Ärztliche Schweigepflicht (§ 203 StGB)
Recht & Pflicht
Seit der Neufassung des § 203 StGB 2017 reicht ein AVV allein nicht mehr aus
Externe IT-, Cloud- und KI-Anbieter müssen zusätzlich zum Auftragsverarbeitungsvertrag schriftlich auf die Schweigepflicht verpflichtet werden. Die Pflicht gilt zeitlich unbegrenzt.
- Der Täterkreis ist abschließend: Heilberufler mit staatlich geregelter Ausbildung sowie deren berufsmäßige Gehilfen
- Externe IT-, Cloud- und KI-Anbieter müssen als sonstige mitwirkende Person wirksam eingebunden werden, sonst macht sich der Behandler selbst strafbar
- Die Schweigepflicht gilt zeitlich unbegrenzt, auch über Behandlungsende und Tod hinaus
- Strafrahmen: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, bei Entgelt- oder Bereicherungsabsicht bis zu zwei Jahre
Ein einzelner Prompt mit Klardaten in einem offenen KI-Tool kann bereits eine vollendete Straftat sein. § 203 StGB ist eigenständiges Strafrecht, kein Datenschutzrecht: Ein DSGVO-konformer Auftragsverarbeitungsvertrag heilt einen Verstoß gegen die Schweigepflicht nicht, beide Regelwerke gelten parallel und brauchen jeweils eigene Vereinbarungen.
Was die Schweigepflicht für Praxis-Websites und den Praxisalltag bedeutet
§ 203 StGB stellt das unbefugte Offenbaren eines Patientengeheimnisses unter Strafe. Der Täterkreis ist abschließend: Angehörige eines Heilberufs mit staatlich geregelter Ausbildung sowie deren berufsmäßige Gehilfen. Seit der Reform 2017 dürfen Berufsgeheimnisträger externe Dienstleister als sonstige mitwirkende Person einbinden, etwa IT-Dienstleister, Cloud-Anbieter oder KI-Tool-Anbieter, aber nur, wenn diese schriftlich zur Geheimhaltung verpflichtet und über die Strafbarkeit eines Verstoßes belehrt werden.
Unterlässt der Behandler diese Verpflichtung, macht er sich selbst strafbar, auch wenn tatsächlich keine Daten abfließen. Ein US-Cloud-KI-Anbieter mit eigenen Zugriffsrechten und Trainingsinteressen erfüllt die enge Konstruktion der mitwirkenden Person typischerweise nicht.
Warum Strafrecht und Datenschutzrecht getrennt zu behandeln sind
Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und die Verpflichtung nach § 203 StGB schützen unterschiedliche Rechtsgüter und laufen parallel. Der AVV regelt die datenschutzrechtlich zulässige Verarbeitung, die § 203-Verpflichtung schützt das persönliche Vertrauensverhältnis zwischen Behandler und Patient. Für jeden externen Dienstleister mit Zugang zu Patientendaten braucht es deshalb beide Dokumente, ein AVV allein genügt nicht. Die Pflicht gilt zudem zeitlich unbegrenzt, auch über das Behandlungsende und den Tod des Patienten hinaus.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen bei der Schweigepflicht im Praxisalltag am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Ein einzelner Prompt mit Klardaten kann bereits eine vollendete Straftat sein.
Hilft Eine datenschutzkonforme, vertraglich abgesicherte KI-Lösung mit EU-Hosting, Zero Data Retention und § 203-Verpflichtung, oder konsequente Anonymisierung vor jedem Prompt.
Stolperfalle Eine MFA kopiert Befund, Name und Geburtsdatum in die Standard-Version eines offenen KI-Tools, um schnell einen Arztbrief zu erstellen. Der Tatbestand ist erfüllt, sobald die Daten auf dem Server des Anbieters liegen.
Ein AVV allein reicht strafrechtlich nicht aus.
Hilft Der Anbieter ist als mitwirkende Person wirksam eingebunden: schriftliche Geheimhaltungsverpflichtung, Strafbelehrung, dokumentierte Auswahlentscheidung, EU-Serverstandort.
Stolperfalle Patientendaten liegen bei einem Cloud-Anbieter, mit dem nur ein AVV besteht, aber keine schriftliche § 203-Verpflichtung mit Strafbelehrung.
Bereits die Zuordenbarkeit macht eine Falldarstellung zur Offenbarung.
Hilft Nur vollständig nicht rückführbare Falldarstellungen, bei erkennbaren Patienten ausdrückliche, schriftliche und widerrufbare Einwilligung.
Stolperfalle Ein Patientenfall wird auf Social Media erwähnt, auch angeblich anonymisiert, aber durch Diagnose, Zeitpunkt und Ort bleibt eine Zuordnung möglich.
Auch Personal ohne Heilberuf braucht eine dokumentierte Belehrung.
Hilft Alle Personen mit Datenzugang werden schriftlich auf die Verschwiegenheit verpflichtet und belehrt, Nachweise werden aufbewahrt.
Stolperfalle Empfangskraft oder IT-Azubi haben Zugang zu Patientendaten, ohne dass je eine dokumentierte Verschwiegenheitsverpflichtung stattgefunden hat.
Wie ist Ihr Stand einzuordnen?
Der Zustand der Schweigepflicht-Absicherung einer Praxis liegt selten bei null oder hundert.
Wählen Sie die Lage, die auf Sie zutrifft
Zeitleiste
Wie sich die Schweigepflicht entwickelt hat
Von der ersten Strafbewehrung bis zur aktuellen Einordnung im KI-Kontext.
- 1871
Erstmalige Strafbewehrung
Mit dem Reichsstrafgesetzbuch wird die Verletzung der beruflichen Schweigepflicht erstmals strafrechtlich verankert.
- 1975
Heutige Struktur
Die große Strafrechtsreform gibt der Norm im Wesentlichen ihre heutige Struktur als § 203 StGB.
- 9. November 2017
Neufassung für Mitwirkung Dritter
Die Neufassung ermöglicht erstmals die rechtssichere Einbindung externer IT- und Cloud-Dienstleister als sonstige mitwirkende Person.
- 1. Oktober 2025
BÄK/KBV-Hinweise zum KI-Kontext
Bundesärztekammer und KBV aktualisieren ihre Hinweise zur Schweigepflicht im Kontext digitaler und KI-gestützter Systeme.
Was jetzt zu tun ist
Sinnvoll ist eine Inventur aller externen Tools, Anbieter und Personen, die mit Patientendaten in Berührung kommen, von der PVS-Wartung über Cloud-Backup bis zu KI-Tools. Für jeden Dienstleister sollten zwei Dokumente vorliegen: der Auftragsverarbeitungsvertrag und eine gesonderte § 203-Geheimhaltungsvereinbarung mit Strafbelehrung.
Alle Mitarbeitenden ohne Heilberuf sollten schriftlich auf die Verschwiegenheit verpflichtet und belehrt werden, mit Nachweis. Für KI-Tools gilt: nur Lösungen mit EU-Hosting, AVV, Zero Data Retention und vertraglicher § 203-Verpflichtung nutzen, oder konsequent anonymisieren.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft Ihre Website auch auf Schweigepflicht-relevante externe Dienste, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.