ChatGPT für Arztbriefe erlaubt? Was Ärzt:innen 2026 wissen müssen
Kurz vorweg: Datenschutzbehörden und Fachjurist:innen bewerten die Nutzung des öffentlichen ChatGPT für Arztbriefe oder andere patientenbezogene Texte überwiegend kritisch – aus drei voneinander unabhängigen Gründen. Dieser Beitrag ordnet die rechtliche Diskussion allgemein ein und zeigt, worauf medizinisch spezialisierte KI-Lösungen üblicherweise achten.
→ Berichte mit Scribamed erstellen — DSGVO-konform aus Stichpunkten oder aus dem mitgeschnittenen Gespräch.
Direkt ausprobieren — ohne Anmeldung
Stichpunkte eintippen oder diktieren, Scribamed strukturiert den Text in Sekunden. Die Demo ist auf wenige Durchläufe pro Tag begrenzt.
Jetzt selbst ausprobieren — ohne Login
Diktieren oder Stichpunkte eintippen — Scribamed formuliert daraus einen vollständigen Brief. Berufsgruppe und Dokumententyp wählen, einen fiktiven Fall beschreiben (bitte keine echten Patientendaten). Namen, Geburtsdaten und Kontaktdaten werden vor dem Versand an die KI automatisch pseudonymisiert.
Möchten Sie einfach nur etwas diktieren? Wählen Sie als Dokumententyp — geordnete Stichpunkte ohne Briefkopf, direkt kopierbar.
Warum die Frage überhaupt heikel ist
Arztbriefe enthalten besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO – also Gesundheitsdaten. Für deren Verarbeitung gelten besonders strenge Anforderungen: ausdrückliche Rechtsgrundlage, technisch-organisatorische Schutzmaßnahmen, klare Verantwortlichkeiten und im ärztlichen Bereich zusätzlich die strafbewehrte Schweigepflicht aus § 203 StGB.
Werden Patient:innendaten in ein Tool eingegeben, das diese Anforderungen nicht erfüllt, kann das nach Einschätzung von Fachleuten datenschutz- und strafrechtliche Risiken nach sich ziehen.
Grund 1: § 203 StGB – die strafbewehrte Schweigepflicht
§ 203 StGB stellt das unbefugte Offenbaren von Geheimnissen, die Ärzt:innen anvertraut wurden, unter Strafe – bis zu einem Jahr Freiheitsstrafe. „Offenbaren“ meint nicht nur das aktive Verraten, sondern auch das Zugänglichmachen gegenüber Dritten, die keinen rechtmäßigen Zugriff haben dürften.
Sobald ein Patientenfall in das Eingabefeld eines Cloud-Dienstes wandert, bekommt der Anbieter Zugriff auf diese Daten. Damit das straffrei bleibt, muss der Anbieter rechtlich als „Gehilfe“ der ärztlichen Tätigkeit eingebunden sein – mit vertraglicher Verschwiegenheitsverpflichtung und sauberer technischer Trennung. Ob ein Standard-ChatGPT-Account diese Voraussetzungen erfüllt, wird in der Fachdiskussion überwiegend bezweifelt.
Grund 2: Die DSGVO – fehlende AVV und Drittlandtransfer
Wer einen Auftragsverarbeiter einsetzt, braucht nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Für das öffentliche ChatGPT existiert kein AVV mit Praxen oder einzelnen Ärzt:innen – nur ChatGPT Enterprise oder spezielle API-Verträge sehen das vor.
Hinzu kommt: OpenAI ist ein US-Unternehmen. Auch nach dem EU-US-Data-Privacy-Framework (DPF) bleibt die Übermittlung besonderer Datenkategorien wie Gesundheitsdaten ein heikles Thema, das eine eigene Risikoabwägung verlangt – die in einer normalen Sprechstunde niemand belastbar leisten kann.
Grund 3: Trainingsdaten und fehlende Datenkontrolle
Beim öffentlichen ChatGPT werden Eingaben standardmäßig zur Modellverbesserung verwendet, sofern man dies nicht deaktiviert. Selbst nach Deaktivierung verbleibt das Vertrauensproblem: Sie haben keine Kontrolle darüber, wo Daten verarbeitet werden, wer im Support-Fall Zugriff hat und wie lange Logs gespeichert werden.
Für eine Praxis, die im Streitfall die Datenflüsse nachweisen muss, ist das praktisch nicht beherrschbar.
Rechtssicher Arztbriefe schreiben – ohne ChatGPT-Risiko
Scribamed ist Ende-zu-Ende-verschlüsselt, in der EU gehostet und speziell für die ärztliche Schweigepflicht entwickelt. 14 Tage kostenlos testen – Zahlungsmethode im Onboarding, danach startet die Abbuchung. Jederzeit kündbar.
Kostenlos testenWelche Kriterien Fachleute für zulässige KI nennen
Fachleute nennen als vertretbar in der Regel KI-Lösungen, die folgende Eigenschaften gleichzeitig erfüllen:
• Auftragsverarbeitungsvertrag mit der Praxis oder Klinik nach Art. 28 DSGVO.
• Verarbeitung in der EU, idealerweise in einem deutschen oder europäischen Rechenzentrum.
• Keine Nutzung der Eingaben für Modelltraining.
• Idealerweise Ende-zu-Ende-Verschlüsselung, sodass selbst der Anbieter die Klartextdaten nicht einsehen kann – das ist die technische Antwort auf § 203 StGB.
• Klare Löschkonzepte, Logging- und Zugriffsdokumentation.
Praxis-Empfehlung
Wer KI im klinischen Alltag einsetzen will, sollte das nicht über generische Tools tun, sondern über spezialisierte, medizinisch ausgelegte Anbieter, die die oben genannten Punkte vertraglich und technisch zusichern. Genau dafür wurde Scribamed gebaut: Ende-zu-Ende-verschlüsselt, in der EU gehostet, ohne Trainingsnutzung Ihrer Eingaben, mit AVV.
Häufige Fragen
„Ich verantworte die technische Sicherheit von Scribamed persönlich – Verschlüsselung, automatische Löschung und die sichere Anbindung der KI. Ihre Inhalte werden nicht zum Training von KI-Modellen verwendet."
Dieser Beitrag ist eine allgemeine Information und ersetzt keine individuelle Rechtsberatung. Im Zweifel wenden Sie sich an Ihre Ärztekammer, Ihre:n Datenschutzbeauftragte:n oder eine spezialisierte Kanzlei.
Bereit, Stunden pro Woche zu sparen?
Mit Scribamed Berichte per KI erstellen — Ende-zu-Ende-verschlüsselt, in der EU gehostet, ohne Trainingsnutzung.