Stellen Sie sich eine typische Patientin vor. Montagmorgen, Verdacht auf Meniskusläsion. Sie bucht ihren Termin online und gibt dabei den Grund ihres Besuchs an. An der Anmeldung folgt der Anamnesebogen, die Daten landen im Praxisverwaltungssystem. Das Knie wird geröntgt, die Aufnahme wandert ins Bildarchiv, vielleicht markiert eine KI-Software eine Auffälligkeit. Der Arztbrief entsteht per Spracherkennung, der Befund geht in die elektronische Patientenakte, die Abrechnung an die KV. Eine einzige Behandlung und Ihre Patientin hat eine Datenspur durch sechs oder sieben Systeme gezogen.
Diese Datenspur ist der rote Faden unserer Newsletter-Serie. In den kommenden Ausgaben folgen wir ihr einmal komplett durch die Praxis, von der Terminbuchung bis zur KI-gestützten Dokumentation. Heute beginnen wir mit einem rechtlichen Überblick: Was sagt das Gesetz, was ist neu, und wo sollte Ihre Umsetzung am besten anfangen?
Die Verantwortung liegt bei Ihnen
Für jedes System, das Patientendaten verarbeitet, tragen Sie als Praxisinhaberin oder Praxisinhaber die datenschutzrechtliche Verantwortung und können sich nicht “blind” auf den Softwarehersteller, die KV oder den IT-Dienstleister verlassen. Das mag zunächst nach einer Last klingen, es bedeutet aber auch, dass Sie nicht abwarten müssen, was andere tun. Sie können die rechtliche Konformität in Ihrer Praxis selbst herstellen.
Was die DSGVO an jeder Station verlangt
Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonders geschützten Daten. Schon der Besuchsgrund im Online-Buchungsformular zählt dazu, ebenso das Röntgenbild mit Name und Geburtsdatum im Dateikopf. Daraus folgen vier Grundregeln, die an jeder Station der Patientenreise wiederkehren.
- Erheben Sie nur, was für den jeweiligen Zweck nötig ist.
- Sichern Sie die Verarbeitung nach dem Stand der Technik ab, von der Verschlüsselung bis zum Rechtekonzept im Team.
- Binden Sie externe Dienstleister nur mit Auftragsverarbeitungsvertrag ein.
- Und dokumentieren Sie, was Sie tun, denn im Zweifel müssen Sie es nachweisen können.
Über allem steht natürlich die ärztliche Schweigepflicht nach § 203 StGB, die unabhängig von jeder Technik gilt.
Wichtig zu wissen: Die DSGVO ist technologieneutral. Sie gilt für den Karteikasten genauso wie für das modernste KI-Werkzeug. Es gibt keinen KI-Rabatt und keine KI-Ausnahme.
Was der EU AI Act neu hinzufügt
Der AI Act ergänzt die DSGVO, er ersetzt sie nicht. Seine Pflichten sind nach dem Risiko gestaffelt, welches durch KI-Systeme entstehen kann. Seit Februar 2025 muss jedes Team, das KI einsetzt, im Umgang damit geschult sein, nachweisbar. Und seit dem 2. August 2026, also seit wenigen Wochen, muss erkennbar sein, wenn eine KI kommuniziert, etwa ein Telefonassistent am Empfang oder ein Chatbot auf der Praxiswebsite. Die strengen Pflichten für Hochrisiko-KI folgen gestaffelt: für eigenständige Systeme ab Dezember 2027, für KI in Medizinprodukten, und dazu zählt diagnostische Bild-KI, ab August 2028. Diese Fristen sind kein Grund zum Zurücklehnen, sondern sollten bewusst als Vorbereitungszeit genutzt werden.
Warum das gerade O&U betrifft
Kaum ein Fach ist so datenintensiv wie Orthopädie und Unfallchirurgie: hoher Patientendurchsatz, eigenes Röntgen, externe MRTs, Zuweiserkommunikation. Und kaum ein Fach ist so nah an der KI. Software zur Frakturerkennung gehörte zu den ersten zugelassenen KI-Medizinprodukten, Spracherkennung und automatische Arztbriefe verbreiten sich schnell. Dazu kommt eine Lücke, über die wir in dieser Newsletter-Serie noch ausführlich sprechen: Offiziell nutzen 15 Prozent der Ärztinnen und Ärzte in Praxen KI. Anonym befragt, gibt etwa die Hälfte an, private KI-Tools auch beruflich zu verwenden. Die tatsächliche Datenlandschaft vieler Praxen ist größer, als ihre Dokumentation es abbildet.
Der beste erste Schritt: eine ehrliche Inventur
Konformität beginnt nicht mit Paragrafen, sondern mit drei Fragen. Welche Systeme verarbeiten bei uns Patientendaten? Wo liegen diese Daten, auf dem Praxisserver, in einer deutschen Cloud oder außerhalb der EU? Und wer greift darauf zu? Wer diese drei Fragen schriftlich beantworten kann, hat das Fundament gelegt, auf dem alles Weitere aufbaut. Genau dabei begleiten wir Sie in den kommenden Ausgaben, Station für Station: von der Terminbuchung über PVS, ePA und Bildarchiv bis zu klinischer und generativer KI. Den Höhepunkt bildet unser Webinar am 14. Oktober 2026, das wir mit Ihren Fragen aus dieser Serie gestalten.
Praxis-Check:
- Können Sie alle Systeme mit Zugriff auf Patientendaten nennen?
- Wissen Sie bei jedem System, wo die Daten gespeichert werden?
- Falls Ihr Team bereits KI einsetzt: Ist die Schulung dazu dokumentiert?
Damit unser Webinar am 14. Oktober genau Ihre Themen trifft, bitten wir Sie um zwei Minuten für drei kurze Fragen.
Dieser Beitrag ist allgemeine Fachinformation und ersetzt keine Rechtsberatung im Einzelfall.
Quelle: Dieter – Datenschutz