Schatten-KI in der Ordination: ChatGPT, Datenschutz und sichere Alternativen

Viele Ärztinnen und Ärzte kennen die Situation: Eine Konsultation ist abgeschlossen, die Dokumentation wartet, und ChatGPT ist nur einen Klick entfernt. Ein paar Stichworte eingeben, den Text formulieren lassen, fertig. Schnell, bequem und rechtlich problematisch. Was in der Praxis als harmlose Arbeitserleichterung gilt, ist in Wirklichkeit ein Datenschutzverstoß mit konkreten Konsequenzen.

Kurzantwort: Darf ich ChatGPT in der Ordination nutzen?

Ja, aber nur ohne Patientenbezug. Aushänge für das Wartezimmer, Stellenanzeigen, allgemeine Patienteninformationen oder Fachfragen, die für jeden Fall gleich lauten, sind unproblematisch. Sobald Name, Geburtsdatum, Befund oder ein wiedererkennbarer Verlauf in das Eingabefeld gehen, ist die Grenze überschritten. Das betont auch die Ärztekammer: Patientendaten gehören nicht in öffentliche Chatbots.

Was „Schatten-KI“ bedeutet

Der Begriff bezeichnet den ungeregelten, privaten Einsatz von KI-Tools im beruflichen Kontext, ohne Wissen der verantwortlichen Stelle, ohne vertragliche Grundlage, ohne Datenschutzprüfung. Im medizinischen Bereich betrifft das vor allem allgemeine KI-Assistenten wie ChatGPT, Google Gemini oder ähnliche öffentlich zugängliche Dienste, die Ärztinnen und Ärzte privat für die Formulierung von Arztbriefen, Befundberichten oder Gesprächsnotizen verwenden.

Aktuelle Berichte aus dem Gesundheitswesen zeigen: Der Einsatz solcher Tools ist weit verbreitet. Die wenigsten Nutzerinnen und Nutzer sind sich dabei bewusst, welche rechtlichen Risiken sie eingehen.

Das rechtliche Problem

Patientendaten sind besonders schützenswert

Gesundheitsdaten gehören gemäß DSGVO (Art. 9) zur sensibelsten Datenkategorie überhaupt. Ihre Verarbeitung ist grundsätzlich verboten, mit eng definierten Ausnahmen. Eine dieser Ausnahmen ist die Verarbeitung zum Zweck der medizinischen Versorgung, aber nur unter strengen Voraussetzungen: geeignete Schutzmaßnahmen, professionelle Geheimhaltungspflicht, und eine rechtskonforme technische Infrastruktur.

ChatGPT und vergleichbare öffentliche KI-Dienste erfüllen diese Voraussetzungen nicht.

Kein Auftragsverarbeitungsvertrag, kein rechtlicher Schutz

Sobald Patientendaten an einen externen Dienstleister weitergegeben werden (und genau das passiert wenn Sie Text mit Patientenbezug in ChatGPT eingeben), ist ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwingend erforderlich. Dieser Vertrag regelt wie der Dienstleister mit den Daten umgeht, wo sie gespeichert werden und wie sie gelöscht werden.

Für die privaten Tarife von ChatGPT (Free und Plus) gibt es keinen AVV. Ohne AVV ist die Weitergabe von Patientendaten rechtswidrig, unabhängig davon, ob Sie Namen weglassen oder nicht. Was Geschäftskonten ändern, lesen Sie weiter unten.

Anonymisierung schützt Sie nicht ausreichend

Ein häufiges Gegenargument: „Ich gebe ja keine Namen ein, nur den Befund.“ Das reicht rechtlich nicht. Daten gelten als personenbezogen wenn eine Person mit vertretbarem Aufwand identifiziert werden kann, auch ohne Namen. Alter, Diagnose, Behandlungsdatum, Wohnort: Diese Kombination kann ausreichen um eine Person eindeutig zu identifizieren. Echte Anonymisierung im rechtlichen Sinne ist deutlich schwieriger als das Weglassen des Namens.

Ärztliche Verschwiegenheit nach ÄrzteG und StGB

Zusätzlich zur DSGVO gilt in Österreich die ärztliche Verschwiegenheitspflicht nach § 54 Ärztegesetz. Ihre Verletzung kann zudem nach § 121 StGB (Verletzung von Berufsgeheimnissen) strafbar sein und berufsrechtliche Folgen haben. Die Eingabe von Patientendaten in ein öffentliches KI-System ist eine Weitergabe an Dritte, auch wenn sie unbeabsichtigt oder aus praktischen Erwägungen erfolgt. Die Verantwortung für jeden Text, den eine KI entwirft, bleibt bei Ihnen: Prüfen Sie jedes Ergebnis, bevor es in die Dokumentation geht.

ChatGPT Business, Enterprise oder API: Ändert ein Geschäftskonto etwas?

Für die Geschäftstarife (ChatGPT Business, Enterprise und die API) bietet OpenAI einen Auftragsverarbeitungsvertrag an, und Eingaben werden dort standardmäßig nicht zum Training verwendet. Das löst aber nicht alle Probleme. Sie bleiben als Ordination Verantwortliche im Sinne der DSGVO und müssen prüfen, wo die Daten verarbeitet werden, welche Unterauftragsverarbeiter beteiligt sind und ob ein US-Anbieter trotz EU-Region dem Zugriff von US-Behörden unterliegen kann. Für Gesundheitsdaten ist in der Regel eine Datenschutz-Folgenabschätzung nötig. Dazu kommt: Ein allgemeiner Chatbot ist nicht für die medizinische Dokumentation gebaut. Vorlagen, österreichische Dokumenttypen und eine Prüfung jedes Entwurfs müssen Sie selbst organisieren. Ein Geschäftskonto ist damit kein Freibrief, sondern eine Einzelfallprüfung.

Was bei einem Verstoß droht

Die Konsequenzen sind nicht abstrakt. Die österreichische Datenschutzbehörde kann bei DSGVO-Verstößen Bußgelder von bis zu EUR 20 Millionen oder 4 % des weltweiten Jahresumsatzes verhängen. Für eine Einzelordination ist das existenzbedrohend. Hinzu kommt das Risiko zivilrechtlicher Klagen betroffener Patienten sowie berufsrechtlicher Konsequenzen durch die Ärztekammer.

In der Praxis werden Verstöße oft durch Patienten entdeckt, etwa wenn jemand gezielt überprüft wie seine Daten verarbeitet wurden. Das Recht auf Auskunft gemäß DSGVO gibt jedem Patienten das Werkzeug dazu.

Schatten-KI im Team verhindern: Checkliste für die Ordination

Schatten-KI entsteht selten aus Absicht, sondern weil ein freigegebenes Werkzeug fehlt. Fünf Schritte helfen:

1. Klare Regel schriftlich festhalten: Welche KI-Tools sind erlaubt, wofür, und welche Daten dürfen nie eingegeben werden.
2. Ein freigegebenes Werkzeug bereitstellen: mit AVV, EU-Servern und ohne Training auf Patientendaten. Wer eine gute Alternative hat, greift seltener zu ChatGPT.
3. Das Team schulen: Ordinationsassistenz und Vertretungen eingeschlossen. Die EU-KI-Verordnung setzt auf KI-Kompetenz der Anwenderinnen und Anwender, kostenlose Orientierung bietet die KI-Servicestelle der RTR.
4. Patientinnen und Patienten informieren: kurzer Hinweis mündlich und als Aushang, wenn Sie KI in der Dokumentation einsetzen.
5. Verarbeitungsverzeichnis aktualisieren: das KI-Tool eintragen und den AVV ablegen.

Die richtige Alternative

Der Wunsch nach schnellerer Dokumentation ist berechtigt. Das Problem ist nicht die KI. Das Problem ist die falsche KI.

Spezialisierte Dokumentationssoftware für Ärzte löst dasselbe Problem wie ChatGPT: schnellere, bessere Texte, aber auf einer rechtlich sauberen Grundlage:

• Auftragsverarbeitungsvertrag ist automatisch enthalten
• Serverstandorte ausschließlich in der EU
• Kein Audio und keine Patientendaten werden für KI-Training verwendet
• Optimiert für medizinische Fachsprache statt für allgemeine Texte

Der Unterschied im Alltag ist minimal. Der Unterschied im Datenschutz ist fundamental.

Fazit

ChatGPT ist ein leistungsfähiges Tool, aber kein geeignetes Werkzeug für die medizinische Dokumentation. Nicht weil die Textqualität schlecht wäre, sondern weil die rechtliche Grundlage fehlt. Wer Patientendaten in öffentliche KI-Systeme eingibt, riskiert Bußgelder, Klagen und berufsrechtliche Konsequenzen, auch wenn es nur um die Formulierung eines Arztbriefs geht.

Die gute Nachricht: Es gibt Alternativen die denselben Komfort bieten und dabei vollständig DSGVO-konform sind. Der Umstieg ist einfacher als er klingt.

Noelia: DSGVO-konforme KI-Dokumentation für österreichische Ordinationen

Noelia ist eine browserbasierte KI-Dokumentationssoftware die speziell für den österreichischen Ordinationsalltag entwickelt wurde. Alle Daten werden ausschließlich auf EU-Servern verarbeitet, kein Audio wird gespeichert, und Patientendaten fließen nie in das Training von KI-Modellen ein. Der Auftragsverarbeitungsvertrag ist automatisch bei der Registrierung enthalten.

Noelia ist ab EUR 29 pro Monat erhältlich, monatlich kündbar, ohne Einrichtungsgebühr. Einen 14-tägigen Testzugang ohne Kreditkarte finden Sie unter noelia.at.

Alle rechtlichen Angaben ohne Gewähr, Stand Oktober 2026. Dieser Artikel ersetzt keine Rechtsberatung.