinde, der an einem bestimmten Tag wegen einer seltenen Erkrankung behandelt wurde, ist identifizierbar – auch wenn kein Name mehr im Dokument steht. Solche Merkmalskombinationen sind der häufigste Grund, warum Anonymisierung scheitert.
Drittens: kein Nachweis. Wenn eine Aufsichtsbehörde oder ein Gericht fragt, wie und von wem geprüft wurde, gibt es meistens keine Antwort. Bei manueller Schwärzung von 800 Seiten ist auch nachträglich nicht rekonstruierbar, was übersehen wurde.
Die Verarbeitungskette
Alle Schritte laufen in einer geschützten Zone – mit menschlicher Freigabe als festem Bestandteil, nicht als Option.
- 01Eingang des Originaldokuments in die geschützte Verarbeitungszone: lokal bei Ihnen oder dediziert in der EU
- 02Prüfung auf Schadsoftware und Klassifikation des Dokuments
- 03Texterkennung sowie Layout- und Tabellenerkennung
- 04Erkennung personenbezogener, gesundheitsbezogener und medizinischer Angaben
- 05Unterscheidung von direkten Identifikatoren, indirekten Identifikatoren und Merkmalskombinationen
- 06Bewertung des Re-Identifikationsrisikos
- 07Vorschlag je Fund: entfernen, schwärzen oder verallgemeinern – jeweils mit Sicherheitswert
- 08Menschliche Prüfung und Freigabe; bei Daten nach Artikel 9 DSGVO im Vier-Augen-Prinzip
- 09Irreversible Umsetzung: alte Textebenen, OCR-Ebenen, eingebettete Objekte, Kommentare und Metadaten entfernen, Dokument neu erstellen
- 10Zweiter Kontrolldurchlauf und technische Validierung
- 11Ausgabe: finale Arbeitskopie, Prüfprotokoll und Audit-Eintrag
Verallgemeinern statt nur schwärzen
Ein vollständig geschwärztes Dokument ist sicher – und fachlich oft wertlos. Deshalb entscheiden wir je Fund, welche Stufe angemessen ist.
| Im Original | Im Ergebnis | Warum |
|---|---|---|
| 12.03.1975 | Jahrgang 1975 | Alter ist fachlich relevant, der Tag nicht |
| 12.03.1975 | Altersgruppe 50–55 Jahre | bei seltener Diagnose wäre der Jahrgang zu identifizierend |
| 44805 Bochum | Nordrhein-Westfalen | Region genügt für die fachliche Aussage |
| 14.03.2026 | März 2026 | Verlauf bleibt nachvollziehbar |
| Bürgermeister | öffentliches Amt | Beruf wäre identifizierend |
| Klinikum Bochum-Mitte | Klinik der Maximalversorgung, NRW | Einrichtung wäre identifizierend |
Ziel: so viel fachlichen Informationswert erhalten wie möglich, Re-Identifikationswege so weit beseitigen wie erforderlich – und jede Entscheidung begründet protokollieren.
Keine Rückidentifizierung
Für Anonymisierungsprofile gilt ausdrücklich:
- keine Zuordnungstabelle
- kein Rückidentifizierungsschlüssel
- keine versteckte Fall-ID zur Wiederherstellung der Person
- keine gemeinsame Speicherung von Original und Zuordnung
- keine nachgelagerte Speicherung ursprünglicher Identifikatoren
- Original und Arbeitskopie in getrennten Zonen mit getrennten Berechtigungen
Das Original wird nach der vereinbarten Frist gelöscht, mit Löschprotokoll. Wenn Sie eine spätere Zuordnung brauchen – etwa für eine Studie mit Nachbeobachtung – ist das ein anderes Verfahren: Pseudonymisierung mit getrennt verwahrtem Schlüssel. Das wählen Sie ausdrücklich, es ist nie die Voreinstellung.
Auch bei schlechten Vorlagen
Medizinische Akten sind selten saubere PDFs. Wir sind auf das Gegenteil ausgelegt:
- alte Scans
- Faxqualität
- 200-dpi-Vorlagen
- schiefe Seiten und Schatten
- beschädigte Dokumente
- handschriftliche Vermerke
- Stempel und Unterschriften
- Tabellen und Formulare
- Arztbriefe
- Großakten mit mehreren tausend Seiten
- unterschiedliche Schriftarten
- fremdsprachige Passagen
- Bilder innerhalb von PDFs
Sicherheitswert steuert das Vorgehen
| Sicherheitswert | Vorgehen |
|---|---|
| ab 99 % | automatisch vormarkiert, 5 % Stichprobe im Review |
| 90 – 99 % | vormarkiert, Sichtprüfung der Seite ist Pflicht |
| 75 – 90 % | markiert mit Warnung, Pflichtprüfung, Seite als unsicher gekennzeichnet |
| unter 75 % | keine Automatik, vollständige manuelle Sichtung |
Liegen mehr als 15 % der Seiten unter 75 %, melden wir das vor der Bearbeitung zurück – mit Empfehlung für einen erneuten Scan.
Menschliche Prüfung ist Teil des Produkts
KI findet. Mensch entscheidet. System dokumentiert. Die KI erkennt, strukturiert, bewertet technische Wahrscheinlichkeiten, schlägt vor und priorisiert. Der Mensch prüft, korrigiert, entscheidet und gibt frei. Das System protokolliert, validiert und dokumentiert.
Bei besonderen Kategorien nach Artikel 9 DSGVO und bei als „hoch" bewertetem Re-Identifikationsrisiko gilt das Vier-Augen-Prinzip: ein zweiter Prüfer muss freigeben.
Wir bieten bewusst keine vollautomatische Anonymisierung an. Der kritische Fehler ist nicht der Fund, den die KI zu viel markiert – sondern der, den sie übersieht. Diesen Fehler kann nur ein Mensch abfangen.
Sicherheit und Nachweis
Protokolliert wird je Dokument: Benutzer, Zeitpunkt, Datenklassifikation, verwendete Erkennungsstufen, erkannte Identifikatoren, jede Entscheidung und Korrektur, Prüfer, Freigabe, Export und Löschung.
- Verschlüsselung bei Übertragung und Speicherung
- rollenbasierte Zugriffe, Reviewer sehen nur zugewiesene Dokumente
- unveränderliches Audit-Protokoll
- Schadsoftware-Prüfung beim Eingang
- getrennte Zonen für Original und Ergebnis
- Löschprotokoll
- Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO
- Verschwiegenheitsverpflichtung nach § 203 Absatz 3 StGB
- kein Training allgemeiner KI-Modelle mit Ihren Dokumenten
Betriebsmodelle
| Modell | Für wen | Wie |
|---|---|---|
| Managed Redaction | Einrichtungen ohne eigene IT-Kapazität | Sie übergeben die Dokumente, wir verarbeiten in definierter Infrastruktur, prüfen, geben frei und liefern zurück |
| Private Redaction | eigene private Umgebung vorhanden | Software läuft in Ihrer Umgebung, Prüfung durch Ihr Team oder durch uns |
| On-Premises | höchste Anforderungen, § 203 StGB, Art.-9-Daten | vollständig in Ihrem Netzwerk, kein Datenausgang |
| API | Integration in PVS, KIS oder DMS | Anbindung an Ihr Fachsystem (in Entwicklung) |
| Enterprise | Konzern, Klinikverbund, Versicherung | dedizierte Infrastruktur, Anmeldung über Entra ID, Rollen, Audit-Export, Service-Level (in Entwicklung) |
Zielgruppen und Anwendungsfälle
- Gutachteninstitute: Gutachten für Auftraggeber schwärzen
- Versicherungen und Sozialversicherungsträger: Leistungsakten, Regressvorgänge
- Kliniken und MVZ: Auskunftsersuchen, Forschungsdaten, Qualitätssicherung
- Behörden und öffentlicher Gesundheitsdienst: Akteneinsicht, Beschwerdeverfahren
- Kanzleien: Akteneinsicht, Drittinformationen
- Arztpraxen: Auskunftsersuchen nach Artikel 15 DSGVO
Was Sie pro Auftrag erhalten
- die anonymisierte Arbeitskopie
- ein Prüfprotokoll mit allen Entscheidungen und Begründungen
- eine Bewertung des verbleibenden Re-Identifikationsrisikos
- einen Audit-Eintrag mit Prüfer, Datum und Freigabe
- ein Löschprotokoll für das Original
Preise: monatlich, gestaffelt nach Seitenzahl
Sie zahlen einen festen Monatsbeitrag mit einem enthaltenen Seitenkontingent. Damit wissen Sie vorher, was es kostet. Monatlich kündbar, für Praxen ohne Einrichtungsgebühr.
Praxis S
39 € / Monat
netto, monatlich kündbar
Einzelpraxis mit gelegentlichen Auskunftsersuchen und Kopien für Dritte (etwa 1 – 2 Vorgänge im Monat).
- 25 Seiten im Monat enthalten
- weitere Seiten 1,20 € netto
- menschliche Prüfung und Freigabe inklusive
- Prüfprotokoll je Auftrag
Praxis M
89 € / Monat
netto, monatlich kündbar
Gemeinschaftspraxis oder Praxis mit regelmäßigen Gutachten-, Versicherungs- und Auskunftsvorgängen.
- 75 Seiten im Monat enthalten
- weitere Seiten 0,95 € netto
- nicht genutzte Seiten 3 Monate übertragbar
- Vier-Augen-Prüfung bei Gesundheitsdaten
MVZ / Klinik L
249 € / Monat
netto, 12 Monate
MVZ, Klinik, Gutachteninstitut oder Versicherung mit laufendem Aktenvolumen.
- 250 Seiten im Monat enthalten
- weitere Seiten 0,70 € netto
- mehrere Standorte und Nutzer
- Audit-Export für Ihre Nachweise
Ohne Abo: 1,90 € netto je Seite, Mindestauftrag 95 € netto. Große Akten ab 1.000 Seiten und Anbindung an PVS, KIS oder DMS rechnen wir als Festpreis-Angebot. Aufpreis bei überwiegend schlechter Vorlagenqualität nur nach Rückmeldung und Ihrer Zustimmung – nie ohne Ankündigung. Alle Preise netto zzgl. USt.
Rechnet sich das für eine Praxis?
Rechenbeispiel, keine Garantie. Angenommen, eine Mitarbeiterin schwärzt eine 60-seitige Akte von Hand und schafft dabei rund 15 Seiten in der Stunde. Das sind vier Arbeitsstunden, die in dieser Zeit nicht für Patienten zur Verfügung stehen. Setzen Sie Ihren eigenen Stundensatz ein und vergleichen Sie das mit 60 Seiten im Paket Praxis M.
Der zweite Punkt ist nicht in Stunden messbar: Bei Handschwärzung haben Sie kein Protokoll darüber, was geprüft wurde. Wenn eine Aufsichtsbehörde nachfragt, ist genau das die Frage, die gestellt wird.
FAQ
Häufig gestellte Fragen.
- Ist ein von Ihnen bearbeitetes Dokument anonym?
- Ob ein Dokument als anonym gilt, hängt vom Datensatz und vom Empfängerkontext ab. Der Europäische Gerichtshof hat in der Entscheidung C-413/23 P vom 04.09.2025 klargestellt, dass die Beurteilung relativ zum Empfänger erfolgt – entscheidend ist, ob eine Re-Identifizierung mit den dort verfügbaren Mitteln vernünftigerweise wahrscheinlich ist. Wir sagen deshalb nicht „das ist anonym", sondern dokumentieren pro Auftrag das Verfahren, die Entscheidungen und das verbleibende Risiko.
- Kann die Schwärzung rückgängig gemacht werden?
- Bei Anonymisierungsprofilen nicht. Es gibt keine Zuordnungstabelle und keinen Schlüssel. Wenn Sie eine Rückzuordnung brauchen, ist das ein anderes Verfahren, das Sie ausdrücklich wählen.
- Verlassen unsere Daten die EU?
- Nein. Die Verarbeitung erfolgt lokal bei Ihnen oder in dedizierter EU-Infrastruktur. Bei On-Premises-Betrieb verlässt kein Dokument Ihr Netzwerk.
- Werden unsere Dokumente zum Training verwendet?
- Nein. Ihre Dokumente werden nicht zum Training allgemeiner Modelle verwendet. Eine Verbesserung unserer Erkennung anhand Ihrer Daten erfolgt nur, wenn Sie das separat und schriftlich vereinbaren.
- Wie lange dauert eine Akte mit 800 Seiten?
- Die maschinelle Verarbeitung dauert Minuten. Der Zeitbedarf entsteht in der menschlichen Prüfung: je nach Vorlagenqualität rechnen wir mit 80 bis 150 Seiten pro Stunde. Für 800 Seiten sind das typischerweise ein bis zwei Arbeitstage inklusive Freigabe.
- Können Sie handschriftliche Vermerke lesen?
- Teilweise. Handschrift erreicht selten hohe Sicherheitswerte und landet daher planmäßig in der manuellen Sichtung. Wir behandeln sie als Prüffall, nicht als Automatikfall.
- Wer darf unsere Dokumente sehen?
- Nur namentlich benannte Prüfer mit Zugriff auf genau Ihre Vorgänge, alle schriftlich zur Verschwiegenheit verpflichtet. Jeder Zugriff ist protokolliert und Ihnen gegenüber nachweisbar.
Passende Leistungen
Unverbindliches Erstgespräch
Wir schauen uns Ihre Ausgangslage an und sagen offen, welcher Schritt bei Ihnen als Erstes sinnvoll ist – und welcher nicht.
daviddoermann@datenschutz-gesund.de
Hinweis: Wir leisten datenschutzfachliche, technische und organisatorische Unterstützung, Dokumentation, Prüfung und Schulung – keine Rechtsberatung im Einzelfall. Die abschließende Bewertung und Verantwortung verbleiben beim Auftraggeber.