Datenschutz und KI-Nutzung in der Arztpraxis: Rechtssicher arbeiten

KI in Arztpraxen: aktueller Stand

Künstliche Intelligenz ist in der Arztpraxis längst kein Zukunftsthema mehr, sondern wird bereits heute zur Entlastung im Praxisalltag eingesetzt: etwa bei Telefonassistenz und Terminmanagement, bei der Transkription und Strukturierung von Arzt-Patienten-Gesprächen, bei der Erstellung von Dokumentationsentwürfen, Arztbriefen und Patienteninformationen sowie in einzelnen Bereichen der Diagnostik, etwa bei bildgebenden Verfahren oder Entscheidungsunterstützung.

Die Vorteile liegen auf der Hand: weniger Verwaltungsaufwand, schnellere Abläufe, bessere Erreichbarkeit und mehr Zeit für die Patientenversorgung. Gerade weil KI im Praxisalltag so niedrigschwellig verfügbar ist, entsteht jedoch schnell ein Risiko, wenn einzelne Tools ohne vorherige Prüfung oder Freigabe genutzt werden. Diese ungeregelte Nutzung wird als Schatten-KI bezeichnet.

Von Schatten-KI spricht man, wenn Mitarbeitende KI-Tools ohne Wissen der Praxisleitung, ohne Datenschutzprüfung oder ohne klare interne Regeln nutzen. Kritisch wird es insbesondere, wenn Patientendaten, Befunde oder Arztbriefentwürfe in frei verfügbare KI-Programme / Chatbots eingegeben werden. Dann ist oft unklar, wohin die Daten übertragen werden, ob sie gespeichert, weiterverarbeitet oder zum Training der KI genutzt werden. Gerade bei Gesundheitsdaten kann dies gegen die DSGVO und ärztliche Schweigepflicht verstoßen und Folgen wie Abmahnungen, Bußgelder, Schadensersatzforderungen oder Reputationsschäden nach sich ziehen.

Arztpraxen sollten daher klar festlegen, welche KI-Tools genutzt werden dürfen – und welche Daten niemals in ungeprüfte Systeme eingegeben werden dürfen.

Nützliche Empfehlungen für verschiedene KI-Anwendungen in der Arztpraxis

Rechtliche Grundlagen zur KI-Nutzung von Ärztinnen und Ärzten

Rechtlich gilt: KI ist nicht verboten, aber auch kein rechtsfreier Raum. Neben der DSGVO und der ärztlichen Schweigepflicht ist inzwischen auch der EU AI Act zu beachten, der seit dem 1. August 2024 in Kraft ist und insbesondere für medizinische Hochrisiko-KI Anforderungen wie Risikomanagement, Datenqualität, Transparenz und menschliche Aufsicht vorsieht.

Für Ärztinnen und Ärzte bedeutet das vor allem: Die Praxis bleibt verantwortlich dafür, welche KI-Anwendung eingesetzt wird, welche Patientendaten verarbeitet werden und ob der Einsatz nachvollziehbar dokumentiert ist. Die DSGVO schützt Gesundheitsdaten als besonders sensible Daten; sie dürfen daher nur verarbeitet werden, wenn es dafür eine tragfähige Rechtsgrundlage gibt und die Patientinnen und Patienten transparent informiert werden.

Wird ein externer KI-Anbieter eingesetzt, etwa für Spracherkennung, Dokumentation, Terminassistenz oder Auswertung medizinischer Daten, braucht die Praxis in der Regel einen Auftragsverarbeitungsvertrag. Dieser Vertrag regelt, dass der Anbieter die Daten nur nach Weisung der Praxis verarbeitet, angemessene technische und organisatorische Schutzmaßnahmen einhält, Unterauftragnehmer offenlegt und Patientendaten nicht ungefragt für eigene Zwecke oder zum Training der KI verwendet.

Bei risikoreicheren KI-Anwendungen, insbesondere wenn Gesundheitsdaten automatisiert ausgewertet, bewertet oder für diagnostische Unterstützung genutzt werden, kann außerdem eine Datenschutz-Folgenabschätzung erforderlich sein. Vereinfacht gesagt ist das eine strukturierte Risikoanalyse: Die Praxis prüft vorab, welche Gefahren für die Rechte der Patienten bestehen, etwa Datenabfluss, Fehlentscheidungen, fehlende Nachvollziehbarkeit oder unklare Verantwortlichkeiten, und welche Schutzmaßnahmen dagegen getroffen werden.

Eine Einwilligung der Patienten kann je nach Einsatzszenario ebenfalls erforderlich sein, insbesondere wenn Daten an externe KI-Dienste übermittelt werden oder die KI-Nutzung über die übliche Behandlung und Dokumentation hinausgeht. Diese Einwilligung muss freiwillig, informiert, konkret und widerruflich sein; ein pauschaler Hinweis wie „Wir nutzen KI“ reicht nicht aus. Wichtig ist außerdem: Eine Einwilligung ersetzt weder den Auftragsverarbeitungsvertrag noch die technischen Schutzmaßnahmen oder die Pflicht zur sorgfältigen Auswahl des KI-Systems.

Wer KI rechtssicher einsetzen will, braucht daher klare interne Regeln, geprüfte Anbieter, transparente Patienteninformationen und eine dokumentierte Entscheidung, wofür KI genutzt werden darf – und wofür nicht.

Nützliche Empfehlungen für verschiedene KI-Anwendungen in der Arztpraxis

KI-Tools können in Arztpraxen an vielen Stellen sinnvoll unterstützen – vorausgesetzt, ihr Einsatz ist fachlich geprüft, datenschutzkonform geregelt und für das Praxisteam klar begrenzt. Die KBV weist darauf hin, dass KI-Systeme wie andere Softwaresysteme DSGVO-konform eingesetzt werden müssen; außerdem muss der KI-Einsatz für Patientinnen und Patienten transparent sein. Bei Telefonassistenten oder Chatbots ist insbesondere darauf hinzuweisen, dass die Kommunikation mit einer KI erfolgt.

Sinnvoll ist daher eine einfache Grundregel: Je näher eine KI-Anwendung an Patientendaten, Kommunikation oder medizinischer Entscheidung liegt, desto sorgfältiger müssen Anbieter, Rechtsgrundlage, Dokumentation und Freigabe geprüft werden.

Arztbriefe, Befundtexte und Patienteninformationen

Wenn KI für Arztbriefe, Befundzusammenfassungen oder Patienteninformationen genutzt wird, sollte der Einsatz klar begrenzt sein: Die KI darf Texte vorbereiten, strukturieren oder sprachlich vereinfachen – die medizinische Bewertung und Freigabe bleiben aber immer ärztliche Aufgabe. Besonders wichtig ist, dass keine Patientendaten in ungeprüfte oder frei zugängliche KI-Tools eingegeben werden. Zulässig sollten nur Systeme sein, die von der Praxis freigegeben wurden, datenschutzrechtlich geprüft sind und bei denen klar geregelt ist, ob Daten gespeichert, weiterverarbeitet oder zum Training verwendet werden.

Vor der Nutzung sollte die Praxis festlegen, für welche Dokumente KI eingesetzt werden darf. Unproblematischer sind zum Beispiel allgemeine Patienteninformationen, Textbausteine oder organisatorische Schreiben ohne personenbezogene Daten. Deutlich sensibler sind Arztbriefe, Befundberichte, Anamnesen, Medikationspläne oder Verlaufsdokumentationen, weil hier regelmäßig Gesundheitsdaten verarbeitet werden. Diese Dokumente dürfen nur mit geprüften Systemen erstellt oder bearbeitet werden.

Nachdem die Texte erstellt wurden, müssen sie zwingend durch den Arzt oder die Ärztin durchgelesen und geprüft werden. Für die ärztliche Endkontrolle sollten klare Prüfkriterien gelten: Stimmen Diagnose, Befund, Medikation, Dosierung, Zeitverlauf und Empfehlungen? Wurden die ursprünglich eingegebenen Inhalte ergänzt, verändert oder ausgelassen? Enthält der Text ungesicherte Aussagen oder Formulierungen, die wie eine ärztliche Empfehlung wirken, aber nicht geprüft wurden? Erst nach dieser Kontrolle sollte ein KI-generierter Entwurf in die Patientenakte übernommen oder an Patientinnen, Patienten, Kolleginnen, Kollegen oder andere Stellen versendet werden.

Checkliste für die Praxis: Arztbriefe, Befundtexte und Patienteninformationen

• Nur freigegebene KI-Systeme verwenden
• Keine Patientendaten in offene Chatbots eingeben
• Vorab festlegen, welche Dokumente mit KI erstellt werden dürfen
• KI-Texte immer als Entwurf behandeln
• Medizinische Inhalte ärztlich prüfen und freigeben
• Änderungen, Ergänzungen und Auslassungen kontrollieren
• Keine ungeprüften Empfehlungen übernehmen
• Dokumentieren, wenn KI wesentlich bei der Erstellung unterstützt hat
• Auftragsverarbeitungsvertrag, Speicherort und Trainingsnutzung des Anbieters prüfen

Telefonassistenz und Terminmanagement

Wenn eine KI-Telefonassistenz Anrufe entgegennimmt, Termine vorbereitet, Rückrufwünsche erfasst oder Standardfragen beantwortet, muss der Einsatz für Patientinnen und Patienten klar erkennbar sein. Wer anruft, sollte zu Beginn erfahren, dass er oder sie mit einem KI-System kommuniziert – nicht erst am Ende des Gesprächs. Der Hinweis sollte einfach und verständlich formuliert sein, zum Beispiel: „Sie sprechen mit unserem digitalen Telefonassistenten. Ihre Angaben werden zur Bearbeitung Ihres Anliegens erfasst.“

Vor dem Einsatz sollte die Praxis genau festlegen, welche Aufgaben die Telefonassistenz übernehmen darf. Geeignet sind zum Beispiel Terminwünsche, Rezeptanfragen, Rückrufbitten oder allgemeine organisatorische Fragen. Kritisch sind dagegen medizinische Einschätzungen, Triage, Notfälle, Diagnosen oder Therapieempfehlungen. Für solche Fälle muss klar geregelt sein, dass die KI nicht entscheidet, sondern an das Praxisteam weiterleitet.

Datenschutzrechtlich ist besonders wichtig, welche Daten im Telefonat erhoben werden. Schon Name, Telefonnummer, Anliegen, Beschwerden oder Medikationswünsche können personenbezogene Gesundheitsdaten sein. Deshalb sollte die Praxis prüfen, ob Gesprächsinhalte aufgezeichnet, transkribiert oder gespeichert werden, wo die Verarbeitung stattfindet, wie lange die Daten aufbewahrt werden und wer Zugriff darauf hat. Wird ein externer Anbieter eingesetzt, ist in der Regel ein Auftragsverarbeitungsvertrag erforderlich.

Checkliste für die Praxis: KI-Telefonassistenz

• Zu Gesprächsbeginn klar auf KI-Nutzung hinweisen
• Aufgaben der KI genau begrenzen
• Keine Diagnosen, Therapieempfehlungen oder Notfallentscheidungen durch KI
• Prüfen, welche Daten erhoben, gespeichert oder transkribiert werden
• Speicherfristen und Löschkonzept festlegen
• Zugriff auf Gesprächsinhalte beschränken
• Anbieter, Serverstandort und Unterauftragnehmer prüfen
• Auftragsverarbeitungsvertrag abschließen
• Patienteninformation und Datenschutzhinweise aktualisieren

KI-Dokumentation von Patientengesprächen

Wenn eine KI Arzt-Patienten-Gespräche transkribiert oder daraus Dokumentationsvorschläge erstellt, werden regelmäßig besonders sensible Gesundheitsdaten verarbeitet. Deshalb muss vor dem Einsatz klar sein, ob das Gespräch nur live verarbeitet, aufgezeichnet, transkribiert oder dauerhaft gespeichert wird. Patientinnen und Patienten sollten vor Beginn des Gesprächs verständlich darüber informiert werden, dass eine KI zur Dokumentation eingesetzt wird, welche Daten verarbeitet werden und zu welchem Zweck dies geschieht.

Besonders wichtig ist die Frage der Einwilligung. Je nach System und Einsatz kann eine Einwilligung erforderlich sein, insbesondere wenn das Gespräch aufgezeichnet, an einen externen Anbieter übermittelt oder zur automatisierten Erstellung eines Protokolls verarbeitet wird. Die Einwilligung sollte freiwillig, informiert und widerruflich sein. Lehnt ein Patient oder eine Patientin ab, muss eine Behandlung ohne KI-Dokumentation möglich bleiben.

Die KI-Dokumentation darf außerdem nicht ungeprüft in die Patientenakte übernommen werden. Ärztinnen und Ärzte müssen kontrollieren, ob Anamnese, Befunde, Diagnosen, Medikamente, Dosierungen, Empfehlungen und Zeitverläufe korrekt wiedergegeben wurden. Auch Auslassungen sind kritisch: Eine KI kann wichtige Aussagen nicht erfassen, falsch gewichten oder medizinisch unpassend zusammenfassen. Erst nach ärztlicher Prüfung und Freigabe sollte der Text gespeichert oder weiterverwendet werden.

Checkliste für die Praxis: KI-Dokumentation von Patientengesprächen

• Vorab klären: Live-Verarbeitung, Aufzeichnung, Transkription oder Speicherung?
• Patientinnen und Patienten vor Gesprächsbeginn informieren
• Prüfen, ob eine Einwilligung erforderlich ist
• Behandlung auch ohne KI-Dokumentation ermöglichen
• Anbieter, Serverstandort und Unterauftragnehmer prüfen
• Auftragsverarbeitungsvertrag abschließen
• Speicherfristen und Löschkonzept festlegen
• Zugriff auf Transkripte und Protokolle beschränken
• Keine Nutzung der Gesprächsdaten zum KI-Training ohne ausdrückliche Grundlage
• KI-Protokoll immer ärztlich prüfen und freigeben
• Fehler, Auslassungen und falsche Gewichtungen kontrollieren

Diagnostik und Entscheidungsunterstützung

Wenn KI bei der Diagnostik eingesetzt wird, etwa zur Auswertung von Röntgenbildern, Hautbildern, Laborwerten, Risikoprofilen oder auffälligen Befunden, muss vorab geklärt sein, welchen Zweck das System genau erfüllt. Unterstützt die KI nur bei der Sortierung oder Markierung auffälliger Befunde? Gibt sie eine Risikoeinschätzung ab? Oder beeinflusst sie unmittelbar eine medizinische Entscheidung? Je näher das System an Diagnose, Therapieentscheidung oder Priorisierung liegt, desto strenger müssen Prüfung, Dokumentation und ärztliche Kontrolle sein.

Besonders wichtig ist die Frage, ob die KI-Software als Medizinprodukt einzustufen ist und eine CE-Kennzeichnung benötigt. Das gilt insbesondere, wenn das System medizinische Daten analysiert und daraus diagnostische oder therapeutische Empfehlungen ableitet. Die Praxis sollte daher nur Systeme einsetzen, deren Zweck, Zulassung, Leistungsgrenzen und Verantwortlichkeiten eindeutig beschrieben sind. Anbieterangaben wie „KI-gestützt“ oder „medizinisch validiert“ reichen allein nicht aus.

Die KI darf die ärztliche Beurteilung nicht ersetzen. Ergebnisse müssen kritisch geprüft und im Kontext der Patientengeschichte bewertet werden. Ärztinnen und Ärzte sollten dokumentieren, ob ein KI-System wesentlich zur Befundung oder Risikoeinschätzung beigetragen hat – insbesondere, welche Empfehlung die KI gegeben hat. So bleibt nachvollziehbar, dass die endgültige Entscheidung ärztlich getroffen wurde.

Checkliste für die Praxis: KI in Diagnostik und Entscheidungsunterstützung

• Zweck des KI-Systems genau klären
• Prüfen, ob es sich um ein Medizinprodukt handelt
• CE-Kennzeichnung und Herstellerangaben kontrollieren
• Leistungsgrenzen und Fehlerrisiken kennen
• Nur validierte und zweckgebundene Systeme einsetzen
• Ergebnisse immer ärztlich prüfen
• KI-Befunde mit Anamnese, Untersuchung und weiteren Befunden abgleichen
• Keine automatische Übernahme von Empfehlungen
• Abweichungen von KI-Empfehlungen begründen und dokumentieren
• Zuständigkeiten im Praxisteam klar festlegen
• Datenschutz, Anbieter und Datenverarbeitung prüfen

Praxisorganisation, Abrechnung und interne Prozesse

Wenn KI für organisatorische Aufgaben eingesetzt wird, sollte zuerst geklärt werden, ob dabei Patientendaten verarbeitet werden. Viele Anwendungen lassen sich datenschutzarm gestalten, etwa wenn mit anonymisierten Beispielen, Musterfällen oder rein internen Prozessinformationen gearbeitet wird. Geeignet sind zum Beispiel interne Checklisten, Formulierungshilfen für Recall-Texte, Sortierung allgemeiner Anfragen, Vorbereitung von Praxisinformationen oder Strukturierung von Arbeitsabläufen.
Kritischer wird es, wenn die KI mit konkreten Patientendaten arbeitet, etwa bei Abrechnungsfragen, Terminpriorisierungen, Recall-Listen, Rezeptanfragen oder fallbezogenen Nachrichten. Dann gelten dieselben Grundsätze wie bei anderen KI-Anwendungen: Nur freigegebene Systeme nutzen, Datenverarbeitung prüfen, Zugriff beschränken und Ergebnisse kontrollieren.
Die Praxis sollte außerdem festlegen, wer Vorlagen erstellt, prüft und aktualisiert. Das ist besonders wichtig bei Textbausteinen für Patientenkommunikation, Recall-Schreiben, Abrechnungshinweisen oder internen Arbeitsanweisungen. Veraltete oder ungenaue KI-Vorlagen können sonst zu Missverständnissen, fehlerhaften Abläufen oder falschen Auskünften führen.

Checkliste für die Praxis: KI in Organisation und Abrechnung

• Vorab prüfen: Werden Patientendaten verarbeitet?
• Möglichst mit anonymisierten Daten oder Musterfällen arbeiten
• Nur freigegebene KI-Tools verwenden
• Keine Abrechnungs- oder Patientendaten in offene Chatbots eingeben
• Aufgaben der KI klar begrenzen
• Ergebnisse vor Nutzung kontrollieren
• Vorlagen regelmäßig prüfen und aktualisieren
• Zuständigkeit für KI-generierte Texte festlegen
• Keine automatischen Patienteninformationen ohne Freigabe versenden
• Zugriff auf sensible Organisations- und Abrechnungsdaten beschränken
• Bei externen Anbietern Auftragsverarbeitungsvertrag prüfen

Auswahl eines KI-Tools: kompakte Praxis-Checkliste

Bevor eine Arztpraxis ein KI-Tool einführt, sollte sie nicht nur auf Funktionen und Komfort achten, sondern vor allem auf Datenschutz, Verantwortlichkeiten und medizinische Sicherheit. Die Datenschutzkonferenz empfiehlt, vor dem Einsatz einer KI-Anwendung ausdrücklich festzulegen, für welche Einsatzfelder sie vorgesehen ist und welchem konkreten Zweck sie dient. Genau diese Festlegung hilft, Schatten-KI zu vermeiden und dem Praxisteam klare Grenzen zu geben.

Damit Praxen die wichtigsten Punkte vor der Einführung strukturiert prüfen können, haben wir eine kompakte Checkliste zusammengestellt.

Für Praxen ist außerdem wichtig, einen Anbieter zu wählen, der Datenschutz nicht erst nachträglich ergänzt, sondern von Anfang an in Produktentwicklung, Support und Betrieb berücksichtigt.

Bei tomedo® steht dieser Ansatz im Mittelpunkt: Als deutsches Familienunternehmen mit Entwicklungs- und Supportteam in Deutschland legt zollsoft besonderen Wert auf den Schutz von Praxis- und Patientendaten. Dazu gehören unter anderem datenschutzbewusste Prozesse, regelmäßige Schulungen der Mitarbeitenden, Auftragsverarbeitung bereits bei sensiblen Vorgängen wie Test-Datenkonvertierungen sowie ein Umgang mit Kunden- und Patientendaten unter Beachtung der geltenden Datenschutzanforderungen.

Zum tomedo®-Umfeld gehören verschiedene digitale Lösungen für den Praxisalltag, darunter die tomedo® Praxissoftware mit KI-gestützten Funktionen sowie arzt-direkt für die digitale Patientenkommunikation. Besonders wichtig ist dabei: Produkte mit medizinischer Zweckbestimmung durchlaufen aufwendige Prüf- und Zertifizierungsprozesse als Medizinprodukt, um hohe Anforderungen an Sicherheit, Qualität und Datenschutz zu erfüllen.