Darf ich Patientendaten in ChatGPT eingeben?

Kurz gesagt: Nein. In der kostenlosen Standardversion von ChatGPT dürfen keine Patientendaten eingegeben werden, und nach unserer Einschätzung auch nicht im Geschäftstarif ohne weitere Prüfung. Gesundheitsdaten sind besondere Kategorien nach Artikel 9 DSGVO und unterliegen zusätzlich der Schweigepflicht nach § 203 StGB. Ein allgemeiner Chatbot erfüllt die Voraussetzungen dafür nicht. Die gute Nachricht: Für die meisten Aufgaben in der Praxis braucht das Werkzeug gar keine Patientendaten.

Warum Patientendaten ein Sonderfall sind

Bei gewöhnlichen Kundendaten reicht ein Geschäftstarif mit Auftragsverarbeitungsvertrag und Trainingsausschluss oft aus. Bei Patientendaten kommen zwei Ebenen dazu, die beide für sich schon schwer wiegen.

Die erste ist Artikel 9 DSGVO. Gesundheitsdaten gehören zu den besonderen Kategorien, deren Verarbeitung grundsätzlich untersagt ist und nur in eng gefassten Ausnahmen erlaubt wird, etwa für die Behandlung selbst. Die Weitergabe an einen KI-Anbieter, damit er einen Text daraus formuliert, gehört nach unserer Einschätzung nicht ohne Weiteres dazu.

Die zweite ist § 203 StGB, die Schweigepflicht. Ärztinnen, Zahnärzte, Psychotherapeuten und andere Heilberufe dürfen fremde Geheimnisse nicht offenbaren. Dienstleister dürfen sie nur unter engen Voraussetzungen einbeziehen. Ein allgemeiner Chatbot ohne passenden Vertrag erfüllt diese Voraussetzungen nicht. Mehr dazu im Artikel Berufsgeheimnis und KI.

Was an der kostenlosen Version fehlt

Die kostenlose Version von ChatGPT und vergleichbaren Diensten hat in der Regel keinen Auftragsverarbeitungsvertrag und keinen Trainingsausschluss. Das heißt: Es gibt keinen Vertrag, der den Anbieter an deine Weisungen bindet, und deine Eingaben können zum Training des Modells verwendet werden. Ein Befund, den die Anmeldung dort eingibt, ist damit auf dem Weg in ein System, das niemand in der Praxis kontrolliert.

Schon bei gewöhnlichen personenbezogenen Daten ist das nicht zulässig. Bei Gesundheitsdaten ist es aus unserer Sicht ein Datenschutzvorfall, den du prüfen und möglicherweise melden musst.

Reicht der Geschäftstarif?

Geschäftstarife, meist 20 bis 30 € je Nutzer im Monat, bieten in der Regel einen Auftragsverarbeitungsvertrag und einen Trainingsausschluss. Damit ist die erste Hürde genommen. Die zweite bleibt: Für besondere Kategorien brauchst du eine Ausnahme nach Artikel 9, und für die Schweigepflicht muss der Dienstleister die Voraussetzungen des § 203 StGB erfüllen. Ob ein bestimmter Tarif eines bestimmten Anbieters das in deinem Fall tut, kann nur dein Datenschutzbeauftragter oder ein Anwalt bewerten.

Wir raten deshalb zu einer klaren Linie: Patientendaten bleiben aus allgemeinen KI-Werkzeugen draußen, auch im Geschäftstarif. Wer Patientendaten mit KI verarbeiten will, braucht eine dafür gebaute Lösung. Und die ist für eine kleine Praxis oft nicht den Aufwand wert.

Was in der Praxis trotzdem geht

Fast alles, was den Schriftverkehr frisst, funktioniert ohne Patientendaten. Die Anmeldung gibt ein: „Patient hat Termin abgesagt, neuen Termin anbieten, freundlich, kurz.“ Das Werkzeug liefert den Text, der Name kommt beim Versand aus dem Praxisprogramm. Rezeptinfos, Wegbeschreibungen, Antworten auf Standardfragen, Hinweise zur Vorbereitung auf eine Untersuchung: alles Textbausteine ohne Personenbezug.

Dazu kommen Aufklärungstexte, Website-Texte, Aushänge, Einarbeitungsunterlagen, Checklisten, Dienstplanentwürfe mit Kürzeln. Für all das ist ein Geschäftstarif eines allgemeinen Werkzeugs gut geeignet, und die Frage nach Patientendaten stellt sich nicht. Wie das konkret aussieht, zeigt der Artikel KI in der Praxis: Anmeldung entlasten.

Warum „so ungefähr anonymisiert“ nicht reicht

Ein verbreiteter Irrtum: Namen weglassen, Rest eingeben. Ein Befund mit Alter, Diagnose, Beruf, Verlauf und Datum ist in einer Praxis mit 800 Patienten schnell zuzuordnen. Personenbezug besteht, solange jemand mit vertretbarem Aufwand die Person erkennen kann. Echte Anonymisierung ist Arbeit, und sie lohnt sich für einen Textbaustein nicht. Einfacher ist, gar keine Falldaten einzugeben und mit Stichworten zu arbeiten.

Wo die Dokumentation selbst entlastet werden soll, etwa Diktat und Zusammenfassung von Gesprächen, geht das nur mit Werkzeugen, die für Gesundheitsdaten gebaut sind und in Europa oder lokal laufen. Ob sich das für deine Praxisgröße lohnt, klären wir ehrlich, und die Antwort ist häufiger nein als ja.

Das ist unsere praktische Einschätzung, keine Rechtsberatung. Bei Unsicherheit entscheidet dein Anwalt oder Datenschutzbeauftragter.

Was wir selbst machen

Wir arbeiten seit Jahren täglich mit KI und haben eine Regel, die auch für Praxen taugt: Keine Kundendaten in fremde Systeme, Entwürfe mit Platzhaltern, Daten erst beim Versand aus dem eigenen Programm. Bei unseren Praxis-Kunden steht diese Regel auf der einen Seite, die am Empfang hängt. Sie hat bisher jede Diskussion beendet, bevor sie angefangen hat.

Fazit

Patientendaten gehören nicht in ChatGPT, weder kostenlos noch im Geschäftstarif ohne gründliche Prüfung. Die Praxis verliert dadurch wenig, weil die Aufgaben, die wirklich Zeit kosten, ohne Patientendaten funktionieren. Wie wir das in Praxen einführen, steht unter KI für Praxen. Die allgemeinen Regeln zu Daten im KI-Werkzeug erklärt der Artikel DSGVO und KI: Welche Daten dürfen in ein KI-Werkzeug?.