DSGVO und Schweigepflicht: Sprach-KI im Gesundheitswesen absichern

Warum Rechtskonformität über die Auswahl entscheidet

Für die Leitung eines Krankenhauses oder einer Praxis steht längst nicht mehr zur Debatte, ob eine Sprach-KI die Telefonannahme entlasten kann. Die entscheidende Frage ist eine andere: Hält die Lösung dem Datenschutzrecht stand? Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter eng umrissenen Voraussetzungen zulässig. Dazu kommt die ärztliche Schweigepflicht: Wer einen externen Dienstleister an Patientendaten heranlässt, muss ihn nach § 203 StGB ausdrücklich zur Geheimhaltung verpflichten, sonst kann schon die Weitergabe strafbar sein. In Frankreich kommt die HDS-Zertifizierung (Hébergement de Données de Santé) hinzu, die dort jedes Unternehmen nachweisen muss, das Gesundheitsdaten hostet. Ein Sprachassistent, der Anrufe in einer Gesundheitseinrichtung annimmt, verarbeitet zwangsläufig medizinische Informationen: Namen, Behandlungsanlässe, frühere Termine. Der Bußgeldrahmen der DSGVO reicht bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes; durchgesetzt wird er in Deutschland von der jeweils zuständigen Landesdatenschutzbehörde.

Fünf regulatorische Anforderungen an eine Sprach-KI im Gesundheitswesen

Wer eine Sprach-KI ans Telefon der eigenen Einrichtung setzt, bewegt sich in einem eng gesteckten Rechtsrahmen. Ein einziger ungeklärter Punkt genügt für ein aufsichtsrechtliches Verfahren, und wer die Schweigepflicht verletzt, riskiert zusätzlich ein Strafverfahren. Orientierung geben in Deutschland die Aufsichtsbehörden der Länder und die Orientierungshilfen der Datenschutzkonferenz (DSK); in Frankreich veröffentlicht die dortige Digitalagentur für das Gesundheitswesen (Agence du Numérique en Santé, ANS) laufend aktualisierte Vorgaben für den Einsatz digitaler Technik in Einrichtungen. Diese fünf Punkte klären Sie vor der Inbetriebnahme.

• Prüfen Sie die Zertifizierung Ihres Hosting-Anbieters: In Deutschland sind ISO 27001 und der Kriterienkatalog C5 des BSI die vertraglich üblichen Nachweise, in Frankreich ist die HDS-Zertifizierung durch eine von der französischen Akkreditierungsstelle COFRAC anerkannte Prüfstelle Pflicht
• Regeln Sie die Aufklärung der Anrufenden: Wer anruft, muss erfahren, dass eine KI antwortet. Wird das Gespräch aufgezeichnet, ist dafür eine Einwilligung nötig, denn ohne sie ist die Aufnahme nach § 201 StGB strafbar
• Begrenzen Sie die Datenerhebung auf das, was der Anruf tatsächlich erfordert: Der Grundsatz der Datenminimierung steht in Artikel 5 DSGVO
• Sichern Sie Auskunft und Löschung ab: Anrufende können nach Artikel 15 und 17 DSGVO jederzeit Einsicht in ihre Daten verlangen oder deren Löschung fordern
• Führen Sie eine Datenschutz-Folgenabschätzung durch: Sie ist nach Artikel 35 DSGVO vor dem Produktivstart verpflichtend, sobald Gesundheitsdaten in großem Umfang verarbeitet werden

KI-Verordnung: Was sich 2026 für Gesundheitseinrichtungen ändert

Die KI-Verordnung der EU, die Verordnung (EU) 2024/1689, findet seit 2024 stufenweise Anwendung; 2026 erreicht sie die Stufe, die eine Sprach-KI am Telefon unmittelbar betrifft. Ob ein System als Hochrisiko-System gilt, hängt vom Einsatzzweck ab, nicht von der Branche: Ein Assistent, der lediglich Termine vergibt und weiterverbindet, fällt in aller Regel nicht darunter, ein System, das Anliegen medizinisch einstuft oder Dringlichkeiten priorisiert, sehr wohl. Für jede Sprach-KI am Telefon gilt jedoch die Transparenzpflicht aus Artikel 50: Wer anruft, muss erkennen können, dass eine Maschine antwortet. Wird das System als Hochrisiko-System eingestuft, kommen Konformitätsbewertung, vollständige technische Dokumentation und wirksame menschliche Aufsicht hinzu, und Ihre Einrichtung trägt als Betreiber nach Artikel 26 eigene Pflichten: Sie muss die Aufsicht qualifizierten Personen übertragen, den Betrieb überwachen und die automatisch erzeugten Protokolle aufbewahren. Für die Beschaffung folgt daraus ein klares Kriterium: Anbieter bevorzugen, die diese Anforderungen von der Architektur an mitdenken, statt sie nachträglich zu dokumentieren. Das ist gemeint, wenn von „Compliance by Design“ die Rede ist. Legt ein Anbieter weder die Risikoeinstufung seines Systems noch die technische Dokumentation dazu vor, bleibt das rechtliche Risiko bei Ihrer Einrichtung hängen.

So prüfen Sie die Rechtskonformität Ihres Sprach-KI-Anbieters

Stellen Sie diese Fragen, bevor Sie einen Vertrag über eine Sprach-KI unterschreiben: Wo genau liegen die Daten, bei welchem Unterauftragsverarbeiter und unter welcher Rechtsordnung? Welche Zertifikate und Prüfberichte können Sie vorlegen, mit welchem Ausstellungsdatum und welchem Geltungsbereich? Wie ist Ihr System nach der KI-Verordnung eingestuft, und wo liegt die technische Dokumentation dazu? An welcher Stelle des Gesprächs erfährt die anrufende Person, dass eine KI antwortet? Was geschieht bei einem Löschverlangen, und in welcher Frist? Ein belastbarer Anbieter beantwortet jede dieser Fragen mit einem Dokument statt mit einer Zusage. Die Datenschutz-Folgenabschätzung selbst bleibt Ihre Pflicht als Verantwortlicher; der Anbieter muss Sie nach Artikel 28 DSGVO dabei unterstützen, und dieser Beitrag gehört in den Auftragsverarbeitungsvertrag, nicht in eine Verkaufsunterlage.

• Fordern Sie die gültigen Zertifikate und Prüfberichte des Anbieters an, mit Ausstellungsdatum und Geltungsbereich
• Prüfen Sie jeden Unterauftragsverarbeiter einzeln, samt Serverstandort und Übermittlung in Drittländer
• Verlangen Sie die Risikoeinstufung nach der KI-Verordnung und die zugehörige technische Dokumentation
• Lassen Sie sich im Gesprächsablauf zeigen, an welcher Stelle die anrufende Person von der KI erfährt