Das Dilemma: Schweigepflicht trifft auf die strengste Datenkategorie der DSGVO
Keine Branche steht beim Thema KI unter schärferen rechtlichen Vorzeichen als die Medizin. Zwei Regelwerke greifen gleichzeitig — und beide in ihrer strengsten Form:
- §203 StGB — die ärztliche Schweigepflicht: Wer als Arzt oder Praxismitarbeiter ein fremdes Geheimnis unbefugt offenbart, macht sich strafbar. Die Eingabe von Patientendaten in einen KI-Dienst, der nicht als „sonstiger Mitwirkender“ nach §203 Abs. 3 StGB vertraglich zur Geheimhaltung verpflichtet ist, kann genau eine solche Offenbarung sein.
- Art. 9 DSGVO — Gesundheitsdaten: Daten über die Gesundheit gehören zu den besonderen Kategorien personenbezogener Daten — der am stärksten geschützten Kategorie der gesamten Verordnung. Ihre Verarbeitung ist grundsätzlich verboten und nur unter engen Ausnahmen erlaubt. Ein Standard-AVV reicht hier nicht; die Hürden liegen deutlich höher als bei „normalen“ personenbezogenen Daten.
Für Steuerberater oder Anwälte ist die KI-Frage mit §203-Vertrag und AVV nach Art. 28 DSGVO lösbar. Für Arztpraxen kommt die Art.-9-Hürde obendrauf — und die ist mit heutiger Cloud-KI-Technologie nicht seriös ausgeräumt. Wer Ihnen etwas anderes verkauft, verkauft Ihnen ein Risiko.
Die rote Linie: Was heute in keine Cloud-KI gehört
Bevor wir über Use-Cases sprechen, die Grenze — klar und ohne Kleingedrucktes:
Identifizierbare Patientendaten gehören 2026 in keine Cloud-KI. Das betrifft Befunde mit Namen, Arztbriefe mit Patientenbezug, Diagnosen mit Geburtsdatum, Laborwerte mit Versichertennummer — alles, was eine Person erkennbar macht und ihre Gesundheit betrifft. Das gilt für ChatGPT, für Microsoft Copilot, für jeden Cloud-Anbieter. Und es gilt auch für ClapNClaw: Wir verarbeiten in der aktuellen Phase bewusst keine Gesundheitsdaten nach Art. 9 DSGVO. Diese Ehrlichkeit ist unbequem — aber sie ist der Stand der Dinge.
Warum diese Härte? Weil bei Art.-9-Daten die Kombination aus Strafbarkeitsrisiko (§203 StGB), Bußgeldrisiko (Art. 83 DSGVO: bis 20 Mio. € oder 4 % des Umsatzes) und Vertrauensschaden gegenüber Patienten in keinem Verhältnis zum Nutzen steht. Die gute Nachricht: Ein großer Teil der Praxisarbeit, die Zeit frisst, hat gar keinen Patientenbezug. Genau dort setzt sichere KI-Nutzung an.
Die 5 sicheren Use-Cases: KI Praxisverwaltung ohne Patientendaten
1. Terminverwaltung: Vorlagen für Recall, Absagen und Erinnerungen
Die KI erstellt und pflegt die Textbausteine Ihrer Terminorganisation: Recall-Schreiben für Vorsorgeuntersuchungen, freundliche Absage- und Verschiebungstexte, Erinnerungsvorlagen für SMS und E-Mail, Wartelisten-Benachrichtigungen. Alles generische Vorlagen mit Platzhaltern — die Namen werden erst in Ihrer Praxissoftware eingesetzt, nicht in der KI.
Praxisbeispiel: Ihre MFA bittet die KI um einen Recall-Vorlagensatz für die Hautkrebsvorsorge: ein Brief, eine E-Mail, eine SMS-Kurzfassung — jeweils in freundlichem Ton, mit Platzhaltern für Name und Wunschtermin. Nach zwei Minuten stehen drei abgestimmte Vorlagen, die vorher eine Stunde Formulierungsarbeit gekostet hätten.
2. Patientenkommunikation: Praxis-FAQs, Aufklärungstexte, Website
Was kostet eine IGeL-Leistung? Wie bereite ich mich auf die Darmspiegelung vor? Was muss ich zur Erstvorstellung mitbringen? Die KI formuliert allgemeinverständliche Antworten auf wiederkehrende Patientenfragen — für Aushänge, die Praxis-Website, Info-Blätter oder den Anrufbeantworter-Text. Kein einziger Patientendatensatz wird dafür benötigt; die fachliche Freigabe bleibt selbstverständlich beim Arzt.
Praxisbeispiel: Die Praxis stellt auf Online-Terminbuchung um. Die KI entwirft die Patienten-Info dafür: eine Schritt-für-Schritt-Anleitung in einfacher Sprache, eine FAQ-Liste mit acht typischen Fragen und einen kurzen Aushang fürs Wartezimmer — auf Wunsch zusätzlich auf Englisch und Türkisch.
3. Überweisungsentwürfe: anonymisiert strukturieren
Hier wird es heikler — und deshalb präzise: Die KI kann beim Strukturieren und Formulieren von Überweisungs- und Anfragetexten helfen, wenn der Input vollständig anonymisiert ist. Das heißt: keine Namen, keine Geburtsdaten, keine Versichertennummern, keine Merkmalskombinationen, die eine Person erkennbar machen. Der abstrakte Fall („Patient, männlich, Mitte 50, mit folgender Symptomatik“) wird zum sauber strukturierten Entwurf — die identifizierenden Angaben ergänzen Sie erst im Praxissystem. Wichtig: Anonymisierung ist anspruchsvoller, als sie klingt. Bei seltenen Krankheitsbildern oder kleinen Orten kann auch ein Text ohne Namen re-identifizierbar sein. Im Zweifel: nicht eingeben.
Praxisbeispiel: Eine Überweisung zum Kardiologen. Der Arzt diktiert der KI den anonymisierten Sachverhalt in Stichworten; sie strukturiert daraus einen klaren Entwurf mit Fragestellung, bisheriger Diagnostik und Medikation als Platzhalterliste. Name, Geburtsdatum und Versichertendaten werden erst in der Praxissoftware ergänzt — die KI hat sie nie gesehen.
4. Dokumenten-Klassifizierung: interne, nicht identifizierbare Unterlagen sortieren
Jede Praxis sammelt Dokumente ohne Patientenbezug: Lieferanten-Rechnungen, Wartungsverträge für Medizintechnik, QM-Dokumente, Hygienepläne, Rundschreiben der KV, Fortbildungsunterlagen. Die KI klassifiziert diese Bestände, fasst lange Rundschreiben zusammen und beantwortet Fragen dazu („Wann läuft der Wartungsvertrag fürs Ultraschallgerät aus?“). Befunde und Patientenakten bleiben dabei außen vor — klassifiziert wird nur, was keine Person identifizierbar macht.
Praxisbeispiel: 40 Seiten KV-Rundschreiben zum Quartalswechsel. Die KI liefert eine halbseitige Zusammenfassung mit den drei Punkten, die Ihre Praxis tatsächlich betreffen — inklusive Fundstellen zum Nachlesen. Lesezeit: zwei Minuten statt vierzig.
5. Teamorganisation: E-Mails, Dienstpläne, Protokolle
Der unterschätzte Klassiker: die Verwaltungsarbeit hinter der Praxis. Antwortentwürfe auf Lieferanten- und Behörden-E-Mails, der Entwurf einer Stellenanzeige für die neue MFA, das Protokoll der Teambesprechung aus Stichpunkten, die Checkliste für die Einarbeitung. Hier ist KI sofort und ohne jede Grauzone einsetzbar — es sind dieselben Büroaufgaben wie in jedem anderen Betrieb.
Praxisbeispiel: Nach der Teambesprechung tippt die Praxismanagerin sieben Stichpunkte in den Chat. Die KI macht daraus ein strukturiertes Protokoll mit Verantwortlichkeiten und Fristen — und entwirft gleich die zwei E-Mails, die sich aus den Beschlüssen ergeben.
Checkliste: KI in der Praxis einführen — ohne Datenschutzrisiko
- Rote Linie schriftlich festlegen: Keine identifizierbaren Patientendaten in die KI — als kurze, klare Arbeitsanweisung für das gesamte Team, nicht als Vermutung im Kopf einzelner.
- Anbieter prüfen: AVV nach Art. 28 DSGVO vorhanden? Verarbeitung ausschließlich in der EU? Keine Nutzung Ihrer Eingaben für KI-Training? Geheimhaltungsverpflichtung nach §203 StGB? Ohne diese vier Punkte: Finger weg.
- Mit Use-Case 5 starten: Teamorganisation und E-Mails sind risikofrei und zeigen den Nutzen am schnellsten. Danach Vorlagen (1) und Patienten-Info (2).
- Team schulen: Eine kurze Einweisung, was erlaubt ist und was nicht — inklusive des Hinweises, dass auch „nur kurz den Befund zusammenfassen lassen“ tabu ist.
- Datenschutzbeauftragten einbinden: Verarbeitungsverzeichnis ergänzen, bei Bedarf Datenschutz-Folgenabschätzung prüfen. Das kostet einen Termin und schafft Rechtssicherheit.
- Regelmäßig nachjustieren: Vierteljährlich prüfen, welche Aufgaben dazukommen können — und ob alle Nutzungen noch diesseits der roten Linie liegen.
Ausblick: Wann kommt KI für Patientendaten?
Die ehrliche Antwort: Die Branche arbeitet daran, aber heute ist es nicht so weit. Die technisch plausibelste Richtung sind lokal betriebene Sprachmodelle — KI, die vollständig auf Hardware in der Praxis oder im eigenen Rechenzentrum läuft, sodass Gesundheitsdaten das Haus nie verlassen. Kleinere offene Modelle werden dafür jedes Jahr leistungsfähiger, und für eng umrissene Aufgaben wie Dokumentationsunterstützung ist dieser Weg absehbar. Bis dahin gilt: Wer Ihnen heute Cloud-KI für Befunde und Patientenakten verkauft, löst das Art.-9-Problem nicht — er verschiebt es auf Ihren Schreibtisch.
Den vollständigen rechtlichen Rahmen — DSGVO, §203 StGB, AVV und die Anforderungen je Berufsgruppe — finden Sie in unserem vollständigen DSGVO-KI-Leitfaden 2026.
Häufige Fragen zu KI in der Arztpraxis
Ist ChatGPT für Ärzte erlaubt?
Für Aufgaben ohne Patientenbezug — etwa Vorlagen, Praxis-FAQs oder Teamorganisation — ist der Einsatz von KI grundsätzlich möglich, sofern DSGVO-Basics wie ein AVV erfüllt sind. Identifizierbare Patientendaten dürfen dagegen in kein Standard-Cloud-Tool wie ChatGPT eingegeben werden: Das verletzt die ärztliche Schweigepflicht nach §203 StGB und verarbeitet Gesundheitsdaten nach Art. 9 DSGVO ohne tragfähige Rechtsgrundlage.
Darf KI Patientendaten verarbeiten?
Gesundheitsdaten sind nach Art. 9 DSGVO besondere Kategorien personenbezogener Daten und unterliegen den strengsten Anforderungen der gesamten Verordnung. Dazu kommt die Strafbarkeit nach §203 StGB bei Offenbarung ohne Befugnis. In der Praxis bedeutet das: Identifizierbare Patientendaten gehören heute in keine Cloud-KI — unabhängig vom Anbieter. Sichere KI-Nutzung in der Praxis beginnt deshalb bei Aufgaben ohne Patientenbezug.
Verarbeitet ClapNClaw Patientendaten?
Nein. ClapNClaw verarbeitet in der aktuellen Phase bewusst keine Gesundheitsdaten nach Art. 9 DSGVO. Der Einsatz in der Arztpraxis konzentriert sich auf Praxisverwaltung, Kommunikationsvorlagen, anonymisierte Entwürfe und Teamorganisation — alles ohne identifizierbare Patientendaten. Diese Grenze kommunizieren wir offen, weil sie der aktuelle Stand der sicheren KI-Nutzung im Gesundheitswesen ist.
Welche KI-Aufgaben sind in der Arztpraxis heute sicher?
Sicher sind Aufgaben ohne identifizierbare Patientendaten: Vorlagen für die Terminverwaltung (Recall, Absagen, Erinnerungen), generische Patientenkommunikation wie Praxis-FAQs und Aufklärungstexte, anonymisierte Überweisungsentwürfe ohne Namen und Geburtsdaten, die Klassifizierung interner nicht identifizierbarer Dokumente sowie E-Mails und Organisation im Praxisteam. Voraussetzung bleibt ein DSGVO-konformer Anbieter mit AVV nach Art. 28.
KI für Ihre Praxisverwaltung — mit klaren Grenzen
Claude auf Ihrem eigenen Server in Frankfurt. AVV nach Art. 28 DSGVO und §203-Geheimhaltungsvertrag ab Tag 1 — für die Praxisarbeit ohne Patientendaten. Setup in 3 Minuten, 14 Tage kostenlos testen.
Mehr für Arztpraxen erfahren →Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung und keine medizinische Beratung dar. Die rechtliche Bewertung des KI-Einsatzes in Ihrer Praxis — insbesondere im Hinblick auf §203 StGB, Art. 9 DSGVO, die Musterberufsordnung und landesrechtliche Vorgaben — hängt vom Einzelfall ab. Ziehen Sie vor der Einführung von KI-Werkzeugen Ihren Datenschutzbeauftragten und bei Bedarf eine auf Medizinrecht spezialisierte Kanzlei hinzu. Stand: Juni 2026.