ChatGPT, Claude, Gemini – KI-Sprachmodelle sind in kürzester Zeit zu Alltagswerkzeugen geworden. Auch in Therapiepraxen halten sie Einzug, und das aus gutem Grund: Wer eine Praxis betreibt, ist nicht nur Therapeut, sondern auch Unternehmer. KI kann bei Website-Texten, Newslettern und Organisation viel Zeit sparen. Die Kehrseite: Therapeuten arbeiten mit besonders sensiblen Daten.
Warum KI-Tools für Therapeuten relevant sind – aber Vorsicht geboten ist
Ein allgemeiner Blogartikel, eine Stellenanzeige oder ein Praxisflyer lassen sich mit KI-Unterstützung deutlich schneller entwerfen. Fachlich prüfen und mit eigener Erfahrung anreichern musst du die Texte trotzdem.
Gleichzeitig verarbeiten Therapeuten, Psychotherapeuten und Heilpraktiker Gesundheitsinformationen, Diagnosen und persönliche Lebensgeschichten. Wer solche Daten unvorsichtig in KI-Tools eingibt, riskiert eine Datenschutzverletzung, berufsrechtliche Konsequenzen und – je nach Beruf – eine Strafbarkeit wegen Verletzung von Privatgeheimnissen.
DSGVO und Schweigepflicht: Was Therapeuten wissen müssen
Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen – Name, Adresse, IP-Adresse, aber auch kombinierte Merkmale wie „meine Klientin, 42 Jahre, Lehrerin aus München, leidet unter Panikattacken".
Gesundheitsdaten (Art. 9 DSGVO): Eine besonders geschützte Kategorie. Ihre Verarbeitung ist nur unter engen Voraussetzungen erlaubt. Das betrifft praktisch alle therapeutischen Informationen über Patientinnen und Patienten.
Schweigepflicht: Wer unter § 203 StGB fällt
- Physiotherapeuten, Ergotherapeuten, Logopäden und andere Heilberufe, deren Ausübung oder Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert, sind von § 203 Abs. 1 Nr. 1 StGB erfasst.
- Approbierte Psychotherapeuten sind ebenfalls erfasst.
- Heilpraktiker – auch Heilpraktiker für Psychotherapie – fallen nicht unter § 203 StGB, weil ihre Ausbildung nicht staatlich geregelt ist. Zur Verschwiegenheit verpflichtet sind sie trotzdem: über den Behandlungsvertrag und gegebenenfalls ihre Berufsordnung. Die DSGVO gilt für alle uneingeschränkt.
Externe Dienstleister: Seit 2017 dürfen Berufsgeheimnisträger unter engen Voraussetzungen externe Dienstleister einbeziehen, etwa für die IT (§ 203 Abs. 3 und 4 StGB). Dazu gehört unter anderem, sie zur Verschwiegenheit zu verpflichten. Bei KI-Chatbots ist das in der Praxis kaum sauber umzusetzen – deshalb gilt weiterhin: keine Patientendaten in KI-Tools.
Tool-Überblick: ChatGPT, Claude, Gemini und Copilot nach Vertragsvariante
„Ist ChatGPT erlaubt?" lässt sich nicht pauschal beantworten. Entscheidend ist die Produktvariante: Privatkonten und Geschäftsverträge unterscheiden sich bei Training, Speicherung und Auftragsverarbeitung deutlich.
| Anbieter | Variante | Eingaben fürs Training | AVV | Einsatz in der Praxis |
|---|---|---|---|---|
| ChatGPT (OpenAI) | Free, Plus, Pro (Privatkonto) | Möglich, per Einstellung abschaltbar | Nein | Nur Inhalte ohne Personenbezug |
| ChatGPT (OpenAI) | Business, Enterprise, API | Standardmäßig nein | Ja | Texte und Organisation ohne Patientendaten |
| Claude (Anthropic) | Free, Pro, Max (Privatkonto) | Möglich, wenn die Trainingseinstellung aktiv ist (seit 2025) | Nein | Nur Inhalte ohne Personenbezug |
| Claude (Anthropic) | Team, Enterprise, API | Standardmäßig nein | Ja | Texte und Organisation ohne Patientendaten |
| Gemini (Google) | In Google Workspace (Geschäftskonto) | Nein, laut Workspace-Bedingungen | Ja, über Workspace | Texte und Organisation ohne Patientendaten |
| Microsoft Copilot | Mit Microsoft-365-Geschäftskonto | Nein, laut Microsoft | Ja, über Microsoft | Texte und Organisation ohne Patientendaten |
„AVV möglich" bedeutet nicht, dass jede Nutzung zulässig ist. Es bedeutet nur, dass eine Verarbeitung personenbezogener Daten vertraglich überhaupt geregelt werden kann.
AVV, Training und Speicherung: Was du unterscheiden musst
Auftragsverarbeitungsvertrag (AVV): Ein AVV nach Art. 28 DSGVO ist Pflicht, wenn ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet. Er regelt Zweck, Sicherheit und Verantwortlichkeiten. Für Privatkonten bieten die großen KI-Anbieter in der Regel keinen AVV an.
Training: Ob Eingaben genutzt werden, um künftige Modelle zu trainieren, hängt von Variante und Einstellungen ab. Bei Privatkonten ist das je nach Anbieter Standard oder per Einstellung aktiviert. Bei Geschäfts- und API-Verträgen schließen die Anbieter es in der Regel vertraglich aus.
Speicherung: Auch ohne Training werden Eingaben für einen bestimmten Zeitraum gespeichert, etwa für den Chatverlauf oder zur Missbrauchskontrolle. Prüfe die Speicherfristen und nutze Löschfunktionen.
Wichtig: Ein AVV macht noch keine zulässige Nutzung. Er ist ein Fundament, kein Freifahrtschein – Gesundheitsdaten bleiben auch mit AVV tabu.
Datentransfer in die USA: Was seit 2023 gilt
Viele KI-Anbieter sitzen in den USA. Übermittlungen personenbezogener Daten an US-Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, sind seit Juli 2023 grundsätzlich zulässig. Das Gericht der Europäischen Union hat den Angemessenheitsbeschluss im September 2025 bestätigt. Ob ein Unternehmen zertifiziert ist, kannst du in der offiziellen Liste prüfen.
Pauschale Aussagen wie „US-Tools sind seit Schrems II verboten" sind damit überholt. Die Rechtslage kann sich durch weitere Verfahren aber wieder ändern. An der Grundregel für Patientendaten ändert der Datentransfer-Rahmen ohnehin nichts.
10 Anwendungsfälle ohne Patientendaten
- Texte für deine Leistungsseiten
- Blogartikel zu allgemeinen Gesundheitsthemen
- Newsletter-Entwürfe
- Social-Media-Posts und Redaktionsplan
- Allgemeine Patienteninformationen, z. B. zum Ablauf des ersten Termins
- FAQ für deine Website
- E-Mail-Vorlagen mit Platzhaltern statt Namen
- Stellenanzeigen für deine Praxis
- Zusammenfassungen öffentlich zugänglicher Fachtexte
- Checklisten und Abläufe für die Praxisorganisation
Bei Texten für Patienten gilt zusätzlich das Heilmittelwerbegesetz: Keine Heilversprechen, auch nicht von der KI formuliert. Beispiel-Prompts zu allen zehn Fällen findest du im kostenlosen Leitfaden weiter unten.
Rote Linien: Was niemals in ein KI-Tool darf
- Patientennamen und direkte Identifikatoren
- Diagnosen (auch verschlüsselt oder unvollständig anonymisiert)
- Fallbeschreibungen – auch „hypothetisch" oder „leicht abgeändert"
- Therapiedokumentation und Therapiepläne
- Abrechnungsdaten und Krankenkasseninformationen
- Alles, was der Schweigepflicht unterliegt
Prompts ohne Patientenbezug: So geht's richtig
Der entscheidende Unterschied liegt in der Abstraktion. Statt konkreter Fälle verwendest du allgemeine Themen ohne jeden Bezug zu einer Person:
Datenschutzfreundliche Alternativen für den Praxisalltag
- Newsletter: Anbieter mit AVV und Serverstandort in der EU, etwa CleverReach oder MailerLite, vereinfachen die Prüfung. US-Anbieter sind nicht automatisch unzulässig – prüfe dann Zertifizierung nach dem Data Privacy Framework und AVV.
- Terminbuchung: Online-Terminbuchung über deine Praxisverwaltungssoftware oder einen Anbieter mit AVV. Achtung: Schon der Termingrund kann ein Gesundheitsdatum sein – frage ihn nur ab, wenn es nötig ist.
- Videotherapie: Für die Abrechnung von Videobehandlungen mit den Krankenkassen gelten besondere technische Anforderungen, in der Regel ein zertifizierter Videodienstanbieter. Kläre die Vorgaben deines Heilmittelvertrags, bevor du ein Tool auswählst.
- Webanalyse: Selbst gehostete Lösungen wie Matomo sind eine datensparsame Alternative. Für Analyse-Tools, die Cookies oder ähnliche Technologien nutzen, brauchst du in der Regel eine Einwilligung (§ 25 TDDDG).
KI-Toolkit für Therapeuten
Kostenloser Leitfaden: 10 Anwendungsfälle für KI in deiner Praxis – ohne Patientendaten, jeweils mit Beispiel-Prompt, dazu ein Tool-Überblick nach Vertragsvariante (Stand Oktober 2026).
Häufig gestellte Fragen
Ja, wenn du keine Patientendaten eingibst. Allgemeine Blogartikel können mit KI-Unterstützung entstehen. Prüfe das Ergebnis sorgfältig auf fachliche Richtigkeit und das Heilmittelwerbegesetz und ergänze deine eigene Erfahrung – das macht den Text erst wertvoll.
Das hängt von der Produktvariante ab: Bei Privatkonten können Eingaben je nach Einstellung zum Training genutzt werden, bei Business-Verträgen schließen die Anbieter das in der Regel aus. In jedem Fall kann eine Datenschutzverletzung vorliegen. Lösche den Chat, dokumentiere den Vorfall und prüfe, ob du ihn innerhalb von 72 Stunden der Aufsichtsbehörde melden musst (Art. 33 DSGVO). Hol dir im Zweifel Rat bei deinem Datenschutzbeauftragten oder einer Fachanwältin.
Nein. § 203 StGB erfasst Heilberufe, deren Ausübung oder Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert – etwa Physiotherapeuten, Ergotherapeuten oder approbierte Psychotherapeuten. Heilpraktiker fallen nicht darunter. Sie sind aber über den Behandlungsvertrag und gegebenenfalls ihre Berufsordnung zur Verschwiegenheit verpflichtet, und die DSGVO gilt uneingeschränkt.
Für Inhalte ohne Personenbezug ja. Übermittlungen personenbezogener Daten an US-Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, sind seit 2023 grundsätzlich zulässig; das Gericht der EU hat den Rahmen im September 2025 bestätigt. Das ändert nichts daran, dass Gesundheitsdaten und Patienteninformationen nicht in KI-Chatbots gehören.
Ja, das ist der empfohlene Ansatz. Aufgaben wie Vorlagen, allgemeine Website-Texte oder Fortbildungsrecherche haben in der Regel keinen Patientenbezug und lassen sich mit deutlich geringerem Risiko mit KI unterstützen.
Ein AVV nach Art. 28 DSGVO ist ein Vertrag mit einem Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitet. Sobald du ein KI-Tool mit personenbezogenen Daten nutzt – etwa Namen von Kooperationspartnern oder Mitarbeitern –, brauchst du in der Regel einen. Für Privatkonten bieten die Anbieter meist keinen AVV an. Ob ein AVV in deinem Fall nötig ist, hängt vom konkreten Einsatz ab.
Quellen
Rechtsgrundlagen:
§ 203 StGB ·
Art. 9 DSGVO ·
Art. 28 DSGVO ·
Art. 33 DSGVO ·
§ 25 TDDDG
Anbieter (Stand Oktober 2026):
OpenAI: Enterprise Privacy ·
iubenda: OpenAI und DSGVO ·
Anthropic: Updates to Consumer Terms ·
Google Workspace: Datenschutz bei generativer KI ·
Microsoft: Daten, Datenschutz und Sicherheit für Copilot
Datentransfer:
Liste zertifizierter Unternehmen (Data Privacy Framework) ·
Stiftung Datenschutz: EuG bestätigt das Data Privacy Framework