Recht 02.09.2026
DSGVO und KI in der Zahnarztpraxis: so werden sie rechtssicher eingesetzt
share
Für Zahnärztinnen und Zahnärzte sowie das gesamte Praxisteam heißt das ganz konkret: Sobald KI für Terminmanagement, Unterstützung bei der Abrechnung, zur Auswertung von Röntgenbildern oder für die Patientenkommunikation eingesetzt wird, erfolgt in der Regel eine Verarbeitung personenbezogener – oft sogar besonders sensibler – Gesundheitsdaten.
Die DSGVO ist seit 2018 der zentrale Rechtsrahmen für den Umgang mit personenbezogenen Daten in der EU. Und auch wenn sie ursprünglich nicht speziell für den Einsatz von KI konzipiert wurde, gilt sie uneingeschränkt für alle KI-Anwendungen, sobald personenbezogene Daten verarbeitet werden. Seit 2024 kommt mit der KI-Verordnung (Verordnung (EU) 2024/1689, „KI-VO“ / „AI Act“) ein eigenes, zusätzliches Regelwerk hinzu. DSGVO und KI-VO gelten parallel – die eine schützt personenbezogene Daten, die andere regelt das KI-System selbst.
Für die Praxis bedeutet das:
Bei jeder KI-Anwendung ist zu prüfen, welcher Zweck verfolgt wird (z. B. Terminvergabe, Erstellung von Heil- und Kostenplänen, radiologische Befundunterstützung), welche Daten dafür wirklich erforderlich sind und auf welche Rechtsgrundlage man sich in diesem Zusammenhang berufen kann (typischerweise Behandlungsvertrag bzw. gesetzliche Dokumentations- und Abrechnungspflichten).
Was ist zu tun:
Zahnärztinnen und Zahnärzte sollten sich von dem Anbieter der Praxissoftware oder der KI-Lösung erklären lassen, welche Daten genau verarbeitet werden, regelmäßig bedarf es hier des Abschlusses eines Auftragsverarbeitungsvertrages. Zudem sollten die Patientinnen und Patienten verständlich in den Datenschutzinformationen über den Einsatz von KI informiert werden. Intern ist zu dokumentieren, für welche KI-Anwendung welche rechtliche Grundlage besteht.
Darauf sollte das Praxisteam achten:
Es sollten durch das Praxismanagement keine unnötigen Gesundheitsdaten in allgemeine, externe KI-Tools eingegeben werden. KI ist nur innerhalb sicherer, datenschutzkonform konfigurierter Systeme zu nutzen. Dabei ist sicherzustellen, dass bei automatisierten Auswertungen (z. B. KI-gestützte Analyse von Röntgenbildern) immer die behandelnde Zahnärztin bzw. der behandelnde Zahnarzt selbst die letzte Entscheidung trifft.
Checkliste: KI-Anbieter in der Zahnarztpraxis prüfen
Damit Zahnärztinnen und Zahnärzte KI verantwortungsvoll einsetzen, lohnt sich vor Vertragsabschluss mit einem Anbieter ein kurzer Praxis-Check:
- Serverstandort und Datenflüsse: Zahnärztinnen und Zahnärzte klären, wo die Daten der Praxis gespeichert und verarbeitet werden (EU/EWR, Drittstaat) und ob Unterauftragsverarbeiter eingebunden sind – so vermeiden Zahnärztinnen und Zahnärzte unklare Cloud-Lösungen, bei denen Patientendaten unkontrolliert ins Ausland abfließen.
- Technische und organisatorische Maßnahmen (TOM): Zahnärztinnen und Zahnärzte lassen sich die Sicherheitsmaßnahmen erläutern (Verschlüsselung, Zugriffskonzepte, Rollen- und Rechtemanagement, Backup/Recovery) – so stellen Zahnärztinnen und Zahnärzte sicher, dass nur befugte Personen auf Patientendaten zugreifen und kein Datenverlust entsteht.
- Auftragsverarbeitung: Zahnärztinnen und Zahnärzte schließen einen DSGVO-konformen Auftragsverarbeitungsvertrag mit klaren Regelungen zu Zweck, Dauer, Kategorien von Daten und Kontrollrechten – und vermeiden so den typischen Fehler, KI-Tools „einfach so“ ohne vertragliche Grundlage zu nutzen.
- Einstufung nach KI-VO (AI Act): Zahnärztinnen und Zahnärzte fragen den Anbieter, ob und wie das System nach der KI-Verordnung eingestuft ist (z. B. Hochrisiko-KI im Gesundheitsbereich) und welche Compliance-Maßnahmen ergriffen wurden – so erkennen Zahnärztinnen und Zahnärzte früh, ob besondere Anforderungen für den Einsatz in der Zahnarztpraxis gelten.
- Zertifizierungen und Qualitätssicherung: Zahnärztinnen und Zahnärzte prüfen vorhandene Zertifizierungen oder Audits (z. B. ISO 27001) und wie die Qualität der KI-Ergebnisse regelmäßig überprüft und verbessert wird – so vermeiden Zahnärztinnen und Zahnärzte, sich auf ein System zu verlassen, dessen Ergebnisqualität nicht laufend kontrolliert wird.
Wenn diese Punkte geklärt und dokumentiert sind, haben Zahnärztinnen und Zahnärzte eine belastbare Grundlage dafür, KI-Systeme in der eigenen Zahnarztpraxis datenschutzkonform und rechtssicher einzusetzen.
Welche Bedeutung hat die DSGVO für den Einsatz von KI?
Der wichtigste Punkt zuerst: KI braucht Daten – und genau hier entsteht die Herausforderung. Viele KI-Systeme funktionieren nur mit großen Datenmengen, während die DSGVO vorschreibt, dass Daten sparsam, zweckgebunden und transparent verwendet werden müssen.
Folgende Grundprinzipien der DSGVO sind für Zahnärztinnen und Zahnärzte besonders relevant – und so werden sie in der Zahnarztpraxis konkret umgesetzt:
Wird KI durch das Praxisteam z. B. für Terminmanagement (automatische Terminvorschläge, Erinnerungen), Abrechnungsunterstützung (Prüfung von Leistungsziffern), durch die Zahnärztinnen und Zahnärzte im Bereich der Radiologie/Befundunterstützung (Analyse von Röntgenbildern) oder für die Patientenkommunikation (Chatbot auf der Website, automatisierte E‑Mails) genutzt, werden auch immer personenbezogene und oft Gesundheitsdaten verarbeitet. Dabei ist darauf zu achten, dass nur die Daten eingespielt werden, die für die jeweilige Aufgabe wirklich nötig sind (Datenminimierung), die KI nur für den klar definierten Zweck genutzt wird (Zweckbindung) und die Patientinnen und Patienten verständlich informiert werden, wo und wie KI zum Einsatz kommt (Transparenz).
So gehen Sie vor:
Prüfen Sie für jedes KI‑Tool, welche Daten es konkret benötigt, dokumentieren Sie den Zweck (z. B. „Terminorganisation“, „Abrechnungsprüfung“, „Befundunterstützung“) und halten sie dies in Ihrem Datenschutzkonzept fest, wie sie die Vorgaben der DSGVO erfüllen.
Darauf sollten das Praxisteam achten:
Keine sensiblen Patientendaten in allgemeine Online‑Tools eingeben, wenn nicht klar ist, wo diese Daten gespeichert werden; KI‑Systeme sind für die Radiologie nur zu nutzen, wenn sie datenschutzkonform eingebunden sind; bei automatisierten Terminerinnerungen oder Chatbots ist sicherzustellen, dass die Patienten über diese Verarbeitung informiert sind und eine zutreffende Rechtsgrundlage besteht.
1. Rechtsgrundlage (Art. 6 DSGVO)
Jede Verarbeitung personenbezogener Daten braucht eine klare rechtliche Basis – z. B. Einwilligung, Vertrag oder berechtigtes Interesse. Ohne diese Grundlage ist der Einsatz von KI nicht erlaubt.
Für die Zahnarztpraxis heißt das: Prüfen Sie bei jeder KI-Anwendung, auf welche Rechtsgrundlage sie sich stützen. Beispiel Terminmanagement: Die Verarbeitung der Patientendaten durch das Praxismanagement zur Terminvergabe ist in der Regel für die Behandlung (Vertrag) erforderlich. Beispiel Abrechnungsunterstützung: Hier stützen Sie sich ebenfalls auf den Behandlungsvertrag und gesetzliche Vorgaben (z. B. Abrechnungsregeln der KZV). Beispiel Radiologie/Befundunterstützung: Wenn ein KI-Tool Röntgenbilder auswertet, erfolgt die Datenverarbeitung zur Diagnostik und Behandlung – also ebenfalls auf Vertragsbasis.
So sollte die Praxis vorgehen: Dokumentieren Sie für jede KI-Anwendung kurz, welche Daten verarbeitet werden und auf welcher Rechtsgrundlage (Vertrag, gesetzliche Pflicht, ggf. Einwilligung) das geschieht. Wenn Sie Daten für zusätzliche Zwecke nutzen wollen (z. B. KI-gestütztes Marketing), brauchen Sie in der Regel eine ausdrückliche Einwilligung der Patientinnen und Patienten.
2. Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)
Nach der DSGVO dürfen regelmäßig nur die Daten verwendet werden, die wirklich notwendig sind. „Ich gebe einfach alles mal in die KI ein“ ist ein klassischer Fehler.
Für das Praxismanagement bedeutet das: Für ein KI-gestütztes Terminmanagement brauchen Sie in der Regel nur Name, Kontaktdaten und Termininformationen – keine ausführlichen Befunde oder Röntgenbilder. Bei einer Abrechnungsunterstützung sollten nur die Daten verarbeitet werden, die für die korrekte Abrechnung erforderlich sind (z. B. Leistungsziffern, Datum, ggf. Diagnose), nicht das gesamte Patientenarchiv. Bei Radiologie/Befundunterstützung geben Sie dem System nur die relevanten Bilddaten und die dazugehörigen minimal notwendigen Stammdaten (z. B. Patienten-ID statt voller Adresse).
Darauf sollte das Praxisteam achten: Prüfen Sie vor der Nutzung eines KI-Tools, welche Felder wirklich ausgefüllt werden müssen, und lassen Sie alles weg, was für den konkreten Zweck nicht erforderlich ist. Schulen Sie Ihr Praxisteam ausdrücklich darin, keine „vorsorglich“ zusätzlichen Informationen in die KI-Systeme einzugeben.
3. Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO)
Daten dürfen grundsätzlich nur für den ursprünglichen Zweck genutzt werden. Wenn ein Datensatz für einen Kundenservice erhoben wurde, darf er nicht einfach für Marketing-KI genutzt werden.
In der Zahnarztpraxis heißt das: Daten, die Sie für die Behandlung und Abrechnung erheben, dürfen nicht ohne Weiteres für andere Zwecke verwendet werden – etwa für KI-gestützte Patientenkommunikation zu Werbezwecken oder Newsletter. Beispiel: Ein KI-System unterstützt Sie bei der Befunddokumentation. Diese Daten dürfen anschließend nicht automatisch in ein Marketing-Tool eingespeist werden, das Patienten anhand ihrer Behandlungsdaten gezielt bewirbt, ohne dass sie dem zugestimmt haben.
So gehen Sie vor: Legen Sie für jede KI-Anwendung den Zweck schriftlich fest (z. B. „Terminorganisation“, „Abrechnungsprüfung“, „Befundunterstützung“). Nutzen Sie die Daten nur für diesen Zweck. Wenn Sie später einen neuen Zweck hinzufügen wollen (z. B. Erinnerungs-SMS oder E-Mails über ein KI-Kommunikationstool), prüfen Sie, ob der ursprüngliche Zweck das noch abdeckt – und holen Sie im Zweifel eine separate Einwilligung der Patientinnen und Patienten ein.
4. Transparenz & Information (Art. 5 Abs. 1 lit. a, Art. 13 DSGVO)
Betroffene Personen müssen wissen, dass ihre Daten durch KI verarbeitet werden – und idealerweise auch wie. Bei automatisierten Entscheidungen bzw. Profiling verlangt Art. 13 Abs. 2 lit. f DSGVO sogar ausdrücklich „aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen“.
Für Ihre Zahnarztpraxis bedeutet das: Informieren Sie Patientinnen und Patienten in Ihrer Datenschutzerklärung und ggf. im Aufklärungsbogen darüber, welche KI-Systeme Sie einsetzen (z. B. Terminmanagement-Software mit KI-Funktion, KI-gestützte Röntgenbildanalyse, Chatbot für Patientenanfragen) und welche Daten dabei verarbeitet werden. Beispiel: Nutzen Sie eine KI zur Unterstützung bei der Befundung von Röntgenbildern, erklärt Sie kurz, dass die Bilder von einem KI-System ausgewertet werden, das der Zahnärztin/dem Zahnarzt Vorschläge macht, die aber immer fachlich immer durch den behandelnden Arzt überprüft werden.
Darauf sollten Sie achten: Vermeiden Sie technische Details, aber beschreiben Sie verständlich, welche Rolle die KI spielt („Unterstützung der Diagnose“, „Vorschläge zur Terminplanung“, „automatisierte Antwortvorschläge für E-Mails“). Stellen Sie klar, dass die finale Entscheidung über Behandlung und Abrechnung immer bei Ihnen als Behandlerinnen und Behandlern liegt.
5. Automatisierte Entscheidungen (Art. 22 DSGVO)
Wenn KI Entscheidungen trifft, die Menschen betreffen (z. B. Bewerberauswahl), besteht zunächst ein grundsätzliches Verbot. Niemand darf einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen werden. Erlaubt ist das nur in Ausnahmefällen – z. B. bei einer ausdrücklichen Einwilligung, zur Vertragserfüllung oder aufgrund einer gesetzlichen Erlaubnis. Und selbst dann hat die betroffene Person mindestens das Recht, das Eingreifen einer Person zu verlangen, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten.
6. Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO)
Bei risikoreichen KI-Anwendungen (z. B. Scoring-Systeme) müssen Sie eine strukturierte Risikoanalyse durchführen. Die Pflicht greift, wenn eine Verarbeitung – „insbesondere bei Verwendung neuer Technologien“ – voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Systematisches Profiling bzw. Scoring ist dort ausdrücklich als Regelbeispiel genannt (Art. 35 Abs. 3 lit. a DSGVO).
Für Ihre Zahnarztpraxis bedeutet das konkret: Prüfen Sie, ob ihre KI z. B. zur automatisierten Risikobewertung von Patienten (Scoring), zur Auswertung großer Bilddatensätze in der Radiologie oder zur umfassenden Analyse von Abrechnungsdaten eingesetzt wird. Wenn solche Systeme maßgeblich Einfluss auf Therapieentscheidungen, Einstufung von Zahlungsrisiken oder andere wichtige Bewertungen haben, sollten Sie eine DSFA durchführen.
So gehen Sie vor:
Beschreiben Sie das KI-System und den Zweck (z. B. KI zur Unterstützung der Befundung von Röntgenbildern), identifizieren Sie die betroffenen Daten (Patientenstammdaten, Gesundheitsdaten, Bilddaten), bewerten Sie die Risiken (Fehlbefunde, falsche Einstufung von Risiken, unberechtigte Ablehnung von Behandlungen) und legen Sie technische und organisatorische Maßnahmen fest (z. B. ärztliche Schlussentscheidung, Vier-Augen-Prinzip, regelmäßige Qualitätskontrolle der KI-Ergebnisse, Schulung des Teams). Dokumentieren Sie diese Schritte, damit Sie im Zweifel nachweisen können, dass Sie die Risiken systematisch geprüft haben.
Darauf sollten Sie achten:
Nutzen Sie KI im Terminmanagement nur mit Daten, die dafür erforderlich sind (Name, Kontaktdaten, Termin), informieren Sie Patienten in Ihrer Datenschutzerklärung darüber, dass Sie KI-gestützte Systeme einsetzen, und schließen Sie mit Anbietern von Praxissoftware und KI-Tools unbedingt Auftragsverarbeitungsverträge ab. Bei der Radiologie darf die KI die Ärztinnen und Ärzte unterstützen, die finale medizinische Entscheidung bleibt aber immer bei Ihnen als Behandlerin oder Behandler – KI-Ergebnisse werden geprüft, nicht ungefragt übernommen. In der Abrechnung sollten Sie sicherstellen, dass die KI ausschließlich innerhalb des rechtlichen Rahmens arbeitet und keine Profile über Patienten oder Mitarbeiter erstellt, die über den Abrechnungszweck hinausgehen.
So gehen Sie vor:
Prüfen Sie für jedes KI-Tool, welche personenbezogenen Daten verarbeitet werden, definieren Sie den Zweck klar (z. B. Terminorganisation, Befundunterstützung), wählen Sie eine passende Rechtsgrundlage (regelmäßig Behandlung/Vertrag oder Einwilligung), beschränken Sie die Dateneingabe auf das Notwendige und informieren Sie Ihre Patienten transparent – etwa im Aufklärungsbogen oder in der Praxis-Datenschutzerklärung. Wenn Sie diese Punkte beachten, können Sie KI in der Zahnarztpraxis sicher und datenschutzkonform einsetzen.
Zahnärztliche Assistenz
Zahnärztliche Assistenz ist das beliebte Supplement der Dental Tribune German Edition für ZFA, ZMP und DH, das den alltäglichen Praxisalltag lebendig abbildet. Es bietet Fachwissen zu Abrechnung, Prophylaxe und Organisation, ergänzt um Fortbildungstipps und Einblicke in moderne Praxiskultur. Klar strukturiert, frisch gestaltet und nah an den Themen, die das Team am Behandlungsstuhl wirklich bewegen. Das Supplement erscheint zweimal im Jahr.
