Datenschutz & KI-Telefonie
DSGVO-konforme KI-Telefonassistenz für Physiopraxen
Was eine datenschutzkonforme KI am Praxistelefon ausmacht — Auftragsverarbeitung, Schweigepflicht nach §203 StGB, Einwilligung der Patient:innen, Speicherfristen und Hosting. Und wie Bela diese Anforderungen umsetzt.
Warum Datenschutz bei der KI-Telefonie besonders zählt
Am Praxistelefon werden besonders sensible Daten genannt: Name, Geburtsdatum, Beschwerden, Diagnosen, Terminwünsche. Sobald eine KI diese Gespräche verarbeitet, greifen die DSGVO, das BDSG und die therapeutische Schweigepflicht nach §203 StGB gleichzeitig. Eine KI-Telefonassistenz ist deshalb nur dann praxistauglich, wenn Rechtsgrundlage, Auftragsverarbeitung, Einwilligung und Löschfristen sauber geregelt sind.
Dieser Leitfaden erklärt die zentralen Anforderungen — und zeigt, wie Bela als KI-Rezeption für Physio-, Rehasport- und Präventionspraxen sie erfüllt.
Die fünf Datenschutz-Anforderungen an eine KI am Praxistelefon
1. Auftragsverarbeitung nach Art. 28 DSGVO
Wer eine KI-Telefonassistenz einsetzt, gibt Patientendaten an einen Dienstleister weiter. Das ist nur zulässig, wenn ein Auftragsverarbeitungsvertrag (AVV) besteht, der Zweckbindung, Weisungsgebundenheit und Vertraulichkeit regelt. Bela handelt als Auftragsverarbeiter der Praxis; die Praxis bleibt datenschutzrechtlich verantwortlich, Bela verarbeitet ausschließlich weisungsgebunden. Den AVV stellt Bela bereit.
2. Schweigepflicht nach §203 StGB
Die Weitergabe von Patientengeheimnissen an „mitwirkende Personen" ist nach §203 Abs. 3 StGB zulässig; der Verantwortliche muss diese Personen dann nach §203 Abs. 4 StGB zur Verschwiegenheit verpflichten. Der AVV nach Art. 28 DSGVO bildet die vertragliche Grundlage dafür. So bleibt die Nutzung einer KI-Telefonassistenz mit der Schweigepflicht vereinbar, ohne Graubereich.
3. Aufklärung und Einwilligung der Patient:innen
Nach Art. 50 der EU-KI-Verordnung müssen Menschen darüber informiert werden, dass sie mit einer KI sprechen. Bela informiert zu Gesprächsbeginn und holt eine ausdrückliche Zustimmung ein, bevor die KI ein Anliegen verarbeitet. Anrufende, die das nicht möchten, wählen einen alternativen Weg — eine klassische Sprachnachricht, E-Mail oder die Website. Die Wahl liegt bei jedem Anruf bei den Patient:innen.
4. Speicherfristen und Löschung
Datenschutz verlangt, Daten nicht länger als nötig zu speichern. Bei Bela werden Audioaufzeichnung und Transkript nach 90 Tagen automatisch gelöscht. Die KI-generierte Zusammenfassung unterliegt als Behandlungsdokumentation der gesetzlichen Aufbewahrung (§630f Abs. 3 BGB). Wird eine Einwilligung widerrufen, werden Audio und Transkript unverzüglich gelöscht, sofern kein offener Streitfall vorliegt.
5. Hosting und kein KI-Training mit Patientendaten
Die Telefonie läuft über einen SIP-Anbieter in der EU, die KI-Sprachverarbeitung über einen spezialisierten Anbieter in Deutschland, das Hosting über Infrastruktur in Deutschland/EU. Sofern einzelne Unterauftragsverarbeiter außerhalb der EU sitzen, erfolgt die Übermittlung auf Grundlage des EU-U.S. Data Privacy Framework, der EU-Standardvertragsklauseln (SCC) und zusätzlicher Schutzmaßnahmen. Personenbezogene Gesprächsdaten werden nicht zum Training von KI-Modellen verwendet.
Checkliste: Ist eine KI-Telefonassistenz datenschutzkonform?
- Liegt ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vor?
- Werden Patient:innen zu Gesprächsbeginn über die KI informiert (Art. 50 EU-KI-VO)?
- Gibt es eine ausdrückliche Zustimmung vor der KI-Verarbeitung — und einen Alternativweg?
- Sind Rechtsgrundlagen für Gesprächs- und Gesundheitsdaten benannt (Art. 6 / Art. 9 DSGVO)?
- Sind Speicherfristen definiert und wird automatisch gelöscht?
- Ist das Hosting in der EU bzw. mit geeigneten Garantien geregelt?
- Werden Patientendaten vom KI-Training ausgeschlossen?
Hinweis: Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Maßgeblich für die Verarbeitung durch Bela ist die Datenschutzerklärung (Stand 25.07.2026); die datenschutzrechtliche Verantwortung liegt bei der jeweiligen Praxis. Ohne Gewähr.
FAQs
Ist eine KI-Telefonassistenz in der Physiotherapiepraxis DSGVO-konform?
Ja, sofern die Verarbeitung auf einer gültigen Rechtsgrundlage beruht, ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO besteht und die Patient:innen über die KI-Verarbeitung informiert werden. Bela ist genau darauf ausgelegt: Bela handelt als Auftragsverarbeiter der Praxis, informiert Anrufende zu Gesprächsbeginn über die KI (Art. 50 EU-KI-VO) und holt vor der KI-Verarbeitung eine ausdrückliche Zustimmung ein.
Wie wird die Schweigepflicht nach §203 StGB gewahrt?
Die ärztliche bzw. therapeutische Schweigepflicht (§203 StGB) verlangt, dass die Weitergabe von Patientendaten an Dienstleister vertraglich abgesichert ist. Bela wird als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein AVV regelt Zweckbindung, Weisungsgebundenheit und Vertraulichkeit. Die Praxis bleibt datenschutzrechtlich verantwortlich, Bela verarbeitet ausschließlich weisungsgebunden.
Wo werden die Patientendaten gehostet und verarbeitet?
Die Telefonie-Infrastruktur läuft über einen SIP-Anbieter in der EU, die KI-Sprachverarbeitung über einen spezialisierten Anbieter in Deutschland, das Hosting über Infrastruktur in Deutschland/EU. Einzelne Unterauftragsverarbeiter können ihren Sitz außerhalb der EU haben; die Übermittlung erfolgt dann auf Grundlage des EU-U.S. Data Privacy Framework, EU-Standardvertragsklauseln (SCC) und zusätzlicher technischer Schutzmaßnahmen. Eine aktuelle Übersicht der Unterauftragsverarbeiter stellt Bela auf Anfrage bereit.
Werden Patientendaten zum Training von KI-Modellen verwendet?
Nein. Personenbezogene Gesprächsdaten werden nicht zum Training, zur Entwicklung oder zur Verbesserung von KI-Modellen genutzt. Ausschließlich anonymisierte, nicht mehr rückführbare Daten können zur Qualitätssicherung dienen. Die Verarbeitung identifizierbarer Daten dient allein der Bearbeitung des konkreten Anliegens und der Dokumentation für die Praxis.
Wie lange werden Aufzeichnungen gespeichert?
Audioaufzeichnung und Transkript des Gesprächs werden nach 90 Tagen automatisch gelöscht (bei einem offenen Streitfall längstens bis zur Klärung, maximal 12 Monate). Die KI-generierte Zusammenfassung und Stammdaten unterliegen als Behandlungsdokumentation der gesetzlichen Aufbewahrung nach §630f Abs. 3 BGB. Wird eine Einwilligung widerrufen, werden Audio und Transkript unverzüglich gelöscht, sofern kein offener Streitfall vorliegt.
Müssen Patient:innen mit der KI sprechen?
Nein. Vor der KI-Verarbeitung entscheiden Anrufende bei jedem Anruf selbst, ob sie ihr Anliegen mit der KI besprechen oder einen alternativen Weg (klassische Sprachnachricht, E-Mail, Website) wählen. Diese ausdrückliche Zustimmung ist Teil der Architektur, nicht ein Zusatz — Aufklärung genau im Einwilligungsmoment.
Welche Rechtsgrundlagen gelten für die Verarbeitung?
Der Anrufeingang stützt sich auf das berechtigte Interesse der Praxis an Erreichbarkeit (Art. 6 Abs. 1 lit. f DSGVO) und die Einwilligung in die KI-Verarbeitung (Art. 6 Abs. 1 lit. a). Gesprächsinhalte werden zur vorvertraglichen Terminanbahnung verarbeitet (Art. 6 Abs. 1 lit. b); genannte Gesundheitsdaten auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO i.V.m. §22 BDSG bzw. der Einwilligung nach Art. 9 Abs. 2 lit. a.
Datenschutzkonform am Telefon — mit der KI-Rezeption von Bela
Bela, die KI-Rezeption für Physio-, Rehasport- und Präventionspraxen, nimmt Anrufe entgegen, versteht therapeutische Anliegen und übergibt sie strukturiert an dein Team — mit Auftragsverarbeitung, Patient:innen-Einwilligung und automatischer Löschung von Anfang an mitgedacht.
Bereit für Entlastung am Empfang?
Mehr als 95% haben sich nach der Probephase überzeugen lassen.