KI-Telefonassistent in der Arztpraxis: Was DSGVO und Schweigepflicht wirklich verlangen

Ein KI-Telefonassistent für die Arztpraxis klingt nach einer naheliegenden Lösung: Anrufe werden rund um die Uhr angenommen, Termine automatisch vergeben, wiederkehrende Patientenfragen sofort beantwortet. Das Praxisteam wird spürbar entlastet, die Erreichbarkeit steigt, Patienten hängen nicht mehr in der Warteschleife.

Doch sobald ein solcher Assistent mit Patientendaten in Berührung kommt, beginnt für Arztpraxen ein regulatorisches Minenfeld. DSGVO, ärztliche Schweigepflicht und berufsrechtliche Vorgaben stellen klare Anforderungen – und viele Anbieter von KI-Telefonassistenten blenden diese Themen in ihren Produktbeschreibungen konsequent aus. Wer nur auf Funktionsumfang und Preis schaut, übersieht schnell, dass die eigentliche Herausforderung nicht die Technik ist, sondern die rechtssichere Ausgestaltung.

Dieser Beitrag zeigt, was tatsächlich gefordert ist, wo die größten Fallstricke liegen und worauf Sie als Praxisinhaber bei der Anbieterauswahl konkret achten sollten.

Warum die DSGVO in der Arztpraxis besonders streng gilt

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Das bedeutet: Ihre Verarbeitung ist grundsätzlich verboten, sofern kein expliziter Erlaubnistatbestand vorliegt. Für Arztpraxen greift in Deutschland ergänzend § 22 BDSG, der die Verarbeitung von Gesundheitsdaten durch Angehörige heilender Berufe unter bestimmten Voraussetzungen erlaubt.

Ein KI-Telefonassistent, der Patientennamen, Beschwerden oder Terminwünsche entgegennimmt, verarbeitet damit automatisch besonders geschützte Daten – selbst wenn er „nur“ einen Termin bucht. Denn schon die Verknüpfung von Name und Praxis-Anruf kann einen Rückschluss auf eine Behandlungsbeziehung zulassen. Sie brauchen also nicht nur eine tragfähige Rechtsgrundlage, sondern einen technisch und organisatorisch abgesicherten Verarbeitungsprozess, der von der ersten Sekunde des Anrufs an greift.

Das unterscheidet den medizinischen Einsatzbereich fundamental von einem KI-Telefonassistenten im Einzelhandel oder Handwerk: Dort reicht in der Regel eine saubere Datenschutzerklärung. In der Arztpraxis kommen mit Sondervorschriften für Gesundheitsdaten und der strafbewehrten Schweigepflicht gleich zwei zusätzliche Regelungsebenen hinzu.

Der Auftragsverarbeitungsvertrag – nicht verhandelbar

Läuft ein KI-Telefonassistent als Software-as-a-Service in der Cloud, werden Patientendaten auf Servern des Anbieters verarbeitet. Damit wird der Anbieter zum Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Sie müssen einen schriftlichen Auftragsverarbeitungsvertrag (AVV) abschließen, bevor überhaupt Daten übermittelt werden – nicht danach, nicht „wird nachgereicht“, sondern vorher.

Ein tragfähiger AVV muss unter anderem regeln:

• Welche Datenkategorien der Assistent konkret verarbeitet
• Wo sich die Server befinden (Serverstandort EU ist für Gesundheitsdaten Pflicht)
• Wie lange Daten gespeichert werden und wie die Löschung erfolgt
• Welche technischen und organisatorischen Maßnahmen (TOM) der Anbieter trifft
• Wie sich der Anbieter im Fall einer Datenschutzverletzung verhält, inklusive Meldefristen

Praxis-Check: Fragen Sie jeden Anbieter vor Vertragsschluss aktiv nach dem Muster-AVV. Wenn ein Anbieter keinen AVV anbietet oder den Serverstandort nicht eindeutig benennen kann, ist das für eine Arztpraxis ein klares Ausschlusskriterium – unabhängig davon, wie überzeugend die Produktdemo war.

Serverstandort: Warum „EU“ allein nicht reicht

Viele Anbieter werben mit „Serverstandort EU“ – das ist ein guter Anfang, reicht aber für sich genommen nicht aus. Entscheidend ist, dass der Anbieter garantiert, dass keine Daten in Drittländer übertragen werden, etwa weil ein US-Mutterkonzern im Hintergrund technischen Zugriff hat oder ein Subunternehmer außerhalb der EU eingebunden ist. Für deutsche Arztpraxen gilt seit dem EuGH-Urteil zum Privacy Shield („Schrems II“), dass Übermittlungen in die USA nur auf Basis geeigneter zusätzlicher Schutzmaßnahmen zulässig sind – und das ist bei sensiblen Gesundheitsdaten eine hohe Hürde.

Praktisch bedeutet das: Ein Serverstandort in Frankfurt nützt wenig, wenn der Support-Zugriff, das Monitoring oder die Spracherkennungs-Engine über einen Anbieter außerhalb der EU laufen. Genau an dieser Stelle unterscheiden sich seriöse von oberflächlichen Angeboten.

Praktischer Tipp: Lassen Sie sich vom Anbieter eine aktuelle TOM-Dokumentation vorlegen und fragen Sie gezielt nach eingesetzten Subunternehmern (Art. 28 Abs. 2 DSGVO). Ein Anbieter, der hier ausweicht oder nur allgemeine Marketingaussagen liefert, hat in der Regel etwas zu verbergen.

Schweigepflicht und der KI-Telefonassistent als Gehilfe

Die ärztliche Schweigepflicht nach § 203 StGB schützt das Vertrauensverhältnis zwischen Arzt und Patient. Sie gilt aber nicht nur für den Arzt persönlich – auch Gehilfen, die bei der Behandlung mitwirken oder organisatorisch eingebunden sind, unterliegen der Schweigepflicht. Dazu zählt klassischerweise das Praxisteam, aber die entscheidende und in der Praxis oft übersehene Frage lautet: Gilt das auch für einen KI-Telefonassistenten?

Die überwiegende Auffassung unter Datenschutzbehörden und in der berufsrechtlichen Literatur behandelt einen KI-Agenten, der patientenbezogene Daten verarbeitet, wie einen Schweigepflicht-Gehilfen. Das hat konkrete Konsequenzen für die Ausgestaltung:

• Der Assistent muss so konzipiert sein, dass er keine medizinischen Diagnosen oder Behandlungsdaten erfasst oder gar wiedergibt
• Er darf ausschließlich für administrative Zwecke eingesetzt werden – Terminvereinbarung, Erreichbarkeit, allgemeine Praxisinformationen
• Medizinisch relevante Anliegen müssen zuverlässig an das Praxisteam eskaliert werden, statt vom System „beantwortet“ zu werden

Ein Assistent, der auf die Frage „Was hat der Arzt bei meiner letzten Behandlung gesagt?“ eine inhaltliche Antwort gibt, verstößt gegen die Schweigepflicht – selbst wenn die Information technisch korrekt aus dem System abgerufen wurde. Die Grenze verläuft nicht entlang der technischen Machbarkeit, sondern entlang des Behandlungsbezugs: Organisation ja, Inhalt nein.

Das Löschkonzept – ein oft ignoriertes Pflichtelement

Die DSGVO verlangt in Art. 17 ein Recht auf Löschung, ergänzt um die allgemeinen Grundsätze der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e DSGVO. Für KI-Telefonassistenten bedeutet das konkret: Gesprächsaufzeichnungen oder transkribierte Daten dürfen nicht unbegrenzt gespeichert werden, nur weil es technisch bequem wäre. Sie brauchen ein Löschkonzept, das eindeutig festlegt:

• Welche Daten wie lange gespeichert werden (Sprachaufnahme, Transkript, Metadaten wie Anrufzeit oder Rufnummer)
• Wie die automatische Löschung nach Ablauf der Frist technisch umgesetzt wird
• Was bei einem Widerruf der Einwilligung passiert und wie schnell die Löschung dann greift

Praktisch scheitern viele Implementierungen daran, dass der Anbieter Gesprächsprotokolle zusätzlich für eigene Trainings- oder Produktverbesserungszwecke speichern möchte. Das ist mit der DSGVO bei Gesundheitsdaten kaum vereinbar und sollte im AVV explizit ausgeschlossen werden – am besten mit einer eigenen Vertragsklausel, nicht nur mit einem Verweis auf die allgemeinen AGB.

Datenschutz-Folgenabschätzung: Wann wird sie Pflicht?

Nach Art. 35 DSGVO ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen zur Folge hat. Die systematische, automatisierte Verarbeitung von Gesundheitsdaten über einen KI-Telefonassistenten erfüllt dieses Kriterium in vielen Fällen – insbesondere wenn Sprachaufnahmen gespeichert oder ausgewertet werden.

Eine DSFA klingt nach zusätzlichem bürokratischem Aufwand, ist aber im Kern eine strukturierte Risikoanalyse: Welche Daten werden verarbeitet, welche Risiken bestehen, welche Maßnahmen mindern sie? Seriöse Anbieter unterstützen ihre Praxiskunden bei diesem Schritt mit vorbereiteten Unterlagen zu TOM und Datenflüssen – das erspart Ihnen, bei null anzufangen.

Worauf Sie bei der Anbieterauswahl achten sollten

Die folgende Übersicht fasst die zentralen Prüfpunkte zusammen, bevor Sie sich für einen KI-Telefonassistenten entscheiden:

Diese Checkliste ersetzt keine individuelle Rechtsberatung, gibt Ihnen aber einen belastbaren Ausgangspunkt für das erste Anbietergespräch.

Wie ein DSGVO-konformer KI-Telefonassistent technisch funktioniert

Rechtliche Anforderungen lassen sich nur einhalten, wenn die technische Architektur von vornherein darauf ausgelegt ist. In der Praxis besteht ein rechtskonformer KI-Telefonassistent aus mehreren Bausteinen, die ineinandergreifen:

• Spracherkennung und -verständnis (NLU): Das System erfasst das Anliegen des Anrufers – etwa über eine Plattform wie Vapi.ai – und ordnet es einer von wenigen zulässigen Kategorien zu – Terminvereinbarung, Terminabsage, allgemeine Praxisinformation. Alles, was außerhalb dieser Kategorien liegt, löst automatisch eine Eskalation aus, statt eine Antwort zu erzeugen.
• Anbindung an das Praxisverwaltungssystem: Für die eigentliche Terminlogik greift der Assistent über eine gesicherte Schnittstelle auf den bestehenden Kalender zu, statt eigene Kopien sensibler Daten anzulegen. Je schlanker die Datenhaltung beim Anbieter, desto geringer das Risiko.
• Sprachsynthese: Für eine natürlich klingende Stimme kommen spezialisierte Text-to-Speech-Anbieter wie ElevenLabs zum Einsatz. Auch hier gilt: Der Anbieter der Sprachausgabe muss denselben Datenschutzanforderungen genügen wie die Kernplattform, da während der Verarbeitung ebenfalls personenbezogene Inhalte durchlaufen.
• Eskalationslogik: Der wichtigste Baustein aus Compliance-Sicht. Erkennt das System medizinische Stichworte, Symptome oder eine Bitte um ärztliche Einschätzung, bricht es die automatisierte Bearbeitung ab und leitet an das Praxisteam weiter – live oder per priorisiertem Rückruf.

Diese vier Bausteine zusammen sorgen dafür, dass der Assistent seine organisatorische Aufgabe erfüllt, ohne die Grenze zur Schweigepflicht zu überschreiten.

Chancen: Warum sich der Aufwand lohnt

So aufwendig die rechtliche Prüfung klingt – der praktische Nutzen eines korrekt konfigurierten KI-Telefonassistenten ist erheblich. Praxen berichten regelmäßig von spürbar weniger verpassten Anrufen außerhalb der Sprechzeiten, einer entlasteten Anmeldung während der Stoßzeiten am Vormittag und einer geringeren Zahl an No-Shows, weil Terminbestätigungen und Erinnerungen zuverlässig automatisiert laufen. Gerade in Zeiten von Personalmangel im Praxisteam kann ein sauber abgegrenzter, administrativer KI-Assistent echte Kapazität freisetzen, ohne dass das Praxisteam die Kontrolle über medizinisch relevante Kommunikation verliert.

Der entscheidende Unterschied zu einem unregulierten Einsatz liegt nicht im Funktionsumfang, sondern in der sauberen Abgrenzung dessen, was automatisiert werden darf – und der lückenlosen Dokumentation, wie diese Abgrenzung technisch umgesetzt ist.

Praxisbeispiel: So sieht eine rechtskonforme Ausgestaltung aus

Stellen Sie sich vor, ein Patient ruft außerhalb der Sprechzeiten an, um einen Termin zu verschieben. Ein rechtskonform konzipierter KI-Telefonassistent nimmt Name und Anliegen entgegen, gleicht den bestehenden Termin im Praxissystem ab und bestätigt die Verschiebung – alles rein organisatorisch, ohne Rückgriff auf Behandlungsinhalte. Erwähnt der Patient dagegen Symptome oder bittet um eine medizinische Einschätzung, muss das System erkennen, dass es hier an seine Grenze stößt, und den Anruf an das Praxisteam weiterleiten oder einen Rückruf ankündigen.

Diese Trennung zwischen Organisation und Inhalt ist der Kern einer rechtssicheren Umsetzung – und genau der Punkt, an dem sich in der Praxis die Spreu vom Weizen trennt.

Fazit: Compliance ist kein Hindernis, sondern Voraussetzung

Ein KI-Telefonassistent kann die Erreichbarkeit einer Arztpraxis spürbar verbessern, ohne dass Sie dafür Kompromisse bei DSGVO oder Schweigepflicht eingehen müssen. Entscheidend ist, das Thema von Anfang an mitzudenken: AVV, Serverstandort, Löschkonzept und ein klar begrenzter administrativer Scope sind keine „Nice-to-haves“, sondern die Grundvoraussetzung für einen rechtssicheren Betrieb. Anbieter, die diese Fragen offen und konkret beantworten können, signalisieren damit auch technische und organisatorische Reife – ein guter Indikator für die Qualität der gesamten Lösung.

Möchten Sie einen KI-Telefonassistenten DSGVO-konform in Ihrer Arztpraxis einsetzen? Wir beraten Sie bei der Auswahl des richtigen KI-Voice-Agents, prüfen den AVV und begleiten die Implementierung von der ersten Anforderungsanalyse bis zum laufenden Betrieb – auch als Teil einer umfassenderen KI-Automation für Ihre Praxisabläufe. Mehr zu den rechtlichen Grundlagen erfahren Sie in unserem Beitrag zu Datenschutz bei KI-Systemen oder in einem unverbindlichen Gespräch im Rahmen unserer KI-Beratung in Stuttgart. Kontaktieren Sie uns über unser Kontaktformular – wir melden uns innerhalb von 24 Stunden bei Ihnen.

---

Häufige Fragen

Braucht jede Arztpraxis einen AVV für ihren KI-Telefonassistenten? Ja, sobald der Anbieter Patientendaten in einer Cloud-Lösung verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwingend erforderlich – unabhängig von der Praxisgröße.

Darf ein KI-Telefonassistent Diagnosen oder Befunde am Telefon nennen? Nein. Das würde gegen die ärztliche Schweigepflicht nach § 203 StGB verstoßen. Der Assistent darf ausschließlich administrative Aufgaben wie Terminvereinbarungen übernehmen.

Reicht ein Serverstandort in der EU für die DSGVO-Konformität aus? Nicht allein. Zusätzlich muss ausgeschlossen sein, dass Daten über Subunternehmer oder Support-Zugriffe in Drittländer gelangen, etwa in die USA.

Wie lange dürfen Gesprächsdaten gespeichert werden? Es gibt keine pauschale Frist – entscheidend ist ein dokumentiertes Löschkonzept, das sich am Verarbeitungszweck orientiert und im AVV festgehalten wird.

Ist für den Einsatz eines KI-Telefonassistenten eine Datenschutz-Folgenabschätzung nötig? In vielen Fällen ja, da die systematische Verarbeitung von Gesundheitsdaten häufig als Verarbeitung mit hohem Risiko im Sinne von Art. 35 DSGVO gilt. Der Anbieter sollte Sie dabei mit vorbereiteten Unterlagen unterstützen.

Kann ein KI-Telefonassistent komplett ohne Spracherkennung in der Cloud betrieben werden? Ja, mit lokal gehosteten oder on-premises betriebenen KI-Modellen lässt sich die Datenverarbeitung vollständig innerhalb der eigenen oder einer dedizierten deutschen Infrastruktur halten. Das reduziert die Zahl der beteiligten Auftragsverarbeiter und vereinfacht die Nachweisführung.