Erstgespräch

Der 2. August 2026: Was der KI-Stichtag für Ihre Praxis wirklich bedeutet

von | 9. Juli, 2026 | Künstliche Intelligenz

Rund um den 2. August 2026 kursieren gerade viele Schlagzeilen: Ein großer Stichtag der KI-Verordnung stehe an, Praxen müssten „jetzt handeln“. Das meiste davon ist übertrieben – und ein Teil ist trotzdem wichtig. Dieser Beitrag trennt in Ruhe das eine vom anderen: Was tritt an diesem Datum tatsächlich in Kraft, was wurde verschoben, und was davon betrifft ausgerechnet Ihre Praxis? Am Ende wissen Sie, worauf Sie schauen sollten – und worüber Sie sich keine Sorgen machen müssen.

Warum dieses Datum überall auftaucht

Der 2. August 2026 war ursprünglich der Termin, ab dem die anspruchsvollen Pflichten für sogenannte Hochrisiko-KI greifen sollten – deshalb wird er als großer Stichtag gehandelt. Der Punkt ist nur: Genau diese schweren Pflichten wurden inzwischen verschoben. Die KI-Verordnung der EU rollt in Stufen aus, und dieser Termin galt lange als der entscheidende. Mit dem sogenannten Digital Omnibus haben Parlament und Rat im Juni 2026 aber beschlossen, die härtesten Anforderungen nach hinten zu verlegen.

Was übrig bleibt, ist deutlich schmaler als die Schlagzeilen vermuten lassen. Es lohnt sich, drei Ebenen zu unterscheiden: was an diesem Datum wirklich scharf wird, was verschoben wurde, und was ohnehin längst gilt.

Was am 2. August 2026 tatsächlich in Kraft tritt

Scharf geschaltet werden vor allem die Transparenzpflichten: Menschen müssen erkennen können, dass sie mit einer KI interagieren oder dass ein Inhalt von einer KI erzeugt wurde. Diese Pflichten aus Artikel 50 der KI-Verordnung wurden bewusst nicht verschoben. Für eine Praxis heißt das konkret: Ein Chatbot auf der Website oder ein KI-Telefonassistent muss sich als KI zu erkennen geben, und KI-generierte Inhalte sollten als solche transparent sein.

Für Systeme, die bereits vor dem 2. August 2026 im Einsatz waren, gibt es eine Übergangsfrist bis zum 2. Dezember 2026. Daneben beginnt an diesem Datum die Durchsetzungs- und Aufsichtsebene für die großen KI-Modelle – das betrifft aber vor allem deren Anbieter und die Behörden, nicht die einzelne Praxis.

Was verschoben wurde – und was das nicht heißt

Die aufwendigen Pflichten für Hochrisiko-Systeme – Konformitätsbewertung, Risikomanagement, umfangreiche Dokumentation – wurden nach hinten verlegt: eigenständige Systeme auf Dezember 2027, in Produkte wie Medizinprodukte eingebettete auf August 2028. Verschoben heißt aber nicht abgeschafft. Das ist die entscheidende Nuance. Die Verschiebung ist eine Atempause, kein Freibrief. Die Anforderungen kommen weiterhin, nur gestaffelt – und sie hängen daran, dass bis dahin die nötigen technischen Standards fertig werden.

Für die Praxis bedeutet das vor allem eines: „Ich habe das Thema abgehakt“ ist das falsche Denkmodell. Die KI-Regulierung ist kein einzelner Stichtag, den man übersteht, sondern ein sich stufenweise aufbauender Rahmen. Wer heute weiß, wo die eigene Praxis steht, muss morgen nicht hektisch nachziehen.

Was ohnehin schon länger gilt

Zwei Dinge werden mit dem Datum gern vermischt, gelten aber bereits seit Februar 2025: das Verbot bestimmter KI-Praktiken und die Pflicht zur grundlegenden KI-Kompetenz. Die verbotenen Praktiken zielen auf Extremfälle, die im Praxisalltag kaum vorkommen. Die KI-Kompetenzpflicht dagegen ist alltagsnah: Wer KI-Werkzeuge einsetzt, sollte im Grundsatz verstehen, was sie tun und wo ihre Grenzen liegen – das gilt für das Team ebenso wie für die Leitung.

Und ein dritter Punkt läuft völlig unabhängig von jedem KI-Datum: der Datenschutz. Sobald Patientendaten mit einer KI in Berührung kommen, greift die DSGVO – heute, morgen und ohne Rücksicht auf den 2. August. Dieser Strang ist immer aktiv.

Was das für Ihre Praxis konkret bedeutet

Für eine typische Heilberufe-Praxis ist die Liste zum 2. August 2026 kurz – aber kurz ist nicht null. Und das Entscheidende ist nicht, eine Checkliste abzuarbeiten, sondern zu wissen, welche dieser Punkte überhaupt auf Ihre Praxis zutreffen. Genau hier passieren die Fehler: Eine Praxis nimmt an, nicht betroffen zu sein, obwohl der Website-Chatbot längst eine Transparenzpflicht auslöst. Oder ein Werkzeug wird eingesetzt, dessen Einordnung gar nicht klar ist.

Worauf Sie schauen sollten:

  • Kennzeichnung: Nutzen Sie einen Chatbot, einen KI-Telefonassistenten oder ähnliche Systeme? Dann müssen diese sich als KI zu erkennen geben.
  • KI-Inhalte: Veröffentlichen Sie Texte oder Bilder, die eine KI erzeugt hat? Gehen Sie transparent damit um.
  • Grundverständnis im Team: Wer KI-Werkzeuge nutzt, sollte wissen, was sie können und wo Vorsicht geboten ist.
  • Patientendaten: Sobald KI mit Patientendaten arbeitet, ist es zuallererst eine Datenschutzfrage – unabhängig von jedem Stichtag.
  • Einordnung: Im Zweifel klären, in welche Kategorie Ihre Werkzeuge fallen. Genau das ist der Punkt, den man allein schwer sicher beurteilt.

Warum „einfach abwarten“ die falsche Lehre ist, zeigt der Blick auf die Stufen: Nach dem 2. August folgen weitere Termine, und die schweren Pflichten kommen später ohnehin. Die ruhigste Position ist die des Vorbereiteten – nicht die des Überraschten.

Quellen und weiterführende Hinweise

  • Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere die Transparenzpflichten (Art. 50), die verbotenen Praktiken (Art. 5) und die KI-Kompetenz (Art. 4)
  • Digital Omnibus on AI – im Juni 2026 von Parlament (16. Juni) und Rat (29. Juni) verabschiedete Änderungen der KI-Verordnung; Veröffentlichung im Amtsblatt der EU und Inkrafttreten anschließend
  • Datenschutz-Grundverordnung für den Umgang mit Patientendaten beim Einsatz von KI

Muss meine Praxis bis zum 2. August 2026 etwas Bestimmtes umsetzen?

Für die meisten kleinen Praxen ist die Liste kurz: vor allem die Kennzeichnung von KI-Systemen wie Chatbots oder Telefonassistenten und der transparente Umgang mit KI-Inhalten. Die aufwendigen Hochrisiko-Pflichten sind verschoben und betreffen typische Praxen ohnehin selten.

Sind die Hochrisiko-Pflichten damit vom Tisch?

Nein. Sie wurden nur nach hinten verlegt – auf Dezember 2027 beziehungsweise August 2028. Verschoben bedeutet nicht abgeschafft; die Anforderungen kommen gestaffelt weiter.

Gilt die Transparenzpflicht auch für einen einfachen Website-Chatbot?

Ja. Wenn Menschen mit einem KI-System interagieren, müssen sie das erkennen können. Ein kurzer Hinweis genügt in der Regel.

Was hat der Datenschutz damit zu tun?

Sobald KI mit Patientendaten arbeitet, gilt die DSGVO – unabhängig von den Fristen der KI-Verordnung. Dieser Punkt ist immer relevant, nicht erst zu einem Stichtag.

Woher weiß ich, was auf meine Praxis zutrifft?

Das ist die eigentliche Frage – und sie lässt sich meist in einem kurzen Gespräch klären, ohne Panik und ohne großen Aufwand.

Bin ich verantwortlich, wenn eine Agentur oder ein Dienstleister die Technik einsetzt?

Ja. Die Umsetzung können Sie abgeben, die Verantwortung nicht. Setzt Ihre Praxis ein KI-Werkzeug ein – ganz gleich, ob eine Agentur es eingerichtet hat oder ein externer Dienst es betreibt –, bleiben Sie diejenige, die es einsetzt, und tragen die damit verbundenen Pflichten. Auch für den Umgang mit den Daten Ihrer Patienten bleibt die Praxis verantwortlich, nicht der Dienstleister. Genau deshalb lohnt es sich, Anbieter sorgfältig auszuwählen und die Zusammenarbeit sauber zu regeln.

KI in der Praxis: Was Sie nutzen dürfen – und worauf Sie achten sollten

von | 8. Juli, 2026 | Künstliche Intelligenz

Künstliche Intelligenz ist im Praxisalltag längst angekommen – vom Diktiergerät, das Befunde transkribiert, über den Chatbot auf der Website bis zur Software, die bei der Terminvergabe hilft. Mit dem Nutzen kommen Fragen, die im Behandlungsalltag selten jemand beantwortet: Was davon ist erlaubt? Was verlangt die neue KI-Verordnung? Und warum kann es ein ernstes Problem sein, „mal eben“ einen Patientenbrief von ChatGPT schreiben zu lassen? Dieser Beitrag ordnet die Lage ein – ruhig, praxisnah und ohne den erhobenen Zeigefinger.

Drei Regelwerke, die beim KI-Einsatz zusammenkommen

Wer KI in der Praxis einsetzt, bewegt sich in mehreren Rechtskreisen gleichzeitig: der KI-Verordnung der EU, der Datenschutz-Grundverordnung und der Schweigepflicht. Diese Regelwerke greifen ineinander und sollten nicht isoliert betrachtet werden – ein Tool kann datenschutzrechtlich sauber eingebunden und trotzdem ein Problem für die Verschwiegenheit sein.

Die KI-Verordnung (offiziell Verordnung (EU) 2024/1689, oft „EU AI Act“ genannt) regelt das KI-System selbst – je nachdem, wie risikoreich sein Einsatz ist. Die Datenschutz-Grundverordnung regelt, wie die dabei verarbeiteten personenbezogenen Daten behandelt werden müssen, und stuft Gesundheitsdaten als besonders schützenswert ein. Hinzu kommt die Schweigepflicht: Für Ärzte, Zahnärzte und andere Heilberufe mit staatlich geregelter Ausbildung ist sie über § 203 StGB strafrechtlich geschützt. Sie verpflichtet zur Verschwiegenheit über alles, was im Rahmen der Behandlung bekannt wird – unabhängig davon, was Datenschutz und KI-Verordnung sagen.

Diese Mehrschichtigkeit klingt komplizierter, als sie im Alltag ist. Für die meisten Praxen lässt sich die Lage auf wenige klare Leitplanken herunterbrechen. Genau die zeigt dieser Beitrag.

Die Risikoklassen der KI-Verordnung – und wo Praxen betroffen sind

Die KI-Verordnung teilt Systeme in vier Risikostufen ein: verbotene Praktiken, Hochrisiko-KI, KI mit Transparenzpflichten und KI mit minimalem Risiko. Für die Medizin ist vor allem die Hochrisiko-Klasse relevant. Je höher das Risiko, desto strenger die Anforderungen.

Verbotene Praktiken – etwa Systeme zur sozialen Bewertung von Menschen – spielen im Praxisalltag keine Rolle. Auf der anderen Seite des Spektrums stehen Anwendungen mit minimalem Risiko wie Spamfilter, an die keine neuen Pflichten geknüpft sind. Dazwischen liegen die beiden Klassen, die für Praxen zählen.

In die Hochrisiko-Klasse fallen typischerweise Systeme, die unmittelbar in die Versorgung eingreifen: Software zur Diagnoseunterstützung, zur Therapieplanung oder zum Monitoring von Patienten. Häufig sind solche Anwendungen ohnehin als Medizinprodukt zugelassen – und dann greift die Hochrisiko-Einstufung oft automatisch.

Die meisten Werkzeuge, die im Praxisalltag tatsächlich genutzt werden – Spracherkennung für die Dokumentation, Terminorganisation, Textbausteine – sind dagegen in der Regel keine Hochrisiko-Systeme. Das heißt aber nicht, dass sie frei von Pflichten wären: Datenschutz und Schweigepflicht gelten immer, und für Werkzeuge, mit denen Menschen direkt interagieren, etwa Chatbots, gilt eine Transparenzpflicht – die Nutzer müssen erkennen können, dass sie es mit einer Maschine zu tun haben.

Anbieter oder Betreiber: Welche Rolle hat Ihre Praxis?

Eine Praxis ist beim KI-Einsatz fast immer Betreiber, nicht Anbieter. Die Hauptlast für Konformität und technische Dokumentation tragen die Hersteller; Betreiber haben eigene, deutlich schlankere Pflichten. Diese Unterscheidung nimmt vielen Praxisinhabern die größte Sorge: Sie müssen kein KI-System zertifizieren – das ist Aufgabe dessen, der es herstellt und verkauft.

Die Betreiberpflichten lassen sich für den Praxisalltag sinngemäß so zusammenfassen: ein System nur für den vom Hersteller vorgesehenen Zweck einsetzen, eine fachlich qualifizierte Person die Ergebnisse prüfen lassen (menschliche Aufsicht), auf auffällige Fehlfunktionen achten und betroffene Personen informieren, wo das vorgesehen ist.

Ein Punkt ist dabei unverhandelbar und gilt unabhängig von jeder Frist: Die fachliche Verantwortung bleibt immer beim Behandler. Eine KI darf unterstützen, Vorschläge machen, Routine abnehmen – aber die Entscheidung über Diagnose und Therapie trifft der Mensch. Eine ungeprüft übernommene KI-Diagnose ist keine zulässige Arbeitserleichterung, sondern ein Haftungsrisiko.

Die KI-Kompetenzpflicht gilt schon heute

Unabhängig von allen verschobenen Fristen gilt seit Februar 2025 die KI-Kompetenzpflicht: Wer KI einsetzt, muss dafür sorgen, dass die damit arbeitenden Personen über ausreichendes Wissen für einen verantwortungsvollen Umgang verfügen. Das ist die Pflicht, die heute schon jede Praxis betrifft, in der KI genutzt wird – und sie wird in der Diskussion über spätere Fristen leicht übersehen.

Konkret heißt das nicht, dass jede Mitarbeiterin eine Schulung mit Zertifikat braucht. Es heißt: Das Team sollte verstehen, was die eingesetzten Werkzeuge können, wo ihre Grenzen liegen und welche Daten dort auf keinen Fall hineingehören. Eine kurze, dokumentierte Einweisung ist ein sinnvoller erster Schritt – und gleichzeitig ein guter Anlass, einmal zu klären, welche KI im Haus überhaupt im Einsatz ist. Oft ist das mehr, als die Leitung weiß.

Der Zeitplan der KI-Verordnung – was inzwischen feststeht

Der ursprünglich für August 2026 vorgesehene Stichtag für die strengen Hochrisiko-Pflichten wurde verschoben. Der sogenannte Digital Omnibus zur KI-Verordnung wurde im Juni 2026 endgültig beschlossen; danach müssen eigenständige Hochrisiko-Systeme spätestens bis Dezember 2027 und in Medizinprodukte eingebettete Systeme spätestens bis August 2028 die vollen Anforderungen erfüllen. Die Regeln sind damit nicht mehr offen, sondern verabschiedet – der Rechtsakt wird im Amtsblatt der EU veröffentlicht und tritt kurz darauf in Kraft.

Zwei Dinge sind an dieser Verschiebung leicht misszuverstehen. Erstens sind die genannten Daten Obergrenzen – die Anforderungen können früher greifen, sobald die nötigen technischen Standards vorliegen. Zweitens verschiebt der Digital Omnibus nur den Zeitplan, er schafft keine Pflichten ab. Die inhaltlichen Anforderungen bleiben bestehen, und manches gilt bereits: die erwähnte Kompetenzpflicht und das Verbot bestimmter Praktiken seit Februar 2025.

Für die Praxis heißt das: kein Grund zur Hektik, aber auch kein Grund, das Thema auf 2027 zu vertagen. Wer die organisatorischen Grundlagen jetzt schafft – Überblick über die eigenen Systeme, klare Zuständigkeiten, geschultes Personal –, steht später ohne Druck da. Diese Grundlagen brauchen Zeit, und sie sind unabhängig vom genauen Stichtag sinnvoll.

Warum ChatGPT mit Patientendaten ein Problem ist

Patientendaten in frei zugängliche KI-Dienste wie die Standardversion von ChatGPT einzugeben, verletzt regelmäßig die Schweigepflicht – denn schon die Möglichkeit des Anbieters, auf die Daten zuzugreifen, gilt als Offenbarung an einen Dritten. Dies ist der wichtigste praktische Satz dieses ganzen Beitrags, weil der Fehler so naheliegend ist: Eine Mitarbeiterin möchte schnell einen Patientenbrief formulieren, kopiert die Angaben in das Tool – und hat damit, ohne es zu ahnen, ein Patientengeheimnis nach außen gegeben.

Für Ärzte, Zahnärzte und andere Heilberufe mit staatlich geregelter Ausbildung ist ein solcher Vorgang zugleich ein möglicher Verstoß gegen § 203 StGB – also strafbewehrt. Und unabhängig vom Beruf liegt in jedem Fall ein Datenschutzverstoß vor, denn Gesundheitsdaten gehören zu den besonders geschützten Daten. Das Ergebnis ist eindeutig: Patientendaten gehören nicht in ein frei zugängliches KI-Tool.

Anders als beim Datenschutz hilft hier ein Vertrag mit dem Anbieter nicht ohne Weiteres weiter. Datenschutzrecht und die strafrechtliche Schweigepflicht sind zwei getrennte Ebenen: Eine Vereinbarung zur Auftragsverarbeitung kann die datenschutzrechtliche Seite ordnen, ersetzt aber nicht die Verschwiegenheit. Solange ein unkontrollierter Dritter technisch auf die Klardaten zugreifen kann, bleibt die Offenbarung im Raum.

Das bedeutet nicht, dass KI für die Patientenkommunikation tabu wäre. Es bedeutet, dass es auf die Art des Einsatzes ankommt. Drei Wege gelten als gangbar: KI, die lokal oder in einer abgeschotteten Umgebung läuft, sodass kein Dritter zugreifen kann; Lösungen, bei denen Patientendaten vor der Verarbeitung so weit entfernt oder ersetzt werden, dass kein Personenbezug mehr besteht; und speziell für den medizinischen Bereich entwickelte Anwendungen mit Verarbeitung innerhalb der EU und vertraglicher Einbindung der Verschwiegenheit. Welcher Weg zu einer Praxis passt, ist eine Frage des Einzelfalls – aber dass es gangbare Wege gibt, ist die gute Nachricht.

Was Praxen jetzt konkret tun können

Sinnvoll ist, zunächst zu erfassen, welche KI-Werkzeuge tatsächlich im Einsatz sind, die Verarbeitung von Patientendaten in frei zugänglichen Tools zu stoppen, das Team einzuweisen und für geplante Anwendungen frühzeitig die datenschutzrechtlichen Fragen zu klären. Die folgende Reihenfolge hat sich als pragmatischer Einstieg bewährt:

  • Bestandsaufnahme. Welche KI nutzt das Team wirklich – auch inoffiziell? Häufig laufen Werkzeuge mit, von denen die Leitung nichts weiß.
  • Sofortmaßnahme. Keine Patientendaten in frei zugängliche KI-Dienste. Diese eine Regel verhindert den häufigsten und folgenreichsten Fehler.
  • Einweisung. Das Team kurz und dokumentiert schulen – was die Werkzeuge dürfen, wo ihre Grenzen liegen, welche Daten nicht hineingehören.
  • Vorausschauen. Für geplante Anwendungen früh klären, ob es sich um Hochrisiko-Systeme handelt und ob eine Datenschutz-Folgenabschätzung nötig ist. Ist ein Datenschutzbeauftragter bestellt, gehört er hier eingebunden.
  • Ordnung schaffen. Zuständigkeiten festlegen, eine einfache Übersicht der eingesetzten Systeme führen. Das ist die Grundlage, auf der spätere Pflichten ohne Stress erfüllbar werden.

Keiner dieser Schritte erfordert teure Technik oder juristisches Spezialwissen. Sie erfordern vor allem, dass sich einmal jemand strukturiert hinsetzt und die Lage ordnet – genau das ist erfahrungsgemäß die größte Hürde im Praxisalltag.

Quellen und weiterführende Hinweise

Häufige Fragen

Darf ich ChatGPT in meiner Praxis nutzen?

Für Aufgaben ohne Patientenbezug – etwa einen allgemeinen Mustertext zu entwerfen – ist das unproblematisch. Sobald Patientendaten ins Spiel kommen, verletzt die Standardversion regelmäßig die Schweigepflicht und stellt zugleich einen Datenschutzverstoß dar. Dafür braucht es besonders abgesicherte Lösungen.

Welche KI-Werkzeuge sind in der Praxis erlaubt?

Verwaltungs- und Dokumentationswerkzeuge mit Verarbeitung innerhalb der EU und vertraglicher Absicherung sind in der Regel nutzbar, ebenso in die Praxissoftware eingebettete Funktionen. Diagnoseunterstützende Systeme sind häufig Hochrisiko-KI und an strengere Bedingungen geknüpft. Entscheidend bleibt immer die menschliche Endkontrolle.

Was ist die KI-Kompetenzpflicht?

Seit Februar 2025 müssen Personen, die mit KI arbeiten, über ausreichendes Wissen für einen verantwortungsvollen Umgang verfügen. Diese Pflicht gilt bereits jetzt und ist unabhängig von den späteren Fristen für Hochrisiko-Systeme.

Ab wann gelten die strengen Pflichten für Hochrisiko-KI?

Der Digital Omnibus zur KI-Verordnung wurde im Juni 2026 endgültig beschlossen. Danach gelten die strengen Pflichten für Hochrisiko-KI spätestens ab Dezember 2027 für eigenständige Systeme und ab August 2028 für in Medizinprodukte eingebettete Systeme – gekoppelt an die Verfügbarkeit der technischen Standards, sodass sie auch früher greifen können.

Darf eine KI Diagnosen stellen?

KI darf den Behandler unterstützen, aber die fachliche Verantwortung und die abschließende Entscheidung bleiben beim Menschen. Eine ungeprüft übernommene KI-Diagnose ist nicht zulässig.

Brauche ich für KI eine Datenschutz-Folgenabschätzung?

Bei umfangreicher Verarbeitung von Gesundheitsdaten oder beim Einsatz von Hochrisiko-KI ist eine Datenschutz-Folgenabschätzung regelmäßig erforderlich. Ein bestellter Datenschutzbeauftragter ist dabei einzubeziehen.

Dürfen wir die vom Hersteller gelieferten Website-Texte zu einem KI-System einfach übernehmen?

Viele Anbieter von KI- oder Gerätesystemen liefern fertige Textbausteine für die Praxis-Website mit. Das ist bequem, aber mit Vorsicht zu genießen: Für die Aussagen auf Ihrer Website sind heilmittelwerberechtlich Sie verantwortlich, nicht der Hersteller. Vorgefertigte Texte enthalten gelegentlich werbliche Wirkaussagen oder Prozentangaben, die im Praxiskontext – insbesondere bei Bezug zu Krebs (§ 12 HWG) – angreifbar sein können. Es empfiehlt sich, solche zugelieferten Bausteine vor der Veröffentlichung auf Sachlichkeit und HWG-Konformität zu prüfen.

KI am Praxistelefon: Was ein Telefonassistent darf – und was er können muss

von | 1. Juli, 2026 | Künstliche Intelligenz

Das Telefon ist in vielen Praxen der Engpass: Es klingelt, während am Tresen Patienten warten, und abends bleiben verpasste Anrufe liegen. Kein Wunder, dass KI-gestützte Telefonassistenten gerade Konjunktur haben – Systeme, die Anrufe annehmen, Termine vergeben und Rückrufe notieren. Das kann echte Entlastung sein. Es wirft aber Fragen auf, die vor der Einführung geklärt sein sollten: Muss ich Anrufer darüber informieren? Wo landen die Gesprächsdaten? Und wo hört das Erlaubte auf? Dieser Beitrag ordnet die Lage ein.

Darf eine KI überhaupt das Praxistelefon beantworten?

Ja, eine Praxis darf einen KI-Telefonassistenten einsetzen. Drei Bedingungen sind dabei zentral: Anrufer müssen erkennen können, dass sie mit einer Maschine sprechen, die Gesprächsdaten müssen datenschutzkonform verarbeitet werden, und die Schweigepflicht muss gewahrt bleiben. Der Einsatz ist also kein rechtliches Tabu, sondern eine Frage der richtigen Gestaltung. Für die typischen Aufgaben – Termine vergeben, Rückrufwünsche aufnehmen, nach Öffnungszeiten Auskunft geben – ist ein solcher Assistent in der Regel unproblematisch, solange die drei Bedingungen erfüllt sind.

Wichtig ist die Erwartungshaltung: Ein Telefonassistent ist ein Organisationswerkzeug, kein Ersatz für fachliche Auskunft. Sobald es inhaltlich um die Behandlung geht, gehört das Gespräch an einen Menschen.

Die Transparenzpflicht: Anrufer müssen es wissen

Die KI-Verordnung verlangt, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren. Ein Telefonassistent muss sich also als solcher zu erkennen geben – eine als Mensch getarnte Stimme ist nicht zulässig. Das lässt sich einfach umsetzen: eine kurze Ansage zu Beginn genügt, etwa dass hier ein digitaler Assistent Termine entgegennimmt und bei Bedarf an das Team weiterleitet.

Diese Transparenz ist nicht nur Pflicht, sondern auch klug. Patienten reagieren erfahrungsgemäß gelassener, wenn sie wissen, woran sie sind, als wenn sie erst im Gespräch merken, dass ihr Gegenüber kein Mensch ist. Ehrlichkeit an dieser Stelle schützt das Vertrauen, von dem eine Praxis lebt.

Wo landen die Gesprächsdaten?

Ein Telefongespräch mit einer Praxis enthält fast immer personenbezogene und häufig gesundheitsbezogene Daten – und die gehören zu den besonders geschützten Kategorien. Entscheidend ist deshalb, wo und wie der Anbieter diese Daten verarbeitet. Schon der Name und der Wunsch nach einem Termin sind personenbezogen; kommt der Grund des Anrufs hinzu, sind es Gesundheitsdaten. Für die Praxis heißt das: Es braucht einen Auftragsverarbeitungsvertrag mit dem Anbieter, Klarheit über den Ort der Verarbeitung (idealerweise innerhalb der EU) und ein nachvollziehbares Konzept, wie lange Aufnahmen oder Transkripte gespeichert werden.

Wo Gespräche aufgezeichnet oder transkribiert werden, kommt die Frage der Einwilligung hinzu. Auch hier gilt die Grundlinie aus dem Datenschutz: kontrollierte, vertraglich eingebundene Verarbeitung ist ein Thema, eine unkontrollierte Weitergabe an einen beliebigen Dienst ein anderes.

Ist ein Telefonassistent ein Hochrisiko-System?

Ein Assistent, der Termine vergibt und Rückrufe notiert, ist in der Regel kein Hochrisiko-System im Sinne der KI-Verordnung – solange er nicht in die Behandlung eingreift. Als Betreiber hat Ihre Praxis vor allem schlanke Pflichten: den Assistenten kennzeichnen, ihn nur für den vorgesehenen Zweck nutzen und die menschliche Kontrolle sicherstellen. Die strengen Anforderungen an Hochrisiko-KI zielen auf Systeme, die unmittelbar in die Versorgung eingreifen – Diagnose, Therapieplanung, Triage. Ein reiner Organisations-Assistent fällt nicht darunter.

Die Grenze ist aber genau dort zu ziehen: Sobald ein System anfinge, Beschwerden einzuordnen oder medizinische Auskünfte zu geben, verließe es den sicheren Bereich. Deshalb gehört zu einem sauberen Aufbau immer ein klarer Übergabepunkt an einen Menschen – für alles, was über Organisation hinausgeht, und für Notfälle.

Was Praxen konkret tun können

Sinnvoll ist, vor der Einführung den Zweck eng zu fassen, die Transparenz sicherzustellen und den Anbieter gezielt nach Verarbeitungsort, Vertrag und Löschkonzept auszuwählen. Als pragmatischer Einstieg:

  • Zweck festlegen. Termine, Rückrufe, Standardauskünfte – ja. Medizinische Fragen und Befunde – nein.
  • Kennzeichnung einbauen. Eine kurze Ansage, dass ein digitaler Assistent das Gespräch führt.
  • Anbieter prüfen. Verarbeitung möglichst in der EU, Auftragsverarbeitungsvertrag, klares Lösch- und Speicherkonzept.
  • Notfall-Weg definieren. Ein verlässlicher Übergabepunkt an einen Menschen für dringende Anliegen.
  • Team einweisen. Kurz dokumentieren, wie der Assistent arbeitet und wann übernommen wird.

Die Grundlagen zum Umgang mit Gesundheitsdaten und zur KI-Verordnung vertiefen wir in eigenen Beiträgen zu Datenschutz und zu künstlicher Intelligenz in der Praxis.

Quellen und weiterführende Hinweise

  • Verordnung (EU) 2024/1689 (KI-Verordnung / EU AI Act), insbesondere die Transparenzpflichten für Systeme, mit denen Menschen interagieren, sowie die Betreiberpflichten
  • Datenschutz-Grundverordnung, insbesondere die Vorschriften zu Gesundheitsdaten (Art. 9) und zur Auftragsverarbeitung (Art. 28)
  • § 203 Strafgesetzbuch (Verletzung von Privatgeheimnissen) für den Umgang mit der Schweigepflicht am Telefon

Muss ich Anrufern sagen, dass eine KI antwortet?

Ja. Die KI-Verordnung verlangt, dass Menschen erkennen können, dass sie mit einem KI-System sprechen. Eine kurze Ansage zu Beginn des Gesprächs genügt.

Wo werden die Gespräche verarbeitet?

Das hängt vom Anbieter ab – und genau danach sollten Sie fragen. Idealerweise erfolgt die Verarbeitung innerhalb der EU, mit einem Auftragsverarbeitungsvertrag und einem klaren Konzept, wie lange Daten gespeichert werden.

Ist ein KI-Telefonassistent ein Hochrisiko-System?

In der Regel nicht, solange er nur organisiert und nicht in die Behandlung eingreift. Als Betreiber müssen Sie ihn vor allem kennzeichnen, zweckgebunden einsetzen und die menschliche Kontrolle sichern.

Darf die KI medizinische Fragen beantworten?

Nein. Für alles, was über Organisation hinausgeht, gehört ein Mensch ans Telefon. Der Assistent sollte solche Anliegen erkennen und weiterleiten.

Lohnt sich das für eine kleine Praxis?

Das ist eine Abwägung aus Anrufaufkommen, Kosten und Entlastung. Technisch und rechtlich ist es auch für kleine Praxen machbar – entscheidend ist die saubere Einrichtung, nicht die Praxisgröße.

Bin ich verantwortlich, wenn ein Anbieter den Assistenten betreibt?

Ja. Den Betrieb können Sie auslagern, die Verantwortung nicht. Ihre Praxis setzt den Assistenten ein und bleibt für Transparenz und Datenschutz verantwortlich – unabhängig davon, wer die Technik bereitstellt. Deshalb lohnt sich die sorgfältige Auswahl des Anbieters.

Patientenbewertungen richtig nutzen: Was erlaubt ist – und was zur Abmahnung führt

von | 30. Juni, 2026 | Praxiskommunikation

Kaum etwas wirkt für eine Praxis so überzeugend wie die Stimme zufriedener Patienten. Genau deshalb sind Bewertungen aus Marketing-Sicht wertvoll – und genau deshalb sind sie zugleich eines der am häufigsten unterschätzten Risiken auf Praxis-Websites. Denn im Gesundheitsbereich gelten für empfehlende Äußerungen Dritter besondere Regeln. Dieser Beitrag zeigt, was erlaubt ist, wie sich negative Bewertungen handhaben lassen und worauf Sie achten sollten, bevor Sie eine Bewertung auf Ihre Website holen.

Sind Patientenbewertungen überhaupt erlaubt?

Patientenbewertungen sind nicht pauschal verboten. Heikel werden sie im Gesundheitsbereich vor allem dann, wenn sie konkrete Heilungs- oder Besserungsaussagen enthalten – denn empfehlende Äußerungen Dritter fallen unter die Katalogverbote des § 11 Heilmittelwerbegesetz. Eine neutrale Bewertung über Freundlichkeit, kurze Wartezeiten oder ein gutes Gefühl im Termin ist unproblematisch. Eine Bewertung, die schildert, dass eine bestimmte Beschwerde „endlich verschwunden“ sei, bewegt sich dagegen im Risikobereich.

Der Grund liegt in einer Besonderheit des § 11: Ein Verstoß setzt nicht voraus, dass die Aussage falsch ist. Auch eine vollkommen ehrliche, wahre Patientengeschichte kann unzulässig sein, wenn sie in der Publikumswerbung einen Behandlungserfolg nahelegt und so zur Inanspruchnahme der Behandlung verleitet. Es geht also nicht um Wahrheit oder Lüge, sondern um die werbliche Wirkung.

Der Unterschied: eigene Website oder fremdes Portal

Rechtlich macht es einen Unterschied, ob Sie eine Bewertung aktiv auf Ihrer eigenen Website einbinden oder ob sie auf einem Portal wie Google oder Jameda steht. Binden Sie eine Bewertung selbst auf Ihrer Seite ein, machen Sie sich ihre Aussage werblich zu eigen – dann greifen die Maßstäbe des Heilmittelwerberechts unmittelbar. Auf einem fremden Portal ist die Bewertung zunächst die Äußerung des Patienten; Sie haben dort weder die volle Kontrolle noch machen Sie sie automatisch zu Ihrer Werbung.

Praktisch heißt das: Die kritischste Stelle ist die eigene Website. Wer dort Patientenstimmen prominent platziert, sollte sie mit besonderem Bedacht auswählen. Auf den Portalen selbst liegt der Hebel weniger im Einbinden als im richtigen Umgang mit dem, was andere schreiben.

Darf ich um Bewertungen bitten?

Sie dürfen zufriedene Patienten um eine ehrliche Bewertung bitten. Nicht erlaubt ist es, Bewertungen zu kaufen, mit Gegenleistungen zu belohnen oder selbst zu verfassen – das gilt als irreführend und ist wettbewerbsrechtlich angreifbar. Seit der Verschärfung des Wettbewerbsrechts müssen Bewertungen echt und von tatsächlichen Kunden sein; gefälschte oder gekaufte Bewertungen sind ausdrücklich unzulässig.

Die Grenze verläuft zwischen Bitte und Anreiz. Ein freundlicher Hinweis „Wenn Sie zufrieden waren, freuen wir uns über eine Bewertung“ ist unbedenklich. Ein Rabatt oder ein kleines Geschenk für die Bewertung überschreitet die Linie – nicht nur rechtlich, sondern auch mit Blick auf die Richtlinien der Portale, die solche Anreize sanktionieren.

Was tun mit negativen Bewertungen?

Eine negative Bewertung müssen Sie nicht einfach hinnehmen – aber Sie können sie auch nicht beliebig löschen lassen. Entscheidend ist der Unterschied zwischen einer Meinungsäußerung und einer unwahren Tatsachenbehauptung. Eine Meinung („Mir hat die Atmosphäre nicht gefallen“) ist von der Meinungsfreiheit gedeckt und bleibt in aller Regel stehen. Eine unwahre Tatsachenbehauptung („Die Praxis hat meinen Termin dreimal ohne Absage verstreichen lassen“, obwohl das nicht stimmt) kann dagegen eine Grundlage für eine Löschung sein.

Ein zweiter, oft übersehener Weg führt über das Portal selbst: Lässt sich nicht belegen, dass hinter einer Bewertung überhaupt ein echter Patientenkontakt stand, kann der Betreiber zur Prüfung und gegebenenfalls Entfernung verpflichtet sein. Der ruhige Umgang lohnt sich hier doppelt, denn eine sachliche öffentliche Antwort wirkt auf mitlesende Interessenten oft überzeugender als die Bewertung selbst.

Die Falle bei der öffentlichen Antwort: die Schweigepflicht

Wenn Sie öffentlich auf eine Bewertung antworten, kann schon die Bestätigung, dass die Person bei Ihnen in Behandlung war, die Schweigepflicht berühren. Das ist der Punkt, an dem viele Praxen unbewusst ein zweites Risiko eingehen. Antworten wie „Bei Ihrer Behandlung haben wir …“ bestätigen öffentlich ein Behandlungsverhältnis – und genau das ist geschützt.

Sicherer ist eine allgemeine, nicht bestätigende Formulierung: dass Sie Kritik ernst nehmen, dass Sie sich über ein persönliches Gespräch freuen, dass Sie aus Gründen der Verschwiegenheit öffentlich keine Details besprechen. So bleiben Sie souverän, ohne etwas preiszugeben.

Was Praxen konkret tun können

Sinnvoll ist, die eingebundenen Bewertungen einmal gezielt durchzugehen, öffentliche Antworten mit Blick auf die Verschwiegenheit zu formulieren und bei problematischen Fremdbewertungen den geordneten Weg über das Portal zu nutzen. Als pragmatischer Einstieg:

  • Eigene Website sichten. Eingebundene Patientenstimmen auf Heilungs- und Besserungsaussagen durchgehen und abwägen, welche bleiben können – nicht reflexhaft alle löschen, aber die riskanten ersetzen.
  • Antwortvorlagen anlegen. Eine neutrale, nicht bestätigende Standardantwort für Kritik vorbereiten, die die Schweigepflicht wahrt.
  • Keine Anreize setzen. Um Bewertungen bitten ja, dafür belohnen nein.
  • Unwahres melden statt streiten. Bei falschen Tatsachenbehauptungen oder offensichtlich fingierten Bewertungen den Melde- und Prüfweg des Portals gehen.
  • Im Zweifel prüfen lassen. Wo eine Bewertung heikel sein könnte oder eine Löschung ansteht, lohnt die fachliche Einschätzung.

Verwandte Themen behandeln wir in eigenen Beiträgen: was das Heilmittelwerberecht auf der Praxis-Website generell erlaubt und wie Sie mit Patientendaten und der Schweigepflicht im Alltag umgehen.

Quellen und weiterführende Hinweise

  • Heilmittelwerbegesetz (HWG), insbesondere § 11 (Katalogverbote der Laienwerbung, u. a. empfehlende Äußerungen Dritter) – amtlicher Text über gesetze-im-internet.de
  • Gesetz gegen den unlauteren Wettbewerb (UWG), insbesondere die Vorschriften zu irreführenden geschäftlichen Handlungen und zur Echtheit von Bewertungen
  • Bürgerliches Gesetzbuch (BGB) zum allgemeinen Persönlichkeitsrecht sowie die Grundsätze zur Abgrenzung von Meinungsäußerung und Tatsachenbehauptung
  • § 203 Strafgesetzbuch (Verletzung von Privatgeheimnissen) für den Umgang mit der Schweigepflicht bei öffentlichen Antworten

Darf ich Google-Bewertungen auf meiner Website einbinden?

Grundsätzlich ja, aber mit Vorsicht: Sobald Sie Bewertungen aktiv einbinden, machen Sie sich ihre Aussagen werblich zu eigen. Bewertungen mit konkreten Heilungs- oder Besserungsaussagen sind dann im Heilbereich problematisch.

Darf ich meine Patienten um eine Bewertung bitten?

Ja. Eine freundliche Bitte um eine ehrliche Bewertung ist erlaubt. Nicht erlaubt sind Belohnungen, Rabatte oder selbst verfasste Bewertungen – das gilt als irreführend.

Muss ich eine schlechte Bewertung hinnehmen?

Meinungsäußerungen sind in der Regel zulässig und bleiben stehen. Unwahre Tatsachenbehauptungen oder Bewertungen ohne echten Patientenkontakt können dagegen über das Portal beanstandet und gegebenenfalls entfernt werden.

Darf ich öffentlich auf eine Bewertung antworten?

Ja, aber ohne das Behandlungsverhältnis zu bestätigen. Schon die öffentliche Bestätigung, dass jemand Patient war, kann die Schweigepflicht berühren. Antworten Sie sachlich und allgemein.

Darf ich für eine Bewertung ein kleines Geschenk machen?

Nein. Sobald eine Gegenleistung im Spiel ist, gilt die Bewertung als beeinflusst und damit als irreführend – unabhängig davon, ob sie inhaltlich ehrlich ist.

Patientendaten richtig schützen: Schweigepflicht und Datenschutz im Praxisalltag

von | 20. Juni, 2026 | Datenschutz

Eine Praxis verarbeitet täglich einige der sensibelsten Daten überhaupt. Dabei greifen zwei Regelwerke ineinander: die Schweigepflicht – für viele Heilberufe strafrechtlich über § 203 StGB abgesichert – und die Datenschutz-Grundverordnung. Beide gelten unabhängig voneinander, und beide werden im Alltag häufiger berührt, als den Beteiligten bewusst ist – bei jeder E-Mail an einen Patienten, jedem Kontaktformular, jedem Werkzeug, das im Hintergrund mitläuft. Dieser Beitrag zeigt, worauf es ankommt, ohne in Paragrafenangst zu verfallen.

Zwei Regelwerke, die unabhängig voneinander gelten

Datenschutz und Schweigepflicht sind zwei getrennte Rechtsrahmen, die gleichzeitig erfüllt sein müssen. Die Datenschutz-Grundverordnung regelt, wie personenbezogene Daten verarbeitet werden dürfen; die Schweigepflicht – für viele Heilberufe in § 203 StGB strafrechtlich geregelt – schützt das Patientengeheimnis als solches. Das eine ist Datenschutzrecht, das andere ist berufliche Verschwiegenheit – und das hat eine praktische Folge, die viele überrascht: Eine Maßnahme kann datenschutzrechtlich in Ordnung sein und trotzdem die Verschwiegenheit verletzen.

Die Konsequenzen unterscheiden sich entsprechend. Ein Datenschutzverstoß kann ein Bußgeld der Aufsichtsbehörde nach sich ziehen sowie Schadensersatzansprüche der Betroffenen. Wo die strafrechtliche Schweigepflicht greift, ist ein Verstoß dagegen sogar eine Straftat – mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Hinzu kommen in beiden Fällen mögliche berufsrechtliche und zivilrechtliche Folgen. Wer diese Doppelstruktur einmal verstanden hat, trifft im Alltag bessere Entscheidungen, weil er weiß, dass es nicht nur um „den Datenschutz“ geht.

Was die Schweigepflicht alles umfasst

Die Schweigepflicht schützt sämtliche Tatsachen, die einem Heilberufler im Rahmen der Behandlung bekannt werden – einschließlich der bloßen Tatsache, dass jemand überhaupt Patient ist. Sie gilt über den Tod des Patienten hinaus und erstreckt sich auf das gesamte Praxispersonal. Geschützt sind also nicht nur Diagnosen und Befunde, sondern bereits die Information, dass eine bestimmte Person in der Praxis war.

Das ist im Alltag wichtiger, als es klingt. Schon die Bestätigung gegenüber einem Anrufer, dass jemand Patient ist, kann eine Offenbarung sein. Auch das Praxispersonal ist eingebunden: Mitarbeiter, die im Rahmen ihrer Tätigkeit Kenntnis von Patientendaten erlangen, sind ebenfalls zur Verschwiegenheit verpflichtet. Aus diesem Grund gehört die schriftliche Verpflichtung der Mitarbeiter zu den Grundlagen jeder Praxisorganisation.

„Offenbaren“ bedeutet dabei, ein Geheimnis einer Person außerhalb des Behandlungskreises zugänglich zu machen. Entscheidend ist nicht, ob der Dritte die Information tatsächlich liest – schon die Möglichkeit des Zugriffs kann genügen. Genau hier liegt die Brücke zu den digitalen Werkzeugen, um die es weiter unten geht.

Warum Patientendaten besonders geschützt sind

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter engen Ausnahmen erlaubt – etwa zum Zweck der Behandlung oder mit ausdrücklicher Einwilligung des Patienten. Der Gesetzgeber behandelt diese Daten bewusst strenger als gewöhnliche personenbezogene Daten wie eine Lieferadresse.

Für die Praxis bedeutet das vor allem: Je sensibler die Daten, desto höher die Anforderungen an ihren Schutz. Die technischen und organisatorischen Maßnahmen, mit denen eine Praxis ihre Daten sichert, müssen diesem hohen Schutzniveau entsprechen. Gleichzeitig haben Patienten Rechte, die ernst genommen werden sollten – etwa das Recht auf Auskunft und auf eine Kopie ihrer Daten sowie das Recht auf Einsicht in ihre Behandlungsdokumentation.

Dürfen externe Dienstleister Patientendaten verarbeiten?

Ja – das Auslagern an Dienstleister ist möglich, wenn die rechtlichen Voraussetzungen erfüllt sind: ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und die Einbindung der beteiligten Personen in die Verschwiegenheit. Eine Praxis muss also nicht alles selbst erledigen; sie darf IT-Dienstleister, Praxissoftware-Anbieter oder Abrechnungsdienste einsetzen. Für die Berufe, die der strafrechtlichen Schweigepflicht unterliegen, stellt § 203 Abs. 3 StGB zusätzlich klar, dass das Hinzuziehen solcher mitwirkender Personen kein unbefugtes Offenbaren ist, solange sie ordnungsgemäß eingebunden sind.

Wichtig ist die Bedingung dahinter. Damit das Patientengeheimnis gewahrt bleibt, müssen die mitwirkenden Personen ihrerseits zur Geheimhaltung verpflichtet sein, und es braucht den Auftragsverarbeitungsvertrag. Bei einem klassischen, kontrollierten Dienstleister lässt sich das sauber regeln.

Wo dieser Weg endet, ist bei unkontrollierten Dritten – etwa einem allgemeinen Cloud- oder KI-Dienst, der die Daten mit eigenen Interessen verarbeitet und auf den die Praxis keinen geregelten Zugriff einräumen kann. Dort lässt sich die Verschwiegenheit nicht herstellen, und ein Auftragsverarbeitungsvertrag allein genügt nicht. Diese Unterscheidung – kontrollierte Einbindung ja, unkontrollierte Weitergabe nein – ist der rote Faden für alle digitalen Werkzeuge im nächsten Abschnitt.

Die typischen Schwachstellen im Praxisalltag

Die häufigsten Schwachstellen sind unverschlüsselte E-Mails an Patienten, Messenger wie WhatsApp, Kontaktformulare ohne ausreichende Absicherung und allgemeine Cloud-Dienste. Alle vier sind verbreitet – und alle vier verdienen einen genaueren Blick. Keine davon ist automatisch verboten, aber jede birgt ein Risiko, das sich mit überschaubarem Aufwand verringern lässt.

Bei der E-Mail ist der Punkt die Verschlüsselung. Eine gewöhnliche E-Mail ist technisch eher mit einer Postkarte als mit einem verschlossenen Brief vergleichbar. Für Gesundheitsdaten ist das heikel. Wer Patienten per E-Mail erreichen möchte, sollte entweder verschlüsseln beziehungsweise ein Patientenportal nutzen oder das ausdrückliche, dokumentierte Einverständnis des Patienten für den unverschlüsselten Versand einholen.

Messenger wie WhatsApp sind für Patientendaten problematisch, weil Daten an einen Anbieter außerhalb der EU fließen und auf das Adressbuch zugegriffen wird. Für sensible Inhalte sind sie ungeeignet; datenschutzfreundlichere Alternativen oder der Verzicht sind der ruhigere Weg.

Das Kontaktformular auf der Website sollte verschlüsselt übertragen werden, sparsam abfragen und einen klaren Einwilligungstext enthalten. Diagnosedaten haben in einem offenen Formular nichts zu suchen.

Bei Cloud-Diensten gilt die Unterscheidung aus dem vorigen Abschnitt: kontrollierte, vertraglich eingebundene Dienste mit Verarbeitung innerhalb der EU sind ein Thema, allgemeine Dienste ohne diese Absicherung ein anderes. Ein Sonderfall mit eigener Brisanz sind KI-Werkzeuge – warum etwa die Eingabe von Patientendaten in frei zugängliche KI-Dienste regelmäßig ein Problem für die Schweigepflicht ist, behandeln wir in einem eigenen Beitrag zu künstlicher Intelligenz in der Praxis.

Was Praxen konkret tun können

Sinnvoll ist, die eigenen Kommunikationswege einmal strukturiert zu erfassen, sichere Kanäle für sensible Daten zu etablieren, mit allen Dienstleistern Auftragsverarbeitungsverträge zu schließen und das Personal auf Datengeheimnis und Schweigepflicht zu verpflichten. Die folgende Reihenfolge eignet sich als pragmatischer Einstieg, ohne dass gleich die ganze Praxis umgekrempelt werden müsste:

  • Bestandsaufnahme. Über welche Wege laufen aktuell Patientendaten – E-Mail, Telefon, Formular, Messenger, Praxissoftware, Cloud?
  • Sichere Kanäle. Für sensible Daten verschlüsselte Wege oder ein Patientenportal vorsehen.
  • Einwilligungen. Wo bewusst ein weniger sicherer Kanal genutzt wird, das dokumentierte Einverständnis einholen.
  • Verträge. Mit allen Dienstleistern – IT, Cloud, Praxissoftware, Tools – Auftragsverarbeitungsverträge schließen.
  • Personal. Mitarbeiter schriftlich auf Datengeheimnis und Schweigepflicht verpflichten.
  • Dokumentation. Die getroffenen Maßnahmen festhalten und ein Verzeichnis der Verarbeitungstätigkeiten führen.

Keiner dieser Schritte ist für sich genommen kompliziert. Der eigentliche Aufwand liegt darin, sich einmal strukturiert hinzusetzen und die Lage zu ordnen – danach ist der laufende Betrieb deutlich einfacher.

Braucht meine Praxis einen Datenschutzbeauftragten?

Eine Praxis muss einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle aus dem Bundesdatenschutzgesetz ist der wichtigste und klarste Auslöser.

Daneben gibt es einen zweiten, oft missverstandenen Punkt: Eine Benennungspflicht kann auch bestehen, wenn die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Datenkategorien besteht. Für eine einzelne, normal große Praxis wird dies in der Regel nicht als „umfangreich“ in diesem Sinne eingestuft – anders kann es bei größeren Einrichtungen, Versorgungszentren oder Verbünden liegen. Weil die Einordnung vom Einzelfall abhängt, lohnt sich im Zweifel eine kurze Prüfung der konkreten Situation.

Unabhängig von der Pflicht kann ein – auch externer – Datenschutzbeauftragter sinnvoll sein, einfach weil er die Verantwortung für ein komplexes Thema bündelt und der Praxis den Rücken freihält.

Quellen und weiterführende Hinweise

  • § 203 Strafgesetzbuch (Verletzung von Privatgeheimnissen), insbesondere die Regelung zur Einbindung mitwirkender Personen
  • Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) – insbesondere die Vorschriften zu besonderen Datenkategorien (Art. 9), zur Auftragsverarbeitung (Art. 28), zum Auskunftsrecht und zu technischen Schutzmaßnahmen
  • § 630g BGB (Einsichtnahme in die Patientenakte); § 38 Bundesdatenschutzgesetz (Pflicht zur Benennung eines Datenschutzbeauftragten)
  • Empfehlungen der ärztlichen Selbstverwaltung zur Schweigepflicht und Datenverarbeitung in der Praxis

Was ist der Unterschied zwischen Datenschutz und Schweigepflicht?

Es sind zwei getrennte Rechtsrahmen, die gleichzeitig gelten. Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden dürfen; die Schweigepflicht schützt das Patientengeheimnis als solches und ist für viele Heilberufe über § 203 StGB strafrechtlich abgesichert.

Darf ich Patienten unverschlüsselte E-Mails schicken?

Nur mit Vorsicht. Eine gewöhnliche E-Mail ist eher mit einer Postkarte vergleichbar. Für Gesundheitsdaten sollten Sie verschlüsseln, ein Patientenportal nutzen oder das ausdrückliche, dokumentierte Einverständnis für den unverschlüsselten Versand einholen.

Darf ich WhatsApp für die Patientenkommunikation nutzen?

 Für sensible Patientendaten ist WhatsApp ungeeignet, weil Daten an einen Anbieter außerhalb der EU fließen und auf das Adressbuch zugegriffen wird. Datenschutzfreundlichere Alternativen oder der Verzicht sind der sicherere Weg.

Dürfen externe Dienstleister Patientendaten verarbeiten?

Ja, wenn die Voraussetzungen erfüllt sind: ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und die Einbindung der Beteiligten in die Verschwiegenheit. Bei kontrollierten Dienstleistern lässt sich das sauber regeln; bei unkontrollierten Dritten nicht.


Brauche ich einen Datenschutzbeauftragten?

In der Regel dann, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben kann eine Pflicht bei umfangreicher Verarbeitung besonderer Datenkategorien bestehen – das hängt vom Einzelfall ab.

Umfasst die Schweigepflicht auch die Tatsache, dass jemand Patient ist?

Ja. Geschützt sind alle Tatsachen, die im Rahmen der Behandlung bekannt werden – einschließlich der bloßen Information, dass eine bestimmte Person überhaupt Patient ist. Die Pflicht gilt über den Tod hinaus und erstreckt sich auf das gesamte Praxispersonal.