Klientendaten in ChatGPT? KI und die DSGVO in der Therapiepraxis
Identifizierbare Klientendaten gehören nicht in öffentliche KI-Tools: Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Sicher arbeitest du mit anonymisierten Beispielen oder einer geschäftlichen KI-Umgebung mit Auftragsverarbeitungsvertrag.
Warum Gesundheitsdaten besonders geschützt sind
Die DSGVO behandelt Gesundheitsdaten als besondere Kategorien personenbezogener Daten (Art. 9). Ihre Verarbeitung ist grundsätzlich untersagt, sofern keine ausdrückliche Rechtsgrundlage vorliegt — etwa eine Einwilligung oder die Verarbeitung im Rahmen der Gesundheitsversorgung. Was in der Praxisverwaltung selbstverständlich geregelt ist, wird beim spontanen Einsatz eines KI-Tools schnell übersehen: Auch ein „kurz mal eingefügter" Befundtext ist eine Verarbeitung.
Das Problem mit öffentlichen KI-Tools
Bei der öffentlichen, kostenlosen Nutzung von Tools wie ChatGPT gilt: Eingaben können außerhalb der EU verarbeitet und je nach Einstellung für das Training verwendet werden — und es besteht kein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) zwischen deiner Einrichtung und dem Anbieter. Ohne diese Garantien haben identifizierbare Klientendaten dort nichts verloren. Das gilt für Namen genauso wie für Kombinationen von Details, die eine Person erkennbar machen (Alter + Ort + seltene Diagnose).
So nutzt du KI trotzdem sicher
- Anonymisieren: Name, Geburtsdatum, Adresse, Arbeitgeber und seltene Detailkombinationen entfernen, bevor ein Fall in ein KI-Tool geht.
- Pseudonymisieren reicht oft nicht: „Herr M., 84, aus einem kleinen Ort bei X" kann identifizierbar bleiben — im Zweifel weiter verallgemeinern.
- Geschäftliche Umgebung nutzen: eine von der Einrichtung freigegebene KI-Lösung mit Auftragsverarbeitungsvertrag und Verarbeitung möglichst innerhalb der EU.
- Interne Vorgaben klären: viele Träger haben inzwischen KI-Richtlinien — die gehen vor.
- Ausgaben prüfen: auch datenschutzkonform erzeugte Texte bleiben fachlich deine Verantwortung.
Merksatz: Alles, was du nicht laut im Wartezimmer vorlesen würdest, gehört auch nicht unbearbeitet in ein öffentliches KI-Tool.
Und die Verantwortung?
KI verändert nichts an deiner beruflichen und rechtlichen Verantwortung: Was du dokumentierst, versendest oder mit Klient:innen teilst, verantwortest du selbst — unabhängig davon, ob ein Werkzeug mitgeschrieben hat. Wie KI im Alltag konkret hilft (und wo sie halluziniert), liest du im Überblicksartikel KI im Gesundheitswesen: was sie kann — und was nicht.
Häufig gestellte Fragen
Darf ich Klientendaten in ChatGPT eingeben?
In der öffentlichen, kostenlosen Version grundsätzlich nicht. Eingegebene Daten können außerhalb der EU verarbeitet oder für das Training verwendet werden, und es besteht kein Auftragsverarbeitungsvertrag. Ohne diese Garantien gehören identifizierbare Klientendaten dort nicht hinein.
Was sind besondere Kategorien personenbezogener Daten?
Das sind sensible Daten mit besonderem Schutz nach Art. 9 DSGVO — darunter Gesundheitsdaten. Für ihre Verarbeitung gelten strengere Anforderungen als für gewöhnliche personenbezogene Daten; im Regelfall ist eine ausdrückliche Rechtsgrundlage wie eine Einwilligung erforderlich.
Wie nutze ich KI trotzdem sicher mit einem Fallbeispiel?
Anonymisieren oder pseudonymisieren: Name, Geburtsdatum, Adresse und andere identifizierende Details entfernen, sodass das Beispiel keiner Person zuzuordnen ist. Oder eine geschäftliche KI-Umgebung mit Auftragsverarbeitungsvertrag und passenden Garantien nutzen (Verarbeitung innerhalb der EU bevorzugt), die deine Einrichtung freigegeben hat.
Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Auftragsverarbeitungsvertrag regelt, wie ein externer Dienstleister — etwa ein KI-Anbieter — im Auftrag deiner Einrichtung mit personenbezogenen Daten umgeht. Die DSGVO schreibt einen solchen Vertrag vor, wenn personenbezogene Daten durch Dritte verarbeitet werden (Art. 28 DSGVO).