Auftragsverarbeitung für KI-Dokumentation: Checkliste vor dem Pilot
Verarbeitet ein Anbieter Gesprächsinhalte im Auftrag der Praxis, braucht es vor dem ersten Termin einen Vertrag nach Art. 28 DSGVO. Er muss Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegen und die acht Pflichten aus Absatz 3 abbilden — und er beantwortet die strafrechtliche Frage nach § 203 StGB nicht mit.
Redaktionell gegen Produktverhalten und angegebene Primärquellen geprüft; keine individuelle medizinische oder rechtliche Beratung.
Diese Übersicht ist allgemeine Information und keine Rechtsberatung. Die Praxis muss Rechtsgrundlage, Information, Einwilligungsablauf und Datenschutzmaßnahmen für ihren konkreten Einsatz mit ihrer Rechts- oder Datenschutzberatung prüfen.
Wann eine Praxis einen AVV braucht
Ein Auftragsverarbeitungsvertrag wird fällig, sobald ein Dienstleister personenbezogene Daten für die Praxis und nach ihren Weisungen verarbeitet. Bei KI-Dokumentation ist das die Frage, ob Gesprächsinhalte den Praxisrechner verlassen — und für welchen der drei Wege Audio, Transkript und Entwurf das gilt.
Art. 28 Abs. 1 DSGVO stellt die Auswahl davor: Die Praxis darf nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist eine Prüfpflicht vor dem Vertragsschluss, keine Zusicherung, die im Vertrag steht.
Es geht um Gesundheitsdaten, also besondere Kategorien nach Art. 9 Abs. 1 DSGVO. Die Verarbeitung für Zwecke der Behandlung ist über Art. 9 Abs. 2 Buchstabe h in Verbindung mit Absatz 3 möglich, wenn sie durch Fachpersonal oder unter dessen Verantwortung erfolgt, das dem Berufsgeheimnis unterliegt.
Was nach Art. 28 Abs. 3 DSGVO im Vertrag stehen muss
Der Vertrag legt zunächst den Rahmen fest: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte der Praxis. Danach folgen die Pflichten des Auftragsverarbeiters.
- Verarbeitung nur auf dokumentierte Weisung der Praxis.
- Zur Vertraulichkeit verpflichtete Personen auf Seiten des Anbieters.
- Die nach Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen.
- Einhaltung der Bedingungen für weitere Auftragsverarbeiter.
- Unterstützung der Praxis bei Anträgen betroffener Personen.
- Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO.
- Löschung oder Rückgabe der Daten nach Ende der Leistung, nach Wahl der Praxis.
- Nachweise bereitstellen und Überprüfungen einschließlich Inspektionen ermöglichen.
- Hinweis an die Praxis, wenn eine Weisung nach Auffassung des Anbieters gegen Datenschutzrecht verstößt.
Unterauftragnehmer, und warum sie die eigentliche Frage sind
Nach Art. 28 Abs. 2 DSGVO darf der Anbieter keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung der Praxis einschalten. Bei einer allgemeinen Genehmigung muss er über jede beabsichtigte Änderung informieren, damit die Praxis widersprechen kann.
Bei KI-Werkzeugen hängt an dieser Klausel mehr als üblich, weil der Anbieter der Anwendung und der Anbieter des Sprachmodells oft nicht dieselbe Stelle sind. Die Praxis sollte deshalb nicht nur fragen, wer im Vertrag steht, sondern wer tatsächlich Text zu sehen bekommt.
Was Art. 28 DSGVO nicht verlangt
Die Vorschrift schreibt nicht vor, dass der Vertrag einen Verarbeitungsort nennt. Wer wissen will, wo verarbeitet wird — und viele Praxen wollen das —, muss es vereinbaren; von selbst steht es nicht darin. Datenübermittlungen in Drittländer richten sich zusätzlich nach Kapitel V der DSGVO.
Ebenso wenig ersetzt der Vertrag die strafrechtliche Prüfung. § 203 StGB verlangt, dass die Praxis dafür Sorge trägt, dass mitwirkende Personen zur Geheimhaltung verpflichtet werden. Beides in einem Dokument zu regeln ist üblich; beides zu verwechseln ist der häufige Fehler.
Zur Form: Nach Art. 28 Abs. 9 DSGVO ist der Vertrag schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.
Checkliste vor dem Pilot
Die Reihenfolge ist Absicht: Erst steht fest, welche Inhalte den Rechner verlassen, dann lässt sich beurteilen, ob der Vertrag den richtigen Vorgang beschreibt. Umgekehrt entstehen Verträge über Verarbeitungen, die es so gar nicht gibt.
- Steht schriftlich fest, welche Inhalte den Praxisrechner verlassen und welche nicht?
- Beschreibt der Vertrag genau diesen Vorgang, mit Gegenstand, Dauer, Art und Zweck?
- Sind alle Unterauftragnehmer benannt, und wie wird die Praxis über Wechsel informiert?
- Wie lange werden Inhalte beim Anbieter aufbewahrt, und wie werden sie gelöscht?
- Welche Nachweise stellt der Anbieter bereit, wenn die Praxis prüfen will?
- Liegt neben dem Vertrag eine Verpflichtung zur Geheimhaltung nach § 203 StGB vor?
- Ist geklärt, ob die Verarbeitung ausschließlich innerhalb der EU stattfindet?
Wenn kein Text die Praxis verlässt
Wird der Entwurf durch ein Modell erzeugt, das auf einem Rechner der Praxis läuft, gibt es für diesen Schritt keinen Auftragsverarbeiter, weil niemand außerhalb der Praxis verarbeitet. Die übrigen Pflichten bleiben: Rechtsgrundlage, Information der Patientinnen und Patienten, Maßnahmen nach Art. 32 DSGVO und die Löschkonzepte der Praxis.
Bei KiPT Voice bleibt die Audiodatei in jedem Fall auf dem Praxisrechner. Ob Transkripttext an einen externen Anbieter geht, entscheidet die Konfiguration in den Einstellungen — und genau diese Entscheidung bestimmt, ob und mit wem ein Vertrag nach Art. 28 DSGVO nötig ist.
Häufige Fragen
Brauche ich einen AVV, wenn ein lokales Modell läuft?
Für den Schritt, der lokal läuft, nicht: Es verarbeitet niemand außerhalb der Praxis. Für jeden anderen Dienst, der Inhalte im Auftrag verarbeitet, bleibt es beim Vertrag nach Art. 28 DSGVO.
Muss der Vertrag den Verarbeitungsort nennen?
Art. 28 DSGVO verlangt das nicht. Wenn die Praxis den Ort kennen oder auf die EU begrenzen will, gehört das ausdrücklich in den Vertrag; Übermittlungen in Drittländer richten sich zusätzlich nach Kapitel V der DSGVO.
Reicht der AVV, um die Schweigepflicht abzudecken?
Nein. § 203 StGB verlangt zusätzlich, dass die Praxis dafür Sorge trägt, dass mitwirkende Personen zur Geheimhaltung verpflichtet werden. Der Vertrag kann das mitregeln, ersetzt es aber nicht automatisch.
In welcher Form muss der Vertrag geschlossen werden?
Nach Art. 28 Abs. 9 DSGVO schriftlich, wobei ein elektronisches Format ausreicht.
Wer ist Verantwortlicher, die Praxis oder der Anbieter?
Die Praxis entscheidet über Zwecke und Mittel der Verarbeitung und ist damit Verantwortliche. Der Anbieter verarbeitet auf Weisung und ist Auftragsverarbeiter, solange er die Inhalte nicht für eigene Zwecke nutzt.