ORPHEUS
Diktat und Ambient-Dokumentation aus einer gemeinnützigen Ausgründung des UKE, mit Hosting in Deutschland oder auf eigener Hardware. Die Kodierfunktion ist da, die Zweckbestimmung fehlt.
Ambient & DokumentationKein CE, kein MedizinproduktVerarbeitung in Deutschland
- 01ProduktgrenzeKeine Zweckbestimmung, AGB decken die Kodierfunktion nicht
- 02RechtsfolgeKeine CE-Kennzeichnung, Medizinprodukt erst angekündigt
- 03DatenwegAVV öffentlich, Verarbeitung im EWR
- 04HaltepunktVorschlag mit Freigabe, Prüfpflicht steht in den AGB
Sie vertreten dieses Produkt? Für KI-Anbieter
Vier Fragen, für jedes Tool dieselben
Beim Datenweg bringt ORPHEUS mit, was viele vermissen lassen, also Verarbeitung in Deutschland, eigene am UKE trainierte Modelle und einen öffentlich abrufbaren Auftragsverarbeitungsvertrag, der als Muster taugt. Die Produktgrenze trägt das nicht mit. Eine CE-Kennzeichnung gibt es nicht und der Anbieter behauptet auch keine, aber es gibt ICD-10-Vorschläge und keine Zweckbestimmung, die den Funktionsumfang eingrenzt.
Neben jedem Befund steht, worauf er beruht, also ob die Angabe öffentlich nachprüfbar ist, ob sie aus einer Auskunft des Anbieters stammt oder ob sie mein eigenes Urteil ist. Steht eine Achse auf offen, ist die Frage gestellt und noch nicht beantwortet. Das ist ein Stand der Prüfung und kein Befund gegen das Produkt; eine Angabe, die ein Hersteller nicht veröffentlicht, muss deshalb nicht fehlen.
- 01
Produktgrenze
Keine Zweckbestimmung, AGB decken die Kodierfunktion nicht
Eine Zweckbestimmung im Sinne der MDR ist öffentlich nicht abrufbar, und eine ausdrückliche Selbsteinordnung fehlt ebenso. Zwei Fundstellen schließen die Lücke teilweise, und sie zeigen in verschiedene Richtungen.
Der Vertragsgegenstand der AGB beschreibt das Produkt als Umwandlung von Diktaten in Text, um Dokumentationstätigkeiten zu erleichtern. Die ICD-10-Vorschläge, die die Produktseite als eigenes Merkmal ausweist, stehen dort nicht. Und im Heise-Beitrag auf der eigenen Seite heißt es, man arbeite an der Zertifizierung als Medizinproduktehersteller, diese schaffe die Grundlage für künftige Funktionen, die als Medizinprodukt einzustufen sind. Daraus folgt, dass der Anbieter die heutigen Funktionen als Nicht-Medizinprodukt führt; ausgesprochen wird das nirgends.
Der Befund dieser Achse ist deshalb nicht die fehlende Urkunde, sondern der Abstand zwischen dem, was der Vertrag beschreibt, und dem, was ausgeliefert wird. Wer ORPHEUS einsetzt, sollte sich diesen Funktionsumfang schriftlich geben lassen, weil die Zweckbestimmung und nicht die Technik über die Einordnung entscheidet.
- Öffentlich prüfbarportal.orpheus.idmedizin.de, AGB, Vertragsgegenstand, 05.09.2026
- Öffentlich prüfbaridmedizin.de/de/news/heise-ki-update-kliniken-sprachmodelle, Abschnitt ISO 13485, 25.04.2026
- Eigene PrüfungVollerhebung der Anbieterseiten, keine Zweckbestimmung und keine Selbsteinordnung auffindbar, 05.09.2026
- 02
Rechtsfolge
Keine CE-Kennzeichnung, Medizinprodukt erst angekündigt
Eine CE-Kennzeichnung führt ORPHEUS nicht, und der Anbieter behauptet auch keine. Er sagt vielmehr, er arbeite an der Zertifizierung als Medizinproduktehersteller, und diese schaffe die Grundlage für künftige Funktionen, die als Medizinprodukt einzustufen sind. Für die heute ausgelieferten Funktionen ist damit die Einordnung außerhalb des Medizinprodukterechts gemeint, auch wenn sie nirgends ausgesprochen wird.
Für Diktat und Zusammenfassung trägt diese Einordnung ohne Weiteres. Der Punkt, an dem sie sich entscheidet, sind die ICD-10-Vorschläge, weil sie aus dem Dokumentierten etwas ableiten. Ohne eine Zweckbestimmung, die den Funktionsumfang eingrenzt, lässt sich das von außen nicht abschließend beurteilen, denn maßgeblich ist die festgelegte Zweckbestimmung und nicht die technische Funktion allein. Genau diese Frage liegt beim Anbieter.
- Eigene PrüfungArt. 2 Nr. 12 MDR, MDCG 2019-11 Rev. 1, Art. 6 EU AI Act, 05.09.2026
- 03
Datenweg
AVV öffentlich, Verarbeitung im EWR
Die Verarbeitung findet nach Anbieterangabe durchgehend in Deutschland statt, wahlweise in der STACKIT-Cloud, bei der GWDG oder auf eigener GPU-Infrastruktur. On-Premise ist dabei kein Merkmal des Standardtarifs, sondern eine Enterprise-Option ab 150 Lizenzen mit eigener Hardwarevoraussetzung; wer regulär bucht, landet in der STACKIT-Cloud. Die Modelle sind nach Anbieterangabe am UKE entwickelt und trainiert, eine Weitergabe an Dritte findet nicht statt.
Der Auftragsverarbeitungsvertrag ist öffentlich abrufbar und beantwortet die vier Fragen, die in dieser Kategorie am häufigsten offenbleiben. Er führt seine Unterauftragsverarbeiter abschließend auf, hält fest, dass eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums nicht stattfindet, trägt einen eigenen Abschnitt für Berufsgeheimnisträger mit der Verpflichtung nach § 203 Abs. 4 StGB und benennt den Lebenszyklus der Audiodateien mit 24 Stunden für nicht referenzierte Aufnahmen und längstens sechs Monaten. Wer eine Vorlage für die eigene Anbieterfrage sucht, findet hier eine.
Offen ist der Sicherheitsnachweis. ISO 27001, ISO 13485 und ein C5-Testat nennt der Anbieter als Ziel, ausgewiesen ist keines davon. Für Praxen, die über § 393 SGB V an ein C5-Testat gebunden sind, ist das der Punkt, nach dem sie fragen sollten; ein Befund gegen das Produkt ist es nicht, solange die Frage nicht beantwortet ist.
- Öffentlich prüfbarportal.orpheus.idmedizin.de, AGB, Auftragsverarbeitungsvertrag und Datenschutzinformation, Stand Juni 2026, 05.09.2026
- AnbieterauskunftIDM gGmbH, Anbieterinformation zu Hosting und Modellen, 31.07.2026
- Öffentlich prüfbaridmedizin.de/de/orpheus, Abschnitte Sicherheit und Häufige Fragen, 04.09.2026
- 04
Haltepunkt
Vorschlag mit Freigabe, Prüfpflicht steht in den AGB
ORPHEUS legt vor und führt nicht aus. Die erzeugte Zusammenfassung geht erst in die Akte, wenn sie ärztlich übernommen wird, und markierte Sätze verweisen auf die Quellstelle im Gespräch, was die Prüfung erleichtert statt sie zu ersetzen. Die AGB sagen das ausdrücklich und verpflichten den Nutzer, die erzeugten Texte vor Verwendung oder Weitergabe auf Richtigkeit und Angemessenheit zu prüfen. Der Anbieter formuliert daneben „Die Entscheidung bleibt immer bei Ihnen“. Diese Prüfpflicht ist im Wortlaut auf Transkriptionsfehler bezogen; ob sie die ICD-10-Vorschläge mitmeint, ist beim Anbieter angefragt.
- Öffentlich prüfbarportal.orpheus.idmedizin.de, AGB, Abschnitt Nutzungshinweise, 05.09.2026
- AnbieterauskunftIDM gGmbH, Anbieterinformation zur Ambient-Dokumentation, 31.07.2026
Was ORPHEUS beim Datenfluss vorwegnimmt
Beim Datenfluss macht ORPHEUS vieles richtig, woran andere Anbieter schweigend vorbeigehen. Verarbeitung durchgehend in Deutschland, eigene am UKE trainierte Modelle, keine Weitergabe an Dritte. Als gemeinnützige Ausgründung des Universitätsklinikums Hamburg-Eppendorf hat der Anbieter auch nicht die Anreizstruktur, Nutzungsdaten zu verwerten. Das nimmt der Praxis einen ganzen Block an Drittland- und Trainingsfragen ab. Beim Lesen der Anbieterseite lohnt eine Genauigkeit, denn On-Premise steht dort neben der STACKIT-Cloud und der GWDG als eine von drei Möglichkeiten und ist an ein Enterprise-Kontingent gebunden, der Standardtarif läuft in der Cloud.
Der Auftragsverarbeitungsvertrag taugt als Muster
Wer wissen will, wie ein brauchbarer Auftragsverarbeitungsvertrag für ein Dokumentationswerkzeug aussieht, findet hier einen. Er ist ohne Anmeldung abrufbar, führt die Unterauftragsverarbeiter abschließend auf statt mit einem Verweis auf eine wechselnde Liste, hält fest, dass außerhalb des Europäischen Wirtschaftsraums nicht verarbeitet wird, trägt einen eigenen Abschnitt für Berufsgeheimnisträger mit der Verpflichtung nach § 203 Abs. 4 StGB und benennt, wie lange Audiodateien liegen. Diese vier Punkte sind genau die, die in der Praxis am häufigsten fehlen, und sie taugen als Maßstab für jeden anderen Anbieter.
Wer bei Ihnen das Training einschaltet
Der Vertrag beschreibt eine Stelle, die bei anderen Anbietern gar nicht erst auftaucht. Nutzungsdaten fließen nur dann in die Weiterentwicklung der Modelle, wenn die einzelne Nutzerin das im Client aktiviert. Danach durchlaufen die Datensätze eine automatisierte Prüfung auf personenidentifizierende Inhalte; was dabei auffällt, wird gelöscht, der Rest geht in einen Trainingsbestand, den der Anbieter in eigener Verantwortung führt. Mit dieser Überführung endet die Auftragsverarbeitung, und die weitere Verarbeitung steht auf der Einwilligung des Endnutzers. Für Ihre Praxis folgt daraus etwas Konkretes. Verantwortlich für die Behandlungsdaten sind Sie, die Entscheidung über das Opt-in fällt aber eine Ebene tiefer, nämlich am Arbeitsplatz. Wer dazu nichts regelt, hat sie an die Person abgegeben, die gerade am Client sitzt. Legen Sie deshalb fest, ob das Opt-in erlaubt ist, wer es setzen darf und wo das festgehalten wird. Ohne aktives Opt-in unterbleibt die Prüfung vollständig, und es gelten allein die Löschfristen, also 24 Stunden für nicht referenzierte Aufnahmen und längstens sechs Monate für referenzierte. Dasselbe Muster trägt das Ambient-Modul. Vor jeder Aufnahme bestätigt der nutzende Arzt im Client, dass alle Anwesenden nach Art. 13 DSGVO über die KI-gestützte Dokumentation informiert wurden; die Bestätigung wird mit Zeitstempel und Nutzerkennung protokolliert und dient ausdrücklich der Eigendokumentation des Verantwortlichen. Der Nachweis ist damit gebaut, der Informationsweg zum Patienten nicht. Den brauchen Sie trotzdem, und Sie brauchen ihn vorher.
Was noch offen ist
Die eigentliche regulatorische Weiche ist die Zweckbestimmung, und sie ist nicht veröffentlicht. Bleibt ORPHEUS bei Transkription und Zusammenfassung, ist die Einstufung als Nicht-Medizinprodukt gut vertretbar. Die ICD-10-Vorschläge sind die Stelle, an der sich das entscheidet. Daneben steht der Sicherheitsnachweis: ISO 27001, ISO 13485 und C5 nennt der Anbieter als Ziel, ausgewiesen ist bislang keines. Beide Punkte sind angefragt, und beide sind offene Fragen und keine Befunde gegen das Produkt.
Was das Tool heute tut
Diese Übersicht führt die Funktionen, die ORPHEUS heute ausliefert. Die Marke nennt die Stufe nach dem EU AI Act und sagt nichts darüber, wie sorgfältig eine Funktion in Ihrer Praxis zu handhaben ist, denn das steht daneben.
Was heute gilt und was kommt
Die Digital-Omnibus-Verordnung hat die Pflichten für Hochrisiko-Systeme verschoben. Für Systeme aus Anhang III greifen sie am 02.12.2027, für Systeme, die über Anhang I und das Medizinprodukterecht hineinfallen, am 02.08.2028. Was schon heute trägt, steht darüber und hängt nicht an der KI-Verordnung.
Was Sie konkret beachten
Die abstrakten Pflichten aus Art. 4 und Art. 26 EU AI Act, übersetzt auf den konkreten Einsatz von ORPHEUS.
- 01Maßnahmen ergreifen, die die KI-Kompetenz des Teams unterstützen (Art. 4 EU AI Act, seit Februar 2025, unabhängig von der Einstufung des Tools). Ein bestimmtes Niveau schuldet die Praxis ausdrücklich nicht, dokumentierte Bemühungen schon.
- 02Jede erzeugte Zusammenfassung vor Übernahme in die Akte ärztlich prüfen; das folgt schon aus § 630f BGB und dem Berufsrecht und hängt nicht an der Einstufung des Tools. Der Quellstellen-Verweis ist dafür ein hilfreiches Werkzeug.
- 03Datenschutz absichern: AV-Vertrag nach Art. 28 DSGVO einholen, Verarbeitungsverzeichnis und ggf. DSFA ergänzen.
- 04Patientinnen und Patienten nach Art. 13 DSGVO über die Verarbeitung informieren und vor der Aufnahme ihr Einverständnis einholen; tragender Grund dafür ist § 201 StGB, während Behandlung und Dokumentation selbst auf Art. 9 Abs. 2 lit. h DSGVO stehen und keine Einwilligung brauchen.
ORPHEUS überzeugt dort, wo viele Anbieter schweigen, nämlich beim Datenweg. Verarbeitung in Deutschland, eigene Modelle, keine Weitergabe an Dritte und ein öffentlicher Auftragsverarbeitungsvertrag, der seine Unterauftragsverarbeiter abschließend nennt und die Berufsgeheimnisträger eigens behandelt. Das nimmt der Praxis einen ganzen Block an Drittland- und Trainingsfragen ab. Offen bleiben die Zweckbestimmung und der Sicherheitsnachweis. Bis der Anbieter beides beantwortet, halte ich diese beiden Achsen offen, und offen heißt hier ungeklärt und nicht schlecht.
Die Produktangaben zu Hosting, Modellen und Datenfluss stammen aus der Anbieterinformation der IDM gGmbH vom Juli 2026. Am 5. September 2026 sind sämtliche Anbieterseiten einschließlich AGB, Auftragsverarbeitungsvertrag und Datenschutzinformation vollständig durchgesehen worden. Dabei sind zwei Angaben dieser Seite berichtigt worden: Auftragsverarbeitungsvertrag und Nutzungsbedingungen sind entgegen dem Stand vom 4. September öffentlich abrufbar, der frühere Negativbefund beruhte auf einer clientseitig gerenderten Seite, die beim Abruf leer aussah. Zweckbestimmung, Gebrauchsanweisung, CE-Angaben und ein Sicherheitstestat finden sich weiterhin nicht. Die Preisangaben widersprechen sich auf der Anbieterseite selbst und sind hier deshalb nicht wiedergegeben.
dann sicher genutzt.
In einem 30-minütigen Gespräch klären wir, welche Funktionen bei Ihnen Betreiberpflichten auslösen und was Sie dokumentiert umsetzen müssen.
Diese Einordnung entsteht aus der Perspektive Ihrer Kunden. Wenn Sie wissen wollen, welche Betreiberpflichten Ihr Produkt beim Käufer auslöst und wie Sie ihm deren Erfüllung abnehmen, führt der Weg über die Anbieterseite.