DSGVO und KI in der Psychotherapie-Praxis

Bei Psychotherapie-KI können Aufnahme, Transkription, Textgenerierung und Speicherung unterschiedliche Verarbeitungsschritte sein. Prüfe deshalb den tatsächlichen Datenweg und die Verträge. Ein EU-Server oder eine Verschlüsselungsbezeichnung allein belegt keine vollständige Datenschutzkonformität.

Wir betreiben selbst BerichtBiber und DokuDachs. Dieser Ratgeber ordnet Prüfpunkte anhand der verlinkten Rechtsquellen ein; er ist keine individuelle rechtliche Prüfung einer Praxis oder eines Produkts.

Rechtsgrundlagen und Schweigepflicht

Gesundheitsdaten gehören zu den besonders geschützten Datenkategorien. Für ihre Verarbeitung sind die Voraussetzungen der Art. 6 und 9 DSGVO zu prüfen. Daneben ist insbesondere die Schweigepflicht nach § 203 StGB zu berücksichtigen. Die rechtliche Einordnung hängt von Zweck, Rollen und konkreter Verarbeitung ab.

Wenn ein Anbieter Daten im Auftrag der Praxis verarbeitet, ist ein passender Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Kläre darin auch Unterauftragnehmer und Verarbeitungsschritte. Eine allgemeine Website-Datenschutzerklärung ersetzt den Vertrag für die Produktnutzung nicht.

Wo werden Daten verarbeitet und wer kann zugreifen?

Frage getrennt nach App-Hosting, Transkriptionsdienst, KI-Modellen, Backups und Supportzugriffen. Die Angabe „Hosting in Deutschland“ sagt noch nicht, wo alle weiteren Schritte stattfinden oder von wo ein Zugriff möglich ist.

Bei Drittlandübermittlungen sind zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO zu prüfen. Auch eine Verarbeitung ausschließlich in der EU ersetzt nicht die übrigen Anforderungen an Rechtmäßigkeit, Sicherheit und Zweckbindung.

Speicherung, Verschlüsselung und Löschung trennen

• Transportverschlüsselung schützt den Übertragungsweg, etwa per HTTPS.
• Verschlüsselung gespeicherter Daten erfordert eine Betrachtung der Schlüsselverwaltung und Zugriffsrechte.
• Zero-Knowledge-Angaben können sich auf gespeicherte Inhalte beziehen. Prüfe zusätzlich, wie Inhalte während Transkription oder Textgenerierung verarbeitet werden.
• Löschfristen müssen für Audio, Transkripte, Notizen, Backups und gegebenenfalls Protokolle getrennt nachvollziehbar sein.

Eine kurze Speicherdauer und eine geschützte dauerhafte Speicherung sind unterschiedliche Konzepte. Es gibt daraus allein keine pauschale Rangfolge der Sicherheit. Entscheidend sind geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO und der tatsächliche Einsatz.

Die frühere pauschale Beschreibung von VIA als Dienst mit „täglicher Löschung“ wurde ersetzt. Die aktuelle Herstellerseite beschreibt Speicherung nach Anweisung. Prüfe die verbindlichen Fristen im konkreten Vertrag.

Sitzungsaufzeichnung transparent erklären

Bei Audioaufnahmen ist auch § 201 StGB zu beachten. Kläre die Aufnahmebefugnis und die datenschutzrechtliche Grundlage vor dem Start. Eine Einwilligung muss, wenn sie die Grundlage ist, informiert und freiwillig sein und den Widerruf ermöglichen.

Eine verständliche Aufklärung sollte erläutern:

• Was wird aufgenommen und zu welchem Zweck?
• Welche Dienste verarbeiten Audio, Transkript und Notiz?
• Wie lange werden die verschiedenen Inhalte gespeichert?
• Wer darf darauf zugreifen?
• Wie kann eine Sitzung ohne Aufnahme durchgeführt werden?
• Was passiert bei Widerruf und mit bereits rechtmäßig verarbeiteten Daten?

Eine Zustimmung zur Aufnahme beantwortet nicht automatisch alle Fragen zur weiteren Verarbeitung. Verwende keinen pauschalen Hinweis wie „Wir nutzen KI“ als Ersatz für diese Klärung.

Training und fachliche Freigabe

Lass Dir die Verwendung von Fallinhalten zu Trainingszwecken, die Vertragsgrundlagen und mögliche Ausnahmen konkret erklären. Eine allgemeine Werbeaussage ist weniger belastbar als die Regelung für den tatsächlich gebuchten Dienst.

Pseudonymisierte Inhalte können weiterhin personenbezogen sein. Nur Namen zu entfernen garantiert keine Anonymität. Für den ersten Produkttest sind vollständig erfundene Fälle deshalb eine klare Arbeitsgrundlage.

Nach der Verarbeitung musst Du den Entwurf fachlich prüfen. Halte fest, welche freigegebene Fassung in die Behandlungsakte übernommen wird. Die Dokumentationsvorlage hilft bei der Struktur; sie ersetzt weder Vertragsprüfung noch klinische Einordnung.

Praktische Fragen vor Vertragsabschluss

1. Welche Daten braucht der konkrete Arbeitsschritt tatsächlich?
2. Welche Rechtsgrundlagen, Rollen und Verträge gelten?
3. Welche Unterauftragnehmer und Verarbeitungsorte sind beteiligt?
4. Wie funktionieren Berechtigungen, Schlüsselverwaltung und Wiederherstellung?
5. Wann werden welche Daten einschließlich Backups gelöscht?
6. Wie erfolgen Export, fachliche Freigabe und Anbieterwechsel?
7. Muss eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt werden?

Im KI-Softwarevergleich kennzeichnen wir Herstellerangaben und offene Punkte. Für allgemeine Schreibaufgaben ohne Fallinformationen lies zusätzlich ChatGPT in der Psychotherapie.

Primärquellen

• DSGVO: insbesondere Art. 6, 9, 28, 32, 35 und 44 ff.
• § 203 StGB: Verletzung von Privatgeheimnissen
• § 201 StGB: Vertraulichkeit des Wortes

Rechtsquellen und Inhalte recherchiert am 13. Oktober 2026. Eine individuelle Prüfung der rechtlichen oder klinischen Eignung Deines Workflows ist damit nicht verbunden.