← Zurück zum Blog
Medizinischer Hinweis: Dieser Artikel behandelt die regulatorische Konformität eines Verwaltungswerkzeugs (Sprach-KI-Agent) in einer Arztpraxis. Es handelt sich weder um eine Rechtsberatung noch um eine medizinische Beratung. Vocalis AI ist ein Unterstützungstool, das Ihr medizinisches Team nicht ersetzt und keine Diagnosen stellt. Jede Konformitätserklärung muss von Ihrem Datenschutzbeauftragten validiert werden.

Der Einsatz eines Sprach-KI-Agenten in einer Arztpraxis wirft in jedem ersten Gespräch zwischen Anbieter und Praktiker eine Frage auf: DSGVO-Konformität. Der Gesundheitssektor ist einer der am stärksten regulierten in Europa — sensible Gesundheitsdaten, zertifizierte Hosting-Anforderungen, obligatorische DSFA und jetzt der EU AI Act. So passt Vocalis AI in diesen Rahmen.

DSGVO Artikel 9: die Grenze sensibler Daten

Die Datenschutz-Grundverordnung (DSGVO, 2016/679) klassifiziert Gesundheitsdaten als besondere Kategorie nach Artikel 9. Ihre Verarbeitung ist grundsätzlich verboten, mit Ausnahmen — einschließlich der Gesundheitsversorgung (Artikel 9.2.h). Aber nicht jeder patientenbezogene Datenpunkt ist automatisch ein Gesundheitsdatum: der administrative Grund für einen Termin (Konsultation, Nachsorge, Kontrolle) ist es nicht, während ein spontan erwähntes Symptom es ist.

Vocalis AI ist so konfiguriert, dass es aktiv die Erfassung sensibler Gesundheitsdaten am Telefon vermeidet. Der Agent fragt nicht nach dem detaillierten klinischen Grund — nur nach dem administrativen Kontext. Erwähnt der Patient ein Symptom, leitet der Agent an den Praktiker weiter, ohne klinische Informationen zu speichern. Diese Datenminimierungsdisziplin ist der Eckpfeiler der Compliance.

Leitprinzip: Je weniger Gesundheitsdaten erfasst werden, desto einfacher die Compliance. Ein Sprach-KI-Agent muss mit minimaler klinischer Information funktionieren und medizinische Fragen an den Praktiker delegieren.

Hosting von Gesundheitsdaten

Wenn die Praxis Anrufe aufzeichnet und diese Gesundheitsdaten enthalten könnten, muss das Hosting spezifisch zertifiziert sein. In Frankreich bedeutet das HDS-Zertifizierung. In Deutschland: ISO 27001 + C5-Konformität, validiert durch den DSB. In Österreich entsprechende sektorspezifische Standards.

In der Praxis ist die Antwort nicht binär:

Vocalis AI empfiehlt die Überprüfung der Hosting-Konformität mit dem Praxis-DSB vor jeder Bereitstellung. Diese Entscheidung wird in der DSFA dokumentiert.

DSFA: die obligatorische Folgenabschätzung

Die Aufsichtsbehörden (BfDI / Landesbehörden in Deutschland, CNIL in Frankreich, etc.) verlangen eine Datenschutz-Folgenabschätzung (DSFA) für jede Verarbeitung mit hohem Risiko für die Betroffenen — einschließlich Gesundheitsdatenverarbeitung in großem Umfang (DSGVO Artikel 35).

Die DSFA muss beschreiben:

  1. Die Verarbeitung: Zwecke (Buchung, Erinnerungen), Datennatur, Speicherdauer
  2. Notwendigkeit und Verhältnismäßigkeit: warum Sprach-KI gegenüber Voicemail
  3. Risiken: unbefugter Zugriff, Datenleck, KI-Bias, technisches Versagen
  4. Minderungsmaßnahmen: Verschlüsselung, Zugriffskontrolle, Logging, Auftragsverarbeitungsvertrag

Der Praxis-DSB führt die DSFA mit technischer Unterstützung des Anbieters durch. Vocalis AI stellt eine sektorspezifische DSFA-Vorlage zur Verfügung.

EU AI Act: der Gesundheits-KI-Rahmen 2026

Die europäische KI-Verordnung (AI Act, 2024/1689) ist seit August 2024 schrittweise anwendbar. Ein Sprach-KI-Agent im Patientendialog ist als begrenztes Risiko (Artikel 50) klassifiziert — kein Medizinprodukt (CE-Kennzeichnung nicht erforderlich für Terminbuchung), aber Transparenzpflichten gelten.

Konkret:

Vorsicht: Würde sich die Sprach-KI in Richtung medizinische Triage oder klinische Entscheidungsunterstützung entwickeln, ändert sich die Klassifizierung. Sie wäre dann potenziell ein Medizinprodukt (MDR 2017/745). Vocalis AI bleibt absichtlich bei administrativen Aufgaben.

Speicherdauer: ein kritischer Punkt

Die Aufsichtsbehörden empfehlen eine kurze Speicherdauer für Sprachaufzeichnungen, die Gesundheitsdaten enthalten könnten:

Vocalis AI ermöglicht die Konfiguration der Speicherdauer pro Praxis.

Patientenrechte: Auskunft und Löschung operationalisieren

Die DSGVO gewährt Patienten durchsetzbare Rechte: Auskunft (Artikel 15), Berichtigung (16), Löschung (17), Datenübertragbarkeit (20), Widerspruch (21).

"DSGVO-Konformität im Gesundheitswesen ist kein Häkchen, sondern ein kontinuierlicher Prozess. Ein gut konfigurierter Sprach-KI-Agent ist konformer als eine traditionelle Voicemail ohne Speicherpolitik." — Synthese der Aufsichtsbehörden-Positionen 2024 zur KI im Gesundheitswesen

Technische Sicherheit: Mindeststandards

Und wenn ein Vorfall eintritt?

DSGVO Artikel 33 verlangt die Meldung einer Datenpanne an die Aufsichtsbehörde innerhalb von 72 Stunden. Der Auftragsverarbeitungsvertrag sieht vor:

Fazit: Compliance = Trio Praxis + Anbieter + DSB

Die DSGVO-Konformität im Gesundheitswesen liegt weder ausschließlich beim Anbieter noch bei der Praxis allein. Sie beruht auf einem Trio:

Ohne dieses Trio bleibt Compliance theoretisch. Mit ihm wird der Sprach-KI-Agent in der Arztpraxis zu einem ausgereiften, sicheren und konformen Werkzeug — im Dienste einer besseren administrativen Patientenversorgung, ohne jemals den eigentlichen Behandlungsakt zu beeinträchtigen.

Weiterführend: 24/7-Termine und No-Shows, Fachgebietskonfiguration, und der allgemeine Rahmen auf der Startseite sowie dem Pillar Eingehende Anrufe.