Rechtsrahmen für KI-Scribes und Spracherkennung in Praxen

Wer in Deutschland einen KI-Scribe oder eine Spracherkennung für Patientengespräche einsetzt, verarbeitet Gesundheitsdaten und offenbart einem Dienstleister Berufsgeheimnisse. Datenschutzrechtlich stützt sich das in der Regel auf Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG. Eine datenschutzrechtliche Einwilligung wird erst nötig, wenn Daten etwa zum Modelltraining genutzt werden. Pflicht sind ein Auftragsverarbeitungsvertrag, eine Geheimhaltungsverpflichtung nach § 203 StGB, angemessene Sicherheit und eine Patienteninformation. Die Tonaufnahme selbst setzt das Einverständnis der Sprechenden voraus (§ 201 StGB). GKV-Leistungserbringer brauchen für Cloud-Dienste ein C5-Typ-2-Testat oder einen zulässigen Ersatznachweis (§ 393 SGB V). Ein reiner Dokumentations-Scribe ist meist kein Medizinprodukt. Den Akteneintrag verantworten weiterhin die Behandelnden.

Welche Pflichten gelten im Überblick?

Fünf Regelungsbereiche greifen gleichzeitig. Das sind Datenschutz, Berufsgeheimnis, Schutz des gesprochenen Wortes, Sozialrecht für Cloud-Dienste und Produktrecht. Die Tabelle ordnet jeder Norm eine Prüffrage zu.

Welche Pflichten gelten im Überblick?

Pflicht / Norm	Betrifft	Was konkret prüfen
Art. 9 DSGVO, § 22 BDSG	alle Behandelnden	Behandlungszweck, Schutzmaßnahmen
Art. 13 DSGVO	alle Behandelnden	Patienteninformation zu Anbieter, Speicherdauer, Drittland
Art. 28, 32 DSGVO	Praxis oder Klinik und Anbieter	AVV-Pflichtinhalte, Unterauftragsverarbeiter, Verschlüsselung
Art. 35 DSGVO	Praxen, MVZ, Kliniken	Schwellwertprüfung, in der Regel DSFA
Art. 44 ff. DSGVO	Anbieter mit Drittlandbezug	DPF-Listung, Supportzugriffe, Ausstiegsplan
§ 203 StGB, § 9 MBO-Ä, § 8 MBO-PP	Ärzte, Psychotherapeuten, Pflegefachpersonen	schriftliche Geheimhaltungsverpflichtung
§ 201 StGB	jede Audioaufnahme	Einverständnis aller Sprechenden
§ 393 SGB V	GKV-Leistungserbringer	Verarbeitungsort, Inlandsniederlassung, C5-Testat
MDR, MDCG 2019-11	Hersteller, Anwender	Zweckbestimmung, bei Medizinprodukt CE und Klasse
KI-VO Art. 4, 26, 50	Anbieter und Betreiber	KI-Kompetenz, Transparenz, Hochrisiko-Pflichten
§ 630f BGB, § 10 MBO-Ä	Behandelnde	Freigabe, nachvollziehbare Änderungen, Aufbewahrung

Auf welcher Rechtsgrundlage dürfen Gesundheitsdaten verarbeitet werden?

Für die Behandlungsdokumentation trägt Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG. Eine datenschutzrechtliche Einwilligung ist dafür nicht erforderlich. Voraussetzung ist, dass Berufsgeheimnisträger die Daten verarbeiten oder die Verarbeitung verantworten.

Gesprächsaudio, Transkript und generierte Notiz sind Gesundheitsdaten nach Art. 9 DSGVO. Die Ausnahme in Art. 9 Abs. 2 lit. h deckt Diagnostik, Versorgung und Behandlung. Art. 9 Abs. 3 bindet sie an Fachpersonal mit Berufsgeheimnis. § 22 BDSG verlangt zusätzlich „angemessene und spezifische Maßnahmen“, etwa Zugriffsbeschränkungen, Protokollierung, Verschlüsselung und Schulung. Hinzu kommt eine Grundlage nach Art. 6 DSGVO, typischerweise Behandlungsvertrag und Dokumentationspflicht.

Das KBV PraxisWissen KI hält eine datenschutzrechtliche Einwilligung nur für erforderlich, wenn Daten auch dem Training oder der Optimierung des KI-Systems oder der Forschung dienen. Unabhängig davon verlangt Art. 13 DSGVO bei der Erhebung eine Information über Zweck, Rechtsgrundlage, Empfänger, Drittlandübermittlungen und Speicherdauer. Laut KBV kann das per Aushang erfolgen. Das ausführliche Informationsblatt sollte den Scribe-Anbieter als Auftragsverarbeiter und die Löschfrist für Audio nennen.

Was muss im Auftragsverarbeitungsvertrag stehen?

Der Scribe-Anbieter verarbeitet im Auftrag und braucht einen Vertrag nach Art. 28 Abs. 3 DSGVO mit sämtlichen Pflichtinhalten. Nutzt er Daten für eigene Zwecke wie Modelltraining, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Dafür braucht es eine eigene Rechtsgrundlage.

Der Vertrag legt Gegenstand, Dauer, Art und Zweck, Datenarten, Betroffenenkategorien sowie Rechte und Pflichten des Verantwortlichen fest. Der Anbieter muss sich insbesondere verpflichten,

• nur auf dokumentierte Weisung zu verarbeiten, auch bei Drittlandübermittlungen,
• sein Personal zur Vertraulichkeit zu verpflichten und Art. 32 DSGVO umzusetzen,
• weitere Auftragsverarbeiter nur mit Genehmigung einzusetzen und Änderungen vorab mitzuteilen, damit Einspruch möglich ist,
• bei Betroffenenrechten, Datenpannen und Folgenabschätzung zu unterstützen,
• nach Vertragsende alle Daten zu löschen oder zurückzugeben,
• Nachweise bereitzustellen und Inspektionen zu ermöglichen.

Art. 32 DSGVO verlangt ein risikoangemessenes Schutzniveau, ausdrücklich etwa Verschlüsselung, Belastbarkeit, Wiederherstellbarkeit und regelmäßige Wirksamkeitstests. Für KI-Scribes gehören dazu verschlüsselte Übertragung und Speicherung, Mandantentrennung, Mehrfaktor-Anmeldung und Zugriffsprotokolle. Die Orientierungshilfe KI der Datenschutzkonferenz bewertet Anwendungen als vorzugswürdig, die Ein- und Ausgabedaten nicht zum Training verwenden. Weitere Prüffragen enthält die Datenschutz-Checkliste.

Ist eine Datenschutz-Folgenabschätzung Pflicht?

Kliniken verarbeiten Gesundheitsdaten umfangreich und müssen nach Art. 35 Abs. 3 lit. b DSGVO eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Praxen brauchen eine dokumentierte Prüfung, die bei Ambient-Aufnahme in der Regel ebenfalls zur DSFA führt.

Art. 35 Abs. 1 verlangt eine DSFA bei voraussichtlich hohem Risiko, „insbesondere bei Verwendung neuer Technologien“. Nach Erwägungsgrund 91 gilt die Verarbeitung von Patientendaten durch einen einzelnen Arzt nicht als umfangreich. Die Hinweise von Bundesärztekammer und KBV vom Oktober 2025 betonen, dass der Umfang nur ein Kriterium ist.

Hohes Risiko entsteht auch, wenn die Vertraulichkeit des Patientengeheimnisses gefährdet ist oder Daten schutzbedürftiger Personen wie psychisch Erkrankter betroffen sind. Schwellenwerte für „umfangreich“ hat die Rechtsprechung bisher nicht benannt. BÄK und KBV verlangen deshalb eine Einzelfallprüfung.

Die DSFA-Muss-Liste der DSK nennt unter Nr. 16 Gesundheitsdaten auch unterhalb der Umfangsschwelle, wenn sie wiederholt über innovativ genutzte Sensoren oder mobile Anwendungen erhoben und zentral aufbereitet werden. Nach Einordnung von ScribeIndex entspricht ein Ambient-Scribe mit App und Cloud-Verarbeitung dieser Beschreibung weitgehend. Die DSK erwartet beim KI-Einsatz „vielfach“ eine DSFA. Die nötigen Informationen zur Funktionsweise muss der Anbieter liefern.

Dürfen Daten in die USA oder andere Drittländer fließen?

Ja, aber nur auf Grundlage der Art. 44 ff. DSGVO. Für US-Empfänger ist das vor allem der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Für Cloud-Verarbeitung durch GKV-Leistungserbringer lässt § 393 SGB V Drittstaaten ausschließlich mit Angemessenheitsbeschluss zu.

Der Durchführungsbeschluss (EU) 2023/1795 gilt nur für Organisationen auf der „Data Privacy Framework List“ des US-Handelsministeriums.

Das Gericht der EU hat die Nichtigkeitsklage am 3. September 2025 in der Rechtssache T-553/23 abgewiesen. Seit dem 31. Oktober 2025 ist dagegen das Rechtsmittel C-703/25 P beim Gerichtshof anhängig, Stand 5. Oktober 2026 ohne Entscheidung. Der Rahmen gilt also, ist aber nicht dauerhaft gesichert.

Prüfen Sie für jeden Teilschritt (Hosting, Spracherkennung, Sprachmodell, Support), wo verarbeitet wird und ob US-Unterauftragsverarbeiter gelistet sind. Vertraglich sollte ein Wechsel auf reine EU-Verarbeitung möglich sein, falls der Gerichtshof den Beschluss aufhebt. Standardvertragsklauseln nach Art. 46 DSGVO genügen im Anwendungsbereich von § 393 Abs. 2 SGB V nicht, weil die Norm für Drittstaaten einen Angemessenheitsbeschluss verlangt.

Wie vereinbart sich ein Cloud-Scribe mit der Schweigepflicht?

Nach § 203 Abs. 3 Satz 2 StGB dürfen Berufsgeheimnisträger Geheimnisse mitwirkenden Dienstleistern offenbaren, soweit deren Tätigkeit es erfordert. Sie müssen diese aber zur Geheimhaltung verpflichten. Sonst machen sie sich nach § 203 Abs. 4 Satz 2 Nr. 1 StGB selbst strafbar, wenn der Dienstleister ein Geheimnis unbefugt offenbart.

§ 203 Abs. 1 StGB erfasst Ärztinnen und Ärzte, Angehörige anderer Heilberufe mit staatlich geregelter Ausbildung, darunter Psychotherapeutinnen, Psychotherapeuten und Pflegefachpersonen, sowie Berufspsychologen. Setzt der Anbieter Unterauftragsverarbeiter ein, muss er auch diese verpflichten (§ 203 Abs. 4 Satz 2 Nr. 2). Erforderlichkeit heißt, dass der Anbieter Gesprächsinhalte nur so weit zur Kenntnis nimmt, wie Transkription, Notizerstellung und Fehlerbehebung es verlangen.

Berufsrechtlich verlangt § 9 Abs. 4 MBO-Ä die schriftliche Geheimhaltungsverpflichtung mitwirkender Personen. Sie kann auf das beauftragte Unternehmen übertragen werden. § 8 Abs. 5 der Muster-Berufsordnung der BPtK regelt dasselbe für die Psychotherapie. Verbindlich sind jeweils die Berufsordnungen der Landeskammern. BÄK und KBV stellen klar, dass Schweigepflicht und Datenschutz „uneingeschränkt auch beim Einsatz von Künstlicher Intelligenz“ gelten.

Brauche ich eine Einwilligung für die Gesprächsaufnahme?

Ja, für die Tonaufnahme braucht es das Einverständnis aller Gesprächsbeteiligten. § 201 Abs. 1 StGB bestraft das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Ein Behandlungsgespräch ist nichtöffentlich.

Dieses Einverständnis ist von der datenschutzrechtlichen Einwilligung zu trennen. Die Verarbeitung trägt Art. 9 Abs. 2 lit. h DSGVO, befugt wird die Aufnahme erst durch das Einverständnis. Strafbar ist auch, eine unbefugte Aufnahme zu gebrauchen oder weiterzugeben. Erfasst sind alle Sprechenden, also auch Angehörige, Dolmetschende und Mitarbeitende.

In der Psychotherapie bedürfen Ton- und Bildaufnahmen nach § 8 Abs. 7 MBO-PP der vorherigen Einwilligung, verbunden mit dem Hinweis auf das Recht auf Löschung. Auch die KBV nennt KI-Systeme, die Gesprächsprotokolle erstellen, als Beispiel für eine notwendige Einwilligung.

Offen ist, ob reines Live-Streaming ohne Speicherung bereits ein „Aufnehmen auf einen Tonträger“ ist. Da Audio technisch mindestens zwischengespeichert wird, sollte jeder Ambient-Einsatz wie eine Aufnahme behandelt werden. Holen Sie das Einverständnis vor Beginn ein und dokumentieren Sie es, ermöglichen Sie eine Ablehnung ohne Nachteil, etwa per Diktat nach dem Termin, und zeigen Sie die laufende Aufnahme sichtbar an.

Was verlangt § 393 SGB V?

§ 393 SGB V erlaubt Leistungserbringern im Sinne des Vierten Kapitels SGB V, Kranken- und Pflegekassen sowie ihren Auftragsverarbeitern Cloud-Verarbeitung von Gesundheits- und Sozialdaten nur unter drei Bedingungen. Verlangt sind ein zulässiger Verarbeitungsort mit Niederlassung im Inland, Informationssicherheit nach Stand der Technik und ein aktuelles C5-Testat. Seit dem 1. Juli 2025 ist das grundsätzlich ein C5-Typ-2-Testat.

Erfasst sind unter anderem Vertragsärzte, zugelassene Psychotherapeuten, Krankenhäuser und Pflegedienste der häuslichen Krankenpflege. Als Cloud-Computing-Dienst definiert § 384 Nr. 5 SGB V den Fernzugang zu einem skalierbaren, elastischen Pool gemeinsam nutzbarer Rechenressourcen. Das ist die typische Grundlage webbasierter Scribes.

• Ort (Abs. 2). Zulässig sind Inland, EU, ein nach § 35 Abs. 7 SGB I gleichgestellter Staat (EWR-Staaten und Schweiz) oder ein Drittstaat mit Angemessenheitsbeschluss. Zusätzlich braucht die datenverarbeitende Stelle eine Niederlassung im Inland.
• Sicherheit (Abs. 3 und 5). Für Vertragsärzte gelten die Maßnahmen bei Erfüllung von § 390 SGB V als angemessen, für Krankenhäuser bei § 391. Die im Testat genannten Kundenkriterien muss die Praxis oder Klinik selbst umsetzen.
• Testat (Abs. 4). Bis 30. Juni 2025 genügte Typ 1, seit 1. Juli 2025 gilt Typ 2. Erstmals nach dem 30. Juni 2025 in Verkehr gebrachte Systeme dürfen 18 Monate lang Typ 1 nutzen. Typ 1 prüft die Angemessenheit der Kontrollen, Typ 2 zusätzlich deren Wirksamkeit über einen Zeitraum.
• Ersatznachweis. Die C5-Gleichwertigkeitsverordnung vom 19. März 2025 lässt ISO/IEC 27001, ISO 27001 auf Basis von IT-Grundschutz oder Cloud Controls Matrix 4.0 zu, aber nur mit einem Maßnahmenplan. Er umfasst eine Lückenanalyse zu den C5-Basiskriterien, die Schließung der Lücken binnen zwölf Monaten und Schritte zum Typ-1-Testat binnen 18 und zum Typ-2-Testat binnen 24 Monaten.
• Neuer Katalog. Laut BSI gilt C5:2026 für Testierungen ab dem 1. Juni 2027.

Offen ist, ob der Scribe-Anbieter, der Rechenzentrumsbetreiber oder beide als „datenverarbeitende Stelle“ gelten. Ein Gutachten für den Branchenverband bvitg hält dies für nicht eindeutig. Verlangen Sie deshalb Nachweise für Anwendung und Infrastruktur. Reine Privatpraxen und Leistungen ausschließlich nach SGB XI nennt § 393 nicht. Als Sicherheitsmaßstab taugt die Norm dort trotzdem.

Ist ein KI-Scribe ein Medizinprodukt?

Ein Scribe, der Gespräche transkribiert, strukturiert und zur ärztlichen Prüfung zusammenfasst, ist in der Regel kein Medizinprodukt. Entscheidend ist die vom Hersteller festgelegte Zweckbestimmung. Soll die Software Informationen für Diagnose- oder Therapieentscheidungen liefern, ist sie Medizinprodukte-Software und nach Regel 11 mindestens Klasse IIa.

Nach Art. 2 Nr. 1 der MDR ist Software ein Medizinprodukt, wenn sie „dem Hersteller zufolge“ medizinischen Zwecken wie Diagnose, Überwachung, Prognose oder Behandlung dient. Die Leitlinie MDCG 2019-11 rev. 1 vom Juni 2025 prüft stufenweise. Software, die mehr tut als speichern, archivieren, übermitteln, einfach suchen oder verlustfrei komprimieren, kann Medizinprodukte-Software sein, wenn das Erzeugen oder Verändern der Information einem medizinischen Zweck für einzelne Patienten dient.

Ein Scribe verändert Information. Den Ausschlag gibt die Zweckbestimmung. Als Parallele nennt die Leitlinie elektronische Patientenakten. Ersetzen sie nur die Papierakte, sind sie keine Medizinprodukte. Module, die Wechselwirkungen markieren oder Dosisanpassungen vorschlagen, können es sein.

Die Grenze überschreiten Diagnose- oder Differenzialdiagnosevorschläge, Befundbewertung, Warnhinweise, Therapie- oder Dosierungsempfehlungen und Triage. Kodierhilfen für die Abrechnung sind nicht automatisch medizinisch. Leitet die Software aber Diagnosen ab, die im Gespräch nicht gestellt wurden, nähert sie sich der Diagnoseunterstützung. Regel 11 in Anhang VIII MDR führt dann zu Klasse IIa, bei möglicher schwerwiegender Verschlechterung zu IIb, bei möglichem Tod oder irreversibler Verschlechterung zu III.

Herstellerangaben gehen auseinander. Ein europäischer Anbieter meldet für seinen Scribe seit Mai 2026 eine Zertifizierung als Klasse IIa nach Regel 11 durch eine Benannte Stelle (Herstellerangabe), andere Produkte derselben Kategorie werden ohne medizinische Zweckbestimmung vertrieben.

Über den Status entscheidet auf Antrag von Behörde, Hersteller oder Benannter Stelle das BfArM (§ 6 Abs. 2 MPDG). Fordern Sie die Zweckbestimmung schriftlich an, prüfen Sie bei Medizinprodukten CE-Kennzeichnung und Klasse, und nutzen Sie keine Funktionen außerhalb der Zweckbestimmung.

Was bedeutet die KI-Verordnung für Praxen und Kliniken?

Ein reiner Dokumentations-Scribe ist nach der KI-Verordnung kein Hochrisiko-KI-System. Praxen und Kliniken trifft als Betreiber vor allem die Pflicht zur Förderung von KI-Kompetenz. Hochriskant wird ein Scribe vor allem, wenn er als Medizinprodukt eine Konformitätsbewertung durch eine Benannte Stelle braucht. Diese Pflichten gelten ab dem 2. August 2028.

Die Verordnung (EU) 2024/1689 unterscheidet verbotene Praktiken (Art. 5), Hochrisiko-Systeme (Art. 6 mit Anhang I und III), Transparenzpflichten (Art. 50) und übrige Systeme. Nach Art. 6 Abs. 1 ist ein System hochriskant, wenn es selbst ein Produkt nach Anhang I ist (die MDR steht dort in Abschnitt A) und eine Konformitätsbewertung durch Dritte benötigt.

Das trifft auf Medizinprodukte ab Klasse IIa zu, nicht auf Klasse-I-Software. Anhang III nennt klinische Dokumentation nicht, wohl aber Emotionserkennung (Nr. 1 lit. c). Leitet eine Zusatzfunktion Emotionen aus der Stimme ab, gelten Hochrisiko-Regeln und die Informationspflicht nach Art. 50 Abs. 3.

Die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, hat den Zeitplan geändert.

• Seit 2. Februar 2025 gelten die Verbote und die Pflicht zur KI-Kompetenz (Art. 4).
• Seit 2. August 2026 gilt die Verordnung allgemein, einschließlich Art. 50. Die Kennzeichnungspflicht nach Art. 50 Abs. 2 gilt für vorher in Verkehr gebrachte Systeme ab 2. Dezember 2026.
• Ab 2. Dezember 2027 gelten die Hochrisiko-Pflichten nach Anhang III.
• Ab 2. August 2028 gelten die Hochrisiko-Pflichten nach Anhang I, also für KI-Medizinprodukte ab Klasse IIa.

Ältere Merkblätter, auch das KBV PraxisWissen vom Dezember 2025, nennen für Medizinprodukte noch den 2. August 2027. Art. 4 verlangt nun Maßnahmen zur Entwicklung der KI-Kompetenz des Personals, abgestimmt auf Vorkenntnisse und Einsatzkontext, ohne ein bestimmtes Niveau zu garantieren. Die Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 ist Anbieterpflicht und begründet keine Kennzeichnungspflicht der Praxis für den Akteneintrag. Betreiber müssen hochriskante Scribes nach Art. 26 gemäß Betriebsanleitung verwenden, unter kompetente menschliche Aufsicht stellen, überwachen und die vom System erzeugten Protokolle aufbewahren.

Wer trägt die Verantwortung für den Akteneintrag?

Die Behandelnden. Der KI-Entwurf wird erst durch Prüfung und Freigabe zur Dokumentation im Sinne von § 630f BGB und § 10 MBO-Ä. Fehler im übernommenen Text sind Fehler der Dokumentation.

§ 630f BGB verlangt eine Behandlungsakte in unmittelbarem zeitlichem Zusammenhang mit der Behandlung. Berichtigungen sind nur zulässig, wenn ursprünglicher Inhalt und Änderungszeitpunkt erkennbar bleiben, auch elektronisch. Aufzuzeichnen sind insbesondere Anamnese, Diagnosen, Befunde, Therapien, Einwilligungen und Aufklärungen. Die Aufbewahrungsfrist beträgt zehn Jahre. Die KBV hält fest, dass die Verantwortung im Rahmen der Versorgung weiterhin bei Ärzten und Psychotherapeuten liegt.

Daraus folgt ein fester Ablauf. Der Entwurf gelangt erst nach namentlicher Freigabe in Praxisverwaltungs- oder Krankenhausinformationssystem. Geprüft werden vor allem Verneinungen, Medikamente und Dosierungen, Seitenangaben, die Zuordnung von Aussagen zu Patient oder Begleitperson und Inhalte, die im Gespräch nicht vorkamen. Audio und Rohtranskript sind Arbeitsmaterial mit kurzer, festgelegter Löschfrist. Was in die Akte übernommen wird, unterliegt der zehnjährigen Aufbewahrung. Typische Fehlerarten erläutert der Vergleich Medical Scribe oder Transkription.

Checkliste für die Beschaffung

1. Schließen Sie einen AVV nach Art. 28 Abs. 3 DSGVO mit allen Pflichtinhalten ab.
2. Verpflichten Sie den Anbieter zur Geheimhaltung nach § 203 Abs. 4 StGB, schriftlich gemäß Berufsordnung und durchgereicht an alle Unterauftragsverarbeiter.
3. Lassen Sie sich alle Unterauftragsverarbeiter mit Aufgabe, Sitz und Verarbeitungsort für Hosting, Spracherkennung, Sprachmodell und Support nennen. Sichern Sie sich ein Einspruchsrecht bei Änderungen.
4. Legen Sie Speicher- und Verarbeitungsort für jeden Teilschritt einschließlich Backups und Support fest, in der EU oder in einem Land mit Angemessenheitsbeschluss. § 393 SGB V verlangt zusätzlich eine Niederlassung im Inland.
5. Prüfen Sie beim Drittlandbezug die DPF-Listung aller US-Empfänger und vereinbaren Sie einen Ausstiegsplan für den Fall einer Aufhebung.
6. Fordern Sie als Sicherheitsnachweis ein C5-Typ-2-Testat oder einen zulässigen Ersatznachweis mit Maßnahmenplan an. Prüfen Sie den Geltungsbereich von ISO-27001-Zertifikaten.
7. Legen Sie Löschfristen für Audio, Transkript, Entwürfe, Protokolle und Backups fest. Lassen Sie die Audio-Löschung nach Freigabe technisch erzwingen.
8. Schließen Sie das Training mit Audio, Transkripten, Notizen und Korrekturen vertraglich aus.
9. Sorgen Sie für Information und Einverständnis, also Information nach Art. 13 DSGVO, Einverständnis zur Aufnahme vor Beginn und Ablehnung ohne Nachteil.
10. Dokumentieren Sie die Schwellwertprüfung zur DSFA, führen Sie die DSFA mit Anbieterinformationen durch und ergänzen Sie das Verarbeitungsverzeichnis.
11. Regeln Sie im Zugriffskonzept Rollen, Mehrfaktor-Anmeldung, Protokollierung und Mobilgeräte. Offene Freigabelinks schließen Sie aus.
12. Sehen Sie eine ärztliche Prüfung mit Freigabe vor der Übernahme in die Akte vor. Ungeprüfte Entwürfe werden nicht automatisch übernommen.
13. Lassen Sie sich den Medizinprodukte-Status über die Zweckbestimmung schriftlich geben. Bei Diagnose- oder Therapiefunktionen prüfen Sie CE-Kennzeichnung und Klasse.
14. Klären Sie Export und Schulung, also dokumentierte Exportwege in PVS oder KIS, Datenrückgabe bei Vertragsende und eine dokumentierte Einweisung aller Nutzenden.

Dieser Überblick ersetzt keine individuelle Rechtsberatung.