In diesem Ratgeber
Praxis-Check
Vier Schritte, mit denen Sie beginnen können
Testdiktate ohne echte Patientendaten verwenden und alle Datenwege des Dienstes dokumentieren.
Anbieterbedingungen auf Training, Speicherung, Supportzugriff, Unterauftragnehmer und Drittlandtransfers prüfen.
Zugriffsrechte, Aufbewahrung von Audiodateien, Löschung und Berichtigung der Transkripte regeln.
Ärztliche Endkontrolle, Dokumentation und mögliche DSFA-Pflicht vor der produktiven Nutzung festlegen.
Ein Audiofile kann genauso sensibel sein wie eine Patientenakte
Medizinische Diktate können Namen, Diagnosen, Gesundheitsverläufe und Informationen über Angehörige enthalten. Auch ein vorläufiges Transkript bleibt personenbezogen, wenn es auf eine Person zurückgeführt werden kann. Vor einem Upload muss deshalb klar sein, wer die Datei verarbeitet und zu welchem Zweck.
Cloud-Dienst und lokale Verarbeitung sauber vergleichen
| Betriebsform | Worauf besonders zu achten ist |
|---|---|
| Cloud-Transkription | Anbieterrolle, AV-Vertrag, technische Sicherheit, Datenflüsse, Training, Unterauftragnehmer, Drittlandzugriffe und Löschung. |
| Lokale Transkription | Systemzugriff, Updates, interne Berechtigungen, Datenträger, Backups, Protokolle, Löschung und verlässliche Qualitätsprüfung. |
Auch bei lokalen Modellen müssen Verarbeitungsvorgänge dokumentiert und angemessene Maßnahmen umgesetzt werden. „Lokal“ ist ein Architekturmerkmal, kein Zertifikat für DSGVO-Konformität.
Was Sie den Anbieter ausdrücklich fragen sollten
Vor einem Vertrag konkret klären:
- Werden Roh-Audio, Zwischenstände oder Transkripte für Modelltraining oder andere eigene Zwecke verwendet?
- Wie lange bleiben Audio- und Textdateien gespeichert und wie ist die Löschung nachweisbar?
- Welche Mitarbeiter und Unterauftragnehmer können bei Störungen auf Inhalte zugreifen?
- Bestehen Drittlandübermittlungen oder Administrationszugriffe außerhalb des EWR?
- Wie unterstützt der Anbieter bei einem Datenschutzvorfall?
Schreibbüro und Ärztinnen brauchen einen gemeinsamen Prüfprozess
Transkriptionssysteme können Fachbegriffe, Medikamentennamen oder Negationen falsch verstehen. Ein standardisierter Review vor der Übernahme in die medizinische Dokumentation ist deshalb wesentlich. Legen Sie fest, wer Korrekturen vornimmt, wie die ärztliche Endfreigabe erfolgt und wann Audiodateien nach der erforderlichen Dokumentation gelöscht werden können.
Schulen Sie das Team zu erlaubten Geräten, Aufnahmewegen, Patientenbezug und Fehlerkorrektur. Private Handys oder persönliche Konten sollten nicht ohne geregelte Freigabe für medizinische Diktate verwendet werden.
Risikoprüfung und Verantwortlichkeiten
Eine Datenschutz-Folgenabschätzung ist nicht bei jedem Diktatsystem automatisch erforderlich. Prüfen Sie das Risiko anhand der eingesetzten Technik, des Umfangs, der betroffenen Personengruppen und der tatsächlichen Datenflüsse nach Art. 35 DSGVO. Dokumentieren Sie die Entscheidung und beziehen Sie den Datenschutzbeauftragten frühzeitig ein.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
- KBV – Hinweise und Empfehlungen zu Schweigepflicht, Datenschutz und KI in der Arztpraxis (öffnet in neuem Tab)
- DSK – Orientierungshilfen zu KI und technischen Schutzmaßnahmen (öffnet in neuem Tab)
- § 203 StGB – Verletzung von Privatgeheimnissen (öffnet in neuem Tab)
- DSGVO – Art. 9, 28, 32 und 35 (öffnet in neuem Tab)
Dieses Fachjournal ist ein Informationsangebot des Instituts für Datenschutz im Gesundheitswesen, das zugleich entgeltliche Datenschutzberatung anbietet. Die Beiträge dienen der datenschutzfachlichen und organisatorischen Orientierung und ersetzen keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung verbleibt bei Ihrer Einrichtung. Für die erste Anfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular übermitteln.