Ist ChatGPT DSGVO-konform? Was Therapeut:innen wissen müssen
.
Lesezeit: ca. 9 Minuten
Über 60 % der Psychotherapeut:innen in Ausbildung nutzen bereits KI-Tools für ihre Dokumentation – in den meisten Fällen ChatGPT. Das ist nachvollziehbar: Der Zeitdruck in der Ausbildung ist enorm, die Dokumentationspflichten umfangreich, und ChatGPT liefert auf den ersten Blick brauchbare Texte. Das Problem: Die wenigsten wissen, was sie dabei datenschutzrechtlich riskieren.
Mit dem Inkrafttreten des EU AI Act seit Februar 2025 und der verstärkten Aufmerksamkeit der Datenschutzbehörden auf KI-Anwendungen im Gesundheitsbereich ist dieses Thema aktueller denn je. Seit Januar 2026 bietet OpenAI sogar ein eigenes „ChatGPT Health"-Feature an – ein Zeichen dafür, wie relevant Gesundheitsdaten für das Unternehmen sind. Doch was bedeutet das alles für die Psychotherapie in Deutschland?
Was passiert mit deinen Daten bei ChatGPT?
ChatGPT wird von OpenAI betrieben, einem US-amerikanischen Unternehmen mit Sitz in San Francisco. Wenn du als Therapeut:in Sitzungsnotizen, Fallbeschreibungen oder Diagnosen in ChatGPT eingibst, werden diese Daten an Server übertragen, die dem US-Recht unterliegen.
Konkret bedeutet das:
Datenverarbeitung in den USA: Auch wenn OpenAI seit 2025 für Enterprise-Kund:innen eine EU Data Residency anbietet, gilt das nicht für die kostenlose Version oder ChatGPT Plus. Bei Free- und Plus-Nutzer:innen werden Eingaben auf US-Servern verarbeitet – und unterliegen damit dem CLOUD Act, der US-Behörden Zugriff auf bei US-Unternehmen gespeicherte Daten ermöglicht.
Training mit Nutzerdaten: Bei der kostenlosen Version und ChatGPT Plus werden Eingaben standardmäßig zum Training der Modelle genutzt. Die Daten werden bis zu 30 Tage gespeichert. Ein Opt-Out ist zwar möglich, aber nur über die API-Nutzung wirklich garantiert – nicht über die normale Chatoberfläche.
Kein Auftragsverarbeitungsvertrag (AVV): Für die Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO ist ein AVV mit dem Anbieter Pflicht. Für Free- und Plus-Accounts bietet OpenAI keinen solchen Vertrag an. Selbst bei Enterprise-Versionen muss die Praxis aktiv einen AVV abschließen und eine Datenschutz-Folgenabschätzung durchführen.
Das neue ChatGPT Health: OpenAI hat Anfang 2026 eine eigene Gesundheitsfunktion eingeführt, die Gesundheitsdaten isoliert speichert und laut OpenAI nicht zum Modelltraining nutzt. Klingt gut – ist aber zunächst nur in den USA verfügbar und löst das grundsätzliche Problem für deutsche Therapeut:innen nicht: Die Daten verlassen den europäischen Rechtsraum.
Was passiert also konkret, wenn du nach einer Sitzung deine Stichworte in ChatGPT eingibst? Du überträgst potenziell personenbezogene Gesundheitsdaten an ein US-Unternehmen, ohne dass du als Verantwortliche:r im Sinne der DSGVO die rechtlichen Voraussetzungen dafür geschaffen hast.
Die rechtliche Lage: DSGVO, § 203 StGB und Berufsordnung
Drei Regelwerke sind hier relevant – und alle drei sprechen eine klare Sprache:
Art. 9 DSGVO: Gesundheitsdaten als besondere Kategorie
Gesundheitsdaten gehören nach der DSGVO zu den besonders geschützten Datenkategorien. Ihre Verarbeitung ist grundsätzlich verboten – es sei denn, es liegt eine ausdrückliche Einwilligung der betroffenen Person vor oder ein anderer Erlaubnistatbestand greift. In der Psychotherapie kommt hinzu, dass selbst die Einwilligung des Patienten die Nutzung eines nicht DSGVO-konformen Tools nicht legitimiert, wenn die technisch-organisatorischen Maßnahmen (TOMs) des Anbieters den Anforderungen nicht genügen.
§ 203 StGB: Die Schweigepflicht
Die ärztliche und psychotherapeutische Schweigepflicht nach § 203 StGB gilt auch für die digitale Verarbeitung. Wer Patientendaten an einen Dritten weitergibt – und das schließt Cloud-Dienste ein – ohne dass ein Geheimnisschutz gewährleistet ist, macht sich potenziell strafbar. Das Strafmaß: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Seit 2017 sind zwar „mitwirkende Personen" (wie IT-Dienstleister) einbezogen – das setzt aber einen entsprechenden Vertrag voraus, den OpenAI für Einzelnutzer:innen nicht bietet.
Berufsordnung der Psychotherapeutenkammern
Die Berufsordnungen der Landespsychotherapeutenkammern verpflichten Psychotherapeut:innen zu besonderer Sorgfalt im Umgang mit Patient:innendaten. Die Nutzung eines Tools, bei dem Daten in die USA fließen und potenziell für Trainingszwecke genutzt werden, ist mit dieser Sorgfaltspflicht kaum vereinbar.
Was droht bei Verstößen? Bußgelder nach der DSGVO können bis zu 4 % des Jahresumsatzes betragen – bei Einzelpraxen ist das meist überschaubar, aber berufsrechtliche Konsequenzen (Rüge, Geldbuße durch die Kammer) und vor allem der Vertrauensverlust bei Patient:innen wiegen schwerer. Und: Eine einmal bekannt gewordene Datenschutzverletzung lässt sich nicht rückgängig machen.
Wichtig: Hier geht es nicht darum, Angst zu machen. Die meisten Therapeut:innen, die ChatGPT nutzen, tun das mit guten Absichten – sie wollen effizienter arbeiten. Aber es ist entscheidend, die rechtlichen Fakten zu kennen, um informierte Entscheidungen treffen zu können.
„Aber ich anonymisiere doch..." – Warum das nicht reicht
Ein häufiges Argument: „Ich gebe ja keine Namen ein, ich anonymisiere die Daten." Das klingt vernünftig, greift aber zu kurz.
Pseudonymisierung ist keine Anonymisierung. Wenn du statt „Frau Müller" nur „Patientin, 34 Jahre" schreibst, sind die Daten pseudonymisiert – aber nicht anonymisiert im Sinne der DSGVO. Denn pseudonymisierte Daten können mit Zusatzwissen wieder einer Person zugeordnet werden.
Therapeutische Kontexte sind indirekt identifizierend. Seltene Diagnosen, spezifische biografische Details, der Behandlungsort – in der Psychotherapie reichen oft wenige Angaben, um eine Person zu identifizieren. Ein Patient mit einer dissoziativen Identitätsstörung in einer Kleinstadt ist mit hoher Wahrscheinlichkeit identifizierbar, auch ohne Namensnennung.
Re-Identifizierung bei kleinen Gruppen. PiAs behandeln oft eine überschaubare Zahl von Patient:innen. In solchen kleinen Gruppen ist die Re-Identifizierung anhand von Kontextmerkmalen ein reales Risiko – besonders wenn Sitzungsinhalte detailliert beschrieben werden.
Die DSGVO definiert Anonymisierung so, dass die Daten „nicht mehr einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können." Bei typischen Sitzungsprotokollen ist diese Schwelle in den allermeisten Fällen nicht erreicht.
Welche Alternativen gibt es?
Die gute Nachricht: Es gibt mittlerweile spezialisierte KI-Tools, die für den Einsatz in der Psychotherapie entwickelt wurden und Datenschutz ernst nehmen. Worauf du achten solltest:
Kriterien für DSGVO-konforme KI:
Server in der EU (idealerweise in Deutschland)
Kein Training mit Nutzerdaten
Auftragsverarbeitungsvertrag (AVV) verfügbar
Technisch-organisatorische Maßnahmen (TOMs) dokumentiert
Transparenz über verwendete Modelle
Die wichtigsten Anbieter im Überblick
| Kriterium | VIA HealthTech | PlaynVoice | EPIKUR KI-Modul | duktus PRO | ChatGPT (Free/Plus) |
|---|---|---|---|---|---|
| Serverstandort | EU | Schweiz | Lokal (Praxis-PC) | Deutschland | USA |
| Input-Methode | Aufzeichnung | Aufzeichnung | Text (im PVS) | Stichworte | Text |
| Zertifizierungen | ISO 27001, BSI-C5 | Schweizer DSG, DSGVO | – | DSGVO, AVV | – |
| KI-Training mit Daten | Nein | Nein | Unklar | Nein | Ja (Free/Plus) |
| AVV verfügbar | Ja | Ja | Über EPIKUR | Ja | Nur Enterprise |
| Patientenkonsens nötig | Ja (Aufzeichnung) | Ja (Aufzeichnung) | Nein | Nein | – |
| Preis | ab 99 €/Monat (Jahresabo) | Auf Anfrage | Im PVS enthalten | 12 €/Monat (PiA) | Kostenlos / 20 $ |
Checkliste: So nutzt du KI datenschutzkonform
Bevor du ein KI-Tool für die Dokumentation einsetzt, prüfe diese fünf Punkte:
1. Serverstandort prüfen: Werden die Daten in der EU/EWR verarbeitet? Wenn nein: Finger weg bei Gesundheitsdaten.
2. AVV abschließen: Bietet der Anbieter einen Auftragsverarbeitungsvertrag an? Das ist keine Kür, das ist Pflicht.
3. Training-Policy prüfen: Werden deine Eingaben für das Training des KI-Modells genutzt? Gibt es ein verifiziertes Opt-Out?
4. Dokumentation anlegen: Halte in deinem Verarbeitungsverzeichnis (VVT) fest, welches Tool du nutzt, warum und welche Schutzmaßnahmen du triffst.
5. Patient:innen informieren: Wenn du ein Aufzeichnungstool nutzt, brauchst du die informierte Einwilligung. Bei stichwortbasierten Tools entfällt das – dokumentiere trotzdem, dass und wie du KI einsetzt.
📥 Download: DSGVO-Checkliste für KI-Nutzung in der Therapie (PDF)
Fazit
ChatGPT ist ein beeindruckendes Tool – aber für die Verarbeitung von Patientendaten in der Psychotherapie ist es in der Free- und Plus-Version nicht geeignet. Die Kombination aus US-Serverstandort, fehlendem AVV und der Nutzung von Eingaben für Modelltraining ist mit der DSGVO, der Schweigepflicht und den berufsrechtlichen Pflichten von Psychotherapeut:innen nicht vereinbar.
Die gute Nachricht: Der Markt für DSGVO-konforme KI-Tools in der Psychotherapie entwickelt sich rasant. Es gibt Alternativen – sowohl aufzeichnungsbasiert als auch stichwortbasiert –, die Datenschutz von Anfang an mitdenken.
duktus PRO ist eine dieser Alternativen – entwickelt von Psychotherapie-Ausbildenden, gehostet in Deutschland, für 12 €/Monat. 3 Monate kostenlos testen →
Quellen:
Verordnung (EU) 2016/679 (DSGVO), Art. 9, Art. 28, Art. 35
§ 203 StGB – Verletzung von Privatgeheimnissen
Berufsordnung der BPtK (Muster-Berufsordnung für die Psychologischen Psychotherapeut:innen)
OpenAI Privacy Policy (Stand: Januar 2026)
OpenAI Enterprise Privacy (Stand: 8. Januar 2026)
KBV Leitfaden: Anforderungen an den Einsatz von Cloud-Diensten in der Praxis