KI mit Patientendaten in Praxis und Klinik

Was § 9 Abs. 4 Ihrer Berufsordnung verlangt, warum die anwaltliche Auslandsschranke hier fehlt und wie Sie Ihren Anbieter prüfen. Kostenlos als PDF.

Kostenlos herunterladen

Auswahl aus über 5.000 Projekten in 25 Jahren Softwareentwicklung

Für Heilberufe verschiebt sich die Frage gegenüber der Anwaltschaft an einer entscheidenden Stelle - aber nicht so, wie meistens erzählt wird: Eine berufsrechtliche Auslagerungsnorm gibt es sehr wohl. § 9 Abs. 4 der Berufsordnung erlaubt die Offenbarung gegenüber Mitarbeitenden von Dienstleistungsunternehmen, soweit erforderlich, verlangt deren schriftliche Verpflichtung zur Geheimhaltung und lässt zu, diese Verpflichtung auf das beauftragte Dienstleistungsunternehmen zu übertragen. Was fehlt, ist die Auslandsschranke des § 43e BRAO und die Pflicht, über die Strafbarkeit zu belehren. Getragen wird die Einbindung von Dienstleistern damit von § 203 Abs. 3 Satz 2 StGB - der Erlaubnis, gegenüber mitwirkenden Personen zu offenbaren, soweit es für deren Tätigkeit erforderlich ist -, von der Verpflichtungspflicht des Abs. 4 und von § 9 der Berufsordnung der zuständigen Kammer.

Dieser Leitfaden geht die drei Bausteine einzeln durch und hält daneben, was ein konkreter Bezugsweg dafür liefern muss. Die fachliche Grundlage steht ausführlich auf der Seite KI in Praxis und Klinik. Am Ende des Hefts steht ein Prüfpfad mit vierzehn Fragen an den Anbieter und an das eigene Haus - eine Fragenliste, keine Subsumtion: Die Antworten sind das Material für Ihre Prüfung, nicht ihr Ergebnis.

Was in dem Heft steht

Kapitel	Inhalt
Die Antwort auf einer Seite	Die Kernaussage, die vier Aussagen, auf denen sie beruht, und die vier Schritte bis zum Betrieb. Wer nur diese Seite liest, hat die Antwort.
1. Ausgangslage	Warum die Prüfung eine vertragsrechtliche ist und keine technische - und warum die Lage selten „noch keine KI“ lautet.
2. Ihre Berufsordnung	§ 9 Abs. 4 der Berufsordnung, die strengere Schriftform und was bei der Auslandsfrage an die Stelle einer Berufsnorm tritt.
3. § 203 StGB	Absatz 1, 3 und 4, die Einordnung als Vorsatz- und Antragsdelikt und die offene Frage, wie streng die Erforderlichkeit zu lesen ist.
4. Vom Entschluss zum Betrieb	Wie das Team an eine Oberfläche kommt, wie sich eigene Infrastruktur, begleiteter Betrieb und fertige Plattform unterscheiden - und woher die Modelle kommen, wenn Sie selbst betreiben.
5. Die Vertragskette	Vier Dokumente, vier Zwecke - und warum ein Auftragsverarbeitungsvertrag die Verschwiegenheitsverpflichtung nicht ersetzt.
6. Die Bezugswege	Wer die Inferenz betreibt, was die Vertragslinie trägt und was bei jedem Weg offen bleibt.
7. Prüfpfad	Die Fragen an Ihren Anbieter, zum Abhaken und Vorlegen. Eine Fragenliste, keine Subsumtion.
8. Was wir nicht behaupten	Vier offengelegte Grenzen - darunter die gerichtlich ungeklärte Auslegung und die CLOUD-Act-Exposition.
9. Fundstellen	Jede Rechtsaussage zum Nachschlagen; wo wir eine Auffassung wiedergeben statt geltendes Recht, steht es dabei.

Ein Befund vorweg

Die anwaltliche Prüfung „ist der Geheimnisschutz im Ausland dem inländischen vergleichbar?" hat für Heilberufe keine wortgleiche Entsprechung im Berufsrecht. Wer daraus schließt, ein Dienstleister außerhalb Deutschlands sei damit unproblematisch, zieht die falsche Folgerung: Es fehlt eine Prüfstufe, nicht die Grenze.

Die Grenze ziehen zwei andere Ebenen. Art. 44 ff. DSGVO verlangen für jede Übermittlung in ein Drittland einen eigenen Transfermechanismus; bei Beteiligung eines US-Konzerns kommt die Zugriffslage nach dem CLOUD Act als eigener Prüfpunkt hinzu, unabhängig vom Vertragstext. Und Art. 9 DSGVO stellt Gesundheitsdaten unter ein grundsätzliches Verarbeitungsverbot; der praxisrelevanteste Ausnahmetatbestand - lit. h - verlangt dreierlei: einen der genannten Zwecke, eine Grundlage im Unionsrecht, im mitgliedstaatlichen Recht oder in einem Vertrag mit einem Angehörigen eines Gesundheitsberufs (in Deutschland regelmäßig § 22 Abs. 1 Nr. 1 lit. b BDSG oder Landesrecht) und den Vorbehalt des Abs. 3, dass die Verarbeitung durch Fachpersonal unter Geheimhaltungspflicht oder unter dessen Verantwortung erfolgt. Genau das ist der Punkt, an dem die meisten Anbieterprüfungen zu früh aufhören - und der Grund, warum es dieses Heft für Heilberufe gibt und nicht ein gemeinsames für alle Berufsgeheimnisträger: § 43e BRAO beantwortet die Frage für Anwälte ausdrücklich, § 26a BNotO gar nicht - beides gilt hier nicht.

Häufige Fragen zum Leitfaden

Für wen ist dieser Leitfaden?

Für Ärztinnen und Ärzte, Zahnärzte, Psychotherapeutinnen und Psychotherapeuten, Apotheker und weitere Heilberufe mit staatlich geregelter Ausbildung - in Einzelpraxis, MVZ und Klinik. Die Pflicht trifft den einzelnen Berufsträger nach § 203 Abs. 1 Nr. 1 StGB, unabhängig von der Größe des Hauses.

Wir haben kein § 43e BRAO - heißt das, wir haben weniger zu prüfen?

Nein - an einer Stelle sogar mehr. Die Zulässigkeit der Einbindung folgt aus § 203 Abs. 3 Satz 2 StGB und ist an die Erforderlichkeit gebunden, die Verpflichtung der Dienstleister aus Abs. 4. Ihre Berufsordnung regelt die Auslagerung in § 9 Abs. 4 eigens: Offenbarung gegenüber Mitarbeitenden von Dienstleistungsunternehmen bei Erforderlichkeit, Verpflichtung dieser Personen zur Geheimhaltung schriftlich, und die Wahl, die Verpflichtung selbst vorzunehmen oder auf das Dienstleistungsunternehmen zu übertragen. Schriftform ist strenger als die Textform, die das anwaltliche Berufsrecht genügen lässt. Was tatsächlich fehlt, sind die berufsrechtliche Auslandsschranke und die Pflicht zur Belehrung über die Strafbarkeit - dort prüfen Sie Art. 44 ff. DSGVO und Art. 9 DSGVO.

Reicht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?

Nein. Er regelt die datenschutzrechtliche Ebene. § 203 Abs. 4 Satz 2 Nr. 1 StGB stellt daneben das Organisationsversäumnis unter Strafe - allerdings erst, wenn die nicht verpflichtete mitwirkende Person das Geheimnis auch tatsächlich unbefugt offenbart; für mitwirkende Personen, die selbst Berufsgeheimnisträger nach Abs. 1 oder 2 sind, entfällt die Verpflichtungspflicht ausdrücklich. Nr. 2 verlangt dasselbe vom Dienstleister für dessen Subunternehmer. Der Leitfaden zeigt, welches Dokument welchen Zweck erfüllt und wo die Kette in der Praxis reißt.

Bekomme ich damit eine belastbare Freigabe für meinen KI-Einsatz?

Nein, und das behauptet der Leitfaden auch nicht. Er ist eine architektur- und governance-fachliche Einordnung und ersetzt keine Rechtsberatung und keine eigene berufsrechtliche Prüfung; maßgeblich bleibt die Berufsordnung Ihrer Kammer, bei Kliniken zusätzlich das Landes- oder kirchliche Recht des Trägers. Ein eigenes Kapitel legt offen, was wir nicht behaupten.

Bezugsweg für Ihre Praxis oder Klinik besprechen

Dreißig Minuten, in denen wir die Zuordnung von Modell, Weg und Vertragsinstrument für Ihre Konstellation durchgehen - Einzelpraxis, MVZ oder Klinik mit eigenem Rechenzentrum.

Gespräch vereinbaren