Was passiert mit Ihren Daten bei ChatGPT?
ChatGPT wird vom US-Unternehmen OpenAI betrieben. Geben Therapeut:innen Sitzungsnotizen in ChatGPT ein, wandern diese Daten auf Server, die dem US-Recht unterliegen.
- Datenverarbeitung in den USA: Bei Free- und Plus-Nutzer:innen unterliegen Eingaben dem CLOUD Act, der US-Behörden Zugriff auf bei US-Unternehmen gespeicherte Daten erlaubt.
- Training mit Nutzerdaten: Bei kostenlosen Versionen und ChatGPT Plus werden Eingaben standardmäßig zum Modelltraining genutzt und bis zu 30 Tage gespeichert. Ein Opt-out ist nur über die API-Nutzung garantiert.
- Fehlender Auftragsverarbeitungsvertrag (AVV): Für Gesundheitsdaten nach Art. 9 DSGVO ist ein AVV mit dem Anbieter Pflicht. OpenAI bietet ihn für Free- und Plus-Accounts nicht an.
- ChatGPT Health: Das neue Feature isoliert Gesundheitsdaten und nutzt sie nicht zum Modelltraining. Allerdings ist es zunächst nur in den USA verfügbar und löst das Grundproblem nicht – die Daten verlassen weiterhin den europäischen Rechtsraum.
Die rechtliche Lage: DSGVO, § 203 StGB und Berufsordnung
Drei Regelwerke sind hier relevant, und alle drei sprechen eine klare Sprache.
Art. 9 DSGVO: Gesundheitsdaten als besondere Kategorie
Gesundheitsdaten gehören zu den besonders geschützten Datenkategorien. Ihre Verarbeitung ist grundsätzlich verboten, es sei denn, es liegt eine ausdrückliche Einwilligung vor oder ein anderer Erlaubnistatbestand greift. Selbst eine Einwilligung der Patient:in legitimiert nicht die Nutzung eines nicht DSGVO-konformen Tools.
§ 203 StGB: Die Schweigepflicht
Die ärztliche und psychotherapeutische Schweigepflicht gilt auch für die digitale Verarbeitung von Patientendaten. Wer solche Daten ohne wirksamen Geheimnisschutz an Dritte weitergibt – einschließlich Cloud-Diensten –, macht sich strafbar. Das Strafmaß reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. Ein entsprechender Vertrag mit dem Anbieter ist deshalb zwingend erforderlich.
Berufsordnung der Psychotherapeutenkammern
Die Berufsordnungen verpflichten Psychotherapeut:innen zu besonderer Sorgfalt im Umgang mit Patientendaten. Ein Tool zu nutzen, dessen Daten in die USA fließen, lässt sich mit dieser Sorgfaltspflicht kaum vereinbaren.
„Aber ich anonymisiere doch…“ – Warum das nicht reicht
- Pseudonymisierung ist keine Anonymisierung: Statt eines Namens nur „Patientin, 34 Jahre“ zu schreiben, ist Pseudonymisierung – keine Anonymisierung im Sinne der DSGVO. Pseudonymisierte Daten lassen sich mit Zusatzwissen wieder zuordnen.
- Therapeutische Kontexte sind indirekt identifizierend: Seltene Diagnosen, biografische Details und der Behandlungsort ermöglichen häufig eine Re-Identifizierung. Ein Patient mit dissoziativer Identitätsstörung in einer Kleinstadt ist oft identifizierbar, auch ohne Namensnennung.
- Re-Identifizierung bei kleinen Gruppen: PiAs behandeln oft eine überschaubare Zahl an Patient:innen. In solchen Gruppen ist die Re-Identifizierung anhand von Kontextmerkmalen ein reales Risiko.
Welche Alternativen gibt es?
Mittlerweile gibt es spezialisierte KI-Tools für die Psychotherapie, die Datenschutz von Anfang an ernst nehmen. Achten Sie dabei auf folgende Punkte:
- Server in der EU, idealerweise in Deutschland
- Kein Training mit Nutzerdaten
- Auftragsverarbeitungsvertrag verfügbar
- Technisch-organisatorische Maßnahmen dokumentiert
- Transparenz über die verwendeten Modelle
Vergleich wichtiger Anbieter
Ein Blick auf gängige Tools zeigt deutliche Unterschiede: VIA HealthTech setzt auf EU-Server mit ISO-27001- und BSI-C5-Zertifizierung und arbeitet aufzeichnungsbasiert. PlaynVoice hostet in der Schweiz nach dortigem Datenschutzgesetz. EPIKUR bietet ein KI-Modul lokal im Praxisverwaltungssystem an. duktus PRO verarbeitet Stichworte auf deutschen Servern, DSGVO-konform mit AVV, aktuell kostenfrei im Forschungspilot. ChatGPT (Free/Plus) verarbeitet dagegen textbasiert in den USA, ohne belastbaren AVV und mit Modelltraining bei den kostenlosen Varianten.
Eine ausführliche, kriterienbasierte Gegenüberstellung dieser und weiterer Werkzeuge – Serverstandort, AVV, § 203 StGB, Eingabeprinzip – finden Sie im Vergleich der KI-Doku-Tools für die Psychotherapie 2026 auf duktus-pro.de.
Checkliste: So nutzen Sie KI datenschutzkonform
Vor dem Einsatz eines KI-Tools für die Dokumentation sollten Sie fünf Punkte prüfen:
- Serverstandort prüfen – werden Daten in der EU/EWR verarbeitet?
- AVV abschließen – bietet der Anbieter einen Auftragsverarbeitungsvertrag? Die 13 Pflichtinhalte und sieben roten Flaggen finden Sie in der AVV-Checkliste für Psychotherapie-Praxen.
- Training-Policy prüfen – werden Eingaben zum Modelltraining genutzt?
- Dokumentation anlegen – im Verarbeitungsverzeichnis festhalten, welches Tool genutzt wird.
- Patient:innen informieren – bei Aufzeichnungstools ist eine informierte Einwilligung nötig.
Fazit
ChatGPT ist beeindruckend, aber für Patientendaten in der Psychotherapie nicht geeignet. Die Kombination aus US-Serverstandort, fehlendem AVV und Modelltraining lässt sich mit DSGVO, Schweigepflicht und berufsrechtlichen Pflichten nicht vereinbaren.
Der Markt für DSGVO-konforme KI-Tools in der Psychotherapie entwickelt sich jedoch rasant. Es gibt heute schon Alternativen – aufzeichnungsbasiert oder stichwortbasiert –, die Datenschutz von Anfang an mitdenken.