Interview: Doctolib, Gesundheitsdaten und Forschung per Opt-out

Was geschehen ist – die Kernmeldung

Das Unternehmen Doctolib, bekannt als Plattform für die Online-Terminvereinbarung bei Ärzten, weitet seine Aktivitäten in Frankreich signifikant aus. Das Unternehmen plant, Gesundheitsdaten aus seiner Praxissoftware sowie aus personalisierten Gesundheitsdiensten für umfangreiche Forschungs- und KI-Projekte zu nutzen. Dabei setzt das Unternehmen auf ein sogenanntes Opt-out-Verfahren: Betroffene Patienten müssen der Datenverarbeitung nicht vorab ausdrücklich zustimmen, sondern haben die Möglichkeit, dieser Nutzung aktiv zu widersprechen. Nach offiziellen Angaben von Doctolib beschränken sich die angekündigten Forschungsvorhaben derzeit ausschließlich auf den französischen Markt. Die Projekte sollen am 1. September 2026 starten und zielen unter anderem darauf ab, die Vorhersage medizinischer Risiken mittels Künstlicher Intelligenz zu verbessern sowie die Verlässlichkeit generativer KI-Modelle im Gesundheitswesen zu prüfen. Diese Entwicklung wirft grundsätzliche Fragen zur Sekundärnutzung sensibler Gesundheitsdaten auf, insbesondere im Hinblick auf die Balance zwischen wissenschaftlichem Fortschritt und dem Schutz der informationellen Selbstbestimmung der Patienten. Da Doctolib auch in Deutschland zunehmend als Anbieter von Praxisverwaltungssystemen und KI-gestützten Assistenzfunktionen auftritt, wird in Fachkreisen intensiv darüber diskutiert, ob ein solches Modell auch hierzulande rechtlich denkbar wäre.

Die Einzelheiten der Forschungspläne

Die angekündigten Projekte von Doctolib sind auf dem Forschungsportal des Unternehmens detailliert aufgeführt. Konkret geht es um zwei Vorhaben, die laut Zeitplan zum 1. September 2026 beginnen sollen. Das erste Projekt fokussiert sich auf die Frage, wie KI-Systeme dabei helfen können, medizinische Risiken auf Basis der individuellen Vorgeschichte präziser vorherzusagen und Versorgungspfade effizienter zu koordinieren. Das zweite Projekt widmet sich der Validierung der Verlässlichkeit generativer KI-Modelle im medizinischen Kontext. Als Kooperationspartner nennt Doctolib renommierte Institutionen wie Inria, Inserm sowie das HeKA-Team der Universität Paris Cité. Die Datengrundlage bilden Informationen aus der Praxissoftware, personalisierte Dienste und der sogenannte „Compagnon de santé“, ein digitaler Gesundheitsbegleiter zur Unterstützung der Prävention. Verarbeitet werden dabei Gesundheitsdaten, demografische Informationen sowie Angaben zu Lebensgewohnheiten von erwachsenen Patienten und Nutzern. Die Speicherdauer für die Daten in diesen Forschungsprojekten ist auf fünf Jahre festgesetzt. Doctolib betont, dass der Widerspruch gegen die Datenverarbeitung keine negativen Konsequenzen für die medizinische Versorgung oder die Nutzung der angebotenen Dienste haben soll.

Hintergrund und Entwicklung zur Plattform

Der Weg von Doctolib von einem reinen Terminportal zu einer umfassenden Gesundheitsplattform ist ein zentraler Aspekt der aktuellen Debatte. Gegründet im Jahr 2013, hat das Unternehmen sein Portfolio kontinuierlich erweitert. Heute umfasst die Software-Suite neben der Terminverwaltung auch Videosprechstunden, Funktionen für die Praxisverwaltung, medizinische Dokumentation sowie KI-gestützte Assistenzdienste. Diese Integration macht Doctolib zu einem zentralen Akteur in den Arbeitsabläufen von Arztpraxen. In Frankreich ist das Unternehmen bereits tiefer in die digitale Infrastruktur des Gesundheitswesens integriert als in Deutschland. Während in Deutschland zwar keine staatliche Patientenakte von Doctolib existiert, rückt das Unternehmen durch die Bereitstellung von Praxisverwaltungssystemen, die auch KI-Assistenten für Telefonie und Dokumentation beinhalten, immer näher an die sensiblen Datenströme heran. Die juristische Einordnung dieser Entwicklung ist komplex, da die technische Nähe zu den Prozessen, in denen Gesundheitsdaten entstehen, hohe Anforderungen an die Zweckbindung, die Datenminimierung und die Zugangskontrollen stellt. Die aktuelle Debatte über die Forschungspläne in Frankreich ist somit auch eine Folge der gewachsenen Marktmacht und der technologischen Tiefe, die das Unternehmen mittlerweile erreicht hat.

Die beteiligten Akteure und Institutionen

Die Diskussion um die Forschungspläne von Doctolib wird durch verschiedene Experten und Institutionen begleitet. Dr. Anna Berry, Volljuristin und Forschungsreferentin am Deutschen Forschungsinstitut für öffentliche Verwaltung (FÖV), ordnet die rechtlichen Rahmenbedingungen ein. Sie hat sich in ihrer Dissertation intensiv mit der Sekundärnutzung von Gesundheitsdaten befasst. Auf Seiten der Forschungspartner sind bedeutende französische Institutionen wie Inria, Inserm und das HeKA-Team involviert, die für die wissenschaftliche Ausrichtung der KI-Projekte stehen. Das Unternehmen Doctolib selbst agiert als verantwortliche Stelle, die die Dateninfrastruktur bereitstellt. In Deutschland sind zudem die Aufsichtsbehörden und der Gesetzgeber gefordert, da das Unternehmen hierzulande ebenfalls Praxisverwaltungssysteme vertreibt. Doctolib betont in diesem Zusammenhang, dass für deutsche Nutzer derzeit keine Daten in die französischen Projekte einfließen. Das Unternehmen verweist darauf, dass für bestimmte personalisierte Dienste in Deutschland ohnehin aktive Einwilligungen erforderlich sind und künftige Projekte stets im Einklang mit der DSGVO und dem Bundesdatenschutzgesetz stehen würden.

Einordnung der Rechtslage

Die rechtliche Zulässigkeit einer Datenverarbeitung ohne explizite Einwilligung ist ein zentraler Streitpunkt. Einzuordnen ist das so: Die DSGVO sieht in Artikel 9 Absatz 1 ein grundsätzliches Verbot der Verarbeitung von Gesundheitsdaten vor, nennt in Absatz 2 jedoch Ausnahmen. Für die wissenschaftliche Forschung ist insbesondere Buchstabe j relevant, sofern eine Rechtsgrundlage im Unions- oder Mitgliedstaatenrecht besteht und angemessene Schutzmaßnahmen getroffen werden. Doctolib stützt sich in Frankreich auf ein berechtigtes Interesse gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO sowie auf die französische Referenzmethodologie MR-004. Den Berichten zufolge reicht die bloße Behauptung eines öffentlichen Interesses durch ein Unternehmen jedoch nicht aus, um eine Forschungsbefugnis zu legitimieren. Es bedarf einer Einzelfallprüfung, ob tatsächlich wissenschaftliche Forschung vorliegt und ob die Datenverarbeitung erforderlich ist. Problematisch wäre es, wenn das Forschungsetikett lediglich dazu dienen würde, die Produktentwicklung oder kommerzielle KI-Anwendungen zu erleichtern. Die Zusammenarbeit mit renommierten Forschungseinrichtungen ist dabei ein wichtiges Indiz, ersetzt aber keinesfalls die notwendige rechtliche Kontrolle durch die zuständigen Aufsichtsbehörden.

Offene Fragen und rechtliche Lücken

Der Quelltext lässt einige Fragen offen, die für die Bewertung des Modells entscheidend sind. Zunächst bleibt unklar, wie die praktische Umsetzung des Widerspruchsrechts in der Benutzeroberfläche von Doctolib konkret ausgestaltet wird, um eine informierte Entscheidung der Nutzer zu gewährleisten. Es wird nicht explizit beantwortet, wie die Trennung zwischen der rein kommerziellen Produktentwicklung und der wissenschaftlichen Forschung im Alltag des Unternehmens sichergestellt wird. Zudem bleibt offen, wie die Aufsichtsbehörden die Einhaltung der strengen Voraussetzungen für die Sekundärnutzung nach Artikel 9 DSGVO in der Praxis kontrollieren werden. Eine weitere Lücke betrifft die Frage, ob und wie ein differenzierter Widerspruch – also die Möglichkeit, nur bestimmte Forschungsbereiche abzulehnen – technisch realisiert werden könnte. Auch die Details zur Anonymisierung der Daten nach Abschluss der Forschungsprojekte werden nicht weiter ausgeführt. Es bleibt zudem abzuwarten, wie sich die rechtliche Auslegung der Forschungsklausel in Deutschland im Vergleich zur französischen Praxis konkret entwickeln wird, da hierzu noch keine gefestigte Rechtsprechung für Plattformanbieter vorliegt.

Wie es weitergeht und Ausblick

Die weitere Entwicklung hängt maßgeblich vom Start der Projekte am 1. September 2026 in Frankreich ab. Beobachter werden genau verfolgen, wie Doctolib die angekündigte Transparenz bei der Information der Betroffenen umsetzt und ob das Opt-out-Verfahren tatsächlich als niedrigschwelliges Schutzinstrument wahrgenommen wird. Für Deutschland ist die Situation derzeit stabil, da Doctolib betont, dass deutsche Daten nicht Teil der französischen Projekte sind. Dennoch bleibt die Debatte über eine mögliche Übertragbarkeit des Modells relevant. Sollte das französische Projekt als Blaupause dienen, müssten in Deutschland die Anforderungen des § 27 Bundesdatenschutzgesetz erfüllt werden, der eine Forschungsklausel für die Verarbeitung besonderer Kategorien personenbezogener Daten vorsieht. Dies erfordert, dass die Interessen der Forschung die Interessen der Betroffenen am Ausschluss der Verarbeitung erheblich überwiegen müssen. Zukünftige Projekte in Deutschland müssten laut Doctolib transparent kommuniziert werden und dem Grundsatz der Datensparsamkeit folgen. Die Diskussion um die Balance zwischen Forschungsfreiheit und Datenschutz wird somit ein fortlaufender Prozess bleiben, der durch die Erfahrungen aus den französischen Projekten neue Impulse erhalten dürfte.