Ein KI-Telefonassistent kann Patientenanrufe entgegennehmen, administrative Anliegen erfassen und das Praxisteam bei wiederkehrenden Aufgaben unterstützen. Dabei können personenbezogene Daten verarbeitet werden, die besonderen gesetzlichen Schutz genießen.
Für Arztpraxen stellt sich deshalb eine wichtige Frage: Unter welchen Voraussetzungen lässt sich ein KI-Telefonassistent datenschutzgerecht einsetzen?
Entscheidend sind nicht allein der Serverstandort oder die eingesetzte KI. Ebenso wichtig sind die rechtlichen Verantwortlichkeiten, die Verarbeitung der Patientendaten, die beteiligten Dienstleister und die Kontrolle über die Abläufe.
Warum ist Datenschutz bei KI-Telefonassistenten besonders wichtig?
Bereits ein gewöhnlicher Patientenanruf kann sensible Informationen enthalten.
Ein Patient möchte beispielsweise einen Termin wegen einer bestimmten Erkrankung vereinbaren, ein Folgerezept anfragen oder um einen Rückruf zu einem medizinischen Anliegen bitten.
Selbst wenn ein KI-Telefonassistent ausschließlich administrative Aufgaben übernimmt, können dabei Gesundheitsdaten im Sinne von Artikel 9 DSGVO verarbeitet werden.
Diese Daten unterliegen einem besonderen Schutz. Zusätzlich müssen Arztpraxen die ärztliche Schweigepflicht und berufsrechtliche Anforderungen berücksichtigen.
Ein KI-Telefonassistent ist deshalb nicht allein anhand seiner Funktionen zu bewerten. Die gesamte Verarbeitungskette muss betrachtet werden.
Welche Datenschutzregeln gelten?
Für den Einsatz eines KI-Telefonassistenten können mehrere rechtliche Anforderungen relevant sein.
1. Datenschutz-Grundverordnung (DSGVO)
Die DSGVO regelt die Verarbeitung personenbezogener Daten. Bei Gesundheitsdaten sind insbesondere die allgemeinen Rechtmäßigkeitsvoraussetzungen nach Artikel 6 und die zusätzlichen Anforderungen nach Artikel 9 zu beachten.
2. Ärztliche Schweigepflicht
Patienteninformationen unterliegen zusätzlich der beruflichen Verschwiegenheit. Bei der Einbindung externer Dienstleister müssen daher auch die Anforderungen des § 203 StGB und des jeweiligen Berufsrechts geprüft werden.
3. Auftragsverarbeitung
Verarbeitet ein externer Anbieter Daten im Auftrag der Praxis, kann ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich sein. Dieser muss die Verarbeitung und die Verantwortlichkeiten angemessen regeln.
4. Technische und organisatorische Sicherheit
Artikel 32 DSGVO verlangt angemessene Schutzmaßnahmen, abhängig von den Risiken der Verarbeitung.
Dazu gehören beispielsweise Zugriffsbeschränkungen, Verschlüsselung, Berechtigungskonzepte und Maßnahmen zum Schutz vor unbefugtem Zugriff.
Braucht die Praxis eine Einwilligung der Patienten?
Nicht jede Verarbeitung durch einen KI-Telefonassistenten setzt automatisch eine ausdrückliche Patienteneinwilligung voraus.
Eine Arztpraxis kann personenbezogene Daten im Rahmen der medizinischen Versorgung unter bestimmten gesetzlichen Voraussetzungen verarbeiten. Auch die Einschaltung eines weisungsgebundenen Auftragsverarbeiters erfordert nicht allein deshalb eine zusätzliche Einwilligung.
Entscheidend ist jedoch die konkrete Verarbeitung.
Die Praxis muss unter anderem klären:
Auf welcher Rechtsgrundlage werden die Daten verarbeitet?
Welche Gesundheitsdaten werden erfasst?
Welche Dienstleister erhalten Zugriff?
Werden Gespräche aufgezeichnet oder Transkripte gespeichert?
Werden Daten für andere Zwecke verwendet?
Wie werden Patienten über den Einsatz des Systems informiert?
Besonders bei Gesprächsaufzeichnungen können zusätzliche rechtliche Anforderungen bestehen. Die Zulässigkeit einer Aufnahme darf nicht allein aus der Zulässigkeit der administrativen Anfragebearbeitung abgeleitet werden.
Die konkrete Rechtsgrundlage sollte vor dem Einsatz mit einer datenschutzrechtlich qualifizierten Stelle geprüft werden.
Wer ist für die Patientendaten verantwortlich?
Bei der üblichen Konstellation, in der eine Arztpraxis einen externen Dienstleister mit der Bearbeitung von Patientenanfragen beauftragt, bleibt die Praxis grundsätzlich für die Rechtmäßigkeit der Verarbeitung verantwortlich.
Der technische Anbieter kann dabei als Auftragsverarbeiter tätig werden.
Die tatsächliche Rollenverteilung hängt allerdings davon ab, wer die Zwecke und wesentlichen Mittel der Verarbeitung bestimmt.
Eine Praxis sollte daher prüfen, ob der Anbieter:
Patientendaten ausschließlich für die vereinbarten Zwecke verarbeitet,
dokumentierte Weisungen beachtet,
geeignete Sicherheitsmaßnahmen umsetzt,
weitere Dienstleister transparent benennt,
Lösch- und Aufbewahrungsregeln unterstützt,
die Praxis bei Datenschutzpflichten angemessen unterstützt.
Ein Vertrag allein ersetzt nicht die Prüfung, ob die technische Umsetzung zu diesen Vereinbarungen passt.
Wo werden die Daten verarbeitet und gespeichert?
Der Serverstandort ist ein wichtiger Faktor, aber nicht das einzige Kriterium.
EU-Hosting bedeutet nicht automatisch vollständige DSGVO-Konformität.
Eine Praxis sollte verstehen, welche Unternehmen an der Verarbeitung beteiligt sind und ob Daten oder Zugriffe außerhalb des Europäischen Wirtschaftsraums stattfinden.
Dabei kann es Unterschiede zwischen der Speicherung, der laufenden KI-Verarbeitung, der Telefonie und technischen Unterstützungsleistungen geben.
Wichtige Fragen sind:
Wo werden Patientendaten gespeichert?
Wo erfolgt die Sprach- und KI-Verarbeitung?
Welche Telefonie- und Cloud-Dienstleister sind beteiligt?
Gibt es internationale Datenübermittlungen?
Welche rechtlichen Garantien gelten gegebenenfalls für Drittlandtransfers?
Diese Fragen sollten anhand der tatsächlichen technischen Architektur und der vertraglichen Unterlagen beantwortet werden.
Werden Patientengespräche aufgezeichnet?
Hier ist eine wichtige Unterscheidung erforderlich.
Die Verarbeitung gesprochener Informationen ist nicht automatisch dasselbe wie die dauerhafte Speicherung einer Gesprächsaufzeichnung.
Ein KI-Telefonassistent kann Sprache verarbeiten, um ein administratives Anliegen zu verstehen. Ob zusätzlich Audiodateien, Gesprächstranskripte oder andere Gesprächsinhalte dauerhaft gespeichert werden, hängt vom jeweiligen System und seiner Konfiguration ab.
Eine Praxis sollte deshalb ausdrücklich klären:
Werden vollständige Audioaufnahmen gespeichert?
Werden Transkripte gespeichert?
Welche strukturierten Angaben bleiben nach dem Gespräch erhalten?
Wer kann diese Informationen einsehen?
Wie lange werden die jeweiligen Daten aufbewahrt?
Welche Löschmöglichkeiten bestehen?
Für Aufzeichnungen sind die gesonderten rechtlichen Anforderungen zu berücksichtigen. Eine bloße Information über den Einsatz eines KI-Assistenten ersetzt nicht automatisch eine gegebenenfalls erforderliche Einwilligung in eine Gesprächsaufnahme.
Welche Rolle spielt die Kontrolle durch das Praxisteam?
Datenschutz betrifft nicht nur Speicherung und Verschlüsselung. Auch die Gestaltung der Arbeitsabläufe ist wichtig.
Ein KI-Telefonassistent sollte so konfiguriert werden, dass er nur die Informationen erfasst und verarbeitet, die für den vorgesehenen administrativen Zweck erforderlich sind.
Bei Telltone Relay ist das Grundprinzip die strukturierte Erfassung administrativer Anliegen im gemeinsamen Workspace.
Die Praxis kann je nach Leistung festlegen, ob das Team den Vorgang bestätigt oder ein dafür freigegebener automatischer Ablauf ausgeführt wird.
Dabei bleibt eine fachliche Grenze bestehen: Relay übernimmt keine medizinische Beratung, Diagnose oder Behandlungsentscheidung.
Diese Trennung zwischen administrativer Unterstützung und medizinischer Verantwortung ist sowohl für die Arbeitsorganisation als auch für die Risikobewertung relevant.
Ist eine Datenschutz-Folgenabschätzung erforderlich?
Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Artikel 35 DSGVO erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Die Nutzung neuer Technologien und die Verarbeitung sensibler Gesundheitsdaten sind wichtige Gesichtspunkte bei dieser Prüfung.
Das bedeutet nicht, dass automatisch jeder KI-Telefonassistent eine DSFA erfordert.
Die Praxis muss vielmehr die konkrete Verarbeitung, den Umfang, die eingesetzte Technologie und die möglichen Risiken bewerten.
Ist eine DSFA erforderlich, muss sie vor Beginn der entsprechenden Verarbeitung durchgeführt werden.
Datenschutz-Checkliste vor der Einführung
Vor der Einführung eines KI-Telefonassistenten sollte eine Arztpraxis mindestens folgende Punkte prüfen:
Rechtsgrundlagen: Sind die Voraussetzungen für die Verarbeitung personenbezogener Daten und Gesundheitsdaten geklärt?
Schweigepflicht: Sind die berufs- und strafrechtlichen Anforderungen berücksichtigt?
Verträge: Sind erforderliche Auftragsverarbeitungsverträge und Vereinbarungen vorhanden?
Dienstleister: Sind beteiligte Anbieter und internationale Datenflüsse dokumentiert?
Sicherheit: Gibt es angemessene Zugriffskontrollen, Verschlüsselung und organisatorische Schutzmaßnahmen?
Speicherung: Ist geregelt, welche Gesprächs- und Anfragedaten gespeichert und wann sie gelöscht werden?
Patienteninformation: Werden Patienten angemessen und rechtzeitig informiert?
Risikoprüfung: Wurde geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist?
Diese Checkliste ersetzt keine individuelle rechtliche Bewertung, hilft aber dabei, die richtigen Fragen vor einer Kaufentscheidung zu stellen.
Fazit
Ein KI-Telefonassistent kann administrative Patientenkommunikation unterstützen. Für einen verantwortungsvollen Einsatz müssen jedoch Datenschutz, Schweigepflicht, Vertragsgestaltung und technische Umsetzung zusammen betrachtet werden.
Entscheidend ist nicht, ob ein Anbieter pauschal mit „DSGVO-konform“ wirbt. Entscheidend ist, ob die Praxis nachvollziehen und prüfen kann, welche Daten verarbeitet werden, durch wen, zu welchem Zweck und unter welchen Schutzmaßnahmen.
Wer sich für die konkrete Funktionsweise interessiert, findet weitere Informationen zu Telltone Relay auf unserer Seite KI-Telefonassistent für Arztpraxen.