Berufsgeheimnis und Diktat: Was Ärzte, Anwälte und Steuerberater bei KI-Transkription beachten

Warum § 203 StGB über die DSGVO hinausgeht

Für die meisten Berufe endet die Prüfung eines Diktier- oder Transkriptionsdienstes beim Datenschutzrecht. Ärztinnen, Anwälte, Steuerberater und die übrigen in § 203 StGB genannten Berufe tragen eine zweite, strafrechtlich gesicherte Pflicht: die Verschwiegenheit über fremde Geheimnisse. Ein Diktat, das einen Befund, einen Mandatssachverhalt oder eine Bilanzposition enthält, ist ein solches Geheimnis. Wer es einem Dienstleister übergibt, muss wissen, unter welchen Bedingungen das kein strafbares Offenbaren ist.

Der Strafrahmen beträgt bis zu einem Jahr Freiheitsstrafe oder Geldstrafe; wer gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht handelt, muss nach Absatz 6 mit bis zu zwei Jahren rechnen. Wie § 201 StGB wird auch § 203 nach § 205 StGB nur auf Antrag verfolgt. Die allgemeinen Regeln zur Aufnahme fremder Stimmen, die neben § 203 gelten, stehen auf der Seite Darf ich ein Gespräch aufnehmen?.

Mitwirkende Personen: Wann die Weitergabe kein Offenbaren ist

Ob und wie ein Berufsgeheimnisträger externe Dienstleister einbinden darf, regelt Absatz 3, der 2017 in das Gesetz eingefügt wurde; er arbeitet mit dem Begriff der „sonstigen mitwirkenden Personen“.

Ein Transkriptionsdienst, ein Spracherkennungsanbieter oder der Betreiber einer Diktier-Cloud ist eine solche sonstige mitwirkende Person (Einordnung). Die Übergabe eines Diktats mit Patienten- oder Mandantengeheimnissen ist dann kein Offenbaren, allerdings nur „soweit dies für die Inanspruchnahme der Tätigkeit … erforderlich ist“. Der Dienst darf also nur erhalten, was er für die Transkription braucht; eine Weitergabe ganzer Akten „zur Sicherheit“ wäre nicht erforderlich. Der letzte Halbsatz regelt die Kette: Setzt der Transkriptionsanbieter seinerseits einen Rechenzentrumsbetreiber oder einen Modellanbieter ein, sind auch diese mitwirkende Personen, und die Erforderlichkeit gilt für jede Stufe.

Die Verpflichtungspflicht: Absatz 4 trifft dich selbst

Absatz 3 erlaubt die Einbindung, Absatz 4 knüpft eine Bedingung daran, deren Verletzung den Berufsgeheimnisträger selbst strafbar macht.

Zwei Dinge folgen daraus. Erstens unterliegt der Dienstleister selbst der Strafdrohung, wenn er Geheimnisse offenbart, die ihm bei seiner Tätigkeit bekannt werden. Zweitens, und das ist der Punkt für deine Praxis oder Kanzlei: Offenbart der Dienstleister ein Geheimnis und du hast ihn nicht zur Geheimhaltung verpflichtet, wirst du bestraft, nicht nur er. Die Verpflichtung ist also keine Formalie, sondern die Bedingung, unter der der Einsatz eines Cloud-Dienstes überhaupt straffrei bleibt. Sie muss auch die Unterauftragnehmer erfassen (Nr. 2).

Rechtsanwälte: § 43e BRAO

Für Rechtsanwälte hat der Gesetzgeber die Anforderungen an Dienstleister berufsrechtlich ausformuliert. § 43e BRAO regelt, was der Vertrag enthalten muss und wann Mandanten zustimmen müssen.

Für die Auswahl eines Diktier- oder Transkriptionsdienstes ergibt sich daraus eine klare Reihenfolge (Einordnung): Erst die sorgfältige Auswahl nach Absatz 2, dann der Vertrag in Textform mit den drei Pflichtinhalten des Absatzes 3, dann die Prüfung des Standorts nach Absatz 4. Ein Dienst mit Servern außerhalb Deutschlands ist nur zulässig, wenn der Schutz der Geheimnisse dort vergleichbar ist; diese Prüfung ist eine andere als die datenschutzrechtliche nach Art. 44 ff. DSGVO, und Absatz 8 stellt klar, dass die Datenschutzvorschriften „unberührt“ bleiben. Beides muss also erfüllt sein. Absatz 5 betrifft den Einzelfall: Wird ein Dienst nur für ein bestimmtes Mandat beauftragt, etwa die Transkription einer einzelnen Zeugenbefragung, braucht es die Einwilligung des Mandanten. Die praktischen Fragen zum Diktieren in der Kanzlei stehen auf der Seite Diktiergerät in der Kanzlei.

Ärztinnen und Ärzte: § 393 SGB V und die KBV-Hinweise

Für Leistungserbringer im Gesundheitswesen gibt es eine eigene Vorschrift zum Cloud-Einsatz. § 393 SGB V erlaubt die Verarbeitung von Sozial- und Gesundheitsdaten „auch im Wege des Cloud-Computing-Dienstes“, knüpft sie aber an drei Bedingungen.

Was als C5-Testat gilt, bestimmt das Gesetz selbst mit dem Verweis auf die „C5-Basiskriterien“; seit dem 01.07.2025 genügt nur noch ein Typ-2-Testat. Für eine Praxis bedeutet das (Einordnung): Ein KI-Dokumentationsdienst, der Gesundheitsdaten in der Cloud verarbeitet, braucht einen Standort in der EU oder einem Staat mit Angemessenheitsbeschluss, eine Niederlassung in Deutschland und ein aktuelles C5-Typ-2-Testat.

Die Kassenärztliche Bundesvereinigung hat diese Vorgaben in ihrem PraxisWissen „Künstliche Intelligenz“ (Stand Dezember 2025) für den Praxisalltag übersetzt. Zur Information der Patienten heißt es: „Die Nutzung von KI muss für Patienten transparent sein. In der Regel reicht eine Information aus, dass die Praxis KI-Systeme im Rahmen der Behandlung einsetzt.“ Und zur Einwilligung: „Eine datenschutzrechtliche Einwilligung des Patienten ist in der Regel nicht erforderlich – egal, ob es sich um ein KI-System zur Dokumentation von Gesprächen oder zur Therapieentscheidung handelt. Sie benötigen eine Einwilligung nur dann, wenn die verarbeiteten Daten nicht ausschließlich für die Versorgung des Patienten genutzt werden, sondern auch für das Training oder die Optimierung des KI-Systems oder für Forschungszwecke.“ Die KBV verlangt außerdem, mit dem Anbieter „zusätzlich einen Auftragsverarbeitungsvertrag“ zu schließen, und nennt als Prüfpunkte das C5-Testat („Ab dem 1. Juli 2025 ist das C5-Typ2-Testat gültig.“) und den Ort der Datenverarbeitung „in der EU, einem EWR Land oder einem erlaubten Drittstaat“.

Die „Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis“ von Bundesärztekammer und KBV (Stand 01.10.2025) behandeln die Auftragsverarbeitung unter Verweis auf Art. 28 DSGVO und § 203 Abs. 3 S. 2 StGB und empfehlen eine Datenschutz-Folgenabschätzung „bei der Verwendung neuer Technologien (z. B. Cloud Dienste)“. Einen eigenen Abschnitt zu Spracherkennung oder Diktat enthält das Papier nicht; wer es als Beleg für KI-Diktat zitiert, überdehnt es. Die Praxisfragen zu Geräten und Abläufen stehen auf der Seite Diktiergerät in der Arztpraxis.

Steuerberater und Wirtschaftsprüfer

Steuerberater, Steuerbevollmächtigte, Wirtschaftsprüfer und vereidigte Buchprüfer stehen in § 203 Abs. 1 Nr. 3 StGB in derselben Nummer wie Rechtsanwälte. Für sie gelten damit Absatz 3 und Absatz 4 unverändert: Ein Transkriptionsdienst ist mitwirkende Person, die Weitergabe muss erforderlich sein, und der Dienstleister muss zur Geheimhaltung verpflichtet werden. Eine berufsrechtliche Parallelvorschrift zu § 43e BRAO haben wir für diese Kammerberufe in dieser Recherche nicht ausgewertet; diese Seite stützt sich für sie allein auf § 203 StGB und die DSGVO. Die Vorgaben der jeweiligen Kammer sind zusätzlich zu prüfen.

Prüfliste je Berufsgruppe

Die folgende Tabelle ordnet die Pflichten den drei Berufsgruppen zu. Sie ist eine redaktionelle Zusammenfassung der zitierten Vorschriften und ersetzt nicht die Prüfung im Einzelfall.

Tabelle seitlich scrollen, um alle Spalten zu sehen

Redaktionelle Zuordnung der zitierten Normen; keine Rechtsberatung. Was ein Anbieter dafür veröffentlichen sollte, steht auf der Seite zur Cloud-Transkription.

Wer die Transkription vollständig auf dem eigenen Gerät oder Rechner ausführt, umgeht einen Großteil dieser Prüfschritte, weil keine mitwirkende Person beteiligt ist. Welche Lösungen das leisten, zeigt die Seite Offline-Spracherkennung; die allgemeinen Pflichten gegenüber Cloud-Anbietern erläutert die Seite Cloud-Transkription und Datenschutz.