· Maximilian Schütz
Schweigepflicht und KI: was § 203 StGB für Arztpraxen bedeutet
Warum die ärztliche Schweigepflicht bei KI-Werkzeugen eine eigene Prüfung neben der DSGVO verlangt, und welche fünf Fragen Sie einem Anbieter stellen sollten.
Die ärztliche Schweigepflicht ist Strafrecht. § 203 Abs. 1 Nr. 1 StGB stellt es unter Strafe, wenn eine Ärztin oder ein Arzt ein fremdes Geheimnis unbefugt offenbart, das ihr oder ihm in dieser Eigenschaft anvertraut worden oder sonst bekanntgeworden ist. Ein Fremdbefund im Posteingang fällt unter die zweite Variante. Die DSGVO steht daneben, sie ersetzt diese Prüfung nicht. Ein Werkzeug kann datenschutzrechtlich sauber vertraglich geregelt sein und trotzdem eine Offenbarung auslösen.
Für Praxissoftware ist das seit 2017 präziser geregelt. Das Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen hat § 203 StGB um die Figur der mitwirkenden Person ergänzt. Ein IT-Dienstleister, der für die Praxis tätig wird, ist in der Regel eine solche mitwirkende Person; die Einordnung hängt daran, ob er an der Berufsausübung mitwirkt. Das Offenbaren ihr gegenüber ist nach § 203 Abs. 3 Satz 2 StGB zulässig, soweit es für die Inanspruchnahme der Tätigkeit erforderlich ist. Die Praxis muss dafür sorgen, dass die mitwirkende Person zur Geheimhaltung verpflichtet wird. Unterbleibt das und offenbart die mitwirkende Person dann ein Geheimnis, macht sich nach § 203 Abs. 4 Satz 2 Nr. 1 StGB auch die Praxis strafbar. Die sorgfältige Auswahl des Dienstleisters verlangt daneben Art. 28 Abs. 1 DSGVO. Die mitwirkende Person selbst ist nach § 203 Abs. 4 Satz 1 StGB strafbar, wenn sie ein ihr bei ihrer Tätigkeit bekannt gewordenes Geheimnis unbefugt offenbart. Stand dieser Darstellung ist August 2026; die Bewertung Ihres konkreten Einsatzes gehört zu Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung.
Maßgeblich ist der Datenweg. Verlässt ein Patientenname die Praxis, ist die Prüfung nach § 203 StGB fällig. Die Architektur einer KI-Anwendung ist damit ein juristisches Merkmal und nicht nur ein technisches.
Die fünf Fragen an einen Anbieter
Wo läuft das Sprachmodell? Auf einem Server in der Praxis, in einem Rechenzentrum in Deutschland oder bei einem internationalen Anbieter. Diese drei Antworten haben unterschiedliche Konsequenzen. Lassen Sie sich den Ort nennen, nicht die Rechtsform.
Welche Felder verlassen die Praxis? Entscheidend ist, ob Name, Geburtsdatum und Versichertennummer mitgehen oder vorher entfernt werden. Fragen Sie, was genau übertragen wird, und lassen Sie es sich an einem echten Dokument zeigen.
Wird gespeichert? Ein Anbieter, der Eingaben nach der Verarbeitung nicht speichert, kann das schriftlich zusichern. Fragen Sie zusätzlich, ob Eingaben zum Training von Modellen verwendet werden.
Gibt es Unterauftragnehmer außerhalb der EU? Ein deutsches Rechenzentrum nützt wenig, wenn die Modellanfragen von dort an einen internationalen Anbieter weitergereicht werden. Die Liste der Unterauftragnehmer ist die belastbare Auskunft.
Wer trifft die Entscheidung? Fragen Sie, ob das Werkzeug medizinische Inhalte selbst in die Akte schreibt oder einen Vorschlag erzeugt und auf eine Freigabe wartet. Lassen Sie sich zeigen, wo im Ablauf diese Freigabe sitzt und ob sie nachträglich nachvollziehbar ist.
Wie Klarvus damit umgeht
Die Antwort auf die erste Frage fällt je nach Betriebsmodell anders aus. Im On-Premise-Modell laufen App und KI-Modell auf einem Server in Ihrer Praxis; Patientendaten verlassen die Praxis nie und es werden keine identifizierbaren Patientendaten an Dritte übermittelt. In den Modellen mit Cloud-Verarbeitung wird ausschließlich in Deutschland verarbeitet, ohne Speicherung nach der Verarbeitung. Die drei Modelle stehen im Detail auf der Seite Betriebsmodelle.
Ein Punkt bleibt in jedem Modell zu regeln: Wir richten Klarvus persönlich ein und warten die Installation. Wo dabei Personal von uns Zugang zu Ihrem System erhält, sind wir mitwirkende Person im Sinne des § 203 StGB. Die Verpflichtung zur Geheimhaltung regeln wir vertraglich, und wir stellen die Unterlagen bereit, die Ihr Datenschutzbeauftragter dafür braucht. Die rechtliche Bewertung Ihres konkreten Einsatzes nehmen Sie als Praxis vor.
Rein administrative Arbeitsschritte führt Klarvus vollständig aus, etwa das Sortieren eingehender Post. Sobald medizinischer Inhalt entsteht, erzeugt Klarvus einen Vorschlag, den ein Mensch bestätigt, bearbeitet oder verwirft.