Erste Abmahnung wegen KI ohne AVV – was Praxen jetzt wissen müssen

Ein medizinisches Versorgungszentrum in Mittelfranken nutzte ein KI-Diktat-Tool – praktisch, zeitsparend, effizient. Doch im April 2026 flatterte die Abmahnung der Bayerischen Landesärztekammer ins Haus. Der Grund: kein Auftragsverarbeitungsvertrag, Patientendaten in den USA, keine Schweigepflicht-Verpflichtung des Anbieters. Wenige Wochen zuvor hatte die Bayerische Landesanstalt für Datenschutzaufsicht einen vergleichbaren Fall an die Staatsanwaltschaft übergeben. Was nach einem bürokratischen Detail klingt, kann strafrechtliche Konsequenzen haben – und zeigt, wie ernst es mittlerweile um KI-Compliance in Arztpraxen steht.

Drei Rechtsebenen, die du kennen musst

DSGVO und ärztliche Schweigepflicht: Die Basis

Wer KI-Tools mit Patientendaten nutzt, bewegt sich nicht nur im Datenschutzrecht, sondern auch im Strafrecht. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist Pflicht, sobald ein externer Dienstleister Patientendaten verarbeitet. Dazu kommt die Schweigepflicht-Verpflichtung des Anbieters nach § 9 MBO-Ä – eine berufsrechtliche Anforderung, die viele übersehen.

Tools wie ChatGPT Free/Plus oder die Gemini App ohne AVV? Tabu. Wer hier Patientendaten eingibt, riskiert einen Verstoß gegen die DSGVO, die Musterberufsordnung und potenziell § 203 StGB – die Verletzung von Privatgeheimnissen. Das ist kein Kavaliersdelikt, sondern ein Straftatbestand.

Zusätzlich ist bei KI-Systemen, die Patientendaten verarbeiten, eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO verpflichtend. Klingt bürokratisch, ist aber der zentrale Schutzmechanismus, um Risiken frühzeitig zu erkennen.

EU AI Act: Die KI-Kompetenzpflicht gilt jetzt

Seit dem 2. Februar 2025 ist die KI-Kompetenzpflicht nach Art. 4 des EU AI Act in Kraft – und zwar für alle, die KI nutzen. Das betrifft nicht nur Ärztinnen und Ärzte, sondern das gesamte Praxisteam: MFAs, ZFAs, Verwaltungskräfte. Jede Person, die mit KI arbeitet, muss ausreichend geschult sein – und diese Schulung muss dokumentiert werden.

Viele Praxen wissen das noch nicht. Dabei ist die Regelung bereits bindend, unabhängig davon, ob es sich um ein Hochrisiko-System handelt oder nicht.

Ab August 2026: Betreiberpflichten für Hochrisiko-KI

Am 2. August 2026 treten die Betreiberpflichten nach Art. 26 EU AI Act in Kraft – für alle, die Hochrisiko-KI-Systeme im Sinne von Anhang III einsetzen. Arztpraxen und MVZ, die solche Systeme nutzen, gelten rechtlich als Betreiber (Deployers).

Das bedeutet konkret:

• KI-Literacy: Dein Team muss verstehen, wie die KI funktioniert und welche Grenzen sie hat.
• Human Oversight: Entscheidungen der KI müssen durch Menschen überprüfbar bleiben.
• Eingabedaten-Relevanzprüfung: Sind die Daten, die du der KI gibst, überhaupt geeignet?
• Kontinuierliche Überwachung: Du musst die KI im laufenden Betrieb beobachten – und Vorfälle melden.
• Protokollierung: Mindestens sechs Monate lang müssen KI-Aktivitäten nachvollziehbar sein.
• Information: Beschäftigte und Patienten müssen wissen, dass KI im Einsatz ist.

Wer diese Pflichten ignoriert, riskiert Bußgelder von bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes nach Art. 99 AI Act – zusätzlich zu arzthaftungsrechtlichen Folgen nach § 630a BGB und berufsrechtlichen Maßnahmen.

Typische Irrtümer, die teuer werden können

„Wenn ich kein Medizinprodukt nutze, betrifft mich der EU AI Act nicht."
Falsch. Die KI-Kompetenzpflicht gilt seit Februar 2025 für jede Form von KI-Nutzung – auch für Chatbots, Diktat-Tools oder Terminplanungs-Software.

„Mein KI-Tool ist in der Cloud, also bin ich nicht verantwortlich."
Falsch. Als Betreiber bist du für die rechtmäßige Nutzung verantwortlich – nicht der Anbieter.

„Ein AVV ist nur was für große Unternehmen."
Falsch. Auch Einzelpraxen brauchen einen AVV, sobald sie Patientendaten über ein externes Tool verarbeiten lassen.

„ChatGPT ist frei verfügbar, also darf ich es auch in der Praxis nutzen."
Falsch. Frei verfügbar heißt nicht DSGVO-konform. Ohne AVV und mit Datenverarbeitung in den USA kann die Nutzung mit Patientendaten strafrechtlich relevant sein.

„KI ersetzt meine MFAs."
Nein. KI übernimmt repetitive Aufgaben wie Telefondienst oder Dokumentation, damit Fachkräfte das tun können, wofür sie ausgebildet sind.

Drei Compliance-Basics, die jede Praxis jetzt braucht

1. Liste aller eingesetzten KI-Tools

Schreib auf, welche KI-Systeme du nutzt: Zweck, Anbieter, Status des AVV. Klingt banal, ist aber der erste Schritt zu Transparenz und Kontrolle.

2. Aktualisierte Datenschutzerklärung und Patienteneinwilligung

Wenn KI Patientendaten verarbeitet, muss das dokumentiert und kommuniziert werden – rechtssicher und verständlich.

3. Dokumentiertes Schulungskonzept für das gesamte Team

Die KI-Kompetenzpflicht ist keine Empfehlung, sondern Gesetz. Schulungen müssen stattfinden, nachvollziehbar sein und regelmäßig aktualisiert werden.

Was DSGVO-konforme KI bedeutet – und warum sie sich lohnt

Der Abmahnungsfall aus Mittelfranken zeigt: Wer KI einführt, ohne den rechtlichen Rahmen zu kennen, riskiert mehr als ein Bußgeld. Gleichzeitig gibt es auch Gegenbeispiele – KI-Lösungen, die von Grund auf DSGVO-konform gebaut sind: Server in Deutschland, AVV inklusive, keine Patientendaten in den USA.

Entscheidend ist nicht, ob du KI nutzt, sondern wie. Und ob dein Team die Kapazität hat, KI verantwortungsvoll einzusetzen. Wer sein Team vom Telefon entlastet, schafft genau die Ressourcen, die es für Schulungen, Dokumentation und die Umsetzung der neuen Betreiberpflichten braucht.

Fazit: KI ist kein Hype mehr – sie ist Alltag und Verantwortung

KI in der Arztpraxis ist längst Realität. Die Frage ist nicht, ob du sie nutzt, sondern ob du die rechtlichen Rahmenbedingungen kennst und umsetzt. Ein fehlendes Dokument, eine fehlende Schulung, ein Serverstandort in den USA – das reicht für eine Abmahnung, ein Bußgeld oder sogar ein Strafverfahren.

Die gute Nachricht: KI-Compliance ist kein Hexenwerk. Sie braucht Klarheit, Struktur und die Bereitschaft, hinzuschauen. Wenn du dir unsicher bist, ob dein aktuelles Setup rechtssicher ist, lohnt sich ein unverbindliches Erstgespräch mit KINAQ Solutions – um die individuelle Situation zu klären und auf der sicheren Seite zu sein. Denn echte Entlastung beginnt mit echter Sicherheit.

Dieser Beitrag stellt keine Rechtsberatung dar und basiert auf dem Sachstand vom Juni 2026.