§ 203 StGB und KI-Dokumentation: wann ein Anbieter „mitwirkende Person“ ist
Ein Anbieter wird zur sonstigen mitwirkenden Person im Sinn von § 203 Abs. 3 StGB, sobald er bei seiner Tätigkeit für die Praxis Kenntnis von Patientengeheimnissen erhalten kann. Die Weitergabe an ihn ist dann kein unbefugtes Offenbaren, soweit sie für seine Tätigkeit erforderlich ist — und die Praxis muss dafür sorgen, dass er zur Geheimhaltung verpflichtet wird.
Redaktionell gegen Produktverhalten und angegebene Primärquellen geprüft; keine individuelle medizinische oder rechtliche Beratung.
Diese Übersicht ist allgemeine Information und keine Rechtsberatung. Die Praxis muss Rechtsgrundlage, Information, Einwilligungsablauf und Datenschutzmaßnahmen für ihren konkreten Einsatz mit ihrer Rechts- oder Datenschutzberatung prüfen.
Was § 203 StGB schützt
§ 203 Abs. 1 StGB stellt es unter Strafe, ein fremdes Geheimnis unbefugt zu offenbaren, das jemandem in seiner beruflichen Eigenschaft anvertraut worden ist. Nummer 1 der Aufzählung nennt Ärztinnen und Ärzte ausdrücklich. Was in der Sprechstunde gesagt wird, fällt darunter, unabhängig davon, ob es später in der Akte landet.
Wichtig für die Softwareauswahl ist die Ebene: Das ist Strafrecht. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO beantwortet die datenschutzrechtliche Frage und lässt die strafrechtliche offen. Beide Prüfungen laufen nebeneinander, und beide müssen bestanden sein.
Gehilfen, mitwirkende Personen und der Unterschied
§ 203 Abs. 3 StGB unterscheidet zwei Gruppen. Berufsmäßig tätige Gehilfen und Personen, die zur Vorbereitung auf den Beruf in der Praxis tätig sind — die medizinische Fachangestellte, die Auszubildende — stehen der schweigepflichtigen Person gleich; ihnen gegenüber wird nichts offenbart.
Seit November 2017 steht daneben die zweite Gruppe: sonstige mitwirkende Personen. Gemeint sind Dritte, die an der Berufsausübung mitwirken, ohne in der Praxis angestellt zu sein — die IT-Wartung, der Rechenzentrumsbetrieb, der Anbieter einer Dokumentationsanwendung. Die Weitergabe an sie ist kein unbefugtes Offenbaren, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist.
„Erforderlich“ ist dabei die Grenze und nicht die Formalie. Sie fragt, welche Angaben der Anbieter braucht, um genau die Leistung zu erbringen, für die er beauftragt ist — nicht, welche Angaben bequem mitzuliefern wären.
Die Pflicht, die bei der Praxis bleibt
§ 203 Abs. 4 StGB dreht die Verantwortung um. Strafbar macht sich nicht nur die mitwirkende Person, die ein Geheimnis offenbart, sondern auch die schweigepflichtige Person, die nicht dafür Sorge getragen hat, dass die mitwirkende Person zur Geheimhaltung verpflichtet wurde. Dieselbe Pflicht setzt sich fort, wenn der Anbieter seinerseits weitere Personen einschaltet.
Für die Praxis heißt das: Die Verpflichtung zur Geheimhaltung ist keine Beigabe zum Vertrag, sondern die Handlung, deren Unterlassen das Strafrecht adressiert. Sie gehört dokumentiert, mit Datum und benannter Person, so wie die Praxis ihre eigenen Beschäftigten verpflichtet.
- Wer beim Anbieter Kenntnis erlangen kann, ist benannt und zur Geheimhaltung verpflichtet.
- Die Verpflichtung ist schriftlich festgehalten und in der Praxis auffindbar.
- Der Anbieter verpflichtet seinerseits die von ihm eingeschalteten Personen.
- Der Umfang der weitergegebenen Angaben ist auf das begrenzt, was die Leistung erfordert.
- Ändert sich die Kette der Beteiligten, wird die Verpflichtung nachgezogen.
Ob ein Anbieter mitwirkt, entscheidet der Datenweg
Ein Anbieter, der nie Kenntnis von einem Patientengeheimnis erlangen kann, wirkt an der Berufsausübung nicht in diesem Sinn mit. Deshalb ist die erste Frage nicht, was das Produkt heißt, sondern welche Inhalte es wohin trägt — und die Antwort ist bei Dokumentationswerkzeugen fast nie einheitlich für alle drei Wege Audio, Transkript und Entwurf.
Bei KiPT Voice bleibt die Audiodatei auf dem Rechner der Praxis. Der Transkripttext geht an den Anbieter, der in den Einstellungen konfiguriert ist, sofern dort kein lokales Modell eingerichtet ist; in diesem Fall verlässt auch der Text die Praxis nicht. Wer den Datenweg kennt, weiß, wen er verpflichten muss.
Fünf Fragen vor dem Pilot
Die Fragen sind bewusst so gestellt, dass eine Antwort in der Anbieterdokumentation stehen muss und nicht in einem Verkaufsgespräch entstehen kann.
- Welche der drei Inhalte — Audio, Transkript, Entwurf — verlassen den Praxisrechner, und zu wem?
- Wer beim Anbieter und bei dessen Dienstleistern kann auf diese Inhalte zugreifen?
- Liegt für diese Personen eine Verpflichtung zur Geheimhaltung vor, und in welcher Form?
- Verpflichtet der Anbieter seine eigenen Unterauftragnehmer, und wird die Praxis über Wechsel informiert?
- Lässt sich der Umfang der übermittelten Inhalte begrenzen, etwa durch ein lokales Modell?
Was § 203 StGB nicht regelt
Die Vorschrift sagt nichts über den Ort der Verarbeitung, nichts über Verschlüsselung und nichts über Aufbewahrungsfristen. Diese Punkte kommen aus der DSGVO und aus den berufsrechtlichen Regeln; sie fallen in dieselbe Entscheidung, aber nicht in dieselbe Norm.
Umgekehrt heilt kein Vertrag eine Weitergabe, die für die beauftragte Tätigkeit nicht erforderlich war. Wer beides zusammen prüfen will, prüft den Datenweg zuerst und die Papiere danach.
Häufige Fragen
Reicht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
Nein, er beantwortet nur die datenschutzrechtliche Seite. § 203 StGB verlangt zusätzlich, dass die Praxis dafür Sorge trägt, dass die mitwirkenden Personen zur Geheimhaltung verpflichtet werden. Viele Anbieter regeln beides in einem Dokument; entscheidend ist, dass beides darin steht.
Ist eine medizinische Fachangestellte eine mitwirkende Person?
Nein, sie ist berufsmäßig tätige Gehilfin nach § 203 Abs. 3 StGB. Ihr gegenüber wird nichts offenbart. Die Regeln für sonstige mitwirkende Personen betreffen Dritte außerhalb der Praxis.
Was bedeutet „erforderlich“ in der Praxis?
Weitergegeben werden darf, was die beauftragte Leistung braucht. Bei einer Dokumentationsanwendung ist das der Text des Gesprächs, wenn der Entwurf daraus entstehen soll — nicht zwingend die Audiodatei und nicht die übrige Patientenakte.
Spielt es eine Rolle, wo der Anbieter sitzt?
Für § 203 StGB kommt es auf die Kenntnisnahme an, nicht auf den Ort. Der Ort ist eine datenschutzrechtliche Frage nach der DSGVO und wird getrennt beantwortet; beide Fragen gehören in dieselbe Prüfung vor dem Pilot.
Ändert ein lokales Modell die Bewertung?
Ja, weil sich der Datenweg ändert. Wird der Entwurf durch ein Modell auf einem Rechner der Praxis erzeugt, erhält kein externer Anbieter Kenntnis vom Gesprächstext — dann gibt es für diesen Schritt niemanden zu verpflichten.