Datenschutz und KI in Beratung und Therapie: Was du beachten musst

KI-Werkzeuge halten Einzug in Beratung und Therapie, oft schneller als die Klarheit darüber, was datenschutzrechtlich erlaubt ist. Die gute Nachricht: KI und Schweigepflicht schließen sich nicht aus. Es kommt darauf an, wie das Werkzeug gebaut ist und worauf du achtest.

Warum der Datenschutz hier besonders streng ist

Was Klient:innen dir anvertrauen, gehört zum Sensibelsten, das es gibt. Die DSGVO behandelt Gesundheitsdaten deshalb als besondere Kategorie personenbezogener Daten (Art. 9). Ihre Verarbeitung ist grundsätzlich verboten, es sei denn, eine klare Ausnahme greift, etwa eine ausdrückliche Einwilligung oder die Behandlung selbst.

Dazu kommt die strafbewehrte Schweigepflicht nach § 203 StGB. Sie ist der Grund, warum du nicht einfach irgendein Tool einsetzen darfst, das Gespräche mitschreibt oder auswertet. Beides zusammen, Art. 9 DSGVO und § 203 StGB, setzt die Messlatte bewusst hoch.

Die rechtlichen Grundlagen, kurz und konkret

Rechtsgrundlage und Einwilligung

Für die Verarbeitung von Gesundheitsdaten brauchst du eine tragfähige Grundlage, in der Praxis meist die ausdrückliche Einwilligung deiner Klient:innen (Art. 9 Abs. 2 lit. a) im Zusammenhang mit dem Behandlungsvertrag. Wenn ein KI-Tool ins Spiel kommt, informiere transparent darüber, was es tut und welche Daten es verarbeitet.

Auftragsverarbeitung (AVV)

Sobald ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ohne AVV ist der Einsatz eines solchen Tools nicht zulässig. Seriöse Anbieter stellen ihn von sich aus bereit.

Schweigepflicht und Dienstleister

Lange war unklar, ob Berufsgeheimnisträger:innen überhaupt externe Dienstleister einbinden dürfen. Seit der Reform von § 203 StGB im Jahr 2017 ist das ausdrücklich möglich, unter der Bedingung, dass du Dienstleister sorgfältig auswählst und vertraglich zur Geheimhaltung verpflichtest. Genau das leistet ein guter AVV mit Verschwiegenheitsklausel.

Serverstandort und Drittland-Transfer

Liegen die Daten auf Servern in der EU, ist die Lage am einfachsten. Werden Anbieter aus Drittländern (häufig den USA) eingebunden, braucht es zusätzliche Garantien nach Art. 44 ff. DSGVO, etwa EU-Standardvertragsklauseln oder eine Zertifizierung unter dem EU-US Data Privacy Framework. US-Anbieter sind also nicht automatisch tabu, aber sie verlangen Sorgfalt.

Datenminimierung und der EU AI Act

Es sollten nur so viele Daten verarbeitet werden, wie für den Zweck nötig sind, und nicht für andere Zwecke, schon gar nicht heimlich zum Training fremder Modelle. Der EU AI Act kommt zusätzlich hinzu: Er verlangt je nach Einsatz Transparenz darüber, dass KI im Spiel ist. Wie streng die Pflichten sind, hängt vom Zweck ab: Medizinisch entscheidende oder diagnostische KI tendiert zur Hochrisiko-Klasse, eine reine Dokumentations- oder Organisations-Assistenz in der Regel nicht. Die Transparenzpflicht gilt in jedem Fall; die entsprechenden Vorgaben greifen ab August 2026. Ein grundsätzlicher Punkt dahinter: Ein frei verfügbarer Allzweck-Chatbot ist datenschutzrechtlich etwas anderes als ein zweckgebundenes, dokumentiertes Werkzeug in einem betreuten Rahmen, auch wenn sich beide im Gespräch ähnlich anfühlen. Nur beim Zweiten sind Zweck, Aufbewahrung, Löschung und Verantwortlichkeit klar geregelt.

Checkliste: Worauf du bei einem KI-Tool achten solltest

Bevor du ein KI-gestütztes Werkzeug in deiner Praxis einsetzt, geh diese Fragen durch:

• Gibt es einen AVV, und ist die Schweigepflicht darin abgesichert?
• Wo stehen die Server, und werden Sub-Auftragsverarbeiter transparent benannt?
• Sind Übertragung und Speicherung verschlüsselt?
• Werden deine Inhalte nicht zum Training fremder KI-Modelle verwendet?
• Werden nur die nötigen Daten verarbeitet (Datenminimierung), mit klarem Löschkonzept?
• Ist geregelt, wie lange Daten gespeichert werden, und können deine Klient:innen ihre Löschung verlangen?
• Ist die Zweckbindung eindeutig, also wozu die Daten genutzt werden dürfen und wozu nicht?
• Ist für deine Klient:innen transparent, dass und wofür KI eingesetzt wird?
• Bleibt die Kontrolle und Entscheidung bei dir, statt bei einem automatischen System?

Wie Metanovia damit umgeht

Wir bauen Metanovia nach genau diesen Prinzipien. Konkret heißt das: Deine Praxis- und Sitzungsdaten liegen auf Servern in der EU, Übertragung und Speicherung sind verschlüsselt, und für dich als Berater:in stellen wir einen Auftragsverarbeitungsvertrag bereit.

Nova, unsere KI-Assistentin, ist sichtbar abgegrenzt: Sie unterstützt im Hintergrund, etwa bei Dokumentation und Zusammenfassungen, und was sie tut, ist transparent. Für Video und Transkription arbeiten wir mit spezialisierten Auftragsverarbeitern, vertraglich gebunden und unter DSGVO-Garantien. Unser Maßstab: nur so viele Daten wie nötig, und Sitzungsinhalte werden nicht zum Training fremder KI-Modelle freigegeben.

Was KI hier nicht leisten darf

So nützlich die Entlastung ist, eine Grenze bleibt fest: Die KI nimmt dir Routine ab, aber nicht die Verantwortung. Sie ersetzt weder dein klinisches Urteil noch die Einwilligung deiner Klient:innen, und sie hebt die Schweigepflicht nicht auf. Wer ein Werkzeug einsetzt, bleibt für seinen Einsatz verantwortlich. Genau dieser ehrliche Rahmen, KI als Unterstützung mit klaren Grenzen, ist für uns nicht verhandelbar.