# KI in der Arztpraxis und Datenschutz: Worauf es ankommt Wer in der Praxis KI für die Dokumentation einsetzt, verarbeitet Gesundheitsdaten. Dieser Artikel ordnet die wichtigsten Regeln ein und zeigt, welche Fragen Sie einem Anbieter stellen sollten. ## Gesundheitsdaten sind besonders geschützt Ein Behandlungsgespräch enthält Gesundheitsdaten im Sinne von [Art. 9 DSGVO](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679). Ihre Verarbeitung ist grundsätzlich untersagt und nur in den dort genannten Ausnahmen erlaubt, für Praxen vor allem zur Gesundheitsvorsorge und Behandlung durch Personen, die einem Berufsgeheimnis unterliegen. Diese Erlaubnis deckt die Behandlung selbst. Sobald ein externer Dienst die Daten verarbeitet, kommen weitere Pflichten hinzu. ## Schweigepflicht nach § 203 StGB Ärztinnen, Ärzte, Zahnärztinnen und Zahnärzte unterliegen der Schweigepflicht. [§ 203 StGB](https://www.gesetze-im-internet.de/stgb/__203.html) erlaubt es, Geheimnisse gegenüber Personen offenzulegen, die an der beruflichen Tätigkeit mitwirken, etwa einem IT-Dienstleister, soweit das für dessen Tätigkeit erforderlich ist. Die Praxis muss diese Personen dann zur Geheimhaltung verpflichten. Wer einen Cloud-Dienst für die Dokumentation einsetzt, braucht deshalb neben dem Datenschutzvertrag auch eine solche Verpflichtung. ## Auftragsverarbeitung Verarbeitet ein Anbieter die Gesprächsdaten in Ihrem Auftrag, ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Darin steht, welche Daten der Anbieter zu welchem Zweck verarbeitet, welche Unterauftragnehmer er einsetzt und wie er die Daten schützt und löscht. Prüfen Sie besonders, ob der Anbieter die Daten für eigene Zwecke nutzen darf, zum Beispiel zum Training seiner Modelle. ## Übermittlung in Drittländer Viele KI-Dienste laufen auf Servern außerhalb der EU oder nutzen Sprachmodelle von Anbietern aus den USA. Eine Übermittlung in ein Drittland ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig, etwa auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln. Fragen Sie nach, wo Spracherkennung und Sprachmodell tatsächlich laufen. Ein Firmensitz in Deutschland sagt darüber nichts aus. ## Information der Patientinnen und Patienten Patientinnen und Patienten müssen erfahren, dass ihr Gespräch für die Dokumentation erkannt wird (Art. 13 DSGVO). Üblich sind ein Hinweis in der Datenschutzinformation der Praxis und ein kurzer Satz vor Beginn der Aufnahme. Wer nicht möchte, dass das Gespräch erkannt wird, sollte ohne Nachteile darauf verzichten können. ## Datenschutz-Folgenabschätzung Bei neuen Technologien, die Gesundheitsdaten verarbeiten, kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig sein. Ob das für Ihre Praxis gilt, klären Sie am besten mit Ihrem Datenschutzbeauftragten. Gute Anbieter stellen Unterlagen bereit, die dabei helfen. ## Cloud oder lokale Verarbeitung Die meisten der genannten Pflichten entstehen, weil Daten die Praxis verlassen. Läuft die Verarbeitung vollständig auf dem Rechner der Praxis, entfällt die Übermittlung an einen Dienstleister für die Gesprächsdaten. Es bleiben die Pflichten, die für jede Praxissoftware gelten: Zugriffsschutz, Updates, Löschung und die Information der Patientinnen und Patienten. Chetti geht diesen Weg. Für Konten verarbeitet der Chetti-Helfer Spracherkennung und Notiz auf dem Praxisrechner. Gespräche, Transkripte und Notizen erreichen uns nicht, Tonaufnahmen werden nicht gespeichert. Auf unseren Servern in Frankfurt liegen nur die Kontodaten. Unterlagen für Ihren Datenschutzbeauftragten finden Sie unter [Compliance](/compliance). ## Fragen an einen Anbieter 1. Verlassen Ton, Transkript oder Notiz den Praxisrechner? Wenn ja, wohin? 2. Welche Unterauftragnehmer sind beteiligt, und in welchen Ländern? 3. Wird die Aufnahme gespeichert, und wann werden Transkript und Notiz gelöscht? 4. Werden Daten zum Training von Modellen verwendet? 5. Gibt es einen Vertrag zur Auftragsverarbeitung und eine Verpflichtung nach § 203 StGB? 6. Welche Unterlagen stellt der Anbieter für die Datenschutz-Folgenabschätzung bereit? Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für die Bewertung im Einzelfall wenden Sie sich an Ihren Datenschutzbeauftragten. ## Häufige Fragen ### Darf eine Arztpraxis KI für die Dokumentation nutzen? Ja, wenn DSGVO und Schweigepflicht eingehalten werden. Dazu gehören je nach Bauart ein Vertrag zur Auftragsverarbeitung, eine Verpflichtung nach § 203 StGB, die Information der Patientinnen und Patienten und gegebenenfalls eine Datenschutz-Folgenabschätzung. ### Dürfen Patientendaten in ChatGPT eingegeben werden? Ohne Vertrag zur Auftragsverarbeitung und ohne Verpflichtung zur Verschwiegenheit fehlt dafür in aller Regel die Grundlage. Den Namen zu entfernen reicht oft nicht, weil andere Angaben eine Person wieder erkennbar machen. Mehr dazu unter [Arztbrief mit KI erstellen](/de/ki-arztbrief). ### Ist lokale Verarbeitung automatisch DSGVO-konform? Nein. Sie vermeidet die Übermittlung der Gesprächsdaten an einen Dienstleister. Information der Patienten, Zugriffsschutz und Löschung bleiben Aufgabe der Praxis. Einzelheiten stehen unter [Lokale KI für die Arztpraxis](/de/lokale-ki-arztpraxis). ### Wer hilft bei der Bewertung im Einzelfall? Der Datenschutzbeauftragte der Praxis. Fragen zur Schweigepflicht beantwortet auch die zuständige Ärzte- oder Zahnärztekammer.