Datenschutz und Sicherheit
Datenschutz und Schweigepflicht am Praxistelefon.
Für Praxisinhaberinnen, Praxisinhaber und ihre Datenschutzbeauftragten: welche Daten Praxis-Empfang verarbeitet, wo, wie lange, mit welchen Verträgen, und was noch offen ist.
Die Unterlagen schicke ich Ihnen und Ihrer oder Ihrem Datenschutzbeauftragten gern vorab: hello@tristankennedy.de
Noch offen: die anwaltliche Prüfung der Unterlagen, die Verträge für das Telefon und schriftliche Antworten von Google zu Vertex AI. Was noch offen ist
Der KI-Hinweis
Seit dem 2. August 2026 müssen Menschen erfahren, dass sie mit einer KI sprechen (Art. 50 KI-Verordnung). Praxis-Empfang sagt es in jedem Gespräch, mit festen Texten. Ihre Praxis kann sie weder abschalten noch ändern.
Im Chat, dauerhaft über dem Gespräch
„KI-Assistent der Praxis [Name Ihrer Praxis] – kein Mensch, keine medizinische Beratung“
Erste Nachricht im Chat
„Hallo, ich bin der digitale Assistent der Praxis [Name Ihrer Praxis] – eine KI, kein Mensch. Ich beantworte Fragen zur Praxis und nehme Termin-, Absage- und Rückrufwünsche auf; medizinisch beraten kann ich nicht. Im Notfall: 112.“
Am Telefon, vor allem anderen und nicht unterbrechbar
„Guten Tag, Sie sind mit dem KI-Assistenten der Praxis [Name Ihrer Praxis] verbunden – ich bin eine künstliche Intelligenz, kein Mensch. Ihr Gespräch wird zur Bearbeitung Ihres Anliegens automatisch verschriftlicht; eine Tonaufnahme wird nicht gespeichert, und im Notfall legen Sie bitte auf und wählen die 112.“
Auf die Frage, ob eine KI antwortet
„Ja, ich bin eine KI. Möchten Sie lieber einen Rückruf vom Praxisteam?“
Keine Tonaufnahme
Am Telefon wandelt die Sprachverarbeitung Gesprochenes live in Text um. Gespeichert wird nur dieser Text, nie der Ton.
Die Ansage kommt, bevor Gesprochenes verarbeitet wird, und sagt genau das. Sie lässt sich nicht überspringen. Wer lieber mit einem Menschen spricht, sagt „Rückruf“ und hinterlässt eine Rückrufbitte für Ihr Team.
Das Telefon ist in der Beta. Mit echten Anrufen startet es erst nach der Freigabe, siehe Was noch offen ist.
Nur, was für den Termin nötig ist
Praxis-Empfang fragt nur, was Ihr Team für die Terminplanung braucht: Name, Kontakt, Erreichbarkeit, Versicherungsart und die Angaben der Verordnung wie Heilmittel, Anzahl, Ausstellungsdatum, „dringlich“ angekreuzt und Hausbesuch.
Nie erfragt und nie Teil eines Anliegens: Diagnose, ICD-10-Code, Leitsymptomatik, Befunde, Versichertennummer, Zuzahlungsstatus und Fotos der Verordnung. Nennt jemand trotzdem eine Diagnose, sagt Praxis-Empfang, dass es sie nicht braucht. Im Gesprächstext steht sie dann bis zu dessen Löschung.
Schon eine Terminanfrage bei einer Heilmittelpraxis ist ein Gesundheitsdatum. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 9 Abs. 2 lit. h und Abs. 3 DSGVO sowie § 22 Abs. 1 Nr. 1 lit. b BDSG. Eine Einwilligung braucht es für die Anfrage selbst nicht (Positionspapier der Datenschutzkonferenz zur Terminverwaltung vom 16. Juni 2025).
Wo die Daten verarbeitet werden
Server in Deutschland
Anwendung und Datenbank laufen auf Servern der Hetzner Online GmbH in Deutschland. Die nächtlichen Datensicherungen sind verschlüsselt und liegen ebenfalls in Deutschland.
KI in der EU
Die Antworten erzeugt das KI-Modell Claude von Anthropic über Google Cloud Vertex AI in der Region eu, also nur in Mitgliedstaaten der EU. Die Protokollierung von Anfragen und Antworten in Vertex AI ist abgeschaltet. Nach den Bedingungen von Google Cloud werden die Daten nicht zum Training von KI-Modellen verwendet.
E-Mails ohne Patientendaten
Benachrichtigungen an Ihr Team und Anmeldelinks verschickt Resend. Resend speichert in den USA. Deshalb enthalten diese E-Mails nur die Art des Anliegens, ob es bald fällig ist, und einen Link ins Postfach, nie Namen, Nummern oder Angaben zur Verordnung.
Telefon (Beta)
Mit echten Anrufen erst nach der Freigabe: ElevenLabs verarbeitet die Sprache in einem Arbeitsbereich in der EU ohne Speicherung (Zero Retention), Twilio verbindet die Anrufe über Irland, ohne Aufnahme und ohne Transkription bei Twilio.
Verträge und Schweigepflicht
Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO, mit drei Anlagen: technische und organisatorische Maßnahmen (TOMs), die Liste der Unterauftragsverarbeiter und die Vereinbarung zur Verschwiegenheit. Textform genügt, etwa per E-Mail.
Vereinbarung nach § 203 StGB
Physiotherapie, Ergotherapie und Logopädie sind Heilberufe mit Schweigepflicht. Schon eine Terminanfrage kann ein Patientengeheimnis sein. Die Vereinbarung verpflichtet mich zur Geheimhaltung und gibt die Pflicht an Beschäftigte und Unterauftragnehmer weiter.
Keine eigenen Zwecke
Ich verarbeite die Daten nur für Ihre Praxis: nicht für Werbung, nicht zum Training von KI-Modellen und nicht zur Weitergabe an Dritte.
Meldung und Änderungen
Eine Verletzung des Datenschutzes melde ich Ihnen spätestens 24 Stunden, nachdem ich davon erfahre. Neue Unterauftragsverarbeiter kündige ich vorher an, und Sie können widersprechen.
Datenschutz-Folgenabschätzung und Datenschutzbeauftragte
Die Datenschutz-Folgenabschätzung (DSFA) führt Ihre Praxis als Verantwortliche durch. Sie ist hier Pflicht: Die Liste der Datenschutzkonferenz, für welche Verarbeitungen eine DSFA durchzuführen ist, nennt unter Nr. 11 den „Kundensupport mittels künstlicher Intelligenz“, und es geht um Gesundheitsdaten unter Schweigepflicht.
Sie bekommen eine Vorlage, in der Beschreibung, Datenflüsse, Risiken und Maßnahmen für Praxis-Empfang schon stehen. Ihre Praxis ergänzt die eigene Situation und bewertet die Risiken selbst. Ich unterstütze Sie dabei mit allen Angaben zum Dienst.
Zur Frage der Datenschutzbeauftragten: Nach § 38 Abs. 1 Satz 1 BDSG benennt eine Praxis eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Nach Satz 2 gilt die Pflicht unabhängig von dieser Zahl, wenn eine Praxis Verarbeitungen vornimmt, die einer DSFA unterliegen. Das kann also auch eine kleine Praxis betreffen, die Praxis-Empfang einführt.
Ob und wie das Ihre Praxis betrifft, klären Sie mit Ihrer oder Ihrem eigenen Datenschutzbeauftragten oder Ihrer Rechtsberatung. Ihre Datenschutzberatung beauftragen Sie unabhängig von mir; ich gebe Ihnen dafür alle Unterlagen.
Aufbewahrung und Löschung
Die Löschung läuft jede Nacht automatisch. Einzelne Anliegen kann Ihr Team jederzeit selbst löschen.
| Daten | Gelöscht |
|---|---|
| Tonaufnahmen | werden nie gespeichert |
| Gesprächstexte | nach 14 Tagen; Ihre Praxis kann 0 bis 30 Tage einstellen, bei 0 in der Nacht nach dem Gespräch |
| Anliegen mit Angaben zur Verordnung | 30 Tage, nachdem Ihr Team sie als erledigt markiert hat |
| Abgebrochene Entwürfe ohne Namen oder Kontakt | am Ende des Gesprächs |
| Benachrichtigungs-E-Mails im Ausgang | 30 Tage nach dem Versand |
| Audit-Protokoll | nach einem Jahr |
| Verschlüsselte Datensicherungen | nach 30 Tagen |
| Anonyme Zähler und Fragen für den Monatsbericht | bleiben, ohne Bezug zu Personen |
Nach dem Ende des Vertrags bekommen Sie auf Wunsch innerhalb von 14 Tagen einen Export Ihrer Anliegen. Danach lösche ich alle Daten Ihrer Praxis innerhalb von 30 Tagen. Aus den verschlüsselten Datensicherungen verschwinden sie spätestens 30 Tage später.
Unterauftragsverarbeiter
Diese Dienste setze ich für Praxis-Empfang ein. Die Liste ist Anlage 2 des Auftragsverarbeitungsvertrags; die genauen Vertragspartner gleiche ich vor der Unterzeichnung mit den aktuellen Verträgen der Anbieter ab.
Hetzner Online GmbH
Gunzenhausen, Deutschland
- Aufgabe
- Server für Anwendung und Datenbank, verschlüsselte Datensicherungen
- Ort
- Deutschland
- Patientendaten
- ja
Google Cloud EMEA Limited
Irland
- Aufgabe
- Vertex AI mit dem KI-Modell Claude von Anthropic: Antworten erzeugen, Anliegen ordnen
- Ort
- Region eu, nur Mitgliedstaaten der EU
- Patientendaten
- ja, Gesprächsinhalte und Praxisangaben
- erst nach Freigabe (Beta)
ElevenLabs
- Aufgabe
- Telefon: Spracherkennung, Sprachausgabe und Gesprächssteuerung
- Ort
- Arbeitsbereich in der EU, ohne Speicherung
- Patientendaten
- ja, gesprochene Inhalte und Rufnummer
- erst nach Freigabe (Beta)
Twilio
- Aufgabe
- Telefonnummer und Weiterleitung der Anrufe
- Ort
- Verbindung über Irland
- Patientendaten
- ja, Rufnummern und Verbindungsdaten
Resend
- Aufgabe
- Benachrichtigungs-E-Mails und Anmeldelinks
- Ort
- Versand über die EU, Speicherung in den USA (Standardvertragsklauseln und EU-US Data Privacy Framework)
- Patientendaten
- nein
Zugriff und Sicherheit
- Anmeldung nur mit einem Link und einem Zwei-Faktor-Code aus einer Authenticator-App.
- Jedes Öffnen eines Anliegens steht im Audit-Protokoll, ebenso jeder Zugriff des Betreibers.
- Jede Praxis sieht nur ihre eigenen Daten. Das prüft die Anwendung und zusätzlich die Datenbank.
- Verschlüsselte Verbindungen und verschlüsselte Datensicherungen.
- Das Chat-Fenster setzt keine Cookies und nutzt keine Analyse- oder Tracking-Werkzeuge.
Was Praxis-Empfang nicht tut
Praxis-Empfang ist Verwaltungssoftware für den Empfang. So beschreibt es die Zweckbestimmung, die Sie mit den Unterlagen bekommen. Deshalb gilt:
- Es fragt nicht nach Beschwerden, Schmerzen oder Warnzeichen und bewertet sie nicht.
- Es schlägt keine Heilmittel, Häufigkeit oder Übungen vor, auch nicht bei einer Blankoverordnung.
- Es sortiert nichts nach medizinischer Dringlichkeit. Fällig ist ein Anliegen nur wegen einer Frist, einer kurzfristigen Absage oder des Wunsches „so bald wie möglich“.
- Es rät nicht, ob jemand zur Ärztin, zum Arzt oder ins Krankenhaus gehen soll.
- Es entscheidet nicht, ob ein Notfall vorliegt. Alle bekommen denselben festen Hinweis auf 112 und 116117.
Was noch offen ist
Praxis-Empfang ist in der Pilotphase. Diese Punkte sind noch nicht erledigt, und ich sage Ihnen offen, woran sie hängen.
Anwaltliche Prüfung
Auftragsverarbeitungsvertrag, TOMs, Liste der Unterauftragsverarbeiter, Vereinbarung nach § 203 StGB und DSFA-Vorlage sind Entwürfe. Eine Anwältin oder ein Anwalt prüft sie. Sie unterschreiben nur die geprüfte Fassung.
Telefon erst nach den EU-Verträgen
Echte Anrufe nimmt Praxis-Empfang erst an, wenn die Verträge mit ElevenLabs (Arbeitsbereich in der EU ohne Speicherung) und Twilio (Verbindung über Irland, ohne Aufnahme) stehen und ihre offenen Fragen schriftlich beantwortet sind: Vertragspartner, Zugriffe aus Drittländern, § 203 StGB und welche Verbindungsdaten gespeichert werden. Bis dahin ist das Telefon eine Demo mit erfundenen Daten, und Pilotpraxen starten mit dem Chat.
Schriftliche Antworten von Google
Echte Patientendaten im Chat erst, wenn Google fünf Fragen zu Vertex AI schriftlich beantwortet hat: die Rolle von Anthropic, die Missbrauchserkennung, der Ausschluss des Trainings, die Verarbeitung nur in der Region eu und mögliche Zugriffe von außerhalb der EU. Die Antworten kommen in die DSFA-Vorlage und in Ihren Datenschutzhinweis.
Wege aus der EU benennen
Wo die Antworten der Anbieter einen Weg aus der EU offenlassen, etwa bei Support-Zugriffen oder Verbindungsdaten am Telefon, nennen DSFA-Vorlage und Datenschutzhinweis ihn mit seiner Absicherung.
Die Unterlagen
Das bekommt jede Praxis, als Entwurf schon vor dem Vertrag:
- Zweckbestimmung: was Praxis-Empfang tut und nicht tut
- Auftragsverarbeitungsvertrag mit TOMs, Liste der Unterauftragsverarbeiter und Vereinbarung nach § 203 StGB
- Vorlage für die Datenschutz-Folgenabschätzung, für Praxis-Empfang vorausgefüllt
- Baustein für die Datenschutzerklärung Ihrer Website
- Informationen zur Barrierefreiheit des Chats nach dem Barrierefreiheitsstärkungsgesetz
- Checkliste für die Einführung, von den Verträgen bis zum Testlauf