KI in der Arztpraxis: Der vollständige Leitfaden zu Recht, Datenschutz und Compliance

Vom Telefon bis zum Arztbrief gibt es für fast jede Aufgabe inzwischen ein Werkzeug. Dieser Leitfaden sagt, was beim Datenschutz für alle gilt, wofür Praxen KI einsetzen, was der EU AI Act verlangt und wie Sie anfangen.

Was beim Datenschutz für jedes KI-Werkzeug gilt

Sechs Punkte, die bei jedem Werkzeug gleich sind, ob es am Telefon abnimmt, im Sprechzimmer mitschreibt oder den Arztbrief entwirft.

1. Rechtsgrundlage ohne Einwilligung

Behandlung und Dokumentation stützen sich auf Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG. Bundesärztekammer und KBV halten fest, dass es insoweit keiner zusätzlichen Einwilligung bedarf. Ein Einverständnis holen Sie ein, wenn ein Gespräch aufgezeichnet wird, weil daneben § 201 StGB steht, oder wenn der Anbieter Daten für eigene Zwecke wie das Training nutzen will.

2. Auftragsverarbeitungsvertrag

Mit jedem Anbieter, der Patientendaten verarbeitet, nach Art. 28 DSGVO. Achten Sie auf die Liste der Unterauftragnehmer, den Ort der Verarbeitung und darauf, dass der Anbieter die Daten nicht für eigenes Training nutzt.

3. Verpflichtung nach § 203 StGB

Wer beim Anbieter oder seinen Subunternehmern auf die Daten zugreifen kann, muss zur Geheimhaltung verpflichtet sein (§ 203 Abs. 4 StGB). Dafür zu sorgen, ist Sache der Praxis, und der AV-Vertrag belegt es nicht. Welche Unterlagen Sie anfordern, samt Mustererklärung, steht im Beitrag § 203 StGB trifft Cloud-KI.

4. C5-Testat in der Kassenpraxis

Wer mit den gesetzlichen Krankenkassen abrechnet, darf Gesundheitsdaten nur in einem Cloud-Dienst verarbeiten, dessen Betreiber ein aktuelles C5-Testat vorweist (§ 393 SGB V). Ein Server in Deutschland ersetzt es nicht. Diese Ebene kommt vor dem Strafrecht und vor der DSGVO, und an ihr scheitern die Geschäftskonten der großen Sprachmodelle.

5. Datenschutz-Folgenabschätzung

Verarbeitet ein neues Werkzeug Gesundheitsdaten systematisch, verlangt Art. 35 DSGVO regelmäßig eine Folgenabschätzung vor dem Start, mit dem Rat Ihres Datenschutzbeauftragten. Die Muster-DSFA des Anbieters ist eine Arbeitsgrundlage und ersetzt die eigene nicht. Aufbau und Vorgehen stehen im Beitrag zur Datenschutz-Folgenabschätzung.

6. Information der Patienten

Nach Art. 13 DSGVO gehört der Einsatz in die Datenschutzinformation der Praxis. Spricht ein Patient mit einer KI, etwa am Telefon, muss er das erkennen können. Diese Pflicht aus Art. 50 AI Act trifft dem Wortlaut nach den Anbieter, die Ansage konfigurieren aber Sie.

Wofür Praxen KI heute einsetzen

Telefon und Termine

Ein Telefonassistent nimmt Anrufe an, vergibt Termine und nimmt Rezeptwünsche auf. Er entlastet das Team am stärksten, und er ist die erste Stelle, an der Patienten mit einer KI sprechen. Was er auslöst, von der Ansage bis zum Rückfallweg, steht im Anwendungsfall KI-Telefonassistent in der Arztpraxis.

Dokumentation und Arztbrief

Mithörende Programme und Entwurfswerkzeuge legen aus dem Gespräch oder der Akte einen Entwurf vor, den Sie prüfen und freigeben. Welche Software Datenschutz und Schweigepflicht besteht, steht im Beitrag Arztbrief-Software und DSGVO, das Auswahlraster im Vergleich der Dokumentationswerkzeuge.

Diagnostische Unterstützung

Bildanalyse in Radiologie, Dermatologie und Pathologie. Solche Systeme sind regelmäßig Medizinprodukte und oft Hochrisiko-KI, weil sie in diagnostische Entscheidungen einfließen. Hier gelten MDR und AI Act nebeneinander.

Organisation

Terminsteuerung, Ausfallprognosen und Dienstplanung. Regulatorisch meist unkritisch, datenschutzrechtlich relevant, sobald Daten von Patienten oder Beschäftigten verarbeitet werden.

Was der EU AI Act heute verlangt und was 2027 kommt

Nicht jede Software ist ein KI-System im Sinne des Art. 3 Nr. 1 AI Act. Eine regelbasierte Terminvergabe ist keines, ein Sprachmodell, das Arztbriefe formuliert, schon.

Für jede Praxis, die ein KI-System einsetzt, gilt heute Art. 4. Er verlangt seit Februar 2025 Maßnahmen für die KI-Kompetenz des Teams, ohne ein bestimmtes Niveau zu schulden. Dass Menschen erkennen, wenn sie mit einer KI sprechen, verlangt Art. 50 Abs. 1 seit August 2026 vom Anbieter, die Praxis stellt die Ansage ein.

Die Betreiberpflichten nach Art. 26, also menschliche Aufsicht, Protokolle und Überwachung, treffen nur Hochrisiko-Systeme. Im Gesundheitswesen sind das vor allem Medizinprodukte-Software mit Drittprüfung. Nach dem Digital Omnibus gelten sie ab dem 2. Dezember 2027 für Anhang III und ab dem 2. August 2028 für Medizinprodukte. Ein Telefonassistent für Termine oder ein Programm für Arztbriefe fällt in der Regel nicht darunter. Wer ein solches System betreibt, findet die Pflichten im Beitrag zu den Betreiberpflichten.

Die Verantwortung bleibt bei Ihnen

§ 630a BGB verlangt den Facharztstandard, gleich welches Werkzeug mitarbeitet, und die Nutzungsbedingungen eines Anbieters entlasten nicht. Halten Sie fest, dass und wie Sie Ergebnisse geprüft haben, denn eine fehlende Dokumentation wirkt über § 630h BGB gegen Sie. Bei Produktfehlern kann daneben der Hersteller haften. Mehr im Beitrag zur Haftung bei KI im Gesundheitswesen.

So starten Sie

1. Eine Aufgabe wählen. Beginnen Sie dort, wo der Engpass am größten ist, meist am Telefon oder bei der Dokumentation. Der KI-Check hilft bei der Wahl.
2. Den Anbieter prüfen. C5-Testat, Verpflichtungserklärung, AV-Vertrag und die Zweckbestimmung des Werkzeugs, bevor Sie unterschreiben. Die Fragen dazu stehen im Anbieterfragebogen.
3. Folgenabschätzung und Datenschutzbeauftragter. Vor dem Start, nicht danach.
4. Regeln und Einweisung. Eine Seite Regeln, wofür das Werkzeug erlaubt ist und wer die Ergebnisse prüft, dazu eine dokumentierte Einweisung des Teams nach Art. 4 AI Act.
5. Probelauf. Einige Wochen mit Stichproben, dann der Regelbetrieb.

Häufige Fragen