ChatGPT schreibt Ihren Arztbrief. Wer trägt die Verantwortung? (Nicht ChatGPT.)
Welche Arztbrief-Software DSGVO und Schweigepflicht besteht und warum ChatGPT in der Kassenpraxis ausscheidet. Mit § 393 SGB V, C5 und Selbsttest.
- 01Patientendaten im privaten ChatGPT-Konto sind eine Offenbarung nach § 203 StGB, schon die Zugriffsmöglichkeit des Anbieters genügt
- 02In der Kassenpraxis scheiden auch ChatGPT Business und Enterprise aus, weil das C5-Testat nach § 393 SGB V fehlt
- 03Eine Arztbrief-Software besteht die Prüfung mit C5-Testat, Verpflichtungserklärung und AV-Vertrag, und das leisten regelmäßig nur Anbieter, die für die Versorgung bauen
- 04Eine Einwilligung der Patienten braucht der Arztbrief in der Regel nicht, für seinen Inhalt haften Sie in jedem Fall selbst
Kurzantwort
Mit Patientendaten nicht im privaten ChatGPT-Konto. Das ist eine Offenbarung nach § 203 StGB, schon die Zugriffsmöglichkeit des Anbieters genügt.
Auch ChatGPT Business und Enterprise scheiden in der Kassenpraxis derzeit aus. Es fehlt das C5-Testat, das § 393 SGB V für Gesundheitsdaten in der Cloud verlangt, und EU-Server und AV-Vertrag ändern daran nichts.
Eine Arztbrief-Software besteht die Prüfung, wenn sie für die Versorgung gebaut ist und C5-Testat und Verpflichtungserklärung vorlegt. Die andere Möglichkeit ist ein Modell im eigenen Praxisnetz. Für den Inhalt des Briefs haften Sie in jedem Fall selbst.
„Schreib mir einen Arztbrief für einen 67-jährigen Patienten mit Erstdiagnose Diabetes mellitus Typ 2, HbA1c 8,3 %, Metformin 1000 mg …“
Dieser Prompt läuft in vielen Praxen, oft auf einem privaten Konto. Hinter ihm steht meist eine größere Frage, nämlich welche Software den Arztbrief schreiben darf, ohne dass Datenschutz und Schweigepflicht reißen. Diese Frage beantwortet der Beitrag.
Woran eine Arztbrief-Software die Prüfung besteht
Ob ein Werkzeug Patientendaten für den Arztbrief verarbeiten darf, entscheidet sich auf drei Ebenen, in dieser Reihenfolge. Die erste wird am häufigsten übersehen.
01 · § 393 SGB V
Darf das in die Cloud?
Eine Kassenpraxis darf Gesundheitsdaten nur in einem Cloud-Dienst verarbeiten, dessen Betreiber ein aktuelles C5-Testat vorweist. Kassenpraxis heißt jede Praxis, die mit den gesetzlichen Krankenkassen abrechnet.
02 · § 203 StGB
Ist jeder verpflichtet?
Wer beim Anbieter oder seinen Subunternehmern auf die Daten zugreifen kann, muss zur Geheimhaltung verpflichtet sein. Dafür zu sorgen, ist Sache der Praxis, und der AV-Vertrag allein belegt es nicht.
03 · DSGVO
Stimmt der Datenschutz?
Auftragsverarbeitungsvertrag, Rechtsgrundlage und Transfer. Eine Einwilligung der Patienten braucht der Arztbrief in der Regel nicht, informieren müssen Sie sie trotzdem.
Für die gängigen Wege ergibt sich daraus diese Einordnung.
Geschlossen
Privates Konto bei ChatGPT, Claude oder Gemini
Kein Auftragsverarbeitungsvertrag, kein C5-Testat, keine Verpflichtung.
In der Kassenpraxis geschlossen
ChatGPT Business oder Enterprise, Claude Team, die API
Der Vertrag regelt den Datenschutz. C5-Testat und Verpflichtungserklärung fehlen, und die europäische Datenregion ändert daran nichts.
Im Einzelfall zu prüfen
Azure OpenAI oder eine Oberfläche wie Langdock
Das C5-Testat muss für die konkret genutzten Dienste und die Region vorliegen, und die Verpflichtung reicht bis zum Support der Plattform.
Gangbar mit Belegen
Arztbrief- oder Dokumentationsprogramm für Praxen
Nur in dieser Klasse legen Anbieter C5-Testat und Verpflichtungserklärung regelmäßig vor, weil sie für diesen Markt bauen. Lassen Sie sich beides zeigen.
Gangbar
Modell auf eigener Hardware im Praxisnetz
Die Daten verlassen die Praxis nicht. Zu verpflichten bleiben das Team und ein externer Dienstleister mit Administratorzugang.
Stand der Anbieterangaben: 21. September 2026. Die Klassen im Detail und die drei Unterlagen, die Sie beim Anbieter anfordern, stehen im Beitrag § 203 StGB trifft Cloud-KI. Die zwölf Fragen an den Anbieter stehen im Anbieterfragebogen.
Selbstauskunft
Trägt Ihr Weg zum Arztbrief?
Drei Angaben genügen, um die eigene Lage einzuordnen. Die Einordnung entsteht in Ihrem Browser; gezählt wird anonym und ohne Kennung nur, welche Kombination gewählt wurde.
Warum ChatGPT an der Schweigepflicht scheitert
Der Prompt liegt zur Verarbeitung im Klartext auf den Servern des Anbieters, auch in europäischen Rechenzentren. Beschäftigte des Anbieters können unter dokumentierten Bedingungen darauf zugreifen, etwa bei Beschwerden oder Sicherheitsvorfällen. Für § 203 StGB genügt diese Möglichkeit, ob tatsächlich jemand liest, spielt keine Rolle. Beim direkten Weg zu OpenAI kommt der Transfer in die USA dazu, weil OpenAI nicht im EU-US Data Privacy Framework gelistet ist.
Den Namen wegzulassen, hilft selten. Alter, Wohnort, Verlauf und eine seltene Diagnose machen einen Fall auch ohne Namen wiedererkennbar, und für die Schweigepflicht zählt die Wiedererkennbarkeit. Ohne jeden Patientenbezug stellt sich die Frage nicht. Um einen Textbaustein zur Therapie bei Diabetes Typ 2 mit Metformin können Sie jeden Assistenten bitten.
Den Brief unterschreiben Sie
Für den Inhalt eines Arztbriefs haften Sie, gleich welches Werkzeug ihn formuliert hat. § 630a Abs. 2 BGB verlangt den Facharztstandard, und ein ungeprüft übernommener Entwurf ist haftungsrechtlich Ihr Brief. Fehlt die Dokumentation der Prüfung, kann das die Beweislast nach § 630h BGB zu Ihren Lasten verschieben. Halten Sie deshalb fest, dass Sie den Entwurf gegen Befund, Labor und Medikationsplan geprüft haben. Mehr im Beitrag zur Haftung bei KI im Gesundheitswesen.
Was der AI Act für den Arztbrief verlangt
ChatGPT ist ein allgemeines Sprachmodell und kein Hochrisiko-System. Solange es formuliert, was Sie inhaltlich vorgeben, bleibt es bei Art. 4 AI Act, also bei Maßnahmen für die KI-Kompetenz Ihres Teams. Leitet ein Werkzeug aus Befunden Diagnosen, Kodierungen oder Therapien ab, ist zuerst zu klären, ob es ein Medizinprodukt ist. Die Betreiberpflichten nach Art. 26 gelten nur für Hochrisiko-Systeme und erst ab Dezember 2027 bzw. August 2028. Wie der Brief mit KI im Ablauf entsteht, vom Entwurf bis zur Freigabe, steht im Anwendungsfall Kann KI Arztbriefe schreiben?
Häufige Fragen
Darf ich als Arzt ChatGPT für Arztbriefe verwenden?
+
Ohne Patientenbezug ja, etwa für einen Textbaustein zur Therapie bei Diabetes Typ 2, der für jeden Fall gleich lautet. Mit Patientendaten nicht im privaten Konto, das ist eine Offenbarung nach § 203 StGB. In der Kassenpraxis scheiden derzeit auch ChatGPT Business und Enterprise aus, weil das C5-Testat nach § 393 SGB V fehlt.
Welche Arztbrief-Software ist DSGVO-konform?
+
Konform ist immer eine konkrete Verarbeitung und nie ein Produkt allein. Für den Arztbrief mit Patientendaten braucht eine Software in der Kassenpraxis ein C5-Testat nach § 393 SGB V, eine vorlegbare Verpflichtungserklärung nach § 203 StGB und einen Auftragsverarbeitungsvertrag. Diese Unterlagen legen regelmäßig nur Anbieter vor, die für die Versorgung bauen. Die Fragen an den Anbieter stehen im Anbieterfragebogen des Auswahlrasters für KI-Dokumentation.
Reicht die Enterprise-Version von ChatGPT mit EU-Servern für die Arztpraxis?
+
In der Kassenpraxis derzeit nicht. Die Enterprise-Fassung hat Auftragsverarbeitungsvertrag, Trainingsausschluss und europäische Datenregion, aber kein C5-Testat, und eine Verpflichtungserklärung nach § 203 StGB lässt sich nicht vorlegen. Der Serverstandort beantwortet nur die Frage nach dem Transfer.
Brauche ich eine Einwilligung der Patienten für KI-gestützte Arztbriefe?
+
In der Regel nicht. Behandlung und Dokumentation stützen sich auf Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG, so sehen es auch Bundesärztekammer und KBV. Bestehen bleiben die Information der Patienten nach Art. 13 DSGVO, ein Auftragsverarbeitungsvertrag und die Verpflichtung nach § 203 StGB. Wird das Gespräch aufgezeichnet, holen Sie wegen § 201 StGB vorher das Einverständnis ein.
Reicht es, die Namen im Prompt wegzulassen?
+
Selten. Eine Pseudonymisierung trägt nur, wenn auch Geburtsdatum, Wohnort, seltene Diagnosen und ungewöhnliche Kombinationen fehlen. Eine 73-jährige Patientin mit seltener Erkrankung in einer Kleinstadt ist auch ohne Namen zu erkennen.
Wer haftet, wenn ChatGPT eine falsche Dosierung in einen Arztbrief schreibt?
+
Sie. § 630a Abs. 2 BGB verlangt den Facharztstandard, und wer ein KI-Ergebnis ungeprüft übernimmt, riskiert ein Organisationsverschulden, das die Beweislast nach § 630h BGB zu Ihren Lasten verschieben kann. Die Nutzungsbedingungen des Anbieters entlasten Sie dabei nicht.
Daniel Kleiboldt
Legal Engineer · Jurist, LL.M., Software Engineer
Berät Praxen, MVZ und Kliniken zu EU AI Act, DSGVO und Haftungsfragen beim KI-Einsatz. Lehrauftrag an der Hochschule Neu-Ulm (HNU).