Ja, eine Arztpraxis darf eine KI ans Telefon lassen, unter Bedingungen. § 203 StGB erlaubt es, externe Dienstleister als mitwirkende Personen einzubinden, soweit deren Zugriff auf Patientendaten erforderlich ist. Die Praxis schließt dafür einen Auftragsverarbeitungsvertrag und verpflichtet den Anbieter zur Geheimhaltung. Die KI muss so eingestellt sein, dass sie am Telefon keine Befunde nennt.
Hinweis: Diese Seite informiert sachlich über die Rechtslage und ersetzt keine Rechtsberatung im Einzelfall.
Inhaltsverzeichnis
- Was § 203 StGB in der Arztpraxis schützt
- Die Regelung für mitwirkende Personen in § 203 Abs. 3
- Was das für die KI-Telefonannahme bedeutet
- Was die KI am Praxistelefon sagen darf
- Technische Schutzmaßnahmen
- Die berufsrechtliche Sicht
- Checkliste für Praxen
- Häufige Fragen
Was § 203 StGB in der Arztpraxis schützt
§ 203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Geschützt ist jedes fremde Geheimnis, das einem Arzt, Zahnarzt, Apotheker oder Angehörigen eines anderen Heilberufs in dieser Eigenschaft anvertraut oder bekannt geworden ist. Wer ein solches Geheimnis unbefugt offenbart, dem drohen nach dem Wortlaut des § 203 StGB bis zu ein Jahr Freiheitsstrafe oder Geldstrafe.
Der Begriff des Geheimnisses reicht weit. Schon die Tatsache, dass eine Person Patientin einer bestimmten Praxis ist, fällt darunter. Erst recht gilt das für Diagnosen, Befunde und Behandlungsdaten. Am Telefon entsteht die heikle Situation deshalb nicht erst bei der Auskunft über Laborwerte, sondern bereits bei der Bestätigung, dass jemand dort in Behandlung ist.
Die Schweigepflicht trifft dabei das gesamte Praxisteam. Für Medizinische Fachangestellte gilt die Schweigepflicht am Telefon genauso wie für die Ärztin selbst; MFA sind als berufsmäßig tätige Gehilfen in den Schutzbereich der Norm einbezogen. Neben der strafrechtlichen Ebene besteht eine berufsrechtliche, dazu unten mehr.
Das Telefon ist im Praxisalltag der häufigste Ort für ungewollte Offenbarungen. Ein Rückruf, der beim Arbeitgeber des Patienten landet, eine Terminbestätigung auf der Mailbox eines Familienanschlusses oder ein Gespräch, das im vollen Wartezimmer mitzuhören ist: In jedem dieser Fälle erfährt eine dritte Person von der Behandlungsbeziehung. Wer die Telefonannahme neu organisiert, sollte diese Alltagsrisiken gleich mitdenken.
Die Regelung für mitwirkende Personen in § 203 Abs. 3
Nach § 203 Abs. 3 StGB dürfen Berufsgeheimnisträger Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit erforderlich ist. Externe Dienstleister sind damit keine unbefugten Dritten mehr, sondern mitwirkende Personen mit klar begrenztem Zugriff.
Die Erlaubnis hat eine Kehrseite in Absatz 4. Die mitwirkende Person macht sich selbst strafbar, wenn sie ein ihr bekannt gewordenes Geheimnis unbefugt offenbart. Und der Arzt macht sich strafbar, wenn er nicht dafür gesorgt hat, dass der Dienstleister zur Geheimhaltung verpflichtet wurde. Die Verpflichtungserklärung ist also keine Formalie, sondern die Bedingung, unter der die Praxisleitung straffrei bleibt.
Was das für die KI-Telefonannahme bedeutet
Ein Anbieter von KI-Telefonie verarbeitet Patientendaten, sobald seine KI am Telefon Namen, Rückrufnummern und Anliegen aufnimmt. Er ist damit in der Logik des § 203 Abs. 3 StGB eine sonstige mitwirkende Person, so wie es ein externes Schreibbüro oder ein IT-Dienstleister ist. Zugleich ist er Auftragsverarbeiter im Sinne der DSGVO.
Die dritte Anforderung steckt im Wort „erforderlich". Die KI darf nur auf die Daten zugreifen, die sie für die Anrufannahme braucht: Terminkalender-Slots, Name, Rückrufnummer, Anliegen in Stichworten. Ein Zugriff auf die Behandlungsdokumentation ist für die Telefonannahme nicht erforderlich und gehört deshalb technisch ausgeschlossen.
Ein häufiges Missverständnis betrifft die Angaben des Anrufers selbst. Schildert ein Patient der KI sein Anliegen, offenbart er es aus eigenem Entschluss; die Schweigepflicht der Praxis wird dadurch nicht verletzt. Sie greift in dem Moment, in dem die Praxis oder ihr Dienstleister Informationen preisgibt. Genau deshalb liegt der Schwerpunkt der Konfiguration auf der Frage, was das System sagen darf.
Was die KI am Praxistelefon sagen darf
Für die Gesprächsführung gilt eine einfache Richtschnur: Aufnehmen ist unkritischer als Auskunft geben. Wer anruft und ein Anliegen schildert, offenbart seine Daten selbst. Kritisch wird es, wenn das System Informationen über Patienten herausgibt, denn die Identität eines Anrufers lässt sich am Telefon nicht sicher prüfen.
| Anliegen des Anrufers | Darf die KI das? | Einordnung |
|---|---|---|
| Terminwunsch aufnehmen und Termin buchen | Ja | Organisatorischer Vorgang; der Anrufer gibt seine Daten selbst an |
| Anliegen und Rückrufnummer für einen Rückruf notieren | Ja | Reine Aufnahme, keine Offenbarung durch die Praxis |
| Rezept- oder Überweisungswunsch entgegennehmen | Ja | Bestellung wird nur weitergeleitet, Prüfung bleibt beim Praxisteam |
| Auskunft, ob ein Rezept abholbereit ist | Differenziert | Nur wenn die Praxis das freigibt und die Antwort keine Therapie-Details nennt; im Zweifel Rückruf durch das Team |
| Befunde oder Laborwerte mitteilen | Nein | Offenbarung eines Geheimnisses an eine nicht sicher identifizierte Person |
| Auskunft über Diagnosen oder Behandlungen, auch an Angehörige | Nein | Schweigepflicht gilt auch gegenüber Familienmitgliedern |
Der Fall Rezeptstatus zeigt die Grauzone. Die Aussage „Ihr Rezept liegt zur Abholung bereit" bestätigt zugleich, dass der Genannte Patient der Praxis ist. Praxen, die diese Auskunft freigeben wollen, koppeln sie an eine Rückrufnummer, die im System hinterlegt ist, oder lassen das Team zurückrufen. Die KI wird so konfiguriert, dass sie bei allen anderen medizinischen Fragen freundlich auf den Rückruf verweist.
Technische Schutzmaßnahmen
Die rechtliche Zulässigkeit steht und fällt mit der technischen Umsetzung. Vier Punkte sollte die Praxis beim Anbieter abfragen und sich im AVV zusichern lassen.
Dazu kommt das Zugriffskonzept in der Praxis selbst. Gesprächszusammenfassungen mit Patientenbezug gehören in ein Postfach, das nur das Praxisteam liest, nicht in einen allgemeinen Verteiler. Auf Anbieterseite zählt die Protokollierung: Wer wann auf Transkripte zugegriffen hat, muss nachvollziehbar sein, damit die Praxis ihrer Rechenschaftspflicht nachkommen kann.
Ein eigenes Kapitel ist der Notfall. Die KI muss Formulierungen wie Brustschmerz oder Atemnot erkennen und den Anrufer ohne Umweg an den Notruf 112 oder eine hinterlegte Praxis-Durchwahl verweisen. Das ist weniger eine Frage der Schweigepflicht als der Sorgfalt, gehört aber in jede Abnahme vor dem Start.
Die berufsrechtliche Sicht
Checkliste für Praxen
Diese sieben Punkte arbeitet eine Praxis vor dem Start ab.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen, inklusive Subunternehmer-Liste und Speicherorten.
- Erforderlichkeit dokumentieren: festhalten, welche Daten die KI aufnimmt und worauf sie keinen Zugriff hat.
- Gesprächsregeln konfigurieren: keine Befunde, keine Diagnosen, Rezeptstatus nur nach Freigabe-Entscheidung der Praxisleitung.
- Begrüßungsansage einrichten, die die KI als solche kennzeichnet und auf die Datenschutzerklärung verweist.
- Datenschutzerklärung um die KI-Telefonannahme ergänzen und den Datenschutzbeauftragten einbinden, sofern bestellt.
- Team einweisen: Wer prüft die Zusammenfassungen, wer ruft bei sensiblen Anliegen zurück, wie schnell?