DSGVO-konforme KI-Telefonrezeption für Zahnarztpraxen

Die zahnärztliche Schweigepflicht ist nicht nur Berufsethik — sie ist strafbar, wenn man sie verletzt. § 203 Abs. 1 Nr. 1 StGB stellt es unter Strafe, wenn ein Zahnarzt ein Geheimnis aus dem Praxisalltag preisgibt: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Seit der Reform 2017 gilt das nicht mehr nur für die behandelnde Person, sondern auch für „mitwirkende Personen" — also ZFA, Empfangskraft, Auszubildende und auch externe IT-Dienstleister, die im Praxisbetrieb mit Patientendaten in Kontakt kommen. Wer als Telefon- oder Cloud-Anbieter ohne schriftliche Schweigeverpflichtung Patientendaten verarbeitet, kann strafrechtlich mithaften.

Auf der DSGVO-Seite kommt eine zweite Verschärfung hinzu. Gesundheitsdaten zählen nach Art. 9 DSGVO zu den „besonderen Kategorien personenbezogener Daten" — die Verarbeitung ist grundsätzlich verboten und nur in eng umrissenen Ausnahmefällen erlaubt. Bei normalen Daten (Art. 6 DSGVO) reicht eine berechtigte Rechtsgrundlage; bei Gesundheitsdaten muss zusätzlich eine spezielle Erlaubnis greifen.

„Die Verarbeitung personenbezogener Daten, aus denen … Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person hervorgehen, ist untersagt." (Art. 9 Abs. 1 DSGVO)

Für die Heilbehandlung gibt es eine Ausnahme: Art. 9 Abs. 2 lit. h DSGVO erlaubt die Verarbeitung „für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik, der Versorgung oder Behandlung im Gesundheitsbereich". Diese Ausnahme gilt für die Praxis selbst — sie greift aber nicht automatisch für jeden technischen Dienstleister im Hintergrund. Die Praxis muss deshalb mit jedem Anbieter, der Patientendaten zu sehen bekommt, einen Auftragsverarbeitungs-Vertrag abschließen. Bei rund 39.114 Zahnarztpraxen in Deutschland (Quelle: KZBV Statistisches Jahrbuch 2024) und mehreren Dutzend Anrufen pro Praxis pro Tag ist das kein Randthema, sondern ein operativer Dauerprüfstand.

Die Haftung läuft auf zwei Ebenen — datenschutzrechtlich und strafrechtlich — und sie verteilt sich auf mehrere Schultern. Im DSGVO-Sinn ist die Praxis Verantwortlicher (Art. 4 Nr. 7 DSGVO): Sie bestimmt, zu welchem Zweck und mit welchen Mitteln Patientendaten verarbeitet werden. Bußgelder nach Art. 83 DSGVO gehen damit zuerst gegen die Praxis als juristische oder natürliche Person, nicht gegen den technischen Dienstleister im Hintergrund.

Der externe Anbieter handelt als Auftragsverarbeiter (Art. 28 DSGVO). Verarbeitet er Daten ohne Auftragsverarbeitungs-Vertrag oder eigenmächtig zu eigenen Zwecken, wird er selbst zum Verantwortlichen — mit eigenem Bußgeld-Risiko. § 203 Abs. 4 StGB erstreckt zusätzlich die Strafbarkeit für die Verletzung der Schweigepflicht auf „mitwirkende Personen", zu denen nach herrschender Meinung auch externe IT-Dienstleister gehören. Anders gesagt: Ein Cloud-Anbieter, der ohne wirksame Schweigeverpflichtung Praxisdaten sieht, kann strafrechtlich belangt werden — unabhängig von Bußgeldern.

Auf Praxis-Seite trifft die Haftung typischerweise zuerst die Praxisinhaber als Geschäftsführer oder freiberuflich Niedergelassene. Bei groben Pflichtverletzungen kommen berufsrechtliche Konsequenzen über die zuständige Zahnärztekammer hinzu — im Extremfall bis zum Approbationsentzug. Zivilrechtlich können Patienten Schadensersatz nach Art. 82 DSGVO einfordern, einschließlich immateriellem Schaden. Die praktische Konsequenz für Praxen: Sorgfalt bei der Anbieterauswahl und ein wasserdichter AVV sind keine Formalität, sondern aktiver Eigenschutz.

Die Pflicht zur Bestellung eines Datenschutzbeauftragten ergibt sich aus zwei Vorschriften, die parallel zu prüfen sind. Nach § 38 Abs. 1 BDSG ist ein DSB verpflichtend, sobald in der Praxis mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dazu zählen alle, die im Tagesgeschäft mit dem Praxisverwaltungs-System, Terminbuchung oder elektronischer Patientenkommunikation arbeiten — Zahnärzte, ZFA, Empfangskräfte, Abrechnungspersonal.

Unabhängig von der Personenzahl greift Art. 37 Abs. 1 lit. c DSGVO: Eine DSB-Pflicht besteht, wenn die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) besteht — wozu Gesundheitsdaten gehören. In Aufsichtspraxis-Auslegung gilt: Eine durchschnittliche Zahnarztpraxis mit 1–2 Behandlern und einer überschaubaren Patientenzahl erreicht die Schwelle „in großem Umfang" meist nicht; eine MVZ-Praxis mit 5+ Behandlern und mehreren tausend Patienten dagegen schon.

In der Praxis ist es ratsam, auch unter beiden Schwellen einen externen Datenschutzbeauftragten zu bestellen — die Kosten liegen typischerweise bei 80–250 € monatlich, der Nutzen ist die Absicherung gegen Bußgelder durch dokumentierte Sorgfalt. Wer die DSB-Bestellung einsetzt, muss sie binnen zwei Wochen der zuständigen Aufsichtsbehörde melden (§ 38 Abs. 1 i.V.m. Art. 37 Abs. 7 DSGVO).