KI in der PKV: kein Kammer-Berufsrecht - die Leitplanken kommen aus drei anderen Rechtsgebieten
§ 203 Abs. 1 Nr. 7 StGB stellt PKV-Beschäftigte in den Täterkreis, aber keine Kammer gibt eine KI-Linie vor. Was Strafrecht, Datenschutzrecht und Arbeitsrecht stattdessen verlangen - und warum Art. 9 DSGVO die zweite, eigenständige Ebene ist.
Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung
Die private Krankenversicherung ist die am meisten übersehene § 203-Zielgruppe: Ihre Beschäftigten stehen im Täterkreis des § 203 Abs. 1 Nr. 7 StGB - aber anders als Anwälte, Steuerberater oder Notare haben sie keine Kammer, kein Berufsrecht und keine berufsständische KI-Leitlinie, an der sich ein KI-Einsatz ausrichten ließe. Wer hier KI mit Gesundheits- und Leistungsdaten einführen will, setzt die Leitplanken aus drei anderen Rechtsgebieten zusammen: Strafrecht, Datenschutzrecht, Arbeitsrecht.
Diese Seite ordnet alle drei ein, benennt die Art.-9-Ebene, die keine Vertragskette ersetzt, und zeigt den Markt-Befund mit Stichtag. Den Überblick über alle Berufsgruppen gibt die Einstiegsseite KI für Berufsgeheimnisträger (§ 203 StGB).
Wer bei der PKV unter § 203 fällt - und warum das die IT-Frage verändert
§ 203 Abs. 1 Nr. 7 StGB stellt das unbefugte Offenbaren fremder Geheimnisse unter Strafe, die jemandem als Angehörigem eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle anvertraut worden oder sonst bekanntgeworden sind. In älteren Texten läuft dieselbe Konstellation noch unter „Nr. 6" - die Neufassung des § 203 von 2017 hat den Katalog neu nummeriert; maßgeblich ist der aktuelle Gesetzestext.
Praktisch heißt das: Die Verschwiegenheitspflicht liegt nicht bei einer kleinen Gruppe von Gesellschaftsärzten, sondern quer durch die Sachbearbeitung - Leistungsprüfung, Antragsprüfung mit Gesundheitsfragen, Pflege-Leistungsfälle, Gesundheitsservices. Genau die Prozesse, in denen KI-Unterstützung den größten Hebel hat (Dokumenten-Klassifikation, Arztbrief-Zusammenfassung, Korrespondenz-Entwürfe), sind die Prozesse mit den anvertrauten Geheimnissen.
Für die Einbindung von Dienstleistern gilt dieselbe Mechanik wie bei allen § 203-Verpflichteten: § 203 Abs. 3 Satz 2 StGB erlaubt die Offenbarung gegenüber mitwirkenden Personen, soweit sie für deren Tätigkeit erforderlich ist; Abs. 4 verlangt, dass diese mitwirkenden Personen zur Geheimhaltung verpflichtet werden - sonst haftet der Verpflichtete selbst. Die vollständige Vertrags- und Technikkette mit allen acht Gliedern ist in der 203er-Kette beschrieben.
Kein Kammer-Berufsrecht: was die Leitplanken stattdessen setzen
Anwälte haben § 43e BRAO und den BRAK-Leitfaden, Steuerberater § 62a StBerG und die BStBK-FAQ. PKV-Beschäftigte haben nichts davon - es gibt keine Kammer, die eine KI-Linie vorgibt. Die Leitplanken kommen stattdessen aus drei Rechtsgebieten:
Datenschutzrecht
Das DSGVO-Vollprogramm: Art. 28 (Auftragsverarbeitung), Art. 44 ff. (Drittlandtransfer) - und vor allem Art. 9 für Gesundheitsdaten, dazu unten mehr. Weil die berufsrechtliche Auslandsschranke der Kammerberufe hier fehlt, ist die DSGVO-Drittlandprüfung die maßgebliche Grenze für Dienstleister außerhalb der EU; der CLOUD Act macht US-Anbieter zum eigenen Prüfpunkt.
Arbeitsrecht
Die Abs.-4-Verpflichtung der eigenen Beschäftigten und der Dienstleister-Mitarbeiter läuft über arbeitsvertragliche Verpflichtungserklärungen inklusive Belehrung über die strafrechtlichen Folgen einer Verletzung. Sie ist aktiv zu organisieren und zu dokumentieren - keine Kammer prüft sie, kein Standesrecht erinnert daran.
Interne Compliance und Gremien
Ohne Kammer-FAQ trägt die eigene Governance die Begründungslast: Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Einbindung von Datenschutzbeauftragtem und Mitbestimmungsgremien, dokumentierte Freigabe-Entscheidungen pro KI-Anwendungsfall.
Einordnung der Rechtslinien: Die viel zitierte Auffassung, dass rein automatisierte Verarbeitung ohne menschlichen Klartext-Zugriff kein „Offenbaren" ist, stammt aus der anwaltlichen Debatte - DAV-Stellungnahme SN 32/2025, eine Verbands-Auffassung; die BRAK ist konservativer und hält bereits die Möglichkeit der Kenntnisnahme für kritisch; gerichtlich ist die Frage nicht abschließend geklärt. Weil sie die allgemeine Dogmatik des Offenbarens in § 203 Abs. 1 betrifft, ist sie auch für Nr.-7-Verpflichtete relevant - aber sie ist keine PKV-spezifische Aufsichts-Position und darf nicht als solche verkauft werden. Wie die anwaltliche Rechtslage im Detail aussieht, zeigt der Spoke für Rechtsanwälte.
Art. 9 DSGVO: die zweite Ebene, die dieser Content nicht löst
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten. Daraus folgt der Hinweis, der in jeder PKV-KI-Planung ganz oben stehen muss:
Zusätzlich zur § 203-Absicherung sind eine Art.-9-Rechtsgrundlage und eine Datenschutz-Folgenabschätzung (DSFA) nötig - dieser Content ersetzt sie nicht.
Konkret: Die Verarbeitung von Gesundheitsdaten durch ein KI-System braucht eine eigene Rechtsgrundlage aus Art. 9 Abs. 2 DSGVO. Welcher Tatbestand trägt - Einwilligung, vertragsbezogene oder versicherungsspezifische Grundlagen -, ist Einzelfall-Juristerei pro Prozess; eine pauschale Antwort wäre unseriös. Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei systematischer Verarbeitung sensibler Daten mit neuer Technologie regelmäßig verpflichtend.
Was ein KI-Dienstleister dazu schuldet, ist klar umrissen: Zulieferung nach Art. 28 Abs. 3 lit. f DSGVO - Verarbeitungsbeschreibung, technische und organisatorische Maßnahmen, benannte Subprozessoren, Restrisiken. Die Rechtsgrundlagen-Wahl und die DSFA selbst bleiben beim Verantwortlichen: beim Versicherer.
Der Markt-Befund: niemand adressiert die PKV - Stand 22.07.2026
Unser Wettbewerbs-Screening über rund 25 Anbieter im DACH-§ 203-Markt (Stand 22.07.2026) hat keinen dedizierten KI-Anbieter für private Krankenversicherer gefunden: Die Angebote adressieren Kanzleien, Steuerberater, Ärzte, Kliniken und Notare - die PKV als Nr.-7-Verpflichtete taucht in keinem geprüften Angebot als eigene Zielgruppe auf. Das ist ein Negativ-Befund mit Stichtag, kein Vollständigkeitsbeweis.
Für PKV-Compliance-Verantwortliche bedeutet das zweierlei: Es gibt kein Regal-Produkt, das die Nr.-7-Konstellation fertig löst - und jeder generische „§ 203-konform"-Claim eines Kanzlei-Tools ist auf die Versicherungs-Situation ungeprüft übertragen. Die Prüffragen bleiben dieselben acht Glieder der 203er-Kette; die Antworten muss ein Anbieter für die Versicherungs-Konstellation geben können, nicht für die Kanzlei-Konstellation.
Wofür die PKV KI konkret einsetzt - und was beim Menschen bleibt
Vier Aufgaben-Klassen tragen den Hebel im Versicherungs-Betrieb - jede mit einer ehrlichen Angabe, was die KI leistet und was in menschlicher Verantwortung bleibt:
Dokumenten-Klassifikation im Leistungseingang
Rechnungen, Arztbriefe, Verordnungen und Belege werden klassifiziert, Metadaten (Behandler, Zeitraum, Beträge, Tarifbezug) extrahiert und dem Vorgang zugeordnet. Was bleibt: Die leistungsrechtliche Würdigung liegt beim Sachbearbeiter; extrahierte Werte werden gegen das Dokument geprüft, nicht ungeprüft übernommen.
Arztbrief- und Gutachten-Zusammenfassung
Umfangreiche medizinische Unterlagen werden verdichtet, Auffälligkeiten und fehlende Angaben markiert. Was bleibt: Die medizinische und tarifliche Bewertung - die Zusammenfassung ist Arbeitshilfe mit Quellen-Rückgriff, keine Entscheidungsgrundlage ohne Prüfung des Originals.
Korrespondenz-Entwürfe
Unterlagen-Nachforderungen, Erläuterungen zu Erstattungen, Antwort-Entwürfe auf Kundenanfragen - die KI entwirft, der Mensch prüft und versendet. Was bleibt: Aussagen mit Rechtswirkung (Fristen, Leistungszusagen oder -ablehnungen, Beträge) werden vor Versand fachlich verifiziert.
Leistungsentscheidungen: der Decision-Layer-Kernfall
Die KI bereitet vor - Vollständigkeits-Check, Tarif-Zuordnung, Auffälligkeits-Hinweise. Die Entscheidung selbst trifft ein Mensch oder ein dokumentiertes, versioniertes Regelwerk, nie das Sprachmodell allein; jeder Schritt bleibt nachvollziehbar und anfechtbar. Genau diese Trennung ist die Antwort, die Aufsicht und Betroffene bei automatisierungsnahen Leistungsprozessen zuerst hören wollen.
Restrisiko, ehrlich benannt: Auch eine vorgelagerte PII-Redaktion erkennt nicht jedes Identifikationsmerkmal - verkettete Kontexte oder seltene Diagnose- und Datums-Kombinationen können durchrutschen. Die Redaktion ist Datenminimierung und zweite Verteidigungslinie, nicht die Erfüllungsbedingung der Verschwiegenheit; die trägt die Vertragskette. Und für alle vier Aufgaben-Klassen gilt die Art.-9-Ebene aus dem Abschnitt darüber unverändert.
Wie ein PKV-Setup aussieht: eigener Tenant statt SaaS-Funnel
Versicherer bringen mit, was Kanzleien fehlt: eigene IT, eigene Cloud-Verträge, eigene Compliance-Organisation. Das passende Muster ist deshalb nicht der SaaS-Chat von der Stange, sondern das Setup im eigenen Cloud-Tenant oder als Managed Stack - mit durchgängiger Governance als Architektur-Anforderung: Pseudonymisierung vor dem Modell-Aufruf, klartextfreier Audit-Trail, Verpflichtungs-Kette über alle Dienstleister und Subprozessoren, Fristen-Matrix pro Datenart. Die Pseudonymisierung ist dabei Datenminimierung und zweite Verteidigungslinie - die Verschwiegenheits-Absicherung selbst trägt die Vertragskette.
Für Prozesse mit Entscheidungscharakter - Leistungsentscheidungen sind der Kernfall - kommt die Architektur-Frage nach dem Decision Layer dazu: Welche Schritte entscheidet ein Mensch, welche ein Regelwerk, welche die KI - dokumentiert, nachvollziehbar, anfechtbar. Das ist keine Zusatz-Bürokratie, sondern die Antwort, die Datenschutz-Aufsicht und Betroffene bei automatisierungsnahen Leistungsprozessen zuerst hören wollen.
Wie eine solche Architektur aussieht, zeigt die Referenz-Architektur; die Vertrags- und Nachweisglieder im Detail die 203er-Kette. Den Einstieg über alle Berufsgruppen und Produktformen ordnet die Übersichtsseite ein.
Quellen
§ 203 StGB (Verletzung von Privatgeheimnissen), aktuelle Fassung mit Katalog Abs. 1 Nr. 1–7: gesetze-im-internet.de/stgb/__203.html (Abruf 2026-07-22)
DSGVO, konsolidierte Fassung (Art. 9, 28, 35, 44 ff.): eur-lex.europa.eu (CELEX 32016R0679) (Abruf 2026-07-22)
DAV-Stellungnahme SN 32/2025 zum KI-Einsatz in der Anwaltschaft (anwaltliche Verbands-Auffassung): anwaltverein.de (Abruf 2026-07-22)
BRAK-Leitfaden zum KI-Einsatz (Stand 12/2024, konservativere Linie): brak.de (PDF) (Abruf 2026-07-22)
Markt-Befund: eigenes Wettbewerbs-Screening über rund 25 DACH-Anbieter mit § 203-Bezug, Stand 22.07.2026 - Negativ-Befund zur PKV-Zielgruppe, kein Vollständigkeitsbeweis.
Diese Seite ist eine architektur- und governance-fachliche Einordnung, keine Rechtsberatung. Die Wahl der Art.-9-Rechtsgrundlage, die DSFA und die arbeitsrechtliche Umsetzung der Verpflichtungen obliegen dem Verantwortlichen und seinen rechtlichen Beratern. Die strafrechtliche Einordnung automatisierter KI-Verarbeitung ist gerichtlich nicht abschließend geklärt.
Häufige Fragen aus PKV-Compliance und IT
Fällt jeder PKV-Mitarbeiter unter § 203 StGB?
Welche Aufsicht ersetzt bei der PKV die Kammer-Leitlinien?
Reicht die § 203-Absicherung für KI auf Gesundheitsdaten?
Gilt die anwaltliche Auslandsschranke (§ 43e Abs. 4 BRAO) auch für die PKV?
Wie sieht der konforme KI-Pfad für Ihr Haus aus?
Wir ordnen Ihre Konstellation ein: eigener Cloud-Tenant oder Managed Stack, die Verpflichtungs-Kette über alle Dienstleister - und die Schnittstellen zu Art.-9-Rechtsgrundlage und DSFA, die Ihr Datenschutz-Team führt.
Gespräch vereinbaren