Patientenaufklärung zur KI-Nutzung in der Psychotherapie: Rechtssicherer Mustertext nach DSGVO Art. 13 und § 630e BGB

Warum die Aufklärung Pflicht ist

Drei Rechtsgrundlagen greifen ineinander: Art. 13 DSGVO verpflichtet Sie, sobald personenbezogene Daten an einen Auftragsverarbeiter weitergegeben werden, die betroffene Person über Empfänger, Zweck, Rechtsgrundlage und Speicherdauer zu informieren. § 630e BGB verlangt Aufklärung über die Behandlungsmethode – wird KI „behandlungsnah“ eingesetzt, etwa zur Generierung von Berichten, die in die Akte gehen, gehört das zur Methode. Die Musterberufsordnung der Psychotherapeutenkammern verpflichtet zudem zur transparenten Information über den Behandlungskontext, einschließlich digitaler Hilfsmittel.

Auch die reine Stichwort-Eingabe in ein KI-Tool fällt darunter, sobald die Eingabe Hinweise enthält, die auf eine konkrete Patient:in rückbeziehbar sind. „Frau M., 34 J., Depression“ ist personenbezogen, auch ohne Namensnennung.

Sieben Pflichtinhalte einer rechtskonformen Aufklärung

• Welches Tool wird eingesetzt? Anbieter, Produktname, Serverstandort.
• Wofür wird es genutzt? Konkrete Verwendung, z. B. Generierung von Sitzungsprotokollen, Anträgen, Verlaufsberichten.
• Welche Daten werden verarbeitet? Stichworte aus der Sitzung, Audio-Aufnahmen, vollständige Texte.
• Wer hat Zugriff? Praxispersonal, Auftragsverarbeiter, ggf. dessen Sub-Auftragsverarbeiter.
• Wie lange werden Daten gespeichert? In der Praxis gemäß Aufbewahrungsfrist § 9 MBO (10 Jahre); beim Anbieter laut AVV, idealerweise sofort gelöscht oder maximal 30 Tage im Sicherungsspeicher.
• Welche Rechte hat die Patient:in? Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch.
• Was passiert bei Widerspruch? Ein klar dokumentierter Alternativablauf – die Behandlung darf nicht vom KI-Einsatz abhängen.

Mustertext 1: Mündliche Kurz-Aufklärung im Erstgespräch

Bei der ersten Sitzung, am besten vor dem inhaltlichen Einstieg, eignet sich eine kurze mündliche Erläuterung von etwa zwei Minuten:

„Bevor wir starten, eine kurze Information zur Dokumentation: Ich nutze in meiner Praxis ein KI-Tool, das mir hilft, Sitzungsprotokolle und gegebenenfalls Anträge an die Krankenkasse zu strukturieren. Konkret heißt das: Nach unserer Sitzung gebe ich Stichworte in dieses Tool ein, das daraus eine erste Textfassung erstellt – die ich dann redigiere und als endgültige Notiz in Ihre Akte aufnehme. Das Tool läuft auf Servern in Deutschland, ist DSGVO-konform, und es besteht ein Auftragsverarbeitungsvertrag. Ihre Daten werden nicht für KI-Training verwendet und nach Abschluss der Verarbeitung gelöscht. Sie können dem Einsatz jederzeit widersprechen – die Behandlung läuft dann genauso weiter, ich dokumentiere die Sitzungen einfach handschriftlich oder mit klassischer Textverarbeitung. Die ausführliche schriftliche Information habe ich dem Behandlungsvertrag beigelegt – Fragen dazu jederzeit gern.“

Mustertext 2: Schriftliche Anlage zum Behandlungsvertrag

„Information zur KI-gestützten Dokumentation. In dieser Praxis wird das KI-Tool [Anbieter, Produktname] für die Vorbereitung und Strukturierung von Sitzungsprotokollen, Verlaufsberichten und Anträgen an Krankenkassen eingesetzt. Folgende Informationen sind Ihnen nach Art. 13 DSGVO mitzuteilen:

1. Verantwortliche Stelle: [Praxisname, Adresse, Telefon, E-Mail]. 2. Auftragsverarbeiter: [Anbieter, Sitz]; Serverstandort: Deutschland (Frankfurt). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist abgeschlossen. 3. Zwecke: Strukturierung von Sitzungsprotokollen, Verlaufsberichten, Anträgen, Behandlungsplänen. Die endgültige fachliche und inhaltliche Verantwortung liegt ausschließlich bei der behandelnden Therapeut:in. 4. Datenkategorien: Behandlungsbezogene Stichworte und Texte (Gesundheitsdaten Art. 9 DSGVO). Die Eingaben enthalten in der Regel keinen Klarnamen. 5. Rechtsgrundlage: Art. 9 Absatz 2 lit. h DSGVO i. V. m. § 22 Absatz 1 Nr. 1 lit. b BDSG (Heilbehandlung) sowie Ihre Einwilligung nach Art. 9 Absatz 2 lit. a DSGVO. 6. Speicherdauer beim Anbieter: Eingaben werden nach Verarbeitung gelöscht, längstens nach [X] Tagen Sicherungsspeicher. 7. Drittlandtransfer: Findet nicht statt. 8. Ihre Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77). 9. Bei Widerspruch: Die Behandlung wird ohne KI-Unterstützung fortgesetzt. Es entsteht für Sie kein Nachteil. [Datum, Praxisstempel]“

Einwilligungsformular: Was muss rein

Die Einwilligung kann in den allgemeinen Behandlungsvertrag integriert oder als separates Formular ausgegeben werden. In jedem Fall muss sie laut Art. 7 DSGVO folgende Merkmale haben:

• Aktive Handlung – Häkchen oder Unterschrift, kein Opt-out
• Konkret formulierter Zweck – keine Bündel-Einwilligung („alle Datenverarbeitungen“)
• Trennbarkeit – wenn Sie auch andere Einwilligungen einholen (z. B. zur Aufzeichnung), müssen diese separat erteilbar sein
• Hinweis auf jederzeitiges Widerrufsrecht ohne Begründung
• Datum und Unterschrift der Patient:in plus Aushändigung an die Patient:in

Spezialfall: Audio-Aufnahmen versus Text-Eingabe

Wer ein Tool nutzt, das die Sitzung aufzeichnet (Speech-to-Text), schuldet eine deutlich umfassendere Aufklärung als bei reiner Stichwort-Eingabe. Die Aufnahmebereitschaft muss explizit eingeholt werden, und die Patient:in muss jederzeit widerrufen können, auch innerhalb der Sitzung durch Stoppen der Aufnahme.

Praktisch ist bei Audio-Aufnahme eine separate, schriftliche Einwilligung pro Sitzung der Goldstandard. Eine pauschale Einwilligung „für alle Sitzungen ab heute“ ist juristisch riskant, weil die DSGVO eine spezifische, situationsbezogene Einwilligung verlangt.

Was tun bei Widerspruch?

Lehnt die Patient:in den KI-Einsatz ab – sei es im Erstgespräch oder später –, halten Sie das in der Akte fest und dokumentieren ab sofort ohne KI.

• Aktenvermerk: „Patient:in hat KI-gestützter Dokumentation am [Datum] widersprochen. Dokumentation erfolgt ab sofort handschriftlich/klassisch.“
• Workflow umstellen: Achten Sie darauf, dass keine Stichworte zu dieser Patient:in mehr im Tool eingegeben werden, auch nicht versehentlich.
• Keine Behandlungseinschränkung: Die Behandlung darf nicht vom KI-Einsatz abhängen. Wer „ohne KI keine Praxisressourcen mehr“ anbietet, verstößt gegen das Diskriminierungsverbot der MBO.

Häufige Fragen aus Patient:innen-Sicht

• „Liest die KI meine Akte mit?“ Nein – Sie geben gezielt Stichworte ein, das Tool erstellt Text daraus. Die Akte selbst bleibt in Ihrer Praxis.
• „Lernt die KI von meinen Daten?“ Nein, der Anbieter hat ein Trainingsverbot zugesichert, im AVV festgehalten.
• „Was, wenn das Tool gehackt wird?“ Der Anbieter ist verpflichtet, Sicherheitsvorfälle innerhalb von 72 Stunden an die Aufsichtsbehörde und an mich zu melden – ich informiere Sie unverzüglich, wenn Ihre Daten betroffen sind.
• „Was, wenn Sie die Praxis wechseln?“ Der Tool-Vertrag endet, Daten werden beim Anbieter gelöscht. Ihre Akte folgt den allgemeinen Übergaberegeln.

Wenn die Aufklärung steht – was bleibt zu tun?

Mit dokumentierter Aufklärung und Einwilligung sind Sie auf der sicheren Seite, solange das Tool selbst DSGVO-konform bleibt. Empfohlene jährliche Routine: AVV-Aktualisierung beim Anbieter prüfen (TOMs, Sub-Auftragsverarbeiter), Verarbeitungsverzeichnis aktualisieren und den Einwilligungsbestand prüfen – Patient:innen, deren Einwilligung älter als drei Jahre ist, sollten Sie einmal kurz nachfragen.

Tools wie duktus PRO liefern den Mustertext für die Patient:innen-Aufklärung als Teil des Onboarding-Pakets – Praxen müssen ihn nur an die eigenen Stammdaten anpassen.