Ein KI-Telefonassistent darf in der Arztpraxis eingesetzt werden, wenn drei rechtliche Ebenen sauber zusammenspielen: die Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO, die ärztliche Schweigepflicht nach § 203 StGB und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter. Hinzu kommt eine klare Aufgabentrennung: Der Assistent übernimmt Organisatorisches wie Termine, Öffnungszeiten und Rezeptanfragen. Medizinische Auskünfte gibt er nicht, und in Notfällen verweist er auf die 112 beziehungsweise den ärztlichen Bereitschaftsdienst unter 116117. Loomira ist ein KI-Telefonassistent für kleine und mittlere Unternehmen, der auch in Praxen Anrufe annimmt, Termine bucht und Anliegen strukturiert an das Team übergibt, mit EU-Hosting und DSGVO-konformer Verarbeitung. Dieser Artikel ordnet die Rechtslage für Praxisinhaberinnen und Praxisinhaber ein und endet mit einer Checkliste. Er ergänzt unsere allgemeine DSGVO-Checkliste für KI-Telefonassistenten um die Besonderheiten der Heilberufe. Und er ist ausdrücklich keine Rechtsberatung: Die Einordnung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten oder einer Fachanwältin.

Sind Anrufe in der Arztpraxis Gesundheitsdaten nach Art. 9 DSGVO?

In aller Regel ja. Die DSGVO definiert Gesundheitsdaten in Art. 4 Nr. 15 als personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen, „einschließlich der Erbringung von Gesundheitsdienstleistungen“. Schon die Tatsache, dass jemand Patientin oder Patient einer bestimmten Praxis ist, kann darunterfallen. Erst recht gilt das für Sätze wie „Ich brauche einen Termin wegen meiner Rückenschmerzen“ oder „Ist mein Rezept für das Blutdruckmittel fertig?“.

Für diese besonderen Kategorien gilt nach Art. 9 Abs. 1 DSGVO zunächst ein Verarbeitungsverbot, das nur durch einen der Ausnahmetatbestände in Abs. 2 aufgehoben wird. Für Praxen sind vor allem zwei relevant: die ausdrückliche Einwilligung (lit. a) und die Verarbeitung für Zwecke der Gesundheitsvorsorge, Diagnostik, Versorgung oder Behandlung (lit. h). Letztere ist nach Art. 9 Abs. 3 an Fachpersonal geknüpft, das einem Berufsgeheimnis unterliegt, oder an Personen, die unter dessen Verantwortung handeln. Welche Grundlage für die telefonische Terminvergabe per KI trägt und ob zusätzlich eine Einwilligung eingeholt werden sollte, ist eine Abwägungsfrage, die Sie vor dem Start mit Ihrem Datenschutzbeauftragten klären sollten. Im Zweifel ist der konservative Weg der richtige: eine transparente Ansage und eine Anruferinformation, die die Verarbeitung vollständig beschreibt.

Was bedeutet § 203 StGB für einen KI-Telefonassistenten?

Die Schweigepflicht ist für Ärztinnen und Ärzte nicht nur Berufsrecht, sondern Strafrecht. § 203 Abs. 1 StGB stellt das unbefugte Offenbaren fremder Geheimnisse unter Strafe, die einem Arzt, Zahnarzt oder Angehörigen eines anderen Heilberufs anvertraut wurden. Bis 2017 war deshalb umstritten, ob Praxen externe Dienstleister, etwa für IT oder Telefonie, überhaupt einbinden dürfen, ohne sich strafbar zu machen.

Mit dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen, verkündet im November 2017, hat der Gesetzgeber das geklärt. Seitdem erlaubt § 203 Abs. 3 Satz 2 StGB, Geheimnisse gegenüber „sonstigen Personen“ zu offenbaren, „die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist“. Zwei Bedingungen stecken darin:

  • Erforderlichkeit: Der Dienstleister darf nur das erfahren, was er für seine Aufgabe braucht. Für einen Telefonassistenten bedeutet das: Terminwunsch, Name, Rückrufnummer und Anliegen, aber keine Befunde oder Behandlungsdetails.
  • Verpflichtung zur Geheimhaltung: Nach § 203 Abs. 4 Satz 2 Nr. 1 StGB macht sich auch die Praxis strafbar, wenn sie „nicht dafür Sorge getragen hat“, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde und diese dann ein Geheimnis unbefugt offenbart. Umgekehrt ist die mitwirkende Person selbst nach § 203 Abs. 4 Satz 1 StGB strafrechtlich gebunden.

Eine sonstige mitwirkende Person ist nach § 203 Abs. 3 StGB ein externer Dienstleister, der an der beruflichen Tätigkeit eines Berufsgeheimnisträgers mitwirkt und dem Praxisgeheimnisse nur offenbart werden dürfen, soweit das für seine Tätigkeit erforderlich ist und er zur Geheimhaltung verpflichtet wurde.

Praktisch heißt das: Der AVV nach DSGVO allein reicht für die strafrechtliche Seite nicht automatisch aus. Lassen Sie sich die Verpflichtung zur Verschwiegenheit im Sinne von § 203 StGB vom Anbieter ausdrücklich und schriftlich bestätigen, zusätzlich zum AVV oder als Teil davon.

Welche Rolle spielt der Auftragsverarbeitungsvertrag?

Ein Telefonassistent verarbeitet Anruferdaten im Auftrag der Praxis. Die Praxis bleibt Verantwortliche, der Anbieter ist Auftragsverarbeiter. Art. 28 Abs. 1 DSGVO verpflichtet Sie, nur mit Auftragsverarbeitern zu arbeiten, „die hinreichend Garantien dafür bieten“, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden. Abs. 3 verlangt einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen festlegt.

Für Praxen lohnt der Blick auf drei Punkte im AVV: ob Gesundheitsdaten als Datenkategorie ausdrücklich erfasst sind, welche Unterauftragsverarbeiter eingesetzt werden und wo diese die Daten verarbeiten, und wie Löschung und Auskunft technisch umgesetzt werden. Bei Loomira schließen Sie den AVV bei der Registrierung ab. Die eingesetzten Dienstleister sind in einer Unterauftragsverarbeiter-Übersicht offengelegt, und Sprachverarbeitung, Datenbank und KI-Anbieter laufen über EU-Regionen beziehungsweise EU-Endpunkte.

Braucht die Praxis einen Datenschutzbeauftragten, und was muss er prüfen?

Ob eine Benennung Pflicht ist, hängt von der Praxisgröße und der Art der Verarbeitung ab. Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter unter anderem dann zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen. Art. 37 Abs. 1 lit. c DSGVO knüpft die Pflicht zusätzlich an die umfangreiche Verarbeitung besonderer Kategorien als Kerntätigkeit. Viele Praxen haben ohnehin einen internen oder externen Datenschutzbeauftragten.

Ist er benannt, gehört er vor dem Start eines KI-Telefonassistenten an den Tisch. Typische Prüfpunkte sind die Rechtsgrundlage nach Art. 9 DSGVO, der Eintrag im Verzeichnis der Verarbeitungstätigkeiten und die Frage, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Hinzu kommen die Anruferinformation nach Art. 13 DSGVO und die Löschfristen. Auch ohne Benennungspflicht empfiehlt es sich, diese Fragen einmal strukturiert zu dokumentieren.

Was darf der Assistent am Praxistelefon, und was nicht?

Die Grenze verläuft zwischen Organisation und Medizin. Organisatorisch kann ein Assistent viel übernehmen: Termine buchen und verschieben, Fragen zu Sprechzeiten und Abläufen beantworten, Anliegen zu Rezepten oder Überweisungen aufnehmen und an das Praxisteam weiterleiten. Auf der Seite für Arztpraxen und der Seite für Zahnarztpraxen finden Sie diese Aufgaben im Einzelnen.

Nicht in seine Zuständigkeit gehören:

  • Medizinische Auskünfte: keine Diagnosen, keine Einschätzung von Beschwerden, keine Aussagen zu Medikamenten, Dosierungen oder Befunden.
  • Dringlichkeitsbewertungen: Der Assistent entscheidet nicht, ob ein Anliegen „warten kann“. Er nimmt es auf, kennzeichnet es und übergibt es an das Team.
  • Notfallversorgung: Bei Lebensgefahr gilt die 112. Für akute, aber nicht lebensbedrohliche Beschwerden außerhalb der Sprechzeiten verweist die Kassenärztliche Bundesvereinigung auf den ärztlichen Bereitschaftsdienst unter 116117. Genau diese Unterscheidung sollten Sie dem Assistenten in den Anweisungen mitgeben.

Eine ehrliche Grenze gehört dazu: Ein Sprachassistent kann nicht jede Notfallsituation zuverlässig erkennen, etwa wenn Anrufende sie nicht als solche benennen. Deshalb gehört der Hinweis auf 112 und 116117 nicht nur in die Reaktion auf erkannte Notfälle, sondern auch in die Ansage außerhalb der Sprechzeiten, damit er jede Anruferin und jeden Anrufer erreicht.

Wie setzt Loomira das in der Praxis um?

Einige Voreinstellungen kommen dem Praxisbetrieb entgegen. Gesprächsaudio wird standardmäßig nicht gespeichert, die Sprachverarbeitung erfolgt flüchtig in Echtzeit, und die Aufzeichnung des Gesprächs ist das Transkript. Rufnummern werden nur als gesalzener Prüfwert abgelegt. Transkripte werden standardmäßig nach 30 Tagen anonymisiert, und auf Antrag einer anrufenden Person lassen sich deren Daten löschen. Zu Gesprächsbeginn gibt sich der Assistent als KI zu erkennen. Über das Feld „Anweisungen“ legen Sie fest, was er niemals zusagen darf und wie er mit bestimmten Anliegen umgeht. Unter „Weiterleitung“ bestimmen Sie, was außerhalb der Sprechzeiten passiert.

Ebenso wichtig ist, was in Ihrer Verantwortung liegt. Per E-Mail zugestellte Gesprächsprotokolle landen in Ihrem Postfach und werden von der 30-Tage-Anonymisierung nicht erfasst. Jede zusätzlich aktivierte Integration erweitert den Datenfluss und gehört in die Prüfung durch Ihren Datenschutzbeauftragten.

Checkliste: Was sollten Praxen vor dem Start klären?

  1. Rechtsgrundlage nach Art. 9 DSGVO mit dem Datenschutzbeauftragten festlegen und dokumentieren, einschließlich der Frage, ob eine Einwilligung eingeholt wird.
  2. AVV nach Art. 28 DSGVO abschließen und prüfen, ob Gesundheitsdaten als Datenkategorie erfasst sind.
  3. Verschwiegenheitsverpflichtung nach § 203 StGB vom Anbieter schriftlich bestätigen lassen.
  4. Unterauftragsverarbeiter und deren Verarbeitungsorte prüfen: Wo verarbeitet jeder Dienst, und welche Garantie sichert einen etwaigen Drittlandschritt ab?
  5. Datenschutz-Folgenabschätzung: Erforderlichkeit prüfen und das Ergebnis dokumentieren.
  6. Anruferinformation nach Art. 13 DSGVO um den KI-Assistenten ergänzen und auf der Praxiswebsite veröffentlichen.
  7. Aufgabengrenzen in den Anweisungen festlegen: keine medizinischen Auskünfte, Übergabe an das Team bei allem Unklaren.
  8. Notfallhinweis auf 112 und 116117 in Ansage und Anweisungen hinterlegen und per Testanruf prüfen.
  9. Datensparsamkeit: Audio-Aufzeichnung ausgeschaltet lassen, Protokoll-E-Mails nur an ein geschütztes Praxispostfach senden, Integrationen bewusst auswählen.
  10. Löschfristen und Betroffenenrechte: Aufbewahrungsdauer festlegen und den Ablauf für Lösch- und Auskunftsanfragen im Team klären.
  11. Team einweisen: Wer bearbeitet übergebene Anliegen und dringende Rückrufbitten, und in welcher Zeit?

Fazit: organisatorisch entlasten, medizinisch nicht vertreten

Ein KI-Telefonassistent kann den Praxisempfang bei Terminen und Routinefragen spürbar entlasten, wenn die Praxis die rechtliche Grundlage vorher sauber legt. Dazu gehören die Rechtsgrundlage nach Art. 9 DSGVO, ein AVV, eine ausdrückliche Verschwiegenheitsverpflichtung im Sinne von § 203 StGB und die Abstimmung mit dem Datenschutzbeauftragten. Ebenso klar sollte die Rolle des Assistenten sein: Er organisiert, er berät nicht, und bei Notfällen verweist er auf 112 und 116117. Dieser Artikel gibt eine Orientierung und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung Ihrer Praxis wenden Sie sich an Ihren Datenschutzbeauftragten oder eine auf Medizinrecht spezialisierte Kanzlei.