Psychotherapeuten und psychologische Behandler in ganz Europa werden zunehmend von Anbietern kontaktiert, die KI-Dokumentationsassistenten anbieten. Diese versprechen, den Zeitaufwand für das Verfassen klinischer Notizen nach Therapiesitzungen zu reduzieren. Die Attraktivität ist real: Der Verwaltungsaufwand in der psychologischen und psychotherapeutischen Praxis ist erheblich, und alles, was kognitive und emotionale Kapazitäten für die klinische Arbeit selbst freisetzt, ist es wert, untersucht zu werden. Aber Therapie ist keine standardisierte klinische Begegnung. Was in einer Therapiesitzung offenbart wird – Traumageschichten, Suizidgedanken, sexuelle Identität, Beziehungsgewalt, psychotische Erlebnisse – gehört zu den sensibelsten personenbezogenen Daten. Bevor ein Therapeut in Europa einen KI-Dokumentationsassistenten in seine Praxis einführt, gibt es rechtliche, ethische und klinische Fragen, die sorgfältig beantwortet werden müssen.

Warum KI-Dokumentationsassistenten in der Therapie besondere Fragen aufwerfen

Die Dokumentationsherausforderung im Bereich psychische Gesundheit unterscheidet sich grundlegend von der eines Hausarztes, der einen Blutdruckwert erfasst, oder eines Physiotherapeuten, der einen Bewegungsumfang notiert. Therapiesitzungen bringen Offenbarungen hervor, die Patienten möglicherweise noch nie mit jemand anderem geteilt haben. Der Inhalt dieser Sitzungen – die präzise Sprache, die ein Patient verwendet, die Assoziationen, die er herstellt, die Ängste, die er benennt – ist nicht nur klinisch sensibel. In vielen Fällen ist er konstitutiv für die therapeutische Beziehung selbst.

Ein KI-Dokumentationsassistent, der diese Inhalte anhört, transkribiert und strukturiert, führt eine Ebene der Datenverarbeitung ein, die in den meisten anderen klinischen Settings kein Äquivalent hat. Eine peer-reviewte narrative Übersichtsarbeit aus dem Jahr 2025 in DIGITAL HEALTH stellte fest, dass KI-Tools im Bereich der psychischen Gesundheit häufig in rechtlichen Grauzonen bezüglich Einwilligung, Datennutzung und grenzüberschreitender Datenflüsse operieren. Die Datenschutz-Grundverordnung (DSGVO) bietet zwar grundlegende Schutzmaßnahmen, berücksichtigt jedoch noch nicht die einzigartigen ethischen und klinischen Nuancen KI-basierter Interventionen im Bereich der psychischen Gesundheit.

Die beruflichen Verpflichtungen sind entsprechend vielschichtig. Therapeuten sind nicht nur an das Datenschutzrecht gebunden, sondern auch an die ethischen Kodizes ihrer Berufsverbände, an die Vertraulichkeitsverpflichtungen, die ihrer therapeutischen Modalität innewohnen, und in vielen europäischen Rechtsordnungen an spezifische gesetzliche Schutzbestimmungen für psychiatrische Akten, die über allgemeine Gesundheitsdatenregeln hinausgehen.

Wie die DSGVO unterschiedlich auf Daten zur psychischen Gesundheit angewendet wird

Im Rahmen der DSGVO-Compliance im Gesundheitswesen sind Daten, die den Gesundheitszustand einer Person offenbaren, bereits eine besondere Kategorie gemäß Artikel 9. Der Inhalt einer Therapiesitzung geht noch weiter. Er kann gleichzeitig mehrere Kategorien nach Artikel 9 betreffen: Gesundheitsdaten, Daten über sexuelle Orientierung oder Geschlechtsidentität, Daten, die religiöse oder weltanschauliche Überzeugungen offenbaren, und Daten über den psychischen Zustand einer Person. Dies ist kein theoretischer Punkt. Er hat direkte Auswirkungen darauf, auf welche Rechtsgrundlage sich ein Behandler stützen kann, wenn er Sitzungsinhalte über ein KI-Tool verarbeitet.

Die Standardposition nach Artikel 9 ist, dass die Verarbeitung besonderer Kategorien von Daten verboten ist, es sei denn, eine der abschließenden Ausnahmen greift. Für die meisten Therapiedokumentationen wird die operative Ausnahme entweder die ausdrückliche Einwilligung (Artikel 9(2)(a)) oder die Verarbeitung sein, die für Zwecke der Gesundheitsvorsorge oder Arbeitsmedizin und der Bereitstellung von Gesundheitsversorgung erforderlich ist (Artikel 9(2)(h)), kombiniert mit Artikel 9(3), der verlangt, dass die Verarbeitung nach (h) von oder unter der Verantwortung eines Berufsgeheimnisträgers durchgeführt wird.

Was dies in der Praxis bedeutet: Ein Therapeut kann sich nicht einfach auf „berechtigtes Interesse“ berufen, um die Eingabe von Sitzungsinhalten in ein KI-Dokumentationstool zu rechtfertigen. Berechtigtes Interesse ist eine Grundlage, die für gewöhnliche personenbezogene Daten verfügbar ist, nicht für besondere Kategorien von Daten. Wie in einer arXiv-Übersicht aus dem Jahr 2025 über datenschutzwahrende KI für psychische Gesundheit festgestellt, dürfen Therapiesitzungen nur mit ausdrücklicher, informierter Patienteneinwilligung aufgezeichnet werden, mit klaren Angaben zur Anonymisierung, sicheren Speicherung und Datennutzung. Die Schwelle ist höher, die Dokumentationsanforderungen sind strenger, und die Konsequenzen bei Fehlern sind schwerwiegender.

Eine praktische Implikation: Therapeuten, die selbstständig sind oder in kleinen Privatpraxen arbeiten, tragen diese Compliance-Verantwortung direkt. Sie sind die Verantwortlichen. Der KI-Anbieter, wenn er Daten im Auftrag des Therapeuten verarbeitet, ist ein Auftragsverarbeiter, und die rechtliche Beziehung zwischen beiden muss in einem schriftlichen Auftragsverarbeitungsvertrag formalisiert werden, bevor Daten geteilt werden.

Einwilligung in der Therapie ist nicht dasselbe wie Einwilligung in einem Hausarzttermin

Die DSGVO verlangt, dass die Einwilligung freiwillig, spezifisch, informiert und unmissverständlich erteilt wird. In einer therapeutischen Beziehung verdient die Anforderung „freiwillig erteilt“ besondere Aufmerksamkeit. Patienten in der Therapie befinden sich oft in einer Position psychologischer Verletzlichkeit und emotionaler Abhängigkeit. Es gibt ein inhärentes Machtgefälle zwischen Therapeut und Patient, das so in einer routinemäßigen Hausarztkonsultation nicht existiert. Die Einwilligung zur KI-gestützten Dokumentation in der Therapie muss mit besonderer Sorgfalt behandelt werden, um sicherzustellen, dass sie wirklich freiwillig ist.

Die ethische Leitlinie der American Psychological Association aus dem Jahr 2025 zur KI in der psychologischen Praxis betont die Bedeutung der informierten Einwilligung und die Verpflichtung der Behandler, KI-generierte klinische Inhalte kritisch zu bewerten, bevor sie angewendet werden. Obwohl diese Leitlinie US-amerikanischen Ursprungs ist, wird sie von europäischen Berufsverbänden weithin referenziert, und ihre Prinzipien lassen sich direkt auf europäische ethische Rahmenwerke übertragen.

Ein gültiger, DSGVO-konformer Einwilligungsprozess für KI-Dokumentation in der Therapie sollte mindestens Folgendes umfassen:

• Eine klare Erklärung, was das KI-Tool tut, insbesondere dass es Sitzungsinhalte anhört, transkribiert und strukturiert

• Die Identität des KI-Anbieters und das Land, in dem Daten verarbeitet und gespeichert werden

• Welche Daten aufbewahrt werden, wie lange und wer darauf zugreifen kann

• Eine ausdrückliche Erklärung, dass die Einwilligung getrennt von der Einwilligung zur Behandlung ist und dass das Zurückhalten oder der Widerruf der Einwilligung zur KI-Dokumentation die Qualität der bereitgestellten Versorgung nicht beeinträchtigt

• Ein Mechanismus, mit dem der Patient die Einwilligung jederzeit widerrufen kann, mit einer klaren Erklärung, was mit zuvor verarbeiteten Daten nach dem Widerruf geschieht

Dieser letzte Punkt ist entscheidend. Wenn ein Patient die Einwilligung widerruft und der Anbieter nicht nachweisen kann, dass seine Daten aus Trainingsdatensätzen, Protokollen oder der Verarbeitungsinfrastruktur gelöscht wurden, kann der Behandler vor einem Compliance-Problem stehen, das sich im Nachhinein nur schwer lösen lässt.

Datenhaltung und Verarbeitung: Was Sie Ihren KI-Anbieter fragen sollten

Für europäische Therapeuten ist die Datenhaltung kein technisches Detail, sondern eine rechtliche Anforderung. Gemäß der DSGVO ist die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums eingeschränkt, es sei denn, spezifische Schutzmaßnahmen sind vorhanden (Angemessenheitsbeschlüsse, Standardvertragsklauseln oder gleichwertige Mechanismen). Da Therapiesitzungsinhalte besondere Kategorien von Daten nach Artikel 9 sind, ist die Messlatte für den Nachweis eines angemessenen Schutzes bei jeder Drittlandübermittlung entsprechend hoch.

Bevor sie einen KI-Dokumentationsassistenten auswählen, sollten Behandler klare schriftliche Antworten auf die folgenden Fragen von jedem Anbieter erhalten:

• Wo werden Daten verarbeitet? Erfolgt die Audio-Transkription auf dem Gerät, auf Servern innerhalb der EU/des EWR oder in einem Drittland?

• Wo werden Daten gespeichert? Befindet sich die Integration des Praxisverwaltungssystems oder die Infrastruktur zur Notizenspeicherung innerhalb der EU/des EWR?

• Handelt der Anbieter als Auftragsverarbeiter? Liegt ein konformer Auftragsverarbeitungsvertrag vor, bevor Daten geteilt werden?

• Was regelt der Auftragsverarbeitungsvertrag? Er sollte den Gegenstand und die Dauer der Verarbeitung, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen abdecken.

• Verfügt der Anbieter über eine ISO 27001-Zertifizierung (ein international anerkannter Informationssicherheitsstandard) oder ein Äquivalent, und wurde eine Datenschutz-Folgenabschätzung für diese Verarbeitungstätigkeit durchgeführt?

• Werden Daten für Modelltraining verwendet? Wenn Sitzungsinhalte zum Trainieren oder Feintuning von KI-Modellen verwendet werden, stellt dies einen separaten Verarbeitungszweck dar, der eine eigene Rechtsgrundlage und höchstwahrscheinlich eine ausdrückliche Einwilligung erfordert.

Eine arXiv-Übersicht aus dem Jahr 2025 über klinische Datensätze zur psychischen Gesundheit stellt fest, dass die DSGVO strenge Beschränkungen für die Nutzung und Weitergabe sensibler Gesundheitsinformationen auferlegt, was sowohl die Erstellung repräsentativer Datensätze als auch den Einsatz von KI-Tools in psychotherapeutischen Kontexten erschwert. Behandeln Sie jeden Anbieter, der vage über die Datenhaltung ist oder zögert, einen schriftlichen Auftragsverarbeitungsvertrag bereitzustellen, als erhebliches Compliance-Risiko.

Die therapeutische Beziehung und das Problem der „dritten Präsenz“

Jenseits des rechtlichen Rahmens gibt es eine klinische und ethische Sorge, für die es keine eindeutige regulatorische Antwort gibt: Verändert die Präsenz eines KI-Dokumentationsassistenten, selbst wenn er still im Hintergrund arbeitet, die therapeutische Beziehung?

Dies ist keine hypothetische Sorge. Die therapeutische Allianz, also die Qualität der kollaborativen Beziehung zwischen Therapeut und Patient, ist einer der robustesten Prädiktoren für Therapieergebnisse – unabhängig von der Methode. Alles, was das Gefühl von Sicherheit, Vertrauen oder Offenbarungsbereitschaft eines Patienten beeinflusst, ist klinisch bedeutsam. Manche Patienten könnten sich selbst zensieren, wenn sie erfahren, dass ihre Worte von einem KI-System transkribiert und verarbeitet werden. Andere empfinden es möglicherweise als beruhigend, wenn transparent kommuniziert wird. Der Effekt ist nicht einheitlich, und Forscher haben ihn im spezifischen Kontext von KI-Dokumentationstools noch nicht eingehend untersucht.

Eine wegweisende JAMA Psychiatry-Studie, die im März 2026 veröffentlicht wurde, die größte Studie bis dato über KI-Ambient-Schreibassistenten in der psychiatrischen Dokumentation, stellte fest, dass KI-Schreibassistenten in der Primärversorgung zwar die Dokumentation neuropsychiatrischer Symptome erhöhten, sie jedoch mit einer signifikant geringeren Wahrscheinlichkeit dokumentierter psychiatrischer Interventionen (Überweisung, neue Diagnose oder Antidepressiva-Verschreibung) im Vergleich zu zeitgleichen Besuchen ohne Schreibassistent verbunden waren (adjustiertes Odds Ratio 0,83; 95 % KI, 0,72 bis 0,95). Die Autoren betonen, dass weitere Studien erforderlich sind, um festzustellen, ob diese Veränderungen mit unterschiedlichen Patientenergebnissen verbunden sind. Dieser Befund stellt keine Kausalität her, und die Studie wurde in der Primärversorgung und nicht in spezialisierten Psychotherapie-Settings durchgeführt. Sie ist jedoch eine wichtige Warnung, nicht anzunehmen, dass mehr Dokumentation automatisch zu besserer klinischer Versorgung führt.

Behandler sollten vor dem Einsatz und fortlaufend bewerten, ob die Präsenz des Tools die Offenbarung des Patienten oder die Qualität der therapeutischen Begegnung beeinflusst. Dies kann beinhalten, Patienten direkt nach ihrer Erfahrung zu fragen, Veränderungen im Sitzungsinhalt oder in der Tiefe der Offenbarung zu beobachten und bereit zu sein, die Nutzung des Tools bei bestimmten Patienten einzustellen, wenn die klinische Beurteilung nahelegt, dass es die Arbeit beeinträchtigt.

Was in die klinischen Notizen gehört und was nicht

KI-Dokumentationsassistenten treffen keine Dokumentationsentscheidungen. Der Behandler tut dies. Das ist nicht nur ein ethisches Prinzip, sondern auch ein rechtliches. Wie ein behandlerorientierter rechtlicher Erklärer klarstellt, tragen Behandler die volle Verantwortung für die Genauigkeit KI-generierter Notizen. Ein KI-generierter Entwurf, der ohne Überprüfung im Praxisverwaltungssystem gespeichert wird, wird zum Dokument des Behandlers und hat dasselbe rechtliche und berufliche Gewicht wie eine vollständig handgeschriebene Notiz.

In der Therapie ist diese Überprüfungsverpflichtung besonders bedeutsam. Sitzungsinhalte, die angemessen im Kopf des Therapeuten behalten werden können, wie die Offenbarung eines Patienten über eine vergangene missbräuchliche Beziehung, ein Ausdruck von Ambivalenz bezüglich Selbstverletzung oder ein Verweis auf eine namentlich genannte dritte Person, sind nicht unbedingt geeignet, wörtlich in einer strukturierten klinischen Notiz festgehalten zu werden. Diese Notiz kann für andere Gesundheitsdienstleister zugänglich sein, Gegenstand eines Auskunftsersuchens werden oder in Gerichtsverfahren vorgelegt werden.

Behandler sollten vor dem Einsatz einen klaren Workflow festlegen, was der KI-Assistent erfassen darf und was überprüft, bearbeitet und redigiert wird, bevor es gespeichert wird. Spezifische Kategorien, die besondere Sorgfalt erfordern, umfassen:

• Offenbarungen zum Kinderschutz: Inhalte, die eine Meldepflicht auslösen können, sollten mit Präzision und in Übereinstimmung mit lokalen Kinderschutzprotokollen dokumentiert werden – nicht einem KI-Entwurf überlassen werden

• Identifikatoren Dritter: Namen von Personen, die vom Patienten erwähnt werden (Partner, Familienmitglieder, Kollegen), sollten in der Regel nicht in strukturierten klinischen Notizen erscheinen

• Sensible Identitätsmerkmale: Sexuelle Orientierung, Geschlechtsidentität, Einwanderungsstatus und ähnliche Informationen, die in der Sitzung offenbart werden, erfordern sorgfältige Handhabung. Ihre Aufnahme in eine KI-generierte Notiz ist möglicherweise nicht angemessen oder notwendig

• Risikobewertungen: Die Dokumentation von Suizidgedanken, Selbstverletzung oder Gefahr für andere trägt spezifisches klinisches und rechtliches Gewicht und sollte mit entsprechender Sorgfalt geschrieben oder überprüft werden

Forschung unter Verwendung natürlicher Sprachverarbeitung von Psychotherapienotizen zur Suizidrisiko-Vorhersage hat gezeigt, dass die in Therapienotizen verwendete Sprache klinisch informativ ist, aber auch, dass der prädiktive Wert solcher Analysen begrenzt und kontextabhängig ist. Die Tatsache, dass KI-Systeme bedeutsame Signale aus Therapienotizen extrahieren können, ist genau der Grund, warum Behandler sich bewusst sein müssen, was überhaupt in diese Notizen aufgenommen wird.

Verpflichtungen nach nationalem Recht zur psychischen Gesundheit und zum Datenschutz

Die DSGVO setzt eine Untergrenze, keine Obergrenze. Mehrere europäische Länder haben nationale Gesetze erlassen, die zusätzliche Anforderungen an die Verarbeitung von Daten zur psychischen Gesundheit stellen, und Behandler müssen ihre Verpflichtungen nach nationalem Recht überprüfen, bevor sie ein KI-Dokumentationstool einsetzen.

Ein nicht abschließender Überblick über die nationale Landschaft:

• Deutschland: Das Bundesdatenschutzgesetz ergänzt die DSGVO mit zusätzlichen Bestimmungen, und Psychotherapeuten unterliegen strengen beruflichen Schweigepflichten gemäß §203 des Strafgesetzbuchs. Die Verletzung der Schweigepflicht, auch durch unzureichende Datenverarbeitungsvereinbarungen, führt zu strafrechtlicher Haftung.

• Frankreich: Die Commission Nationale de l'Informatique et des Libertés (Nationale Kommission für Informatik und Freiheiten) hat spezifische Leitlinien zur Verarbeitung von Gesundheitsdaten herausgegeben und übt regulatorische Aufsicht über KI-Systeme aus, die Gesundheitsdaten verarbeiten. Französische Behandler sollten diese Leitlinien vor dem Einsatz konsultieren.

• Niederlande: Die Autoriteit Persoonsgegevens (niederländische Datenschutzbehörde) setzt die DSGVO mit besonderem Augenmerk auf Gesundheitsdaten durch. Niederländische Behandler im Bereich psychische Gesundheit unterliegen zudem dem WGBO (Gesetz über den Behandlungsvertrag) und den BIG-Register-Verpflichtungen.

• Irland: Die Data Protection Commission hat Durchsetzungsbefugnis und war in grenzüberschreitenden Datenübermittlungsfällen aktiv. Irische Behandler sollten sich auch des Mental Health Act 2001 und seiner Dokumentationsverpflichtungen bewusst sein.

• Italien: Die italienische Datenschutzbehörde (Garante) hat Durchsetzungsmaßnahmen gegen KI-Unternehmen ergriffen, die Gesundheitsdaten verarbeiten, einschließlich vorübergehender Beschränkungen und erheblicher Bußgelder. Italienische Behandler sollten die veröffentlichten Entscheidungen des Garante überprüfen, bevor sie KI-Dokumentationstools einsetzen.

Der praktische Rat ist einfach: Überprüfen Sie vor dem Einsatz eines KI-Dokumentationstools Ihre Verpflichtungen bei Ihrer nationalen Datenschutzbehörde, Ihrer beruflichen Aufsichtsbehörde und Ihrer Berufshaftpflichtversicherung.

Medizinprodukteverordnung: Wann wird ein KI-Dokumentationsassistent zu einem Medizinprodukt?

Die Grenze zwischen einem KI-Dokumentationstool und einem Medizinprodukt ist nicht immer offensichtlich, und das ist wichtig, weil die regulatorischen Verpflichtungen erheblich unterschiedlich sind.

Gemäß dem EU AI Act und der Medizinprodukteverordnung (MDR 2017/745) wird Software als Medizinprodukt klassifiziert, wenn sie für einen medizinischen Zweck verwendet werden soll, einschließlich Diagnose, Prävention, Überwachung, Vorhersage oder Behandlung von Krankheiten. Eine peer-reviewte Analyse aus dem Jahr 2025, veröffentlicht im European Heart Journal – Digital Health, untersuchte, wie der EU AI Act mit der Medizinprodukteverordnung für Gesundheits-KI interagiert, und stellte fest, dass Hochrisiko-KI-Medizinprodukte einer doppelten Regulierung unter beiden Rahmenwerken unterliegen, mit entsprechenden Transparenz- und Konformitätsbewertungsverpflichtungen.

Für KI-Dokumentationsassistenten in der Therapie ist die relevante Unterscheidung:

• Ein Tool, das nur Sprache transkribiert und klinische Notizen strukturiert, ohne klinische Inhalte zu interpretieren, Risiken zu kennzeichnen oder klinische Empfehlungen zu generieren, wird in der Regel nicht als Medizinprodukt gemäß der Medizinprodukteverordnung klassifiziert.

• Ein Tool, das Sitzungsinhalte analysiert, um Suizidrisiken zu kennzeichnen, Diagnosen vorzuschlagen oder klinische Entscheidungsfindung zu unterstützen, erfordert wahrscheinlich eine Klassifizierung nach der Medizinprodukteverordnung und eine Konformitätsbewertung und kann auch als Hochrisiko-KI gemäß dem EU AI Act eingestuft werden.

Die EU AI Act-Analyse von PMC weist auf eine spezifische Bestimmung in Erwägungsgrund 29 hin, die KI-Systeme, die für rechtmäßige psychologische Behandlung mit ausdrücklicher Patienteneinwilligung verwendet werden, ausklammert. Diese Ausklammerung gilt für verbotene KI-Praktiken wie Emotionserkennung, nicht für die allgemeinen regulatorischen Verpflichtungen für Hochrisiko-KI-Systeme. Behandler sollten nicht annehmen, dass jedes KI-Tool, das in einem therapeutischen Kontext verwendet wird, automatisch von den Anforderungen der Medizinprodukteverordnung oder des EU AI Act befreit ist.

Bevor Sie einen KI-Dokumentationsassistenten übernehmen, fragen Sie den Anbieter direkt: Wie ist die regulatorische Klassifizierung dieses Tools gemäß der EU-Medizinprodukteverordnung und dem EU AI Act? Ein seriöser Anbieter sollte in der Lage sein, eine klare, dokumentierte Antwort zu geben.

Eine praktische Checkliste vor dem Einsatz für Behandler im Bereich psychische Gesundheit

Die folgenden Schritte stellen einen Mindeststandard der Sorgfaltspflicht dar, bevor ein KI-Dokumentationsassistent in eine Therapiepraxis in Europa eingeführt wird. Sie sind nicht abschließend, und Behandler sollten sie durch Beratung bei ihrem Berufsverband und Rechtsberater ergänzen, soweit angemessen.

Anbieter-Sorgfaltspflicht

• Bestätigen Sie die Datenhaltung in der EU/dem EWR sowohl für die Verarbeitung als auch für die Speicherung

• Erhalten und überprüfen Sie einen unterzeichneten Auftragsverarbeitungsvertrag, bevor Daten geteilt werden

• Überprüfen Sie die ISO 27001-Zertifizierung oder eine gleichwertige Sicherheitslage

• Bestätigen Sie die regulatorische Klassifizierung des Tools gemäß der EU-Medizinprodukteverordnung und dem EU AI Act

• Klären Sie, ob Sitzungsdaten für Modelltraining verwendet werden und auf welcher Rechtsgrundlage

Einwilligung und Patientenkommunikation

• Entwickeln Sie einen schriftlichen Einwilligungsprozess, der getrennt von der allgemeinen Behandlungseinwilligung ist

• Stellen Sie sicher, dass das Einwilligungsdokument erklärt, was das Tool tut, wer der Anbieter ist, wohin Daten gehen und wie lange sie aufbewahrt werden

• Bestätigen Sie, dass Patienten die KI-Dokumentation ablehnen können, ohne dass dies Auswirkungen auf ihre Versorgung hat

• Etablieren Sie einen klaren Prozess für den Umgang mit dem Widerruf der Einwilligung, einschließlich Datenlöschungsanfragen

Workflow zur Notizenüberprüfung

• Definieren Sie, welche Teile des Sitzungsinhalts der KI-Assistent erfassen darf

• Etablieren Sie einen obligatorischen Überprüfungs- und Bearbeitungsschritt, bevor eine KI-generierte Notiz im Praxisverwaltungssystem gespeichert wird

• Identifizieren Sie Kategorien von Inhalten (Kinderschutz, Namen Dritter, sensible Identitätsmerkmale, Risikobewertungen), die besondere Sorgfalt oder manuelle Dokumentation erfordern

• Dokumentieren Sie den Überprüfungsworkflow in der Datenschutzrichtlinie Ihrer Praxis

Regulatorische und berufliche Verpflichtungen

• Überprüfen Sie nationale Anforderungen bei Ihrer Datenschutzbehörde und beruflichen Aufsichtsbehörde

• Führen Sie eine Datenschutz-Folgenabschätzung durch. Dies ist gemäß DSGVO Artikel 35 für die umfangreiche Verarbeitung besonderer Kategorien von Daten obligatorisch und auch für kleinere Praxen dringend empfohlen

• Benachrichtigen Sie Ihre Berufshaftpflichtversicherung und bestätigen Sie, dass KI-gestützte Dokumentation unter Ihrer Police abgedeckt ist

Laufende Überwachung

• Überprüfen Sie regelmäßig, ob die Präsenz des Tools die therapeutische Offenbarung oder die Qualität der Sitzungen beeinflusst

• Überwachen Sie KI-generierte Notizen auf Genauigkeit, Vollständigkeit und Angemessenheit des Inhalts

• Bleiben Sie informiert über Aktualisierungen zum Zeitplan der Umsetzung des EU AI Act, Leitlinien zur Medizinprodukteverordnung und nationale regulatorische Entwicklungen

Die ethische Leitlinie der American Psychological Association formuliert die Verantwortung des Behandlers klar: Die Verpflichtung, KI-generierte klinische Inhalte kritisch zu bewerten, bevor sie angewendet werden, ist keine einmalige Aufgabe, sondern eine fortlaufende berufliche Pflicht. Im Kontext der Therapie, wo die Risiken von Dokumentationsfehlern hoch sind und der Inhalt besonders sensibel ist, ist diese Pflicht besonders anspruchsvoll.

Häufig gestellte Fragen

Warum wirft KI-Dokumentation in der Therapie andere Bedenken auf als in anderen klinischen Settings?

Therapiesitzungen bringen Offenbarungen hervor, die Patienten möglicherweise noch nie mit jemand anderem geteilt haben. Der Inhalt – Traumageschichten, Suizidgedanken, sexuelle Identität, Beziehungsgewalt – betrifft gleichzeitig mehrere besondere Kategorien von Daten gemäß Artikel 9 der Datenschutz-Grundverordnung (DSGVO). Eine peer-reviewte narrative Übersichtsarbeit aus dem Jahr 2025 in DIGITAL HEALTH stellte fest, dass KI-Tools im Bereich der psychischen Gesundheit häufig in rechtlichen Grauzonen bezüglich Einwilligung, Datennutzung und grenzüberschreitender Datenflüsse operieren. Diese Kombination aus klinischer Sensibilität und regulatorischer Komplexität macht Therapie zu einem grundlegend anderen Umfeld als beispielsweise ein Hausarzt, der einen Blutdruckwert aufzeichnet.

Auf welche Rechtsgrundlage kann sich ein Therapeut stützen, wenn er Sitzungsinhalte über einen KI-Dokumentationsassistenten verarbeitet?

Therapeuten können sich nicht auf berechtigtes Interesse stützen, das nur für gewöhnliche personenbezogene Daten verfügbar ist, nicht für besondere Kategorien von Daten. Die operative Grundlage wird typischerweise entweder die ausdrückliche Einwilligung gemäß Artikel 9(2)(a) der DSGVO oder die Verarbeitung sein, die für die Bereitstellung von Gesundheitsversorgung gemäß Artikel 9(2)(h) erforderlich ist, kombiniert mit Artikel 9(3), der verlangt, dass die Verarbeitung von oder unter der Verantwortung eines Berufsgeheimnisträgers durchgeführt wird. Die Schwelle ist höher als für allgemeine Gesundheitsdaten, die Dokumentationsanforderungen sind strenger, und die Konsequenzen bei Fehlern sind schwerwiegender.

Was muss ein gültiger Einwilligungsprozess für KI-Dokumentation in der Therapie umfassen?

Ein DSGVO-konformer Einwilligungsprozess sollte eine klare Erklärung dessen umfassen, was das KI-Tool tut, die Identität des Anbieters und das Land, in dem Daten verarbeitet und gespeichert werden, welche Daten aufbewahrt werden und wie lange, sowie eine ausdrückliche Erklärung, dass das Zurückhalten oder der Widerruf der Einwilligung zur KI-Dokumentation die Qualität der bereitgestellten Versorgung nicht beeinträchtigt. Er muss auch einen Mechanismus enthalten, mit dem der Patient die Einwilligung jederzeit widerrufen kann, mit einer klaren Erklärung, was mit zuvor verarbeiteten Daten nach dem Widerruf geschieht. Da Patienten in der Therapie oft in einer Position psychologischer Verletzlichkeit sind, verdient die Anforderung „freiwillig erteilt“ besondere Aufmerksamkeit.

Welche Fragen sollte ein Therapeut einem KI-Anbieter stellen, bevor er Sitzungsdaten teilt?

Bevor sie einen KI-Dokumentationsassistenten auswählen, sollten Behandler schriftliche Antworten auf Folgendes erhalten: Wo werden Daten verarbeitet und gespeichert (insbesondere, ob sie innerhalb des Europäischen Wirtschaftsraums bleiben)? Handelt der Anbieter als Auftragsverarbeiter und liegt ein konformer Auftragsverarbeitungsvertrag vor? Verfügt der Anbieter über eine ISO 27001-Zertifizierung oder ein Äquivalent? Wurde eine Datenschutz-Folgenabschätzung durchgeführt? Werden Sitzungsdaten für Modelltraining verwendet? Jeder Anbieter, der vage über die Datenhaltung ist oder zögert, einen schriftlichen Auftragsverarbeitungsvertrag bereitzustellen, sollte als erhebliches Compliance-Risiko betrachtet werden.

Kann die Präsenz eines KI-Dokumentationsassistenten die therapeutische Beziehung beeinflussen?

Dies ist eine reale klinische Sorge. Die therapeutische Allianz – die Qualität der kollaborativen Beziehung zwischen Therapeut und Patient – ist einer der robustesten Prädiktoren für Therapieergebnisse. Manche Patienten könnten sich selbst zensieren, wenn sie erfahren, dass ihre Worte von einem KI-System transkribiert und verarbeitet werden. Eine wegweisende JAMA Psychiatry-Studie, die im März 2026 veröffentlicht wurde, die größte Studie bis dato über KI-Ambient-Schreibassistenten in der psychiatrischen Dokumentation, stellte fest, dass KI-Schreibassistenten mit einer signifikant geringeren Wahrscheinlichkeit dokumentierter psychiatrischer Interventionen im Vergleich zu Besuchen ohne Schreibassistent verbunden waren. Behandler sollten vor dem Einsatz und fortlaufend bewerten, ob die Präsenz des Tools die Offenbarung des Patienten oder die Qualität der therapeutischen Begegnung beeinflusst.

Wer ist rechtlich verantwortlich für die Genauigkeit KI-generierter Therapienotizen?

Der Behandler trägt die volle Verantwortung. Ein KI-generierter Entwurf, der ohne Überprüfung im Praxisverwaltungssystem gespeichert wird, wird zum Dokument des Behandlers und hat dasselbe rechtliche und berufliche Gewicht wie eine vollständig handgeschriebene Notiz. In der Therapie ist diese Überprüfungsverpflichtung besonders bedeutsam, weil Sitzungsinhalte, die angemessen im Kopf des Therapeuten behalten werden können, nicht unbedingt geeignet sind, wörtlich in einer strukturierten klinischen Notiz festgehalten zu werden. Diese Notiz kann für andere Gesundheitsdienstleister zugänglich sein, Gegenstand eines Auskunftsersuchens werden oder in Gerichtsverfahren vorgelegt werden.

Welche Kategorien von Sitzungsinhalten erfordern besondere Sorgfalt bei der Überprüfung KI-generierter Notizen?

Behandler sollten besondere Aufmerksamkeit auf vier Kategorien richten. Erstens sollten Offenbarungen zum Kinderschutz, die eine Meldepflicht auslösen können, mit Präzision und in Übereinstimmung mit lokalen Kinderschutzprotokollen dokumentiert werden – nicht einem KI-Entwurf überlassen werden. Zweitens sollten Namen Dritter, die vom Patienten erwähnt werden, in der Regel nicht in strukturierten klinischen Notizen erscheinen. Drittens erfordern sensible Identitätsmerkmale wie sexuelle Orientierung, Geschlechtsidentität und Einwanderungsstatus sorgfältige Handhabung. Viertens trägt die Dokumentation von Suizidgedanken, Selbstverletzung oder Gefahr für andere spezifisches klinisches und rechtliches Gewicht und sollte mit entsprechender Sorgfalt geschrieben oder überprüft werden.

Bietet die DSGVO ausreichenden Schutz für Daten zur psychischen Gesundheit, die von KI-Tools verarbeitet werden?

Die DSGVO setzt eine Untergrenze, keine Obergrenze. Eine peer-reviewte narrative Übersichtsarbeit aus dem Jahr 2025 in DIGITAL HEALTH stellte fest, dass die DSGVO zwar grundlegende Schutzmaßnahmen bietet, jedoch noch nicht die einzigartigen ethischen und klinischen Nuancen KI-basierter Interventionen im Bereich der psychischen Gesundheit berücksichtigt. Mehrere europäische Länder haben nationale Gesetze erlassen, die zusätzliche Anforderungen stellen. Deutsche Psychotherapeuten unterliegen strengen beruflichen Schweigepflichten gemäß §203 des Strafgesetzbuchs, mit strafrechtlicher Haftung für Verstöße. Frankreich, die Niederlande, Irland und Italien haben jeweils nationale Datenschutzbehörden mit spezifischen Leitlinien oder Durchsetzungsaktivitäten, die für KI im Bereich psychische Gesundheit relevant sind. Behandler sollten ihre Verpflichtungen bei ihrer nationalen Datenschutzbehörde und beruflichen Aufsichtsbehörde überprüfen, bevor sie ein KI-Dokumentationstool einsetzen.

Wann wird ein KI-Dokumentationsassistent zu einem Medizinprodukt nach EU-Recht?

Ein Tool, das nur Sprache transkribiert und klinische Notizen strukturiert, ohne klinische Inhalte zu interpretieren oder klinische Empfehlungen zu generieren, wird in der Regel nicht als Medizinprodukt gemäß der EU-Medizinprodukteverordnung (MDR 2017/745) klassifiziert. Ein Tool, das Sitzungsinhalte analysiert, um Suizidrisiken zu kennzeichnen, Diagnosen vorzuschlagen oder klinische Entscheidungsfindung zu unterstützen, erfordert wahrscheinlich eine MDR-Klassifizierung und Konformitätsbewertung und kann auch als Hochrisiko-KI gemäß dem EU AI Act eingestuft werden. Eine peer-reviewte Analyse aus dem Jahr 2025 im European Heart Journal – Digital Health stellt fest, dass Hochrisiko-KI-Medizinprodukte einer doppelten Regulierung unter beiden Rahmenwerken unterliegen. Behandler sollten jeden Anbieter direkt nach der regulatorischen Klassifizierung des Tools sowohl gemäß der MDR als auch dem EU AI Act fragen.

Ist eine Datenschutz-Folgenabschätzung erforderlich, bevor ein KI-Dokumentationsassistent in einer Therapiepraxis eingesetzt wird?

Eine Datenschutz-Folgenabschätzung ist gemäß DSGVO Artikel 35 für die umfangreiche Verarbeitung besonderer Kategorien von Daten obligatorisch und auch für kleinere Praxen dringend empfohlen. Behandler sollten ihre Berufshaftpflichtversicherung benachrichtigen und bestätigen, dass KI-gestützte Dokumentation unter ihrer Police abgedeckt ist. Laufende Verpflichtungen gelten ebenfalls: Behandler sollten regelmäßig überprüfen, ob die Präsenz des Tools die therapeutische Offenbarung beeinflusst, KI-generierte Notizen auf Genauigkeit und Angemessenheit überwachen und über Aktualisierungen zum Zeitplan der Umsetzung des EU AI Act und nationale regulatorische Entwicklungen informiert bleiben.