KI-Telefonassistent in der Arztpraxis

Im August 2025 forderten Verbraucherschützer, dass Anrufende in Arztpraxen vorab erfahren, wenn sie mit einem KI-Assistenten sprechen. Seit dem 2. August 2026 schreibt der AI Act genau das vor. Es ist nicht die einzige Regel für die KI am Praxistelefon. Die Anbieter versprechen ein entlastetes Praxisteam und werben teils mit „100 % DSGVO-konform“. Verantwortlich bleibt aber die Praxis, und für sie gilt ein strengerer Rahmen als für einen Handwerksbetrieb mit derselben Software: Schon die Information, dass jemand Patientin oder Patient ist, fällt unter die Schweigepflicht.

Das Wichtigste in Kürze

• Ein KI-Telefonassistent ist in der Arztpraxis erlaubt. Schweigepflicht und Datenschutz gelten dabei laut Bundesärztekammer und Kassenärztlicher Bundesvereinigung uneingeschränkt.
• Der Anbieter und alle seine Subunternehmer müssen zur Verschwiegenheit verpflichtet sein. Sonst kannst du dich nach § 203 StGB selbst strafbar machen, wenn dort ein Patientengeheimnis nach außen dringt. Ein Auftragsverarbeitungsvertrag allein genügt nicht.
• Für Termine und Rezeptwünsche brauchst du keine Einwilligung der Anrufenden. Für Aufzeichnungen, Terminerinnerungen per SMS und jede Nutzung zu eigenen Zwecken des Anbieters schon.
• Eine Datenschutz-Folgenabschätzung ist bei KI am Telefon nach der Liste der Aufsichtsbehörden der Regelfall. Nach geltendem Recht folgt daraus auch die Pflicht zu einem Datenschutzbeauftragten, unabhängig von der Teamgröße.
• Der Assistent muss sich zu Beginn als KI zu erkennen geben, am Telefon mit einem gesprochenen Satz. Ein Signalton reicht nicht.
• Termine ja, medizinische Einschätzung nein: Bewertet der Assistent Beschwerden und Dringlichkeit, kann er zum Medizinprodukt werden.

Darf eine Arztpraxis KI ans Telefon lassen?

Ja. Kein Gesetz verbietet Praxen, Anrufe von einer KI annehmen zu lassen. Typische Aufgaben sind Termine vereinbaren oder verschieben, Rezept- und Überweisungswünsche aufnehmen, Fragen zu Öffnungszeiten beantworten und Anliegen an das Team weitergeben.

Bundesärztekammer und Kassenärztliche Bundesvereinigung stellen in ihren gemeinsamen Hinweisen zu Schweigepflicht und Datenschutz in der Arztpraxis (Stand Oktober 2025) aber klar: Beides gilt uneingeschränkt auch beim Einsatz von künstlicher Intelligenz. Für den Telefonassistenten heißt das, vier Ebenen zu prüfen, am besten in dieser Reihenfolge, und eine Grenze einzuhalten.

Schweigepflicht: Sie beginnt beim ersten Satz

Die ärztliche Schweigepflicht umfasst laut Bundesärztekammer und KBV auch die Tatsache, dass sich eine Person in Behandlung befindet. Wer anruft und sagt „Ich bin Patientin bei Ihnen und brauche ein Folgerezept“, gibt also schon ein Patientengeheimnis preis. Wer als Ärztin, Arzt oder Angehöriger eines anderen Heilberufs ein solches Geheimnis unbefugt offenbart, kann sich strafbar machen (§ 203 Abs. 1 Nr. 1 StGB).

Erlaubt ist die Weitergabe an Dienstleister, die an der beruflichen Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist (§ 203 Abs. 3 Satz 2 StGB). Bundesärztekammer und KBV nennen als Beispiele ausdrücklich Dienstleister für Telekommunikation und für das Praxisverwaltungssystem. Ein KI-Telefonassistent gehört in diese Gruppe. Daran hängen zwei Bedingungen:

• Verschwiegenheit sicherstellen: Du musst dafür sorgen, dass der Anbieter zur Geheimhaltung verpflichtet wird. Versäumst du das und gibt jemand beim Anbieter ein Geheimnis unbefugt weiter, kannst du dich selbst strafbar machen (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). Nach den Hinweisen von BÄK und KBV verpflichtest du entweder die Mitarbeitenden des Anbieters selbst oder du verpflichtest den Anbieter vertraglich, das für dich zu tun. Bei einem Cloud-Dienst kommt praktisch nur der zweite Weg in Frage, schriftlich festgehalten.
• Die ganze Kette: Ein KI-Telefonassistent besteht meist aus mehreren Diensten: Telefonanbindung, Spracherkennung, Sprachmodell, Sprachausgabe und Speicherung. Zieht dein Anbieter dafür weitere Unternehmen hinzu, muss er auch diese zur Geheimhaltung verpflichten, sonst kann er sich strafbar machen (§ 203 Abs. 4 Satz 2 Nr. 2 StGB). Lass dir die Liste der Subunternehmer geben und bestätigen, dass alle verpflichtet sind.

Reicht der Auftragsverarbeitungsvertrag?

Nein. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt den Datenschutz. Bundesärztekammer und KBV halten ausdrücklich fest, dass er keine Befugnis im Sinne von § 203 StGB ist. Du brauchst also beides, gern in einem Vertrag. Steht im Vertrag deines Anbieters nichts zu § 203 StGB, fehlt die Verschwiegenheitsverpflichtung. Was ein Auftragsverarbeitungsvertrag sonst enthalten muss, erklärt Dieter Datenschutz im Artikel zum Auftragsverarbeitungsvertrag.

Datenschutz: Was ohne Einwilligung geht und was nicht

Am Telefon fallen fast immer Gesundheitsdaten an: der Grund des Termins, das Medikament für das Folgerezept, die Beschwerden. Das sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Die gute Nachricht: Für das, was zur Behandlung gehört, brauchst du keine Einwilligung. Art. 9 Abs. 2 lit. h DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG erlauben die Verarbeitung für die Behandlung und die Verwaltung von Diensten im Gesundheitsbereich, wenn Personen mit Geheimhaltungspflicht die Daten verarbeiten oder dafür verantwortlich sind.

Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, hat im Juni 2025 festgehalten, was das für externe Terminverwaltung und Online-Terminbuchung heißt. Ein KI-Telefonassistent macht im Kern dasselbe, nur am Telefon. Seine Positionen lassen sich deshalb nach unserer Einschätzung übertragen:

Drei Punkte kommen hinzu:

• Wo die Daten verarbeitet werden: „Server in Deutschland“ beantwortet die Frage nicht, wenn Spracherkennung oder Sprachmodell woanders laufen. Die Datenschutzkonferenz verlangt, vor der Beauftragung zu klären, ob einzelne Schritte wie Support, Wartung oder Administration in einem Land außerhalb der EU stattfinden. Dann brauchst du dafür eine Grundlage nach Art. 44 ff. DSGVO.
• Informieren: Der Assistent gehört in die Datenschutzhinweise der Praxis, mit dem Anbieter als Empfänger, und ins Verzeichnis der Verarbeitungstätigkeiten. Am Telefon reicht eine gestufte Information: Die Leitlinien der europäischen Datenschutzbehörden zur Transparenz erlauben, im Gespräch das Wichtigste zu sagen und für den Rest auf die Datenschutzhinweise zu verweisen.
• Einen Menschen erreichbar halten: Neben der digitalen Terminvereinbarung soll es laut Datenschutzkonferenz immer einen anderen Weg geben, einen Termin zu bekommen. Am Telefon heißt das: Weiterleitung an das Team oder ein Rückruf.

Folgenabschätzung: bei KI am Telefon der Regelfall

Für welche Verarbeitungen eine Datenschutz-Folgenabschätzung (DSFA) immer nötig ist, legen die deutschen Aufsichtsbehörden in einer Liste fest (Art. 35 Abs. 4 DSGVO). Darauf steht der Einsatz künstlicher Intelligenz, die die Interaktion mit Betroffenen steuert. Als typisches Einsatzfeld nennt die Liste den Kundensupport mittels KI, als Beispiel ein System, das mit Kundschaft im Gespräch interagiert und dabei personenbezogene Daten durch eine KI verarbeitet. Ein Telefonassistent, der mit Patientinnen und Patienten spricht und dabei Gesundheitsdaten verarbeitet, passt nach unserer Einschätzung genau in dieses Raster.

Plane die Folgenabschätzung deshalb von Anfang an ein und frag den Anbieter nach Unterlagen dafür, etwa zu Datenwegen, Subunternehmern und Schutzmaßnahmen.

Der KI-Hinweis am Telefon

Seit dem 2. August 2026 gilt Art. 50 Abs. 1 der KI-Verordnung: KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Menschen erfahren, dass sie mit einer KI sprechen. Ausgenommen ist, was für eine verständige Person ohnehin offensichtlich ist. Der Hinweis muss spätestens bei der ersten Interaktion klar und eindeutig kommen und barrierefrei sein (Art. 50 Abs. 5).

Die EU-Kommission ist in ihren Leitlinien vom Juli 2026 für Telefon und Sprachassistenten konkret:

• Ein gesprochener Satz zu Beginn, etwa „Dies ist ein KI-gestützter Assistent“, bei längeren Gesprächen gegebenenfalls mit Erinnerungen.
• Ein Signalton allein reicht nicht, ebenso wenig ein vager Hinweis auf einen „Assistenten“ oder ein Satz, der nur in den AGB oder auf der Website steht.
• „Offensichtlich“ greift am Praxistelefon kaum. Ist ein System für die Allgemeinheit erreichbar, zu der auch ältere Menschen gehören, kann sich der Anbieter nach den Leitlinien nicht auf die Ausnahme berufen. Und eine menschlich klingende Stimme spricht gegen Offensichtlichkeit.

Formal trifft die Pflicht den Anbieter, bei einem fertigen Produkt also den Hersteller; die Praxis ist Betreiberin. Weil du die Begrüßung aber meist selbst einstellst, liegt es praktisch bei dir, dass der Satz drin bleibt. Mehr zu Art. 50 steht im Artikel zur KI-Kennzeichnungspflicht.

Als Betreiberin muss die Praxis außerdem Maßnahmen ergreifen, die die KI-Kompetenz des Teams fördern (Art. 4 KI-Verordnung, Fassung seit 27. Juli 2026). Ein bestimmtes Niveau musst du nicht garantieren, und einen eigenen KI-Beauftragten brauchst du dafür nicht. Für das Praxisteam heißt das vor allem: wissen, was der Assistent kann und was nicht, Transkripte richtig lesen und Fehler erkennen. Wie eine schlanke Schulung aussieht, steht im Artikel zur KI-Schulung für Mitarbeitende.

Aufzeichnen und Transkripte

Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt aufnimmt, macht sich strafbar (§ 201 Abs. 1 Nr. 1 StGB). Speichert der Telefonassistent Gesprächsaufnahmen, brauchst du dafür die Einwilligung der Anrufenden. Weil das Gespräch Gesundheitsdaten enthält, muss sie ausdrücklich sein (Art. 9 Abs. 2 lit. a DSGVO). Sicher ist eine aktive Zustimmung, etwa ein „Ja“ auf die Frage, ob aufgezeichnet werden darf. Stillschweigen ist nach der DSGVO keine Einwilligung (Erwägungsgrund 32).

Ob schon die kurze technische Verarbeitung der Sprache für die Spracherkennung eine Aufnahme im Sinne von § 201 StGB ist, ist nicht geklärt. Der sichere Weg: Aufnahmen standardmäßig aus, und für das Praxisteam nur ein Transkript oder eine Zusammenfassung. Auch das sind Gesundheitsdaten. Lege fest, wer sie sieht und wann sie gelöscht werden.

Termin ja, Diagnose nein

Einige Anbieter werben damit, dass ihr Assistent Notfälle oder Dringlichkeit erkennt. Software für die Terminvergabe ist für sich kein Medizinprodukt, so die Leitlinie der europäischen Koordinierungsgruppe Medizinprodukte (MDCG 2019-11, Fassung Juni 2025). Zusatzmodule können aber eigenständig Medizinprodukte sein. Bewertet ein Assistent Beschwerden, um die Dringlichkeit festzulegen, kann ein solches Modul vorliegen. Maßgeblich ist, wofür der Hersteller das Produkt bestimmt. Und KI-Systeme für die Triage von Patientinnen und Patienten in der Notfallversorgung zählt der AI Act zu den Hochrisiko-Systemen (Anhang III Nr. 5 lit. d). Deren Pflichten gelten ab dem 2. Dezember 2027.

Die einfachste Linie für die Praxis: Der Assistent vergibt Termine und nimmt Anliegen auf, er schätzt keine Beschwerden ein. Eine feste Sicherheitsregel gehört trotzdem hinein. Nennt jemand ein Notfall-Stichwort wie Brustschmerzen oder Atemnot, kommt sofort der Hinweis auf die 112 und die Weiterleitung an das Team. Außerhalb der Sprechzeiten nennt der Assistent den ärztlichen Bereitschaftsdienst unter 116117. Wirbt ein Anbieter mit Triage, frag nach der Zweckbestimmung und danach, ob das Produkt als Medizinprodukt gekennzeichnet ist.

Was in die Begrüßung gehört

In der Begrüßung kommen der KI-Hinweis, die erste Stufe der Datenschutzinformation und, falls aufgezeichnet wird, die Frage nach der Einwilligung zusammen. Alles Weitere steht in den Datenschutzhinweisen auf der Website.

Den Anbieter prüfen: zehn Fragen

Statt einer Produktempfehlung: Diese Fragen sollte jeder Anbieter schriftlich beantworten können, bevor du unterschreibst.

In sechs Schritten zum KI-Telefon

1. Zweck festlegen: Was soll der Assistent tun (Termine, Rezeptwünsche, Öffnungszeiten) und was ausdrücklich nicht (medizinische Einschätzung, Befundauskunft)?
2. Anbieter prüfen: mit den zehn Fragen oben, schriftlich.
3. Verträge schließen: Auftragsverarbeitungsvertrag und Verpflichtung zur Verschwiegenheit nach § 203 StGB, inklusive Subunternehmer.
4. Datenschutz dokumentieren: Folgenabschätzung, Verzeichnis der Verarbeitungstätigkeiten, Datenschutzhinweise mit dem Anbieter als Empfänger. Die Datenschutzbeauftragte oder den Datenschutzbeauftragten früh einbinden.
5. Begrüßung und Notfallregeln einrichten: KI-Hinweis, Datenschutzhinweis, Weiterleitung zum Team, 112 und 116117. Mit Testanrufen prüfen.
6. Team schulen und nachsteuern: Das Team weiß, wie es Transkripte prüft und was es bei Fehlern tut. Halte in eurer KI-Richtlinie fest, wofür der Assistent eingesetzt wird.

Die häufigsten Fehler

• „DSGVO-konform“ auf der Website des Anbieters für ausreichend halten. Verantwortlich ist die Praxis, und die Schweigepflicht regelt die DSGVO nicht.
• Nur den Auftragsverarbeitungsvertrag unterschreiben. Ohne Verpflichtung zur Verschwiegenheit nach § 203 StGB fehlt die strafrechtliche Absicherung.
• Einen vagen KI-Hinweis wählen. „Ihr digitaler Assistent“ sagt nicht klar, dass eine KI spricht.
• Aufnahmen standardmäßig anlassen. Ohne aktive Einwilligung ist das ein Risiko nach § 201 StGB und der DSGVO.
• Den Assistenten Beschwerden einschätzen lassen. Das ist keine Terminvergabe mehr.
• Keinen Weg zum Menschen anbieten. Die Datenschutzkonferenz erwartet einen anderen Weg zum Termin, und nicht alle kommen mit einer KI am Telefon zurecht.

Wie Klaus Arztpraxen hilft

Im kostenlosen KI-Check-up nimmst du die KI-Tools deiner Praxis ins KI-Inventar auf, Klaus stuft ihr Risiko ein und erstellt eure KI-Richtlinie. Der Free-Plan gilt für eine Person und ein KI-System, die Schulung ist dann für dich selbst.

Ab dem Basic-Plan prüft Klaus den Telefonassistenten und eure weiteren KI-Systeme im 6-Phasen-Check, schult das Praxisteam und hält dich bei Gesetzesänderungen auf dem Laufenden. Für die Datenschutzseite, etwa die Benennung einer Datenschutzbeauftragten oder eines Datenschutzbeauftragten, gibt es Klaus' großen Bruder Dieter Datenschutz.

Fazit

Ein KI-Telefonassistent kann das Praxisteam spürbar entlasten, und er ist erlaubt. Die Arbeit liegt vor dem Start: Verschwiegenheit nach § 203 StGB für den Anbieter und die ganze Kette, ein Auftragsverarbeitungsvertrag, eine Folgenabschätzung und saubere Datenschutzhinweise. Am Telefon selbst gilt: Der Assistent sagt zu Beginn, dass er eine KI ist, zeichnet nicht ungefragt auf, schätzt keine Beschwerden ein und lässt jeden zum Menschen durch. Dann wissen Patientinnen und Patienten, woran sie sind. Wie dieselben Fragen in der Kanzlei aussehen, steht im ersten Teil der Serie: KI in der Kanzlei.