KI-Telefonassistent für Arztpraxen: Leitfaden 2026 mit § 203 StGB, DSGVO und AI Act

In kaum einer Branche ist das Telefon so sehr Nadelöhr wie in der Arztpraxis: Es klingelt in Wellen, während am Tresen Patienten warten, und jeder unbeantwortete Anruf bedeutet einen Rückruf, einen verpassten Termin oder einen verärgerten Patienten. Ein KI-Telefonassistent kann diesen Engpass entschärfen - wenn er richtig eingegrenzt und rechtlich sauber aufgesetzt ist. Dieser Leitfaden zeigt, was realistisch geht, wo die Grenzen liegen, was Strafrecht, Datenschutz und KI-Verordnung verlangen und wie die Kosten zustande kommen.

Das Wichtigste in Kürze: Ein KI-Telefonassistent nimmt Anrufe rund um die Uhr entgegen, vergibt und verschiebt Termine, nimmt Rezeptwünsche auf und beantwortet organisatorische Standardfragen. Er ersetzt keine medizinische Beratung und keine Ersteinschätzung. Rechtlich greifen drei Regelwerke gleichzeitig: § 203 Abs. 3 Satz 2 StGB erlaubt seit 2017 ausdrücklich, externe Dienstleister einzubinden, verlangt aber deren Verpflichtung zur Geheimhaltung; wer das versäumt, macht sich als Praxis nach § 203 Abs. 4 Satz 2 Nr. 1 StGB selbst strafbar. Die DSGVO verlangt einen Auftragsverarbeitungsvertrag und eine Rechtsgrundlage nach Artikel 9 Abs. 2 lit. h, meist auch eine Datenschutz-Folgenabschätzung. Der EU AI Act verlangt seit dem 2. August 2026 die Offenlegung, dass eine KI spricht; sortiert der Assistent Anrufe nach Dringlichkeit, kann er ab dem 2. Dezember 2027 unter die Hochrisiko-Pflichten fallen. Reine Terminvergabe fällt nicht darunter.

Warum ist das Telefon in Arztpraxen der größte Engpass?

Weil Anrufe in Wellen kommen und dieselbe Person sie annehmen soll, die gerade Patienten am Empfang betreut. Die Folge kennt jede Praxis: besetzte Leitungen zur Sprechstundenöffnung, Rückrufschleifen und ein Team, das den Tag über zwischen Tresen und Telefon springt.

Der wirtschaftliche Schaden ist doppelt: Nicht angenommene Anrufe erzeugen später Mehrarbeit (Rückrufe, verschobene Termine, No-Shows), und die Mitarbeitenden verbringen einen erheblichen Teil ihrer Zeit mit Auskünften, die keine medizinische Qualifikation erfordern - Öffnungszeiten, Terminverschiebungen, Rezeptbestellungen.

Was kann ein KI-Telefonassistent in der Praxis übernehmen - und was nicht?

Er übernimmt organisatorische Aufgaben, keine medizinischen. Diese Abgrenzung ist der entscheidende Punkt bei der Einführung - und sie sollte bewusst eng gesetzt werden, denn sie entscheidet auch über die rechtliche Einstufung.

Notfälle sind der wichtigste Sonderfall. Der Assistent weist zu Gesprächsbeginn auf den Notruf 112 und den ärztlichen Bereitschaftsdienst 116 117 hin und leitet bei entsprechenden Hinweisen unmittelbar weiter, statt selbst einzuschätzen. Ein System, das hier Ermessen ausüben würde, wäre nicht nur riskant, sondern regulatorisch ein ganz anderes Thema.

Entlastung entsteht genau dort, wo diese organisatorischen Anrufe automatisiert ablaufen, während medizinische Anliegen unverändert beim Team landen. Das unterscheidet den KI-Telefonassistenten, oft auch KI-Anrufbeantworter genannt, vom klassischen Anrufbeantworter der Praxis: Dieser zeichnet nur auf und erzeugt Rückrufe, der Assistent führt das Gespräch und erledigt das Anliegen, soweit es organisatorisch ist.

Darf eine Arztpraxis überhaupt einen KI-Telefonassistenten einsetzen?

Ja. Seit der Reform des § 203 StGB im Jahr 2017 ist die Einbindung externer Dienstleister ausdrücklich erlaubt. Vorher war die Rechtslage ungeklärt, und Praxen bewegten sich bei jedem IT-Dienstleister in einer Grauzone. Der maßgebliche Satz in § 203 Abs. 3 StGB lautet:

"Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist."

Drei Wörter tragen die ganze Last: "soweit dies erforderlich ist". Sie begrenzen, was der Assistent hören darf. Ein System, das Termine vergibt, braucht Name, Kontaktdaten und Anliegen in groben Zügen. Es braucht keine Diagnosehistorie. Wer mehr überträgt als nötig, verlässt die Erlaubnis, auch wenn der Vertrag stimmt.

Dieselbe Norm gilt übrigens für Steuerberaterinnen und Steuerberater, dort ergänzt um § 62a StBerG. Wie die Abwägung in einer Kanzlei mit Verschwiegenheitspflicht ausfällt, haben wir gesondert beschrieben.

Warum haftet die Praxis und nicht der Anbieter?

Weil § 203 Abs. 4 StGB zwei getrennte Straftatbestände enthält. Satz 1 trifft die mitwirkende Person, also den Anbieter, wenn dessen Mitarbeitende ein Geheimnis offenbaren. Satz 2 Nr. 1 trifft die Praxis, und zwar für ein Unterlassen: wenn sie nicht dafür Sorge getragen hat, dass der Dienstleister zur Geheimhaltung verpflichtet wurde.

Das ist der Punkt, den Anbieterunterlagen selten hervorheben. Die Verpflichtung ist keine Serviceleistung des Anbieters, sondern eine Pflicht der Praxis. Sie lässt sich nicht delegieren, und sie entsteht unabhängig davon, ob überhaupt etwas passiert ist.

Die vierte Zeile verdient Aufmerksamkeit. Setzt der Anbieter selbst Unterauftragnehmer ein, etwa einen Cloud-Betreiber für die Spracherkennung, muss er auch diese verpflichten. Das Gesetz zieht die Kette ausdrücklich weiter: "das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen". Praxen sollten sich diese Kette offenlegen lassen, nicht nur den ersten Vertrag.

Was muss im Vertrag stehen, damit § 203 StGB erfüllt ist?

Vier Elemente, die sich in der Rechtsprechung und der Kommentarliteratur zur Reform herausgeschält haben. Sie sind schnell geprüft, und ihr Fehlen fällt sofort auf.

Erstens ein konkretes Vertragsverhältnis, das die Mitwirkung an der ärztlichen Tätigkeit beschreibt. Ein allgemeiner Software-Nutzungsvertrag genügt nicht. Zweitens eine Begrenzung der Tätigkeit auf genau diesen Zweck. Drittens die schriftliche Verpflichtung aller Personen beim Anbieter, die Zugang zu den Daten haben können, auf die Geheimhaltung nach § 203 StGB, nicht nur auf das Datengeheimnis der DSGVO. Das sind zwei verschiedene Dinge, und die Verwechslung ist der häufigste Mangel. Viertens die Fortsetzung dieser Verpflichtung über die gesamte Unterauftragskette.

Ein praktischer Test: Lassen Sie sich die Verpflichtungserklärung zeigen, die ein Entwickler oder eine Supportkraft beim Anbieter unterschrieben hat. Steht dort nur "Verpflichtung auf das Datengeheimnis" oder ein Verweis auf Artikel 28 DSGVO, fehlt die strafrechtliche Ebene.

Ist ein KI-Telefonassistent in der Arztpraxis DSGVO-konform?

Ja, aber die Anforderungen sind höher als in anderen Branchen. Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und sind grundsätzlich von der Verarbeitung ausgenommen. Für die Praxis greift die Ausnahme in Artikel 9 Abs. 2 lit. h: Verarbeitung für die Gesundheitsversorgung und die Verwaltung von Systemen des Gesundheitswesens, wozu die Terminorganisation gehört. Diese Ausnahme ist an Absatz 3 gekoppelt, der verlangt, dass die Daten durch Personal verarbeitet werden, das einem Berufsgeheimnis unterliegt.

Genau hier schließt sich der Kreis zum Strafrecht. Die DSGVO-Grundlage trägt nur, wenn die Geheimhaltungspflicht auf den Dienstleister durchgereicht ist. Ein sauberer Auftragsverarbeitungsvertrag ohne die Verpflichtung nach § 203 StGB lässt eine Lücke, die beide Regelwerke betrifft. Ein verbreiteter Irrtum ist außerdem, die Einwilligung nach Artikel 9 Abs. 2 lit. a heranzuziehen: Sie müsste vor der Verarbeitung vorliegen, der Anruf beginnt aber mit der Verarbeitung.

Vier Anforderungen müssen in der Praxis erfüllt sein:

• Verarbeitung und Hosting in der EU, mit Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO und Verpflichtung aller Sub-Dienstleister auf die Schweigepflicht.
• Datensparsamkeit: Der Assistent erfasst nur, was für die Terminvergabe nötig ist - kein Gespräch über Symptome, keine Speicherung medizinischer Details.
• Transparenz: Anrufer werden zu Gesprächsbeginn darüber informiert, dass sie mit einem KI-Assistenten sprechen und wie ihre Daten verarbeitet werden.
• Löschkonzept: Gesprächsdaten werden nur zweckgebunden gespeichert und nach definierter Frist automatisch gelöscht.

Wo das KI-Modell selbst laufen darf, damit die Geheimhaltung technisch trägt, steht im Beitrag zum LLM-Hosting nach § 203 StGB.

Wann ist eine Datenschutz-Folgenabschätzung Pflicht?

Bei umfangreicher Verarbeitung von Gesundheitsdaten in aller Regel. Nach Artikel 35 DSGVO ist eine Folgenabschätzung erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen mit sich bringt, und Absatz 3 Buchstabe b nennt die umfangreiche Verarbeitung besonderer Kategorien nach Artikel 9 ausdrücklich. Die Aufsichtsbehörden führen zusätzlich Listen mit Verarbeitungen, für die eine Folgenabschätzung stets durchzuführen ist. Die gemeinsame Liste der Datenschutzkonferenz nennt dort unter Nummer 11 den Einsatz künstlicher Intelligenz zur Steuerung der Interaktion mit Betroffenen, als typisches Einsatzfeld den Kundensupport mittels KI. Ein Telefonassistent, der Anrufe selbst im Gespräch führt, kommt dem sehr nahe; wer auf eine Folgenabschätzung verzichten will, sollte die Gründe schriftlich festhalten.

Praktisch heißt das: Ob und wie umfangreich eine Folgenabschätzung nötig ist, hängt vom Einsatz ab. Eine Einzelpraxis, deren Assistent nur Name, Rufnummer und Terminwunsch aufnimmt, liegt anders als ein MVZ, das Anrufe mehrerer Standorte samt Anliegen verarbeitet. Die Abgrenzung gehört vor den Start geklärt und nicht danach, weil eine nachgeholte Folgenabschätzung den bereits laufenden Betrieb in Frage stellen kann. Die Folgenabschätzung selbst und die Abstimmung mit Ihrem Datenschutzbeauftragten bleiben Aufgabe der Praxis; der Anbieter muss sie dabei nach Artikel 28 Absatz 3 Buchstabe f DSGVO unterstützen, etwa mit der technischen Dokumentation; diese ersetzt die eigene Prüfung aber nicht.

Was gehört in die Patientenakte und was nicht?

§ 630f BGB verpflichtet zur Dokumentation der Behandlung in unmittelbarem zeitlichem Zusammenhang. Organisatorische Gesprächsnotizen eines Telefonassistenten sind keine Behandlungsdokumentation und gehören nicht automatisch in die Akte. Umgekehrt darf ein Anliegen, das doch behandlungsrelevant ist, nicht im Assistenzsystem hängen bleiben. Deshalb braucht es eine klare Regel, welche Notizen übernommen werden und welche nach Fristablauf gelöscht werden.

Wann wird der Telefonassistent zum Hochrisiko-System nach dem AI Act?

Wenn er Anrufe nach Dringlichkeit bewertet oder über Akuttermine entscheidet. Die Pflichten für Hochrisiko-Systeme aus Anhang III des EU AI Act sollten ursprünglich ab dem 2. August 2026 gelten; der Digital Omnibus (Verordnung (EU) 2026/1744) hat diesen Stichtag auf den 2. Dezember 2027 verschoben. An der Einstufung selbst ändert das nichts, und wer heute ein System auswählt, sollte sie kennen. Anhang III Nr. 5 lit. d erfasst KI-Systeme, die dazu bestimmt sind, Notrufe zu bewerten und zu klassifizieren oder Rettungsdienste zu priorisieren, sowie Systeme zur Patiententriage in der Notfallversorgung.

Artikel 6 Abs. 3 AI Act bietet eine Ausnahme: Ein System aus Anhang III gilt nicht als hochriskant, wenn es kein wesentliches Risiko darstellt, weil es eine eng umgrenzte Verfahrensaufgabe erfüllt, das Ergebnis einer abgeschlossenen menschlichen Tätigkeit verbessert, Entscheidungsmuster erkennt ohne die menschliche Bewertung zu ersetzen, oder eine vorbereitende Aufgabe wahrnimmt. Eine Einschränkung hebt diese Ausnahme wieder auf: Führt das System Profiling natürlicher Personen durch, bleibt es in jedem Fall hochriskant. Ein Assistent, der Anrufende anhand früherer Kontakte einordnet, sollte daraufhin geprüft werden. Wer die Ausnahme in Anspruch nimmt, muss die Bewertung dokumentieren, bevor das System in Betrieb geht.

Muss der Anrufer erfahren, dass er mit einer KI spricht?

Ja, und diese Pflicht gilt unabhängig von der Hochrisiko-Frage. Artikel 50 Abs. 1 AI Act verlangt seit dem 2. August 2026, dass Personen darüber informiert werden, dass sie mit einem KI-System interagieren, sofern das nicht aus den Umständen offensichtlich ist. Am Telefon ist es das gerade nicht, denn moderne Sprachsysteme klingen natürlich.

Die Information gehört an den Anfang des Gesprächs, nicht in eine Datenschutzerklärung auf der Website. Ein gesprochener Satz genügt in der Regel, und er sollte verständlich sein statt juristisch, etwa: "Guten Tag, Sie sprechen mit dem KI-Assistenten der Praxis Muster." Die Information über die Datenverarbeitung nach Artikel 13 DSGVO lässt sich damit verbinden.

Die Leitlinien der EU-Kommission vom 20. Juli 2026 werden an drei Stellen konkret, die für Praxen zählen:

• Der Satz muss die KI nennen. Ein Signalton allein reicht nicht, ebenso wenig die bloße Bezeichnung als Assistent.
• Erinnerungen im Gesprächsverlauf. Spricht ein System mit älteren oder anderen besonders schutzbedürftigen Menschen, hält die Kommission Erinnerungen im Gespräch für voraussichtlich nötig, nicht nur den Hinweis zu Beginn. Eine Praxis-Hotline gehört fast immer dazu.
• Nachfragen werden ehrlich beantwortet. Fragt ein Anrufer, ob er mit einem Menschen spricht, muss der Assistent offenlegen, dass er eine KI ist.

Die Pflicht trifft den Anbieter. Das ist auch die Praxis selbst, wenn sie den Assistenten entwickeln lässt und unter eigenem Namen einsetzt; nutzt sie ein fertiges Produkt unverändert, muss dessen Anbieter den Hinweis einbauen. Die Details stehen im Beitrag zur Kennzeichnungspflicht nach Artikel 50, die seit Februar 2025 geltende KI-Kompetenzpflicht nach Artikel 4 betrifft zusätzlich das Praxisteam, das den Assistenten betreut. Den allgemeinen Rahmen fasst der Leitfaden zum EU AI Act für KMU zusammen.

Wie greift der Assistent auf die Praxissoftware zu?

Über eine Schnittstelle zum Praxisverwaltungssystem, sofern der Hersteller eine anbietet. An dieser Stelle scheitern viele Vorhaben, und zwar nicht am Recht, sondern an der Technik. Die Zi-Befragung unter mehr als 3.100 Praxisinhaberinnen, Praxisinhabern und MVZ-Leitungen aus dem Jahr 2025 zeichnet ein deutliches Bild der Ausgangslage: Die Benutzerfreundlichkeit der 32 untersuchten Praxisverwaltungssysteme erreicht im Mittel 63,1 von 100 Punkten, ein Drittel der Praxen denkt über einen Wechsel nach, und 40 Prozent beklagen eine schlechte Erreichbarkeit des Supports.

Mit Schnittstelle bucht, verschiebt und bestätigt der Assistent Termine ohne Doppelerfassung und erfasst Rückrufwünsche strukturiert für das Team. Ob es sie gibt, entscheidet der Hersteller des Verwaltungssystems, nicht der Anbieter des Assistenten. Drei Fragen klären das vor jeder Vertragsunterschrift: Gibt es eine dokumentierte Schnittstelle für Termine? Wird sie vom Hersteller unterstützt oder über einen inoffiziellen Weg angesprochen? Und liegt für den Schnittstellenbetreiber ebenfalls eine Verpflichtung nach § 203 StGB vor, falls er Daten zu sehen bekommt?

Wo keine Schnittstelle existiert, bleibt der Assistent ein Aufnahmesystem: Er nimmt das Anliegen auf und übergibt es strukturiert an das Team. Das ist weniger, als Werbeaussagen versprechen, aber es entlastet und ist rechtlich unkompliziert, weil keine Rückschreibung stattfindet.

Was kostet ein KI-Telefonassistent für eine Arztpraxis?

Ein KI-Telefonassistent besteht kostenseitig meist aus zwei Positionen: einem einmaligen Betrag für Dialog-Design, Telefonie-Anbindung und Kalender-Integration und laufenden Kosten für Betrieb, Monitoring und Pflege. Für Praxen ist weniger die Höhe entscheidend als die Abrechnungsform: Ein pauschal abgerechneter Assistent kostet in einer Grippewelle nicht mehr, bei Abrechnung pro Minute steigen die Kosten mit dem Anrufaufkommen.

Der Vergleich mit den Alternativen lohnt: Ein externer Telefonservice mit Menschen rechnet meist pro Minute ab und wird bei hohem Aufkommen teuer; ein Anrufbeantworter kostet fast nichts, erzeugt aber Rückrufarbeit statt sie zu vermeiden. Die Details stehen im Kostenvergleich KI-Telefonassistent vs. Telefonservice.

Wie läuft die Einführung in einer Praxis ab?

In vier Schritten, mit einer Testphase, bevor der Assistent echte Anrufe annimmt. Die Reihenfolge ist nicht beliebig, weil jeder Schritt den nächsten bestimmt:

1. Zweckbestimmung und Abgrenzung: Welche Anliegen darf der Assistent übernehmen, wo wird sofort weitergeleitet? Diese Entscheidung wird schriftlich festgehalten, denn sie bestimmt auch die Einstufung nach dem AI Act.
2. Verträge und Verpflichtungen: Auftragsverarbeitungsvertrag, Verpflichtungserklärungen nach § 203 StGB für den Anbieter und seine Unterauftragnehmer, Klärung der Schnittstelle zum Praxisverwaltungssystem.
3. Dialog-Design, Anbindung und Test: Gesprächsführung, Ansage zur KI-Nutzung und Notfallhinweis, Anbindung an Telefonanlage (SIP) und Kalender; das Praxisteam testet typische Anrufe, bevor die Nummer freigeschaltet wird.
4. Go-Live und Feintuning: Start, Monitoring der ersten Wochen, Nachjustierung der Antworten.

Welche Unterlagen sollte die Praxis vorhalten?

Sechs Dokumente. Sie sind an einem Nachmittag zusammengestellt, wenn der Anbieter mitspielt, und ihr Fehlen ist das erste, was bei einer Prüfung auffällt.

Was ist bei MVZ, Klinikambulanzen und Berufsausübungsgemeinschaften anders?

Die strafrechtliche Lage ist dieselbe, die organisatorische nicht. § 203 Abs. 1 Nr. 1 StGB knüpft an die Person der Ärztin oder des Arztes an, nicht an die Rechtsform. In einem MVZ trifft die Pflicht aus Absatz 4 Satz 2 Nr. 1 deshalb die ärztliche Leitung, nicht die Trägergesellschaft.

Daraus folgt ein praktischer Punkt, der oft übersehen wird: Ein Rahmenvertrag der Trägergesellschaft mit dem Anbieter erfüllt die Verpflichtungspflicht nicht automatisch für jeden angestellten Arzt. Die Verpflichtung muss die Personen erreichen, die das Geheimnis anvertraut bekommen haben.

Bei Klinikambulanzen kommt das jeweilige Landeskrankenhausgesetz hinzu, das eigene Regeln zur Datenverarbeitung enthalten kann und je nach Bundesland unterschiedlich streng ist. Bei überörtlichen Berufsausübungsgemeinschaften ist zu klären, ob der Assistent Daten über den Standort hinweg zusammenführt, denn das ist eine eigene Offenbarung, die wiederum an der Erforderlichkeit zu messen ist.

Was gilt für Praxen in Österreich und der Schweiz?

Die drei Ebenen bleiben dieselben, Strafrecht, Datenschutz und KI-Regulierung. Nur die Normen heißen anders.

Österreich. Die ärztliche Verschwiegenheitspflicht steht in § 54 Ärztegesetz 1998 und bindet ausdrücklich auch die Hilfspersonen. Strafrechtlich schützt § 121 StGB Geheimnisse über den Gesundheitszustand; Hilfskräfte stehen den Berufsträgern gleich, verfolgt wird die Tat nur mit Ermächtigung des Verletzten. Datenschutzrechtlich gilt die DSGVO wie in Deutschland, ergänzt um das österreichische Datenschutzgesetz. Die KI-Verordnung gilt unmittelbar und mit denselben Stichtagen: Die Kennzeichnung nach Artikel 50 ist seit dem 2. August 2026 Pflicht, die Hochrisiko-Pflichten nach Anhang III greifen ab dem 2. Dezember 2027.

Schweiz. Ärztinnen und Ärzte stehen im Katalog von Art. 321 StGB, ihre Hilfspersonen sind ausdrücklich einbezogen. Die Verletzung des Berufsgeheimnisses wird auf Antrag mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft. Gesundheitsdaten sind nach Art. 5 des Datenschutzgesetzes (DSG) besonders schützenswerte Personendaten. Art. 9 DSG erlaubt die Auslagerung an einen Auftragsbearbeiter nur, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht sie verbietet, und verlangt, dass sich die Praxis von der Datensicherheit des Anbieters überzeugt. Liegt der Server im Ausland, kommt Art. 16 DSG hinzu.

Ein eigenes KI-Gesetz mit einer Kennzeichnungspflicht wie in Artikel 50 gibt es in der Schweiz bisher nicht. Der Bundesrat hat am 12. Februar 2025 entschieden, die KI-Konvention des Europarats zu ratifizieren, und bis Ende 2026 soll eine Vernehmlassungsvorlage vorliegen. Wer seine Anrufer trotzdem zu Beginn informiert, dass sie mit einer KI sprechen, handelt vorausschauend und kann den Hinweis mit der Information über die Datenbearbeitung nach Art. 19 DSG verbinden. Ob ein externer Anbieter in der Schweiz als Hilfsperson im Sinne von Art. 321 StGB gilt, gehört vor dem Einsatz mit der Standesorganisation oder einem Berufsrechtler geklärt.

Akzeptieren Patienten einen KI-Telefonassistenten?

Ja, wenn zwei Bedingungen erfüllt sind: Der Assistent stellt sich transparent als KI-Assistent vor, und er löst das Anliegen tatsächlich. Wer nach dreimaligem Besetztzeichen endlich durchkommt und in 90 Sekunden einen Termin hat, empfindet das eher als Verbesserung denn als Abfertigung.

Kritisch wird es, wenn ein System vorgibt, ein Mensch zu sein, oder wenn es Anliegen nicht lösen kann und keine Weiterleitung anbietet. Deshalb gehört ein klarer Weg zum Menschen in jeden Dialog - auf Wunsch des Anrufers jederzeit. Eine Einordnung aller Agenten-Typen bietet der Überblick Welche KI-Agenten gibt es.

Häufige Fragen zum KI-Telefonassistenten in der Arztpraxis

Fazit

Der Einsatz eines KI-Telefonassistenten in der Arztpraxis ist rechtlich zulässig und seit 2017 ausdrücklich geregelt. Die Hürde liegt nicht im Grundsatz, sondern in einer Pflicht, die leicht zu erfüllen und leicht zu übersehen ist: Die Praxis muss dafür sorgen, dass der Anbieter und dessen Unterauftragnehmer zur Geheimhaltung nach § 203 StGB verpflichtet sind. Versäumt sie das, ist sie es, die sich strafbar macht, nicht der Anbieter.

Wer den Assistenten bewusst auf Aufnahme, Terminvergabe und Weiterleitung begrenzt, bleibt auf der einfachen Seite von Strafrecht, DSGVO und AI Act und gewinnt trotzdem die Entlastung, um die es geht. Praktisch heißt das: erst die Zweckbestimmung schriftlich festlegen, dann die Verpflichtungserklärungen einholen, dann die Schnittstellenfrage klären.

Dieser Beitrag erschien am 29. Juli 2026, wurde am 11. September 2026 um die Rechtsgrundlagen ergänzt und am 14. September 2026 sachlich überarbeitet. Am 23. September 2026 wurde der Beitrag zu § 203 StGB und DSGVO in der Arztpraxis vom 24. August 2026 hier eingearbeitet, am 18. Oktober 2026 kamen die Liste der Datenschutzkonferenz zur Folgenabschätzung und die Leitlinien der EU-Kommission zur KI-Kennzeichnung hinzu. Er ersetzt keine Rechtsberatung; die Einordnung nach österreichischem und Schweizer Recht ersetzt keine Beratung in diesen Rechtsordnungen.

Quellen

• Bundesministerium der Justiz: § 203 StGB - Verletzung von Privatgeheimnissen, Fassung nach dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen (2017)
• Europäische Union (2016): Datenschutz-Grundverordnung, Artikel 9 (einschließlich Abs. 2 lit. h und Abs. 3), 13, 28, 30 und 35
• Europäische Union (2024): Verordnung (EU) 2024/1689 (EU AI Act), Anhang III Nr. 5 lit. d, Artikel 6 Abs. 3 und Artikel 50 Abs. 1
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI-Verordnung), neuer Stichtag 2. Dezember 2027 für Hochrisiko-Systeme nach Anhang III
• Europäische Kommission: Leitlinien zu den Transparenzpflichten nach Artikel 50 KI-Verordnung, C(2026) 5054 vom 20. Juli 2026 - Anbieterrolle, gesprochener Hinweis, Erinnerungen in heiklen Zusammenhängen, Offenlegung auf Nachfrage
• Bundesministerium der Justiz: § 630f BGB - Dokumentation der Behandlung
• Datenschutzkonferenz: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, Version 1.1 vom 17. Oktober 2018, Nummer 11
• Zentralinstitut für die kassenärztliche Versorgung, Befragung zur Praxisverwaltungssoftware 2025, mehr als 3.100 Praxisinhaber und MVZ-Leitungen, 32 Systeme mit 77,4 Prozent Marktanteil, veröffentlicht Januar 2026
• Österreich: § 54 Ärztegesetz 1998 und § 121 StGB, Rechtsinformationssystem des Bundes
• Schweiz: Art. 321 StGB sowie Art. 5, 9, 16 und 19 des Datenschutzgesetzes (DSG); Bundesamt für Kommunikation, Künstliche Intelligenz: Regulierungsansatz des Bundesrats vom 12. Februar 2025