KI in der Arztpraxis und DSGVO: was Praxen 2026 wirklich beachten müssen

Ist der Einsatz von KI in der Arztpraxis überhaupt DSGVO-konform möglich?

Der Rest dieses Ratgebers geht die vier Bedingungen der Reihe nach durch. Wichtig vorab: Es geht hier um Organisation, also um Terminanfragen, Rezeptwünsche und E-Mail-Verwaltung. KI, die Diagnosen stellt oder Therapien empfiehlt, ist ein eigenes Thema mit deutlich strengeren Regeln, dazu weiter unten mehr.

Warum sind Patientendaten rechtlich ein Sonderfall?

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt und nur über eng gefasste Ausnahmen erlaubt, im Praxisalltag vor allem über das Behandlungsverhältnis. Schon eine Terminanfrage mit dem Zusatz "wegen meiner Rückenschmerzen" ist ein Gesundheitsdatum.

Dazu kommt das Berufsrecht: Ärztinnen und Ärzte unterliegen der Schweigepflicht nach § 203 StGB, deren Verletzung strafbar ist. Externe Dienstleister dürfen seit der Reform von 2017 als mitwirkende Personen eingebunden werden, müssen dafür aber förmlich zur Verschwiegenheit verpflichtet werden. Ein Datenschutzvertrag allein deckt das nicht ab.

Für die Praxis heißt das: Jeder KI-Einsatz mit Patientenbezug muss zwei Prüfungen bestehen, die datenschutzrechtliche und die berufsrechtliche. Beide sind machbar, aber keine ist optional.

Baustein 1: Wozu braucht die Praxis einen Auftragsverarbeitungsvertrag?

Sobald ein Anbieter Patientendaten in Ihrem Auftrag verarbeitet, etwa ein KI-Dienst, der E-Mails sortiert oder Antwortentwürfe erstellt, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Der AVV regelt unter anderem:

• dass der Anbieter nur auf Ihre dokumentierte Weisung verarbeitet und die Daten nicht für eigene Zwecke nutzt, etwa nicht zum Training seiner Modelle,
• welche technischen und organisatorischen Maßnahmen (TOM) die Daten schützen,
• welche Unterauftragsverarbeiter beteiligt sind und wo sie sitzen,
• was bei einer Datenpanne passiert und wie Daten nach Vertragsende gelöscht werden.

Praktische Konsequenz: Anbieter, die keinen AVV anbieten, scheiden für Patientendaten aus. Das gilt auch für private Konten von Chat-Diensten. Wer Patientenanliegen in ein privates ChatGPT-Konto kopiert, verarbeitet Gesundheitsdaten ohne Vertragsgrundlage und riskiert zusätzlich die Schweigepflichtverletzung. Für Ärztinnen und Ärzte kommt wegen § 203 StGB die zweite Ebene dazu: Der Dienstleister muss schriftlich zur Verschwiegenheit verpflichtet werden, zusätzlich zum AVV.

Baustein 2: Wann ist eine Datenschutz-Folgenabschätzung Pflicht?

In der Praxis empfiehlt sich eine kurze, schriftliche Schwellenwert-Prüfung für jedes neue KI-Werkzeug: Welche Daten fließen, wie viele Personen sind betroffen, welche Risiken bestehen, welche Maßnahmen senken sie? Fällt die Prüfung eindeutig aus, genügt die Dokumentation. Bei Werkzeugen mit größerem Datenumfang oder besonders sensiblen Abläufen, etwa der automatischen Aufzeichnung von Telefongesprächen, ist die vollständige DSFA der sichere Weg. Falls Ihre Praxis eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten hat, gehört diese Person von Anfang an mit an den Tisch. Die Aufsichtsbehörden veröffentlichen zudem Listen mit Verarbeitungen, für die eine DSFA zwingend ist; ein Blick in die Liste Ihres Bundeslandes lohnt sich vor dem Start.

Baustein 3: Was bedeutet EU-Hosting konkret?

Viele KI-Modelle laufen bei Anbietern mit Sitz außerhalb der EU. Werden Patientendaten dorthin übermittelt, greifen die Regeln für Drittlandtransfers aus Kapitel V der DSGVO: Es braucht eine gültige Grundlage, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln, und eine ehrliche Bewertung des Restrisikos.

Der einfachere Weg für Praxen: Anbieter wählen, die eine Verarbeitung innerhalb der EU vertraglich zusichern. Viele große KI-Anbieter bieten inzwischen Rechenzentren in der EU als Vertragsoption an. Entscheidend ist, dass diese Option auch tatsächlich vereinbart und im AVV festgehalten wird, nicht nur im Prospekt steht. Stellen Sie jedem Anbieter vier Fragen:

• Wo werden die Daten verarbeitet und gespeichert, inklusive Logs und Sicherungskopien?
• Werden unsere Daten zum Training von Modellen genutzt? Die Antwort muss Nein sein und im Vertrag stehen.
• Welche Unterauftragsverarbeiter sind beteiligt und wo sitzen sie?
• Wie lange werden Eingaben aufbewahrt und wie werden sie gelöscht?

Wer diese vier Antworten schriftlich hat, hat den Baustein Hosting im Griff. Unklare oder ausweichende Antworten sind ein Ausschlusskriterium.

Was darf KI in der Praxis übernehmen, was nicht?

Die Grenze verläuft zwischen Organisation und Medizin. Organisatorische Aufgaben darf KI mit den oben beschriebenen Bausteinen übernehmen:

• eingehende E-Mails nach Anliegen sortieren: Termin, Rezeptwunsch, Rückruf, Sonstiges,
• Antwortentwürfe für Standardfälle vorbereiten, die Ihr Team prüft und freigibt,
• Termine koordinieren, Erinnerungen versenden, offene Vorgänge nachverfolgen,
• Dokumente benennen, zuordnen und ablegen.

Anders sieht es aus, sobald KI Diagnosen stellt, Befunde bewertet oder Therapien empfiehlt. Solche Systeme fallen unter das Medizinprodukterecht und unter die Hochrisiko-Anforderungen der europäischen KI-Verordnung. Das ist kein Feld für ein Automatisierungsprojekt, sondern für zugelassene Medizinprodukte. Seriöse Anbieter organisatorischer KI ziehen diese Grenze von selbst und lassen alles Fachliche beim Praxisteam.

Zwei Pflichten aus der KI-Verordnung treffen auch kleine Praxen: Wer KI einsetzt, muss sein Team im Umgang damit schulen (Art. 4 der KI-Verordnung, anwendbar seit Februar 2025), und der KI-Einsatz gegenüber Patientinnen und Patienten sollte transparent gemacht werden, etwa in der Datenschutzinformation der Praxis. Beides ist mit überschaubarem Aufwand erledigt, gehört aber in jedes Einführungsprojekt.

Zur Einordnung: Nach einer Bitkom-Umfrage vom Mai 2025 unter mehr als 600 Ärztinnen und Ärzten setzt erst etwa jede siebte Praxis KI ein: 12 Prozent nutzen sie zur Unterstützung bei der Diagnose, 8 Prozent in der Praxisverwaltung, insgesamt 15 Prozent in mindestens einem der beiden Bereiche. Zugleich sehen 78 Prozent der befragten Ärztinnen und Ärzte in KI eine große Chance für die Medizin. Wer jetzt sauber startet, ist früh dran, nicht spät.

Checkliste: KI in der Praxis DSGVO-konform einführen

1. Ein konkretes Einsatzfeld wählen, zum Beispiel die E-Mail-Sortierung. Nicht mit fünf Werkzeugen gleichzeitig starten.
2. Klären, welche Daten wirklich fließen müssen. Je weniger Patientenbezug, desto einfacher die Prüfung.
3. AVV nach Art. 28 DSGVO mit dem Anbieter schließen, inklusive Trainingsausschluss und Liste der Unterauftragsverarbeiter.
4. Verschwiegenheitsverpflichtung nach § 203 StGB für den Dienstleister ergänzen.
5. Verarbeitung innerhalb der EU vertraglich vereinbaren oder den Drittlandtransfer sauber begründen.
6. Schwellenwert-Prüfung zur DSFA durchführen und schriftlich ablegen, bei hohem Risiko die vollständige DSFA.
7. Das Verzeichnis der Verarbeitungstätigkeiten und die Datenschutzinformation der Praxis um den KI-Einsatz ergänzen.
8. Freigabe-Prinzip festlegen: Kein Entwurf verlässt die Praxis ohne menschliche Prüfung.
9. Team schulen und die Schulung dokumentieren.
10. Nach vier Wochen prüfen: Was hat sich bewährt, was wird angepasst, was wird abgeschaltet?

Diese zehn Punkte klingen nach viel, sind aber in einem gut vorbereiteten Projekt in wenigen Tagen abgearbeitet, weil die meisten Unterlagen Vorlagen sind, die nur angepasst werden müssen.

Wie routinefrei das Thema angeht

Häufige Fragen zu KI und DSGVO in der Arztpraxis

Ähnliche Beiträge