Die Online-Plattform Doctolib wird von vielen Ärzten für Terminvereinbarungen verwendet. Der Anbieter kommt aus Frankreich und nutzt seit dem 1. August 2026 die Daten von 50 Millionen Franzosen, um ein KI-Projekt zu trainieren. In Frankreich fließen Rezepte, Konsultationsnotizen etc. in das Training ein. In Deutschland hatte ich bereits 2025 über diese Praxis berichtet.
Wer ist Doctolib?
Doctolib SAS ist ein französisches Technologieunternehmen mit Sitz in Paris, das eine Software anbietet, die unter anderem die Online-Buchung von Terminen bei Ärzten, das Terminmanagement in Praxen und Gesundheitseinrichtungen sowie telemedizinische Videosprechstunden und die Kommunikation zwischen Ärzten und Patienten ermöglicht.
Die Software kam zudem in Berlin und Frankreich bei der Koordination von Terminen für Impfungen gegen COVID-19 zum Einsatz. Die Doctolib GmbH (Sitz: Berlin), ein Tochterunternehmen der Doctolib SAS, ist in Deutschland für die E-Health-Angebote des Unternehmens verantwortlich.
Lange Liste von Datenschutzverstößen und Kritik
Mir ist die Plattform vor allem durch Datenschutzverstöße und Kritik von Datenschützern bekannt. Im Oktober 2018 beschwerten sich (laut Wikipedia) einige französische Ärztevertreter, weil die Namen einiger Kollegen angezeigt würden, obgleich diese Doctolib nicht mehr einsetzen würden. Patienten seien zu Ärzten umgeleitet worden, die mit Doctolib arbeiteten.
Ende Dezember 2020 wurde auf dem Chaos Communication Congress bekannt, dass bei Doctolib Daten gehackt worden seien. Es habe sich nicht um Patientendaten gehandelt, sondern um Metadaten. Doch auch Name, Adresse und Fachrichtung einer Praxis sowie Patientenname, -alter und -geschlecht könnten missbräuchlich verwendet werden.
2021 erhielt das Unternehmen den Big Brother Award, weil es nach Ansicht des Vereins Digitalcourage die Vertraulichkeitspflicht missachte und Daten von Nutzern und Patienten aus Arztpraxen für Marketingzwecke nutze. Bis zum 21. Juni 2021 hat Doctolib Daten (z. B. Suchbegriffe) an Facebook und Outbrain weitergegeben. Nach bekannt werden teilte Doctolib mit, es habe alle Marketing-Cookies entfernt. Es unterstrich, dass keine Informationen zu gebuchten Terminen und keine Dokumente, Videokonsultationen oder andere medizinische Daten weitergegeben worden seien
KI-Training mit den Patientendaten in Deutschland
Im Februar 2025 wurde ich aus der Ärzteschaft darauf hingewiesen, dass der deutsche Ableger von Doctolib Daten, die Patienten auf der Plattform eingeben, zum KI-Training verwenden will. Ich hatte im Beitrag Doctolib will Patientendaten für KI-Training nutzen auf den Sachverhalt und den Umstand, dass Doctolib seine Datenschutzhinweise angepasst hat, hingewiesen. Das Unternehmen plant, anonymisierte Patientendaten zu verwenden, um KI-Modelle zu trainieren, die unter anderem bei der Auswertung von Video-Sprechstunden und der Erstellung von Arztbriefen helfen sollen. Dies betrifft alle Personen, die der Nutzung zustimmen. Als Patient kann man also im Benutzerprofil ein Opt-out für das KI-Training vornehmen.
Jetzt auch KI-Training mit Patientendaten in Frankreich
Ich bin zum Wochenende in nachfolgendem Tweet auf den Sachverhalt gestoßen. Sébastien ist Vorsitzender des französischen Datenschutzverbands und Gründer
des Kanals @FrenchBreaches.
In den Privacy Settings der Plattform lässt sich der "Ausleitung der Daten zu Forschungszwecken" aber widersprechen.
Ähnliche Artikel:
Doctolib will Patientendaten für KI-Training nutzen
Doctolib, allgegenwärtig und immer für Ärger gut, neues Urteil wegen Irreführung
Datenpetze: Doctolib reicht deine Daten an Facebook und Outbrain weiter
MVP: 2013 – 2016
Für uns Patientinnen ist doctolib ein Terminbuchungssystem. Falls ich das nicht falsch verstehe und andere darin einen weiteren Nutzen sehen. Für die Terminvergabe ist sollte sich jede Speicherung von persönlichen Daten verbieten, wenn es über eine namentliche Kennung hinaus geht. Es gibt keinen Anlass die Daten über den Zweck nach dem Termin in dem Terminbuchungssystem weiterhin vorzuhalten.
Wenn doctolib dem Arzt und der Ärztin weitere Werkzeuge zur Praxisverwaltung bereitstellt, dann müssen diese nach meinem Verständnis der Datenminimierungsvorgabe der DSGVO außerhalb und getrennt davon betrieben werden. Eine Einsicht jeglicher Termin- und Gesundheits- oder anderer persönlicher Daten durch den Hersteller ist absolut nicht begründbar.
Ich empfinde das als völlig unverständlich warum die EU bei derart sensiblen Daten und einem derart großen Anbieter nicht massiv einschreitet und das Geschäftsmodell unterbindet.