Ist der Einsatz von KI in der Psychotherapie überhaupt datenschutzkonform? Die kurze Antwort lautet: Er kann es sein, aber nur unter Bedingungen, die strenger sind als in fast jedem anderen Beruf. Denn was in einer Sitzung gesprochen wird, ist doppelt geschützt. Es sind Gesundheitsdaten im Sinne der DSGVO, und es fällt unter die strafbewehrte Schweigepflicht. Wer eine KI-Lösung auswählt, trifft damit keine Komfortentscheidung, sondern eine rechtliche.
Dieser Beitrag erklärt den rechtlichen Rahmen Schritt für Schritt: Art. 9 DSGVO, §203 StGB, die informierte Einwilligung, den Auftragsverarbeitungsvertrag und die Frage des Verarbeitungsorts. Am Ende steht, was in der Praxis erlaubt ist und was nicht, und wie eine EU-gehostete Architektur mit Zero Data Retention das Haftungsrisiko konkret senkt. Wenn Sie stattdessen wissen möchten, wie Sie eine passende Lösung auswählen, führt der Beitrag zur KI-Dokumentation für Psychotherapeuten durch die einzelnen Auswahlkriterien. Dieser Text hier behandelt die Rechtsgrundlagen.
Warum psychotherapeutische Daten besonders geschützt sind
Zwei Rechtsebenen greifen ineinander, und beide müssen erfüllt sein.
Art. 9 DSGVO. Daten über die psychische Gesundheit einer Person sind eine besondere Kategorie personenbezogener Daten. Für diese Kategorie gilt ein grundsätzliches Verarbeitungsverbot. Erlaubt ist die Verarbeitung nur, wenn eine der eng gefassten Ausnahmen greift, in der ambulanten Praxis regelmäßig die ausdrückliche Einwilligung der betroffenen Person nach Art. 9 Abs. 2 lit. a DSGVO. Anders als bei gewöhnlichen Kontaktdaten reicht ein berechtigtes Interesse hier nicht aus.
§203 StGB. Psychotherapeutinnen und Psychotherapeuten gehören zum Kreis der Berufsgeheimnisträger. Wer ein anvertrautes Geheimnis unbefugt offenbart, macht sich strafbar. Der Strafrahmen reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. Nach §203 Abs. 4 StGB trifft die Pflicht auch berufsmäßig tätige Gehilfen, und seit der Reform von 2017 lassen sich externe Dienstleister nach §203 Abs. 3 StGB einbinden, sofern sie zur Verschwiegenheit verpflichtet werden.
Der Punkt, an dem beide Ebenen zusammenlaufen, ist die Auswahl des Werkzeugs. Ein KI-Dienst, der Sitzungsinhalte auf Servern außerhalb der EU speichert oder zum Training seiner Modelle verwendet, ist zugleich ein datenschutzrechtliches Problem nach Art. 9 und ein Offenbaren gegenüber einem nicht gebundenen Dritten im Sinne von §203.
Die informierte Einwilligung: vor der ersten Aufnahme
Die Einwilligung ist bei besonderen Kategorien der zentrale Erlaubnistatbestand, und sie hat drei Eigenschaften, die in der Praxis oft unterschätzt werden.
Sie muss vorher vorliegen. Eine Sitzung darf nicht aufgezeichnet und anschließend um Zustimmung gebeten werden. Die Einwilligung ist einzuholen, bevor die erste Aufnahme läuft.
Sie muss informiert sein. Die Patientin oder der Patient muss verstehen, dass die Sitzung mit KI-Unterstützung dokumentiert wird, zu welchem Zweck, wo und wie die Daten verarbeitet werden und wann sie gelöscht werden. Eine pauschale Klausel im Behandlungsvertrag genügt dafür in der Regel nicht.
Sie muss freiwillig und widerruflich sein. Die Behandlung darf nicht von der Zustimmung abhängen, und der Widerruf muss jederzeit möglich sein, ohne Nachteil für die Person.
Es empfiehlt sich, die Einwilligung schriftlich festzuhalten, damit die Rechtsgrundlage im Zweifel nachweisbar ist. Ein Muster gehört in die Vorbereitung, nicht in die laufende Sitzung.
Der AVV und der Ort der Verarbeitung
Sobald ein externer Anbieter Sitzungsdaten verarbeitet, wird er zum Auftragsverarbeiter. Damit sind zwei Dinge Pflicht.
Erstens ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ohne ihn fehlt die rechtliche Grundlage für die Weitergabe an den Dienstleister, und die Einbindung nach §203 Abs. 3 StGB ist nicht sauber abgesichert. Der AVV regelt, was der Anbieter mit den Daten tun darf und was nicht, und er verpflichtet ihn auf die Weisungen der Praxis.
Zweitens der Verarbeitungsort. Bei Gesundheitsdaten ist eine Verarbeitung innerhalb der EU der belastbare Weg. Eine Übermittlung in ein Drittland ohne angemessenes Schutzniveau ist bei besonderen Kategorien kaum vertretbar und erhöht das Risiko erheblich. Zu klären ist dabei nicht nur, wo der Anbieter formal sitzt, sondern wo die Daten tatsächlich verarbeitet werden, einschließlich der eingesetzten Sprachmodelle.
Wie diese Bausteine zusammengehören, fasst der Überblick zu DSGVO-konformer KI zusammen.
Was erlaubt ist und was nicht
In der Praxis lässt sich die Rechtslage auf wenige Regeln verdichten.
Nicht zulässig ist es, Sitzungsinhalte, Namen oder erkennbare Fallschilderungen in einen allgemeinen Verbraucher-KI-Dienst zu geben, der keinen AVV bietet, den Verarbeitungsort nicht garantiert und die Eingaben zum Training nutzen darf. Das gilt unabhängig davon, wie gut die Ergebnisse sind. Das Werkzeug wurde nicht für Daten gebaut, die der Schweigepflicht unterliegen.
Nicht zulässig ist es, ohne vorherige informierte Einwilligung aufzuzeichnen, auch wenn die spätere Notiz nur intern verwendet wird.
Zulässig ist der Einsatz einer KI-Lösung, wenn vier Voraussetzungen zusammenkommen: die Verarbeitung findet in der EU statt, ein AVV bindet den Anbieter und über ihn die Modellanbieter, die Daten werden nicht zum Training verwendet und die Patientin oder der Patient hat vor der ersten Aufnahme informiert eingewilligt. In diesem Rahmen ist die Unterstützung durch KI keine Offenbarung an einen unbefugten Dritten, sondern die Einbindung eines verpflichteten Gehilfen im Sinne von §203 Abs. 3 StGB.
Immer erforderlich bleibt die menschliche Freigabe. Die KI erstellt einen Entwurf. Sie prüfen, korrigieren und geben frei. Die fachliche und die rechtliche Verantwortung für den Inhalt der Akte bleiben bei Ihnen.
Wie EU-Hosting und Zero Data Retention das Risiko senken
Die vier Voraussetzungen oben sind keine abstrakten Wünsche, sondern Eigenschaften einer Architektur. Zwei davon tragen den größten Teil der Last.
EU-Verarbeitung stellt sicher, dass die Sitzungsdaten den Geltungsbereich der DSGVO nicht verlassen. Damit entfällt die schwierige Frage der Drittlandübermittlung, die bei besonderen Kategorien besonders heikel ist.
Zero Data Retention bedeutet, dass die Aufnahme und die Zwischenschritte nach der Verarbeitung gelöscht werden, statt auf fremden Servern zu verbleiben. Was nicht dauerhaft gespeichert wird, kann später nicht abfließen, nicht zweckentfremdet und nicht zum Training verwendet werden. Für ein Geheimnis, das §203 StGB schützt, ist das die wirksamste technische Absicherung.
Zusammen mit einem AVV, der auch die Modellanbieter einbindet, und der vorher eingeholten Einwilligung entsteht so ein geschlossener Rahmen. Er hilft, das Haftungsrisiko nach §203 StGB zu senken, weil an jeder Stelle nachvollziehbar ist, wo die Daten liegen, wer gebunden ist und wann gelöscht wird.
Wie Wysor in diesen Rahmen passt
Wysor ist ein privater, EU-gehosteter KI-Workspace. Für die Dokumentation nimmt der Scribe die Sitzung auf und erstellt daraus strukturierte Sitzungsnotizen und Berichtsentwürfe. Sie prüfen den Entwurf und geben ihn frei, die klinische Verantwortung bleibt bei Ihnen.
Auf der Datenschutzseite adressiert Wysor die vier Voraussetzungen: die Verarbeitung findet in der EU statt, es gilt Zero Data Retention, es findet kein Training mit Ihren Daten statt, und ein AVV ist Teil des Angebots und bindet auch die eingesetzten Modellanbieter. Das hilft, das Haftungsrisiko nach §203 StGB zu senken. Die informierte Einwilligung der Patientinnen und Patienten bleibt Ihre Aufgabe und ist vor der ersten Aufnahme einzuholen. Es gibt einen kostenlosen Tarif zum Ausprobieren, Plus für 19,99 Euro und Premium für 29,99 Euro im Monat.
Wie sich daraus im Alltag brauchbare Therapienotizen mit KI erstellen lassen und worauf bei der Werkzeugauswahl zu achten ist, vertieft die KI-Dokumentation für Psychotherapeuten.
Häufige Fragen
Ist KI in der Psychotherapie datenschutzkonform? Der Einsatz kann datenschutzkonform sein, wenn die Voraussetzungen erfüllt sind: Verarbeitung in der EU, ein AVV mit dem Anbieter, keine Nutzung der Daten für das Training und eine informierte Einwilligung der Patientinnen und Patienten. Ohne diese Grundlagen ist die Verarbeitung dieser besonderen Kategorie nach Art. 9 DSGVO nicht zulässig.
Welche Rechtsgrundlage gilt für psychotherapeutische Daten? In der ambulanten Praxis regelmäßig die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Ein berechtigtes Interesse allein reicht bei Gesundheitsdaten nicht aus.
Brauche ich die Einwilligung vor der Aufnahme? Ja. Die informierte Einwilligung muss vorliegen, bevor die erste Sitzung aufgezeichnet wird. Sie sollte Zweck, Verarbeitungsort, Speicherung und Löschung benennen und ist freiwillig und widerruflich.
Ist ein AVV bei KI-Dokumentation Pflicht? Ja. Sobald ein externer Anbieter Sitzungsdaten verarbeitet, ist er Auftragsverarbeiter, und ein AVV nach Art. 28 DSGVO ist die Voraussetzung. Er schafft zugleich die Grundlage, den Anbieter nach §203 Abs. 3 StGB als verpflichteten Dienstleister einzubinden.
Darf ich einen allgemeinen KI-Dienst für Sitzungsnotizen nutzen? Ein allgemeiner Verbraucherdienst ohne AVV, ohne garantierten Verarbeitungsort und mit Nutzung der Eingaben für das Training ist mit Art. 9 DSGVO und der Schweigepflicht schwer vereinbar. Entscheidend sind Hosting, Zero Data Retention und der vertragliche Rahmen, nicht der Funktionsumfang.
Ersetzt die KI meine fachliche Verantwortung? Nein. Die KI erstellt Entwürfe. Die Prüfung, die Freigabe und die Verantwortung für die Akte bleiben bei der Therapeutin oder dem Therapeuten.
