Ärztliche Schweigepflicht und § 203 StGB: KI in der Praxis rechtssicher nutzen

Für Ärztinnen und Ärzte in Deutschland ist die Frage bei KI nicht, ob sie hilft. Sie hilft: Recherche, Arztbrief, Dokumentation. Die eigentliche Frage ist rechtlicher Natur. Patientendaten, die durch ein KI-Werkzeug laufen, unterliegen weiterhin der ärztlichen Schweigepflicht und dem Datenschutz. Erfüllt das Werkzeug diese Anforderungen nicht, gefährdet der Einsatz nicht nur die Patientin, sondern auch Sie selbst.

Dieser Beitrag erklärt, was § 203 StGB verlangt, warum die meisten allgemeinen KI-Dienste im Praxisalltag nicht geeignet sind, und wie sich das § 203-Risiko konkret senken lässt.

Was § 203 StGB verlangt

Die ärztliche Schweigepflicht ist in Deutschland strafbewehrt. § 203 StGB (Verletzung von Privatgeheimnissen) stellt es unter Strafe, wenn ein zur Verschwiegenheit verpflichteter Berufsträger ein ihm anvertrautes Geheimnis unbefugt offenbart. Der Strafrahmen reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe.

Erfasst sind nicht nur Ärztinnen und Ärzte, sondern der ganze Kreis der Berufsgeheimnisträger: Zahnärzte, Apotheker, Angehörige anderer Heilberufe, Psychotherapeuten und auch Rechtsanwälte und Steuerberater. Nach § 203 Abs. 4 StGB gilt die Pflicht ebenso für die berufsmäßig tätigen Gehilfen, also für das Praxisteam.

Anders gesagt: Die Schweigepflicht ist keine Empfehlung. Ihr Bruch ist strafbar. Ein Patientengeheimnis, das an ein Werkzeug gegeben wird, das es speichert, weiterverwendet oder außerhalb eines kontrollierten Rahmens verarbeitet, verlässt den Bereich, den das Gesetz Ihnen zu wahren aufgibt.

Hinzu kommt die DSGVO. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO: ihre Verarbeitung ist grundsätzlich untersagt, außer unter engen Voraussetzungen, und setzt erhöhte Schutzmaßnahmen voraus.

Warum generische KI ein Problem ist

Ein allgemeiner KI-Assistent ist für den allgemeinen Gebrauch gebaut, nicht für die Versorgung. Drei Punkte machen ihn im klinischen Kontext schwierig:

Der Verbleib der Daten. Viele Dienste speichern die Eingaben und dürfen sie zur Verbesserung ihrer Modelle weiterverwenden. Eine Dokumentation, die in ein solches Werkzeug eingefügt wird, kann außerhalb Ihrer Kontrolle gespeichert werden.
Der Ort der Verarbeitung. Daten können außerhalb der Europäischen Union verarbeitet werden, ohne die für Gesundheitsdaten erwarteten Garantien.
Der fehlende vertragliche Rahmen. Ohne einen Auftragsverarbeitungsvertrag (AVV) und ohne Verschwiegenheitsverpflichtung ist rechtlich nicht abgesichert, was der Anbieter mit Ihren Eingaben tut.

Das Problem ist also nicht die Qualität der Antworten. Es ist, dass das Werkzeug nicht für Daten gebaut wurde, die der Schweigepflicht unterliegen.

Der Punkt, den viele übersehen: die § 203-Reform von 2017

Lange galt die Einbindung externer IT- oder Cloud-Dienstleister durch schweigepflichtige Berufsträger als heikel. Mit der Neuregelung von 2017 hat der Gesetzgeber das ausdrücklich geordnet: Nach § 203 Abs. 3 StGB dürfen Berufsgeheimnisträger sonstige mitwirkende Personen, einschließlich externer Dienstleister, so weit einbeziehen, wie das für deren Tätigkeit erforderlich ist. Voraussetzung ist, dass diese Personen zur Verschwiegenheit verpflichtet werden.

Für Sie bedeutet das: Der Einsatz eines externen Dienstes für Dokumentation oder KI ist nicht per se ausgeschlossen. Er ist möglich, wenn der Anbieter vertraglich zur Verschwiegenheit verpflichtet ist und über einen AVV eingebunden wird. Nach § 203 Abs. 4 StGB trifft die mitwirkende Person dann selbst eine strafbewehrte Pflicht.

Die drei Bedingungen einer § 203-konformen KI

Bevor Sie ein KI-Werkzeug in der Praxis einsetzen, genügen drei Fragen, um zu entscheiden.

1. Wo werden die Daten gehostet und verarbeitet? Für Gesundheitsdaten sollte das Hosting auf einer Infrastruktur in Deutschland oder der EU liegen und die Verarbeitung in Europa bleiben.

2. Werden die Daten gespeichert? Die schützende Regel ist Zero Retention: Die Anfrage wird verarbeitet, beantwortet und die Daten anschließend gelöscht. Ihre Eingaben dürfen nicht zum Training eines Modells verwendet werden.

3. Gibt es einen vertraglichen Rahmen? Ein AVV und eine Verschwiegenheitsverpflichtung sollten den Anbieter binden, wie es § 203 Abs. 3 StGB voraussetzt.

Beantwortet ein Werkzeug diese drei Fragen nicht klar, hat es am Patientengeheimnis nichts zu suchen.

Wysor: auf den deutschen Rahmen ausgelegt

Wysor ist eine KI-Arbeitsumgebung für Berufe, die mit sensiblen Daten arbeiten. Datenschutz ist kein Zusatz, sondern der Ausgangspunkt:

Hosting in der EU. Die Plattform wird auf AWS-Infrastruktur innerhalb der Europäischen Union betrieben, mit primärer Verarbeitung in der Region Frankfurt. Die EU-Rechenzentren von AWS verfügen über einschlägige Zertifizierungen für sensible Daten.
Zero Retention. Keine Datenspeicherung ist die Norm, nicht die Ausnahme: Die Anfrage wird verarbeitet, beantwortet und anschließend gelöscht.
AVV und Verschwiegenheit. Wysor arbeitet auf Grundlage eines unterzeichneten Auftragsverarbeitungsvertrags und bindet seine Modellanbieter über AVV ein, mit Verbot des Trainings auf Ihren Eingaben, wie es § 203 Abs. 3 StGB für die Einbindung Dritter voraussetzt.
Verschlüsselung. Daten werden im ruhenden Zustand und bei der Übertragung verschlüsselt.
Deutscher Anbieter. Wysor wird von einer deutschen Gesellschaft betrieben, die dem deutschen Recht und der DSGVO unterliegt.

Diese Architektur adressiert unmittelbar die drei Bedingungen oben. Sie hilft, das § 203-Risiko beim KI-Einsatz zu senken und die schweigepflichtkonforme Nutzung zu unterstützen. Die Einhaltung der Schweigepflicht bleibt Ihre berufsrechtliche Pflicht, der AVV und die Verschwiegenheitsverpflichtung schaffen dafür die Grundlage.

Mehr als Dokumentation: eine Arbeitsumgebung

Eine schweigepflichtkonforme KI ist nicht nur für eine Frage da. Wysor vereint in einer Umgebung, was der Praxisalltag verlangt: die Erstellung von Arztbrief und Dokumentation aus dem Gespräch, eine medizinische Recherche über die Fachliteratur, private Wissensdatenbanken für Ihre Protokolle, Chat mit mehreren Modellen und die E-Mail-Bearbeitung, alles unter Wahrung des Patientengeheimnisses.

Häufige Fragen

Darf ich als Arzt KI für die Dokumentation nutzen? Ja, wenn der Rahmen stimmt. Nach § 203 Abs. 3 StGB dürfen externe Dienstleister eingebunden werden, sofern sie zur Verschwiegenheit verpflichtet und über einen AVV eingebunden sind, das Hosting in Deutschland oder der EU liegt und keine Daten gespeichert werden.

Ist ChatGPT § 203-konform? Ein allgemeiner Verbraucherdienst ohne AVV, ohne Verschwiegenheitsverpflichtung und ohne Garantie über den Verarbeitungsort ist mit der ärztlichen Schweigepflicht schwer vereinbar. Entscheidend sind Hosting, Zero Retention und der vertragliche Rahmen, nicht der Funktionsumfang.

Was verlangt § 203 StGB von IT-Dienstleistern? Seit der Reform 2017 dürfen mitwirkende Personen wie IT- und Cloud-Anbieter eingebunden werden, müssen aber zur Verschwiegenheit verpflichtet werden. Nach § 203 Abs. 4 StGB trifft sie dann selbst eine strafbewehrte Pflicht.

Brauche ich eine Patienteneinwilligung? Für den rechtssicheren Einsatz von KI-gestützter Dokumentation empfiehlt sich in der Regel eine transparente Aufklärung und, je nach Konstellation, eine Einwilligung. Die konkrete Ausgestaltung sollte mit Blick auf Ihre Praxis und die geltende berufsrechtliche Lage erfolgen.

So starten Sie

Sie können Wysor kostenlos auf Wysor.io testen. Bei Fragen zu Schweigepflicht, § 203 StGB oder AVV schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der Anwendung.

Weiterführend: KI in der Arztpraxis, der KI-Arztbrief und medizinische KI für Ärzte.