Warum die Telematikinfrastruktur am Browserfenster endet
Auf einen Blick
Worum es geht: Ob ein Befund in ein KI-Werkzeug eingegeben werden darf, entscheidet sich nicht am Anbieter und nicht am Vertrag, sondern daran, wo der Klartext im Moment der Verarbeitung liegt.
Was Sie mitnehmen: Die drei Rechtsebenen, die hier unabhängig voneinander greifen. Warum Pseudonymisierung bei Gesundheitsdaten schwächer wirkt als anderswo. Vier Fragen, die Sie jedem Anbieter stellen können, bevor Sie unterschreiben.
Lesezeit: 14 Minuten.
⚖️ Dieser Beitrag ordnet technische Sachverhalte ein. Er stellt keine Rechtsberatung dar und ersetzt keine Auskunft Ihrer Landesärztekammer oder Ihres Justiziars.
Einstieg
Der Technikraum lag hinter der Anmeldung, zwischen einem Regal mit Ordnern und dem Kühlschrank für die Impfstoffe. Ein Rack, ein Switch, der Konnektor mit seiner grünen Leuchtdiode. Die Praxis hatte gerade die letzte Ausbaustufe hinter sich gebracht, mit allem, was dazugehört: Kartenterminals, Zertifikate, die Anbindung an die elektronische Patientenakte, ein Vertrag über die Wartung. Ein fünfstelliger Betrag über die Jahre, ein Ordner voller Dokumentation, zwei Fortbildungsnachmittage für das Team.
Die Praxisinhaberin führte mich durch das Setup und war zu Recht stolz darauf. Sie kannte die Anforderungen im Detail. Sie wusste, welches Zertifikat wofür da ist, und sie konnte erklären, warum ein Arztbrief über KIM anders läuft als eine E-Mail.
Später am Nachmittag saßen wir in ihrem Sprechzimmer. Zwischen zwei Patienten öffnete sie einen Browser-Tab, kopierte einen Befund aus der Praxissoftware hinein und ließ sich daraus einen Entlassbrief formulieren. Zwanzig Sekunden später stand ein sauber gegliederter Text auf dem Bildschirm. Sie las ihn gegen, korrigierte zwei Formulierungen und fügte ihn zurück in die Akte ein.
Sie hatte dabei kein schlechtes Gewissen, und ich glaube, sie hatte auch keinen Grund für eines. Der Vorgang fühlte sich an wie eine Rechtschreibprüfung. Der Rechner war derselbe, das Netz war dasselbe, das Kartenterminal blinkte weiter vor sich hin. Es war einfach nur ein Fenster mehr auf demselben Bildschirm.
Genau da liegt der Punkt, um den es in diesem Beitrag geht. Die gesamte Sicherheitsarchitektur, die eine Praxis über Jahre aufgebaut hat, schützt den Weg zwischen Praxen, Krankenkassen und Krankenhäusern. Sie schützt nicht den Weg aus dem Browserfenster heraus. Dieser zweite Weg ist niemandem zertifiziert worden, er taucht in keinem Ordner auf, und er ist trotzdem offen.
🟢 Orientierung
Was passiert eigentlich, wenn Sie einen Befund eingeben?
Ein Sprachmodell arbeitet nicht mit Ihrem Text als Ganzem. Es zerlegt ihn in kleine Einheiten, rechnet damit und setzt daraus die Antwort zusammen. Damit das funktioniert, muss der Text vollständig und unverschlüsselt im Arbeitsspeicher des rechnenden Systems liegen. Es gibt keinen Modus, in dem ein Modell einen Befund verarbeitet, ohne ihn zu kennen.
Solange dieser Arbeitsspeicher in Ihrer Praxis steht, ist das unproblematisch. Sobald er woanders steht, haben Sie den Befund dorthin gegeben. Verschlüsselung auf dem Transportweg ändert daran nichts, denn sie endet genau in dem Moment, in dem die Rechnung beginnt.
Das ist der ganze Kern. Alles Weitere in diesem Beitrag ist eine Ausfaltung dieses einen Satzes.
Warum die Telematikinfrastruktur hier nicht hilft
Die TI ist gut gebaut für das, wofür sie gebaut wurde. Sie sichert definierte Kanäle zwischen definierten Teilnehmern. Ein Arztbrief über KIM geht von einer identifizierten Praxis an einen identifizierten Empfänger, verschlüsselt, protokolliert, nachvollziehbar.
Ein Browserfenster ist kein TI-Teilnehmer. Wenn Sie Text aus der Praxissoftware herauskopieren, verlässt er den geschützten Bereich, bevor irgendein TI-Mechanismus greifen könnte. Die Zwischenablage Ihres Rechners kennt keine Berufsordnung.
Diese Lücke entsteht nicht aus einem Fehler in der TI. Sie entsteht daraus, dass zwei Systeme nebeneinander auf demselben Bildschirm laufen und der Mensch dazwischen sitzt. Wer über Jahre gelernt hat, dass sein Praxisnetz sicher ist, überträgt dieses Gefühl auf alles, was auf demselben Monitor erscheint. <!– GRAFIK 1: grafik-1-reichweite-telematikinfrastruktur.svg Alt-Text: Aus der Praxis führen zwei Wege heraus. Der obere Weg läuft über die gesicherten Kanäle der Telematikinfrastruktur zu anderen Praxen, Kassen und Kliniken. Der untere Weg führt über Zwischenablage und Browserfenster zu einem Anbieter im offenen Internet und wird von der Telematikinfrastruktur nicht erfasst. Bildunterschrift: Beide Wege beginnen am selben Bildschirm. Nur einer davon ist zertifiziert. –>
Muss ich mir Sorgen machen?
Nicht in dem Sinne, dass Sie ab morgen aufhören müssten, Software zu benutzen. Aber Sie sollten wissen, welche Vorgänge in welche Kategorie fallen.
Unkritisch ist alles, was keinen Fallbezug hat. Eine Leitlinie zusammenfassen lassen, sich einen Fachbegriff erklären lassen, einen Praxisaushang formulieren, eine Stellenanzeige entwerfen. Da liegt kein Patientengeheimnis vor.
Kritisch wird es, sobald der konkrete Fall in den Text kommt. Befund, Anamnese, Verlauf, Medikation, Arztbrief, Gutachten. Auch dann, wenn der Name gelöscht ist, und dazu gleich mehr.
🟡 Praxis
Drei Ebenen, die unabhängig voneinander greifen
Bei Ärzten liegen drei Regelwerke übereinander, und das unterscheidet Ihre Lage von der eines Steuerberaters oder Anwalts. Keine dieser Ebenen hebt die andere auf.
Erste Ebene: § 203 StGB. Die Verletzung von Privatgeheimnissen ist eine Straftat, kein Ordnungswidrigkeitentatbestand. Sie richtet sich gegen Sie persönlich, nicht gegen die Praxis als Organisation. Seit der Reform von 2017 erlaubt Absatz 3 ausdrücklich, mitwirkende Personen einzubeziehen, also etwa IT-Dienstleister. Diese Öffnung hat aber eine Bedingung, die im Gesetzestext steht: Sie dürfen nicht mehr offenbaren, als für die Mitwirkung erforderlich ist. Absatz 4 stellt die mitwirkende Person ihrerseits unter Strafe, wenn sie das Geheimnis weitergibt.
Zweite Ebene: das Berufsrecht. Die ärztliche Schweigepflicht steht in § 9 der Musterberufsordnung und wird über die Berufsordnungen der Landesärztekammern für Sie verbindlich. Sie ist älter als jedes Datenschutzrecht und funktioniert nach einer anderen Logik. Wo das Datenschutzrecht Abwägungen kennt, kennt die Schweigepflicht im Kern nur zwei Zustände.
Dritte Ebene: Artikel 9 DSGVO. Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit eng gefassten Ausnahmen. Was für Adressdaten noch mit einem berechtigten Interesse zu begründen wäre, braucht hier eine der ausdrücklich genannten Erlaubnisse.
Ein Auftragsverarbeitungsvertrag adressiert die dritte Ebene. Er adressiert die erste nicht, denn Strafrecht lässt sich nicht vertraglich abbedingen, und die zweite nur mittelbar. Wenn Ihnen ein Anbieter einen AV-Vertrag als abschließende Antwort auf die Schweigepflichtfrage anbietet, hat er die Frage nicht verstanden.
Warum der Name löschen nicht reicht
Bei einer Steuerakte funktioniert Pseudonymisierung halbwegs. Nehmen Sie Namen und Steuernummer heraus, und übrig bleiben Zahlenkolonnen, die auf viele Betriebe passen.
Bei einem Befund funktioniert das nicht auf dieselbe Weise, weil der Inhalt selbst identifiziert. Eine seltene Diagnose in einem Landkreis mit vierzigtausend Einwohnern zeigt auf eine überschaubare Zahl von Menschen. Ein Geburtsjahr im Fließtext, eine Berufsangabe in der Anamnese, ein Verlauf über drei Jahre mit Datumsangaben, eine Kombination aus zwei Nebendiagnosen: jedes dieser Merkmale verengt den Kreis, und gemeinsam verengen sie ihn oft auf eine Person.
Die DSGVO ist an dieser Stelle deutlich. Pseudonymisierte Daten bleiben personenbezogene Daten. Anonym ist ein Datensatz erst, wenn eine Zuordnung mit vernünftigem Aufwand nicht mehr möglich ist, und diesen Zustand erreichen Sie bei einem echten Befund praktisch nie, ohne den Befund unbrauchbar zu machen.
Dazu kommt ein praktisches Problem. Pseudonymisierung im Praxisalltag ist Handarbeit unter Zeitdruck. Es genügt ein Arztbrief, in dem der Name im dritten Absatz noch einmal auftaucht, weil dort die Vorbehandlung zitiert wird.
Der Datenweg im Bild
Vier Fragen an jeden Anbieter
Diese vier Fragen können Sie ohne technisches Vorwissen stellen. Sie zielen auf Tatsachen, nicht auf Zusagen, und ein Anbieter, der eine davon ausweichend beantwortet, hat Ihnen damit schon geantwortet.
Erstens: Auf welchem Rechner läuft das Modell, und wem gehört dieser Rechner? Nicht wo die Software installiert ist, sondern wo gerechnet wird. Diese beiden Orte fallen häufiger auseinander, als die Produktbeschreibung vermuten lässt.
Zweitens: Funktioniert das Werkzeug ohne Internetverbindung? Ziehen Sie das Netzwerkkabel und probieren Sie es aus. Diese Prüfung dauert eine Minute und ist durch kein Dokument zu ersetzen.
Drittens: Welche Unterauftragnehmer sind beteiligt, und in welchen Ländern sitzen sie? Ein deutscher Anbieter mit deutschem Impressum kann seine Rechenleistung bei einem Dritten einkaufen. Die Liste der Unterauftragnehmer steht im AV-Vertrag und ist oft die aufschlussreichste Seite darin.
Viertens: Wie lange werden Eingaben gespeichert, und wozu? Fragen Sie nach der Aufbewahrungsdauer für Eingaben, nach der Nutzung für Modelltraining und nach dem Zugriff durch Mitarbeiter des Anbieters zur Qualitätssicherung.
Aus der Praxis
Ein Gespräch, wie ich es mehrfach so oder ähnlich geführt habe. Die Praxis ist verallgemeinert.
Dr. F., Allgemeinmediziner, Einzelpraxis: Wir haben doch einen Auftragsverarbeitungsvertrag mit dem Anbieter. Mein Datenschutzbeauftragter hat den geprüft und freigegeben.
Franz-Martin: Dann ist die datenschutzrechtliche Seite geordnet. Die Frage, die der Vertrag nicht beantwortet, ist die strafrechtliche. § 203 richtet sich gegen Sie persönlich. Ein Vertrag regelt, was Ihr Vertragspartner tun darf und muss. Er regelt nicht, was eine ausländische Behörde von ihm verlangen kann.
Dr. F.: Der Anbieter sitzt in Frankfurt.
Franz-Martin: Dann schauen Sie in die Anlage mit den Unterauftragnehmern. Ich habe schon Verträge gesehen, bei denen der Vertragspartner in Frankfurt saß und die eigentliche Rechenleistung von einer Tochtergesellschaft eines amerikanischen Konzerns kam. Das steht dort drin, aber es steht auf Seite elf.
Dr. F.: Und wenn es so ist? Die haben doch kein Interesse an meinen Patienten.
Franz-Martin: Da haben Sie vermutlich recht. Nur ist das ein Argument über Absichten, und die Schweigepflicht fragt nicht nach Absichten. Sie fragt, ob Sie das Geheimnis offenbart haben. Wenn ein Befund im Klartext im Speicher eines fremden Rechners liegt, haben Sie ihn offenbart. Ob jemand hinschaut, ist eine zweite Frage.
Dr. F.: Dann darf ich also gar nichts mehr nutzen.
Franz-Martin: Doch. Sie müssen nur trennen. Alles ohne Fallbezug können Sie nutzen wie bisher. Für alles mit Fallbezug ist die Frage, ob die Rechnung in Ihrer Praxis stattfinden kann. Das geht heute mit normaler Hardware, und es kostet einmal Geld statt monatlich.
Dr. F.: Was heißt normale Hardware?
Franz-Martin: Ein Rechner in der Größenordnung eines guten Arbeitsplatzgeräts. Kein Serverraum, keine Klimaanlage. Das ist der Teil, der sich in den letzten zwei Jahren wirklich verändert hat.
🔵 Tiefe
Dieser Abschnitt richtet sich an IT-Verantwortliche und technisch interessierte Leserinnen und Leser. Für die Handlungsentscheidung ist er nicht nötig.
Warum Transportverschlüsselung strukturell nicht ausreicht
TLS sichert die Strecke zwischen zwei Endpunkten. Am Ziel wird entschlüsselt, weil sonst nicht gerechnet werden könnte. Ein Sprachmodell braucht die Eingabe als Zahlenfolge, die aus dem Klartext entsteht, und diese Umwandlung setzt den Klartext voraus.
Daraus folgt eine Unterscheidung, die im Berufsrecht selten explizit gemacht wird, weil sie technischer Natur ist. Verschlüsselung schützt gegen Mitlesen unterwegs. Sie schützt nicht gegen den Betreiber des Ziels. Wer über Verschlüsselung argumentiert, um die Frage nach dem Verarbeitungsort zu erledigen, verwechselt zwei verschiedene Schutzrichtungen.
Confidential Computing und seine Grenze
Es gibt Verfahren, die diese Lücke verkleinern. In einer Trusted Execution Environment liegt der Klartext in einem Speicherbereich, auf den auch der Betreiber der Maschine nicht ohne Weiteres zugreift. Das ist eine echte Verbesserung gegenüber gewöhnlicher Cloud-Verarbeitung.
Es bleibt aber ein Vertrauensargument. Sie vertrauen dem Hersteller des Prozessors, der Implementierung des Betreibers und der Korrektheit der Attestierung. Für die Schweigepflichtfrage macht das einen Unterschied im Grad, nicht in der Art. Der Befund verlässt weiterhin Ihr Haus, und die Frage, wessen Recht am Ort der Rechnung gilt, bleibt offen.
Die lokale Verarbeitung argumentiert anders. Sie fragt nicht, wem ich vertraue, sondern wen ich hier überhaupt fragen muss. Wenn niemand außer Ihnen beteiligt ist, entfällt die Vertrauensfrage, statt beantwortet zu werden.
Wo die Grenze zum Medizinprodukt liegt
Ein Punkt, den ich für unterschätzt halte. Software, die dazu bestimmt ist, Diagnosen zu stellen oder Therapieentscheidungen zu unterstützen, kann als Medizinprodukt nach der EU-Medizinprodukteverordnung einzustufen sein. Maßgeblich ist die Zweckbestimmung, die der Hersteller angibt.
Für Sie als Anwenderin oder Anwender hat das eine praktische Folge. Wenn ein Anbieter sein Werkzeug mit diagnostischen Fähigkeiten bewirbt, aber keine CE-Kennzeichnung als Medizinprodukt vorweisen kann, stimmt an einer der beiden Aussagen etwas nicht. Entweder ist die Werbung zu weit gefasst, oder die Konformitätsbewertung fehlt.
Deshalb achten seriöse Anbieter auf ihre Wortwahl. Rechercheunterstützung, Aufbereitung von Fachinformation, Formulierungshilfe für die Dokumentation: das sind andere Zweckbestimmungen als Befundung oder Ersteinschätzung. Diese Sprachdisziplin ist kein Marketing, sie ist die Zweckbestimmung selbst.
Ein Blick voraus auf die Haftung
Die neue Produkthaftungsrichtlinie der EU erfasst Software ausdrücklich als Produkt und wird ab Dezember 2026 wirksam. Damit verschiebt sich ein Teil der Beweislast in Richtung der Hersteller. Für Ihre Anbieterauswahl heißt das: Fragen, die heute unbequem wirken, werden in eineinhalb Jahren zum Standard gehören. Wer jetzt schon dokumentiert, welche Fragen er gestellt und welche Antworten er bekommen hat, steht später besser da.
Die Trennlinie im Alltag
Checkliste zum Mitnehmen
- Im Team klären, wer aktuell welches KI-Werkzeug wofür nutzt. Ohne Vorwurf, nur als Bestandsaufnahme.
- Die Vorgänge in zwei Gruppen sortieren: mit Fallbezug und ohne Fallbezug.
- Für jedes eingesetzte Werkzeug den Netzstecker-Test machen. Läuft es ohne Internet weiter?
- Die Anlage mit den Unterauftragnehmern im AV-Vertrag lesen. Alle Länder notieren, die dort vorkommen.
- Beim Anbieter schriftlich nach Speicherdauer, Trainingsnutzung und Mitarbeiterzugriff fragen. Die Antwort aufbewahren.
- Eine kurze schriftliche Regel für die Praxis festhalten, was eingegeben werden darf und was nicht. Eine Seite genügt.
- Bei Unsicherheit die Landesärztekammer fragen. Die Auskunft ist kostenfrei und Sie haben sie dann schriftlich.
Was bleibt
Erstens. Die entscheidende Frage lautet nicht, welchem Anbieter Sie trauen, sondern wo der Klartext im Moment der Rechnung liegt. Diese Frage hat eine Antwort, die man nachprüfen kann, und sie ändert sich nicht, wenn ein Vertrag neu verhandelt wird.
Zweitens. Bei Gesundheitsdaten trägt Pseudonymisierung weniger weit als in anderen Berufen, weil der Inhalt selbst identifiziert. Wer den Namen löscht und sich dadurch geschützt fühlt, hat das Risiko verschoben und nicht beseitigt.
Drittens. Die Telematikinfrastruktur endet am Browserfenster. Das ist kein Vorwurf an die TI, sondern eine Beschreibung ihrer Reichweite. Die Lücke schließt sich nicht von selbst, weil sie außerhalb dessen liegt, was jemand zertifiziert hat.
Häufige Fragen
Darf ich einen Befund in ChatGPT eingeben, wenn ich vorher den Namen entferne?
Der Personenbezug bleibt in aller Regel bestehen, weil Diagnose, Verlauf und Kontextangaben zusammen auf eine Person zeigen. Damit liegt weiterhin ein Gesundheitsdatum vor, und die Frage nach dem Verarbeitungsort stellt sich unverändert.
Reicht ein Auftragsverarbeitungsvertrag aus?
Er ist datenschutzrechtlich notwendig und deckt die dort geregelten Pflichten ab. Die strafbewehrte Schweigepflicht nach § 203 StGB ist damit nicht erledigt, weil Strafrecht sich nicht durch Vertrag abbedingen lässt. Prüfen Sie zusätzlich, wer als mitwirkende Person tatsächlich Kenntnis erlangt.
Der Anbieter sitzt in Deutschland. Ist das ausreichend?
Der Sitz des Vertragspartners und der Ort der Rechenleistung sind zwei verschiedene Dinge. Entscheidend ist, welche Unterauftragnehmer beteiligt sind und ob einer davon einer ausländischen Rechtsordnung unterliegt. Die Antwort steht in der Anlage zum Vertrag.
Hilft die Einwilligung des Patienten?
Sie kann rechtfertigend wirken, hat aber praktische Grenzen. Die Einwilligung muss informiert, freiwillig und jederzeit widerrufbar sein, und der Widerruf muss technisch umsetzbar bleiben. Bei einem Modell, das die Eingabe bereits verarbeitet hat, ist das schwer darstellbar. Für den Regelbetrieb ist die Einwilligung deshalb kein tragfähiges Fundament.
Was ist mit den KI-Funktionen in meiner Praxissoftware?
Dieselben Fragen, derselbe Weg. Ob eine Funktion innerhalb Ihrer gewohnten Oberfläche erscheint, sagt nichts darüber, wo sie rechnet. Fragen Sie den Hersteller schriftlich und heben Sie die Antwort auf.
Was kann lokale Verarbeitung nicht?
Diese Frage gehört dazu, und die ehrliche Antwort hat mehrere Teile. Lokal laufende Modelle sind kleiner als die großen Cloud-Modelle und schwächer bei langen Schlussketten. Sie kennen die Fachliteratur der letzten Monate nicht, wenn Sie sie nicht selbst zuführen. Sie halluzinieren weiterhin, denn das ist eine Eigenschaft der Modellklasse und nicht des Betriebsorts. Und die Wartung liegt bei Ihnen oder Ihrem Dienstleister, nicht beim Anbieter.
Lokale Verarbeitung beantwortet genau eine Frage, nämlich die nach dem Verarbeitungsort. Sie beantwortet nicht die Frage nach der Qualität der Antwort. Wer das eine für das andere hält, wird enttäuscht.
Weiterführende Ressourcen
Primärquellen
- § 203 StGB im Volltext: gesetze-im-internet.de/stgb/__203.html
- Musterberufsordnung für Ärztinnen und Ärzte, Bundesärztekammer: bundesaerztekammer.de
- Orientierungshilfe der Datenschutzkonferenz zu KI-Anwendungen: datenschutzkonferenz-online.de
Praktische Anlaufstellen
- Ihre Landesärztekammer, Abteilung Berufsrecht
- Die Kassenärztliche Vereinigung Ihres Bezirks
- gematik zu Fragen der Telematikinfrastruktur: gematik.de
Verwandte Beiträge auf fleet-data.de
- § 203 StGB und KI: die Grundlagen
- Steuerberater und KI: was die Verschwiegenheit verlangt
- Das Smartphone deines Berufsgeheimnisses
Zum Schluss
Die Praxisinhaberin aus dem Technikraum hat das Werkzeug nicht abgeschafft. Sie hat eine halbe Seite geschrieben, die im Teamordner liegt und regelt, was in welches Fenster darf. Für die Fälle mit Patientenbezug steht jetzt ein Rechner im Technikraum, neben dem Konnektor, mit demselben Kabel ins Netz und ohne Verbindung nach draußen.
Das war kein großer Umbau. Es war eine Entscheidung darüber, wo eine Grenze verläuft, und die Hardware kam danach.
Was mich an diesem Nachmittag beschäftigt hat, war etwas anderes. Diese Praxis hatte alles richtig gemacht, was ihr jemand aufgeschrieben hatte. Die Lücke lag genau dort, wo keine Vorschrift hinzeigte, weil sie außerhalb dessen lag, was jemand vorgesehen hatte. Das ist die Stelle, an der Architekturfragen anfangen: nicht bei dem, was geregelt ist, sondern bei dem, was durch die Regelung hindurchfällt.
Franz-Martin Herstell ist Gründer und CTO der Fleet Data & System Consulting UG (haftungsbeschränkt) und seit über vier Jahrzehnten in der Software-Entwicklung. Er schreibt auf fleet-data.de über Sicherheit, Architektur und die Frage, was zivile Werkzeuge können müssen, um zu halten. Kontakt: kontakt@fleet-data.de
© 2026 Fleet Data & System Consulting UG (haftungsbeschränkt) | fleet-data.de Dieser Beitrag stellt keine Rechts- oder Medizinberatung dar.