F+A: KI-Telefonassistenz in der Praxis

Frage:

Eine niedergelassene Chirurgin fragt an, ob der Einsatz eines KI-Telefonassistenten in der Praxis unkritisch ist.

Antwort:

Der Einsatz eines KI-Telefonassistenten ist aus juristischer Sicht zunächst im Hinblick auf den Datenschutz nicht unkritisch zu betrachten. Gleichwohl ist ein solcher Einsatz grundsätzlich zulässig, wenn eine datenschutzkonforme Datenverarbeitung erfolgt. Dies muss stets anhand der konkreten Einzelfallumstände geprüft werden, sodass sich eine pauschale Aussage verbietet.

Für den Einsatz eines KI-Telefonassistenten wird zwingend eine Rechtsgrundlage für die Datenverarbeitung durch den KI-Assistenten oder die Einwilligung des Anrufers benötigt, da die KI regelmäßig personenbezogene Daten der Anrufer verarbeitet. Hierfür dürfte nach Auffassung des Verfassers zwar grundsätzlich ein berechtigtes Interesse (z. B. zur Prozessoptimierung, Qualitätssicherung) nach Art. 6 Abs. 1 lit. f) DSGVO bestehen, solange dem keine entgegenstehenden überwiegenden Interessen oder Grundrechte und Grundfreiheiten der Anrufer gegenüberstehen. Dies erfordert aber stets eine Interessenabwägung im Einzelfall. Sollte ein entgegenstehendes überwiegendes Interesse des Anrufers bestehen, so scheidet die Rechtsgrundlage des Art. 6 Abs. lit. 1 f) DSGVO aus und es bedarf für die Datenverarbeitung durch den Telefonassistenten regelmäßig einer Einwilligung des Anrufers.

Eine Einwilligung des Anrufers ist nach Meinung des Verfassers aber ohnehin in jedem Fall zwingend erforderlich, sobald der Gesprächsinhalt aufgezeichnet oder transkribiert wird, was schätzungsweise beim Einsatz solcher KI-Systeme regelmäßig der Fall sein dürfte. Diese ist nicht nur aus datenschutzrechtlicher Sicht erforderlich, sondern vor allem aus strafrechtlicher Sicht, da es gemäß § 201 StGB strafbar ist, das „nichtöffentlich gesprochene Wort“, also private Telefonate, unbefugt aufzunehmen.

Wichtig ist für eine datenschutzrechtliche Beurteilung zudem, welche Daten erhoben werden und wie die vom Anrufer mitgeteilten Daten verwendet werden. Hinsichtlich Gesundheitsdaten sollte nach Ansicht des Verfassers sichergestellt werden können, dass solche hochsensiblen Daten erst gar nicht verarbeitet werden. Hinsichtlich der Verwendung jeglicher Daten ist es nach Auffassung des Verfassers als äußerst kritisch zu betrachten, wenn die durch den KI-Einsatz erhobenen Daten an diese zurückfließen und für das weitere Training der KI genutzt werden. Denn in diesen Fällen kann die Weiterverwendung in der Regel nicht nachvollzogen werden, sodass es für die Praxisinhaber als datenschutzrechtlich Verantwortliche äußerst schwierig sein dürfte, die datenschutzrechtlichen Transparenzpflichten erfüllen zu können. Dies muss somit zwingend vorab mit dem KI-Anbieter geklärt werden. In jedem Fall bedarf es aber hierfür der Einwilligung des Anrufers, die aber wiederum nur wirksam ist, wenn der Anrufer vorab hinreichend über die Datenverarbeitung informiert wurde. Grundsätzlich wäre deshalb aus datenschutzrechtlicher Sicht des Verfassers vom Einsatz einer solchen KI eher abzuraten.

Beim Einholen einer Einwilligung vom Anrufer muss gewährleistet sein, dass er, wie gesagt, vorab eindeutig und hinreichend über die Datenverarbeitung aufgeklärt wird und ihm auch die Möglichkeit gegeben wird, für die jeweilige Datenverarbeitung eine Ablehnung der Einwilligung zu erteilen. Erforderlich ist aus Sicht des Verfassers deshalb die Erteilung der Einholung bzw. Ablehnung als eine aktive Handlung des Anrufers zu gestalten, z. B. das Drücken einer bestimmten Ziffer bei Einwilligung bzw. bei Ablehnung. Nach Ansicht des Verfassers muss dem Anrufer somit bereits von Beginn an die Möglichkeit gegeben werden, den Einsatz bzw. das Gespräch mit dem KI-Telefonassistenten abzulehnen und ihm muss in diesem Fall eine alternative Kontaktaufnahmemöglichkeit mit der Praxis gegeben werden.

Ferner ist vor dem Einsatz eines KI-Telefonassistenten zwingend eine Datenschutzfolgenabschätzung nach Art. 35 DSGVO erforderlich. Diese führt wiederum dazu, dass nach § 38 Abs. 1 S. 2 BDSG i. V. m. Art. 37 Abs. 1 lit. c), Art. 35 DSGVO eine zwingende Bestellpflicht für einen Datenschutzbeauftragten besteht. Dies kann sich somit insbesondere auf Praxen mit weniger als 20 Beschäftigten auswirken, die sonst grundsätzlich keinen Datenschutzbeauftragten bestellen müssen.

Ebenso muss vorab unbedingt geprüft werden, ob eine Datenübermittlung an Dienstleister in Drittländer, also außerhalb der EU, stattfindet. Denn hier müssen dann zusätzlich die Vorschriften nach Art. 44 ff. DSGVO eingehalten werden.

Beim Einsatz einer KI sind selbstverständlich auch die für sonstige Anwendungen geltenden datenschutzrechtlichen Voraussetzung für eine rechtskonforme Datenverarbeitung zu beachten. Aus juristischer Sicht ist somit stets der Einsatz einer KI zu empfehlen, bei der der Anbieter die DSGVO-Konformität garantiert, eine Zertifizierung vorliegt und datenschutzfreundliche Voreinstellungen schon vorhanden sind.

Weitere Informationen zu den hohen Datenschutzanforderungen eines KI-Einsatzes stellt die Datenschutzkonferenz auf ihrer Webseite in der KI-Orientierungshilfe, Stand 06.05.2024, unter folgendem Link zur Verfügung: https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf

Zudem können auch die jeweiligen Landesdatenschutzbehörden Informationen auf ihren Webseiten bereitstellen, wie beispielswiese der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (siehe unter: https://www.baden-wuerttemberg.datenschutz.de/rechtsgrundlagen-datenschutz-ki/) oder das Bayerische Landesamt für Datenschutzaufsicht (siehe unter https://www.lda.bayern.de/media/ki_checkliste.pdf).

Aus der EU-KI-Verordnung (EU) 2024/1689 ergeben sich sodann ab 02.08.2026 weitere Pflichten für KI-Betreiber. Für die Verwendung von KI-Telefonassistenten gilt dann beispielsweise die Pflicht, dass bereits zu Beginn des Gesprächs deutlich darüber informiert werden muss, dass die Kommunikation mit einer KI und keiner echten Person geführt wird. Folglich sollte bei einem zukünftig geplanten oder schon stattfindenden Einsatz eines KI-Telefonassistenten bereits jetzt geprüft werden, ob die sich aus der KI-Verordnung ergebenden Anforderungen erfüllt werden können.

Unabhängig vom Datenschutz kann nach Ansicht des Verfassers auch in haftungsrechtlicher Hinsicht eine sehr große Gefahrgeneigtheit gegeben sein, wenn der KI-Telefonassistent beispielsweise zur Beantwortung von FAQ zu medizinischen Fragestellungen eingesetzt wird.

Alles in allem ist der Einsatz eines KI-Telefonassistenten in einer Praxis aus rechtlicher Sicht folglich alles andere als unkritisch.

Heberer J: F+A KI-Telefonassistenz in der Praxis. 2025 November; 15(11): Artikel 04_07.