Welche KI-Tools sind in der Arztpraxis erlaubt?

ChatGPT für den Arztbrief, ein KI-Diktat-Tool für die Dokumentation, Copilot in Outlook: KI ist längst Praxisalltag. Erlaubt ist davon weniger als viele denken — entscheidend sind drei Prüfkriterien: AVV, §203-Schweigepflichtvereinbarung und Serverstandort. Dieser Ratgeber zeigt, welche Tools Sie mit Patientendaten nutzen dürfen, welche nicht — und wie Sie das in 60 Sekunden selbst prüfen.

Die Kurzantwort: ChatGPT (Free/Plus), Gemini Free und Perplexity sind mit Patientendaten nicht legal nutzbar. Microsoft Copilot, ChatGPT Enterprise und die meisten medizinischen Diktat-Tools sind nur mit Zusatzvereinbarungen zulässig. Uneingeschränkt grün sind fast nur Lösungen mit EU/CH-Hosting, expliziter Berufsgeheimnis-Klausel und ohne KI-Training auf Ihren Eingaben — oder lokal betriebene Modelle, bei denen gar keine Daten die Praxis verlassen.

→ Prüfen Sie Ihre Tools jetzt kostenlos im KI-Tool-Check — 30+ Tools, Ampel-Ergebnis in 60 Sekunden, ohne Login.

Warum das Thema jetzt ernst ist

Lange war KI-Nutzung in Praxen eine Grauzone ohne Kontrollen. Das hat sich 2026 geändert:

• März 2026: Das Landesamt für Datenschutzaufsicht Bayern gab erstmals einen Fall wegen §203 StGB an die Staatsanwaltschaft ab — ein KI-Tool war ohne Schweigepflicht-Vereinbarung mit Patientendaten genutzt worden.
• April 2026: Die Bayerische Landesärztekammer mahnte ein MVZ in Mittelfranken ab: KI-Diktat-Tool ohne AVV, ohne §203-Vereinbarung, Patientendaten auf US-Servern.
• Ab 2. August 2026: Die Betreiberpflichten des EU AI Act (Art. 26) gelten. Bei Verstößen drohen Bußgelder bis 15 Mio. EUR — und wer kein KI-Inventar und keine Schulungsnachweise hat, hat bei einer Prüfung kein Argument.

Wichtig: §203 StGB ist Strafrecht, keine Ordnungswidrigkeit. Die Verletzung der ärztlichen Schweigepflicht kann mit Freiheitsstrafe bis zu einem Jahr geahndet werden — und betrifft auch die MFA, die „nur schnell" einen Brief in ChatGPT formulieren lässt. In der Schweiz gilt mit Art. 321 StGB eine vergleichbare Strafnorm.

Die drei Prüfkriterien für jedes KI-Tool

Ob ein KI-Tool mit Patientendaten zulässig ist, entscheidet sich an drei Fragen:

1. Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Sobald ein Anbieter personenbezogene Daten für Sie verarbeitet, verlangt Art. 28 DSGVO einen AVV. Consumer-Angebote wie ChatGPT Free/Plus, die kostenlose Gemini-App oder Perplexity bieten keinen AVV — damit ist die Nutzung mit Patientendaten bereits aus diesem Grund unzulässig.

2. Enthält der AVV eine §203-Schweigepflichtvereinbarung?

Für Berufsgeheimnisträger reicht der Standard-AVV nicht: Der Dienstleister (und seine Subunternehmer) müssen ausdrücklich zur Verschwiegenheit nach §203 StGB verpflichtet werden. Genau daran scheitern die meisten Tools — selbst solche mit gutem Datenschutzniveau. Microsoft bietet dafür z. B. ein separates „Professional Secrecy Amendment", das aktiv abgeschlossen werden muss.

3. Wo stehen die Server — und trainiert der Anbieter mit Ihren Daten?

US-Server ohne EU-Datenresidenz sind für Gesundheitsdaten ein erhebliches Risiko. Und wenn der Anbieter Eingaben zum Training seiner Modelle verwendet (bei ChatGPT Free/Plus und Gemini Free die Standardeinstellung), verlieren Sie jede Kontrolle über die Daten.

Ampel-Übersicht: bekannte Tools im Rechts-Check

Tool	Ampel	Begründung
ChatGPT Free / Plus	🔴 Rot	Kein AVV, US-Server, KI-Training auf Eingaben
Google Gemini (Free)	🔴 Rot	Kein AVV, Chats werden fürs Training genutzt
Perplexity	🔴 Rot	Kein AVV für Free/Pro, Training per Default
Whisper API (Cloud)	🔴 Rot	US-Server, keine §203-Vereinbarung
ChatGPT Business / Enterprise	🟡 Gelb	AVV vorhanden, §203 und EU-Residenz klären
Microsoft Copilot (M365)	🟡 Gelb	AVV + EU Data Boundary, §203-Amendment nötig
Medizinische Diktat-Tools (z. B. Dragon, Heidi, Haidy)	🟡 Gelb	Meist EU/CH-Hosting, §203-Klausel aber selten öffentlich belegt
DocNote	🟢 Grün	Berufsgeheimnis-Klausel, CH/EU-Hosting, kein Training
Whisper (lokal betrieben)	🟢 Grün	Läuft auf Praxis-Hardware, keine Datenübermittlung

Die vollständige, laufend aktualisierte Bewertung mit Quellenangaben finden Sie im kostenlosen KI-Tool-Check — wählen Sie Ihre Tools aus und erhalten Sie sofort das Ampel-Ergebnis für Ihre Praxis.

Was tun, wenn ein Tool Rot oder Gelb ist?

1. Rot: sofort stoppen. Keine Patientendaten mehr eingeben — auch keine „anonymisierten" Fälle, die sich rückbeziehen lassen. Für die Übergangszeit: Aufgaben ohne Patientenbezug sind weiterhin möglich (Textbausteine, Fortbildung, Organisation).
2. Gelb: Nachweise anfordern. Fordern Sie beim Anbieter den AVV und eine ausdrückliche §203-Verschwiegenheitsverpflichtung an, und lassen Sie sich EU/CH-Hosting sowie den Ausschluss von KI-Training schriftlich bestätigen.
3. Dokumentieren, dass Sie gehandelt haben. Bei einer Abmahnung oder Prüfung zählt vor allem eines: der Nachweis, dass Sie Ihre KI-Nutzung erfasst, bewertet und Maßnahmen ergriffen haben. Ein KI-Inventar, eine interne Nutzungsrichtlinie und Schulungsnachweise sind dafür der Standard — genau das erstellt ISMShield Micro automatisch aus Ihrem Check-Ergebnis.

Häufige Fragen

Darf ich ChatGPT nutzen, wenn ich die Patientendaten anonymisiere? Nur wenn die Anonymisierung wirklich vollständig ist — was im Praxisalltag selten gelingt. Alter, Diagnose und Behandlungsverlauf zusammen reichen oft schon zur Re-Identifikation. Die Aufsichtsbehörden legen hier strenge Maßstäbe an.

Gilt das auch für Apotheken und Spitex? Ja. §203 StGB (bzw. Art. 321 StGB in der Schweiz) erfasst auch Apotheker und Gesundheitsfachpersonen, und DSGVO/nDSG gelten ohnehin für alle Gesundheitseinrichtungen.

Reicht es, wenn mein Praxissoftware-Hersteller „DSGVO-konform" schreibt? Nein. Entscheidend ist, was vertraglich vereinbart ist: AVV mit §203-Klausel, Serverstandort, Trainingsausschluss. „DSGVO-konform" auf der Website ist keine Rechtsgrundlage — fragen Sie nach den Dokumenten.

Was passiert, wenn ich einfach nichts mache? Die Fälle aus Bayern zeigen: Abmahnungen und Strafanzeigen sind keine Theorie mehr. Ab August 2026 kommen die EU-AI-Act-Betreiberpflichten dazu. Das größte Risiko ist, bei einer Prüfung nicht nachweisen zu können, dass man sich mit dem Thema befasst hat.

Fazit: Erst prüfen, dann dokumentieren

Die meisten Praxen nutzen mindestens ein KI-Tool, das mit Patientendaten nicht oder nur mit Zusatzvereinbarungen zulässig ist. Der erste Schritt kostet nichts und dauert eine Minute: Prüfen Sie Ihre KI-Tools im kostenlosen Check — anonym, ohne Login, mit sofortigem Ampel-Ergebnis und konkreten Empfehlungen pro Tool.

Dieser Beitrag ist eine redaktionelle Einordnung auf Basis öffentlich zugänglicher Anbieterangaben (Stand: 15.07.2026) und ersetzt keine Rechtsberatung.