StartseiteRatgeber
Künstliche Intelligenz in der Zahnarztpraxis
Viele Praxen nutzen bereits KI. Wir erklären, welche Pflichten daraus entstehen und was Sie dokumentieren sollten.
KI steckt bereits in vielen Praxen: in der Befundungshilfe für Röntgenbilder, in Diktat- und Dokumentationsprogrammen und in allgemeinen Textwerkzeugen am Empfang.
Für die Pflichten kommt es darauf an, welches System Sie wofür einsetzen. Entscheidend sind Ihre Rolle, die Risikoklasse des Systems und die Frage, ob Patientendaten verarbeitet werden.
Was seit August 2026 gilt
Die KI-Verordnung ist die Verordnung (EU) 2024/1689. Die Verbote unzulässiger KI-Praktiken und die Vorgaben zur KI-Kompetenz gelten seit dem 2. Februar 2025. Viele weitere Regelungen gelten seit dem 2. August 2026.
Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 hat den Zeitplan für Hochrisiko-Systeme geändert. Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027. Für Hochrisiko-Systeme, die als Sicherheitsbauteil oder Produkt unter die Vorschriften des Anhangs I fallen, gilt der 2. August 2028. Dazu kann auch Medizinproduktesoftware gehören.
Anbieter und Betreiber müssen Maßnahmen zur Förderung von KI-Kompetenz ergreifen. Ein bestimmter Wissensstand jeder einzelnen Person wird nicht verlangt. Für eine Praxis kann eine kurze, dokumentierte Unterweisung genügen, wenn sie zu den eingesetzten Werkzeugen und ihren Risiken passt.
Ist Ihre Praxis Anbieter oder Betreiber?
Wenn Sie fertige Software einkaufen und nutzen, ist Ihre Praxis in der Regel Betreiberin. Zur Anbieterin wird sie, wenn sie ein System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt.
Diese Unterscheidung ist wichtig für Artikel 50. Die Hinweise bei einer direkten Interaktion mit KI und die maschinenlesbare Markierung künstlich erzeugter Inhalte richten sich in den Absätzen 1 und 2 an den Anbieter. Betreiberpflichten stehen unter anderem in den Absätzen 3 und 4, etwa für Emotionserkennung, biometrische Kategorisierung, Deepfakes und bestimmte veröffentlichte KI-Texte. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt für die maschinenlesbare Markierung des Anbieters eine Übergangsfrist bis zum 2. Dezember 2026. Daraus folgt keine allgemeine Kennzeichnungspflicht jeder Zahnarztpraxis.
Bei einem Hochrisiko-System treffen die Praxis als Betreiberin weitere Pflichten. Dazu gehören die Nutzung nach Betriebsanleitung, eine fachlich geeignete menschliche Aufsicht, geeignete Eingabedaten, soweit die Praxis darüber Kontrolle hat, die Überwachung des Betriebs und die Aufbewahrung automatisch erzeugter Protokolle für mindestens sechs Monate. Die Einstufung des konkreten Systems muss deshalb vor dem Einsatz geklärt sein.
KI bei der Röntgenbefundung
Diagnostikunterstützende Software muss als Medizinprodukt zugelassen sein. Ob sie zugleich ein Hochrisiko-KI-System ist, hängt von Artikel 6 der KI-Verordnung und der Medizinprodukteklasse ab.
Ein System fällt unter Artikel 6 Absatz 1, wenn es zu einem Produkt oder Sicherheitsbauteil nach Anhang I gehört und für dieses Produkt eine Konformitätsbewertung durch eine Benannte Stelle erforderlich ist. Die Medizinprodukteverordnung gehört zu diesen Vorschriften. Je nach Klasse ist eine Benannte Stelle an der Bewertung beteiligt. Medizinische KI ist daher nicht automatisch Hochrisiko-KI; die Einstufung muss für jedes Produkt geprüft werden.
Lassen Sie sich vom Hersteller drei Angaben schriftlich geben: die Medizinprodukteklasse, die beteiligte Benannte Stelle und die Betriebsanleitung. Daraus lässt sich ableiten, welche Betreiberpflichten gelten. Für Hochrisiko-Systeme nach Anhang I greift der neue Zeitplan ab dem 2. August 2028.
Diktat und automatische Dokumentation
Eine Diktiersoftware wandelt gesprochenen Text um. Eine KI-gestützte Gesprächsdokumentation nimmt zusätzlich das Behandler-Patienten-Gespräch auf und erstellt daraus einen Entwurf. Für Datenschutz und Praxisablauf macht dieser Unterschied viel aus.
Verarbeitet ein externer Dienst Patientendaten, brauchen Sie einen Auftragsverarbeitungsvertrag. Außerdem muss das Schutzniveau dem Risiko und dem Stand der Technik entsprechen. Für Cloud-Systeme mit Gesundheitsdaten gelten zusätzlich die Vorgaben des § 393 SGB V. Die Daten dürfen nur in den dort genannten Staaten verarbeitet werden und die datenverarbeitende Stelle muss eine Niederlassung in Deutschland haben. Seit dem 1. Juli 2025 ist grundsätzlich ein aktuelles C5-Testat vom Typ 2 erforderlich. Für neu eingeführte Systeme und gleichwertige Nachweise enthält das Gesetz Ausnahmen.
Fragen Sie den Anbieter nach dem Vertrag, dem Verarbeitungsort und dem C5-Nachweis. Die Aussage „DSGVO-konform“ auf einer Produktseite ersetzt diese Unterlagen nicht.
Wenn das Gespräch aufgezeichnet wird, ist vorher eine schriftliche Einwilligung des Patienten erforderlich. Der Ablauf am Behandlungsstuhl muss diese Einwilligung vor Beginn der Aufnahme vorsehen.
Der von der KI erzeugte Text bleibt ein Entwurf. Änderungen an der Behandlungsdokumentation müssen mit ursprünglichem Inhalt und Zeitpunkt nachvollziehbar bleiben. Das gilt ausdrücklich auch für elektronische Akten. Diese Funktion gehört zur Prüfung der Praxissoftware.
Ihr Ansprechpartner: Lukasz Lepiocha
Lukasz ist DEKRA-zertifizierter Datenschutzauditor und bei neuen Anfragen Ihr erster Ansprechpartner. Auch wenn eine E-Mail falsch verschickt wurde, ein Datenträger fehlt oder Post von der Aufsichtsbehörde kommt, erreichen Sie uns direkt.
Allgemeine Textwerkzeuge und Chatbots
Patientendaten gehören nicht in ein allgemeines KI-Werkzeug, wenn dafür kein passender Vertrag und keine zulässige Verarbeitung eingerichtet wurden.
Gesundheitsdaten fallen unter Artikel 9 DSGVO. Ihre Verarbeitung zu Behandlungszwecken kann über Artikel 9 Absatz 2 Buchstabe h in Verbindung mit Absatz 3 zulässig sein. Bei einem externen KI-Dienst ist zusätzlich ein Auftragsverarbeitungsvertrag erforderlich. Fehlt er, kann die Praxis weder verbindliche Weisungen erteilen noch Löschung und Nachweise so verlangen, wie Artikel 28 es vorsieht.
Für Cloud-Dienste mit Gesundheitsdaten gelten außerdem die Anforderungen an Verarbeitungsort und C5-Nachweis aus § 393 SGB V. Alter, Geschlecht und Diagnose können bereits zusammen ein personenbezogenes Gesundheitsdatum bilden. Ein allgemeines Textwerkzeug ist zudem keine zugelassene Diagnosesoftware.
Die Datenschutzkonferenz hat Orientierungshilfen zu KI und Datenschutz sowie zu technischen und organisatorischen Maßnahmen veröffentlicht. Bei besonderen Kategorien personenbezogener Daten muss die Rechtsgrundlage besonders sorgfältig geprüft werden. Die zahnärztliche Schweigepflicht gilt daneben weiter.
Ein Chatbot auf der Praxiswebsite gehört als eigene Verarbeitungstätigkeit in das Verzeichnis. Speichert er beim Aufruf Informationen im Endgerät oder greift darauf zu, kann zusätzlich eine Einwilligung nach § 25 Absatz 1 TDDDG erforderlich sein. Planen Sie bei jedem Freitextfeld damit, dass Patienten dort Symptome oder Diagnosen eingeben.
Was Sie jetzt erfassen sollten
Listen Sie alle eingesetzten Werkzeuge mit KI-Anteil auf, auch Funktionen innerhalb der Praxissoftware. Notieren Sie zu jedem Eintrag Anbieter, Zweck, Verarbeitungsort, Auftragsverarbeitungsvertrag und ob Patientendaten verarbeitet werden.
Ergänzen Sie die Risikoklasse und die Betriebsanleitung. Legen Sie anschließend fest, wer das Werkzeug nutzen darf, wer Ergebnisse prüft und welche Daten nicht eingegeben werden dürfen. Eine kurze Unterweisung des Teams dokumentiert zugleich Ihre Maßnahmen zur KI-Kompetenz.
Den größeren Rahmen finden Sie unter Datenschutz in der Zahnarztpraxis und Patientendaten in der Zahnarztpraxis.
Ratgeber für Zahnarztpraxen
Verständliche Antworten auf die Datenschutzfragen, die uns in Zahnarztpraxen regelmäßig begegnen.
Datenschutz in der Zahnarztpraxis
Ein verständlicher Überblick über die Datenschutzthemen, die im Praxisalltag wirklich eine Rolle spielen.
Weiterlesen02WhatsApp in der Zahnarztpraxis
WhatsApp ist schnell und bequem. Bei Patientendaten braucht Ihre Praxis trotzdem klare Regeln und sichere Alternativen.
Weiterlesen03Praxissoftware und Datenschutz
Wer darf auf welche Daten zugreifen? Was muss im Vertrag stehen? Und was passiert bei einem Softwarewechsel?
Weiterlesen04Telematikinfrastruktur und Datenschutz
Wir ordnen die Vorgaben zur Telematikinfrastruktur ein und zeigen, was davon für Zahnarztpraxen gilt.
Weiterlesen05Online-Terminbuchung und Praxiswebsite
Schon beim ersten Seitenaufruf können Daten an externe Dienste fließen. Wir zeigen, wo Sie genau hinsehen sollten.
Weiterlesen06Patientendaten in der Zahnarztpraxis
Patientenakten, Röntgenbilder und Abrechnungsunterlagen haben unterschiedliche Fristen. Ihr Löschkonzept muss sie auseinanderhalten.
WeiterlesenWas im kostenlosen Check passiert
Im Check erfassen wir Ihre KI-Werkzeuge und prüfen Verträge, Verarbeitungsorte und Zuständigkeiten.
In 45 Minuten sprechen wir über die wichtigsten Abläufe Ihrer Praxis: Anmeldung, Dokumentation, Kommunikation, Software und Abrechnung. Anschließend erhalten Sie unsere Einschätzung schriftlich.
Der Check ist kostenlos und unverbindlich. Danach wissen Sie, welche Punkte Sie selbst erledigen können und wobei Unterstützung sinnvoll wäre.
- Keine Vorbereitung nötig
- Schriftliche Zusammenfassung
- Persönlicher Ansprechpartner