Diktiergerät und KI-Dokumentation in der Arztpraxis: Arztbrief, Ambient-Scribe und § 203 StGB

Zwei Arbeitsweisen: Arztbrief-Diktat und Ambient-Dokumentation

Das klassische Diktat ist ein Monolog: Du sprichst den Arztbrief oder Befund nach dem Gespräch in ein Mikrofon, eine Spracherkennung oder eine Schreibkraft macht Text daraus. Aufgenommen wird nur deine Stimme, der Patient ist nicht mehr im Raum. Der Inhalt enthält trotzdem Gesundheitsdaten im Sinne des Art. 9 DSGVO und unterliegt der Schweigepflicht, deshalb gelten alle Regeln für den Dienstleister auch hier.

Die Ambient-Dokumentation ist etwas anderes: Ein Mikrofon hört das Anamnesegespräch mit, ein Sprachmodell erzeugt daraus die Dokumentation, zum Beispiel als SOAP-Notiz. Jetzt wird das Wort des Patienten aufgenommen. Damit kommen zwei weitere Fragen hinzu, die beim Monolog nicht gestellt werden: Ist die Aufnahme nach § 201 StGB befugt, und welche Information braucht der Patient nach der DSGVO? Die Kassenärztliche Bundesvereinigung hat beides in ihrem PraxisWissen zur KI beantwortet, dazu weiter unten.

Was § 203 StGB vom Dienstleister verlangt

§ 203 Abs. 1 StGB stellt unter Strafe, wer „unbefugt ein fremdes Geheimnis“ offenbart, das ihm als Arzt „anvertraut worden oder sonst bekanntgeworden ist“. Seit 2017 erlaubt Absatz 3, Geheimnisse gegenüber „sonstigen Personen“ zu offenbaren, „die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist“. Ein Transkriptions- oder Ambient-Dienst ist eine solche mitwirkende Person.

Die Gegenleistung steht in Absatz 4 Satz 2 Nr. 1: Bestraft wird auch, wer als Berufsgeheimnisträger „nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes … Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde“. Übersetzt in die Praxis: Vor dem ersten Diktat muss der Anbieter sich dir gegenüber zur Geheimhaltung verpflichtet haben, und zwar einschließlich seiner Unterauftragnehmer (Absatz 3 Satz 2, Absatz 4 Satz 2 Nr. 2). Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist ein zweites, eigenes Dokument; die KBV rät ausdrücklich, ihn „zusätzlich“ abzuschließen. Den Hintergrund erklärt die Seite Berufsgeheimnis und Diktat.

§ 393 SGB V: Cloud nur mit C5-Typ-2-Testat und Standort EU

Für Praxen gibt es seit 2024 eine eigene Cloud-Norm. § 393 Abs. 1 SGB V erlaubt Leistungserbringern, Sozial- und Gesundheitsdaten „auch im Wege des Cloud-Computing-Dienstes“ zu verarbeiten, „sofern die Voraussetzungen der Absätze 2 bis 4 erfüllt sind“. Absatz 2 begrenzt den Ort: „im Inland“, „in einem Mitgliedstaat der Europäischen Union“ oder in einem Drittstaat mit Angemessenheitsbeschluss nach Art. 45 DSGVO, „und sofern die datenverarbeitende Stelle über eine Niederlassung im Inland verfügt“.

Absatz 3 Nr. 2 verlangt „ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien“; seit dem 1. Juli 2025 gilt laut Absatz 4 nur noch ein C5-Typ-2-Testat als aktuell. C5 ist der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik für Cloud-Anbieter; Typ 2 bescheinigt nicht nur die Eignung der Kontrollen, sondern ihre Wirksamkeit über einen Zeitraum. Für dich heißt das: Ein Anbieter, der weder Standort noch C5-Testat nennt, scheidet für Gesundheitsdaten aus, so gut seine Transkription auch sein mag.

KBV PraxisWissen KI: Information statt Einwilligung, aber offen aufzeichnen

Die KBV hat im Dezember 2025 ihr PraxisWissen „Künstliche Intelligenz“ aktualisiert. Zur Transparenz heißt es dort: „Die Nutzung von KI muss für Patienten transparent sein. In der Regel reicht eine Information aus, dass die Praxis KI-Systeme im Rahmen der Behandlung einsetzt.“ Und zur Einwilligung: „Eine datenschutzrechtliche Einwilligung des Patienten ist in der Regel nicht erforderlich – egal, ob es sich um ein KI-System zur Dokumentation von Gesprächen oder zur Therapieentscheidung handelt. Sie benötigen eine Einwilligung nur dann, wenn die verarbeiteten Daten nicht ausschließlich für die Versorgung des Patienten genutzt werden, sondern auch für das Training oder die Optimierung des KI-Systems oder für Forschungszwecke.“ Als Prüfpunkte für Cloud-Lösungen nennt die KBV das C5-Testat und den Ort der Datenverarbeitung „in der EU, einem EWR Land oder einem erlaubten Drittstaat“.

Die gemeinsamen Hinweise von Bundesärztekammer und KBV zur ärztlichen Schweigepflicht (Stand 01.10.2025) behandeln die Auftragsverarbeitung und die Datenschutz-Folgenabschätzung „bei der Verwendung neuer Technologien (z. B. Cloud Dienste)“; einen eigenen Abschnitt zu Spracherkennung oder Diktat enthalten sie nicht. Wir behaupten deshalb nicht, dass sich das Papier zu KI-Diktat äußert.

Anbieter für Praxen im Überblick

Die Tabelle führt nur, was die Anbieter selbst veröffentlichen. Mehrere nennen keinen Preis und verkaufen über Partner; Drittangaben aus Händler- oder Beraterseiten haben wir bewusst nicht übernommen.

Tabelle seitlich scrollen, um alle Spalten zu sehen

Preise laut Herstellershop bzw. offizieller Preisseite, Stand 13.10.2026, in der Währung des Anbieters. Preise ohne Gewähr. Preise für Praxen sind Nettopreise. „Nicht genannt“ heißt: Die offizielle Seite enthält die Angabe nicht; wir haben nicht nachgefragt und ergänzen nichts.

Auffällig ist die Spanne der Nachweise. Tandem Health nennt einen EU-Standort, eine Medizinprodukte-Klasse und zwei ISO-Normen; CGM und Solventum verweisen auf C5, nennen aber keinen Standort; Microsoft veröffentlicht für Dragon Medical One auf der deutschen Produktseite weder Standort noch Zertifikat. Partner-Flyer sprechen von Azure-Rechenzentren in Deutschland, das ist jedoch eine Händlerangabe, keine Herstellerseite. Frage den Anbieter vor Vertragsschluss schriftlich nach C5-Typ-2-Testat, Standort und der Verpflichtung nach § 203 StGB; die Antwort gehört in die Akte.

Warum Consumer-KI-Recorder für Patientengespräche heikel sind

Geräte wie PLAUD Note Pro, soundcore Work oder HiDock P1 sind für Meetings und Interviews gebaut. Für die Praxis fehlen ihnen drei Dinge, die § 203 StGB und § 393 SGB V verlangen: ein nachgewiesener Standort in der EU, ein C5-Typ-2-Testat und eine Verpflichtung zur Geheimhaltung gegenüber dir als Berufsgeheimnisträger. Keiner der Hersteller in unserem Datensatz weist eine solche Verpflichtung auf seinen Seiten aus; das ist eine Feststellung über die veröffentlichten Angaben, kein Urteil über die Produkte.

Beim Verarbeitungsort widerspricht sich PLAUD selbst: Das Trust Center nennt Rechenzentren „in the US, Europe (Frankfurt), Singapore, and Japan“, die Partner-Datenschutzseite spricht von Daten „stored exclusively on servers located within the United States“ (AWS Oregon). Welche Aussage für Kunden in Deutschland gilt, lässt sich aus den Seiten nicht ablesen. soundcore nennt die Cloud-Region nicht, HiDock veröffentlicht zum Serverstandort nichts. kiolo verspricht Transkription „auf EU-Servern in Frankfurt“, nennt aber weder Hosting-Anbieter noch Auftragsverarbeitungsvertrag, und das Gerät ist am Stichtag nur vorbestellbar. Für Gesundheitsdaten reicht keine dieser Angaben; Hintergründe zur Cloud-Verarbeitung stehen auf KI-Transkription und Datenschutz.

Checkliste vor der Einführung

1. Schriftliche Bestätigung des Anbieters zu Standort (Inland, EU oder Angemessenheitsstaat mit Niederlassung im Inland) und aktuellem C5-Typ-2-Testat nach § 393 SGB V.
2. Verpflichtung zur Geheimhaltung nach § 203 Abs. 4 StGB, einschließlich der Unterauftragnehmer, als eigenes Dokument.
3. Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO; Ausschluss der Nutzung von Eingabedaten zum Training, wie die Datenschutzkonferenz es als „vorzugswürdig“ bezeichnet.
4. Patienteninformation nach Art. 13 DSGVO und KBV-Hinweis: sichtbarer Hinweis, dass die Praxis KI zur Dokumentation einsetzt; bei Ambient-Aufnahme offenes Vorgehen und Möglichkeit zum Widerspruch.
5. Datenschutz-Folgenabschätzung prüfen; BÄK und KBV nennen Cloud-Dienste als Beispiel für neue Technologien.
6. Prüfroutine für Transkripte festlegen: Medikamentennamen, Dosierungen und Zahlen gegen die Aufnahme lesen, bevor der Brief die Praxis verlässt. Warum das nötig ist, erklärt Halluzinationen bei der Transkription.