Kaum eine Frage hält Praxen länger vom Start ab als diese: Darf eine KI überhaupt Patientenanrufe annehmen? Sie darf, wenn die Rahmenbedingungen stimmen. Diese Seite ordnet die relevanten Vorschriften und zeigt, welche Unterlagen in Ihrer Praxis vorliegen müssen.
Sobald ein Patient am Telefon seinen Namen nennt und im nächsten Satz einen Termin beim Kardiologen wünscht, liegen Gesundheitsdaten vor. Diese zählen nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und sind grundsätzlich geschützt. Für die Behandlung und die Verwaltung der Praxis erlaubt Art. 9 Abs. 2 lit. h DSGVO die Verarbeitung, sie muss aber unter Wahrung des Berufsgeheimnisses erfolgen.
Genau deshalb ist ein KI-Telefonassistent für die Arztpraxis kein gewöhnliches Telefonie-Produkt. Neben der DSGVO greifen die ärztliche Schweigepflicht nach §203 StGB und die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung nach §75b SGB V. Alle drei Ebenen richten sich in erster Linie an Sie als Praxis, nicht an den Anbieter. Ein Anbieter, der Ihnen dabei nicht zuarbeitet, verlagert das Risiko in Ihre Praxis.
Die gute Nachricht: Die Anforderungen sind bekannt und abarbeitbar. Die folgenden fünf Punkte decken ab, was Praxen vor dem ersten weitergeleiteten Anruf klären sollten. Wie wir die technische Seite umsetzen, steht im Abschnitt Datenschutz und Sicherheit für Gesundheitsdaten.
Jeder Punkt endet mit einem Dokument oder einer Einstellung, die in Ihrer Praxis vorliegen sollte.
Der Anbieter verarbeitet Daten in Ihrem Auftrag, deshalb ist ein AVV nach Art. 28 DSGVO Pflicht. Er regelt Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragnehmer und Löschung. Ohne unterschriebenen AVV sollte kein Anruf durchgestellt werden. Ergebnis: unterschriebener AVV in Ihren Unterlagen.
Werden die Daten in der EU verarbeitet, entfällt die Prüfung von Drittlandübermittlungen samt zusätzlicher Garantien. Fragen Sie ausdrücklich nach Serverstandort und nach Unterauftragnehmern, etwa für Sprachmodelle. Bei uns findet die Verarbeitung ausschließlich auf Servern in Deutschland statt. Ergebnis: dokumentierter Serverstandort.
Mitwirkende Dienstleister dürfen einbezogen werden, wenn sie zur Verschwiegenheit verpflichtet sind und ihr Zugriff auf das Erforderliche begrenzt bleibt. Halten Sie diese Verpflichtung schriftlich fest und dokumentieren Sie Ihre Auswahlentscheidung. Ergebnis: Verschwiegenheitsverpflichtung des Dienstleisters.
Die Telefonie über einen Assistenten gehört nach Art. 30 DSGVO ins Verzeichnis von Verarbeitungstätigkeiten: Zweck, Datenkategorien, Empfänger, Löschfristen, Maßnahmen. Weil Gesundheitsdaten betroffen sind, prüfen Sie zusätzlich eine Folgenabschätzung nach Art. 35 DSGVO. Ergebnis: aktualisiertes Verarbeitungsverzeichnis.
Nach Art. 13 DSGVO müssen Betroffene wissen, wer ihre Daten wozu verarbeitet. Praktisch heißt das: eine kurze, verständliche Ansage zu Gesprächsbeginn und ein aktueller Datenschutzhinweis auf Ihrer Praxis-Website. Ergebnis: Ansagetext und aktualisierter Datenschutzhinweis.
Die KBV-Richtlinie verlangt Mindestmaßnahmen für die Praxis-IT: abgesicherte Netzwerke, Zugriffsregelungen, geprüfte Dienste. Der Telefonassistent muss sich in dieses Konzept einfügen. Der Umfang der Anforderungen richtet sich nach Praxisgröße und Zahl der ständigen Mitarbeitenden.
Der Grundsatz der Datenminimierung nach Art. 5 DSGVO gilt auch für ein Telefongespräch. Ein Assistent, der für eine Terminvergabe Symptome abfragt, erhebt mehr, als er braucht. Legen Sie fest, welche Angaben für welches Anliegen wirklich nötig sind: für den Termin genügen Name, Geburtsdatum und Anliegenkategorie, die Details gehören ins Behandlungszimmer. Diese Regeln sind Teil der Konfiguration und sollten vor dem Start gemeinsam durchgegangen werden.
Klären Sie, wie lange Gesprächsdaten und Transkripte vorgehalten werden und wer in Ihrem Praxisteam darauf zugreifen kann. Ein Zugriffskonzept, das zwischen Empfang, MFA und ärztlicher Leitung unterscheidet, ist schnell erstellt und im Ernstfall der entscheidende Nachweis. Vereinbaren Sie außerdem, was mit Daten und Terminen passiert, wenn Sie den Vertrag beenden.
Patienten haben Anspruch auf Auskunft, Berichtigung und Löschung. Das setzt voraus, dass Sie Daten aus dem Telefonassistenten überhaupt auffinden und exportieren können. Fragen Sie den Anbieter, wie eine Auskunftsanfrage praktisch abläuft und in welchem Format Sie die Daten erhalten. Kommt eine PVS-Anbindung hinzu, klären Sie zusätzlich, welche Daten in welcher Richtung fließen.
Bei einer Praxisgründung lässt sich der Datenschutz von Anfang an mitplanen, statt später nachgerüstet zu werden. Verarbeitungsverzeichnis, AVV-Sammlung und Zugriffskonzept entstehen dann parallel zur übrigen IT. Der Leitfaden Praxisstart: IT und Telefonie zeigt, wie sich das in die Gesamtplanung einfügt. Welche weiteren Kriterien bei der Anbieterwahl zählen, steht in der Auswahl-Checkliste.
Diese Seite gibt einen allgemeinen Überblick über die einschlägigen Vorschriften und ersetzt keine Rechtsberatung. Für die Beurteilung Ihres konkreten Falls wenden Sie sich an Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder Ihre Kassenärztliche Vereinigung.
Keine Einrichtungsgebühr. 30 Tage Geld-zurück-Garantie von fonio. Einrichtung an einem Tag. Wir gehen die Datenschutzpunkte mit Ihnen durch, bevor der erste Anruf durchgestellt wird.
10 % Partnerrabatt auf den fonio-Erstkauf: Gutscheincode anfordern