Datenschutz

Darf ChatGPT Patientendaten verarbeiten?

13. August 2026 · 8 Minuten Lesezeit · zuletzt geprüft am 13. August 2026

Das Wichtigste in Kürze

Gesundheitsdaten bleiben auch in Prompts und Uploads besonders geschützt.
Consumer-, Business-, Healthcare- und API-Angebote haben unterschiedliche Bedingungen.
„Wird nicht zum Training genutzt“ beantwortet nicht alle Datenschutzfragen.
Anonymisierung ist nur wirksam, wenn eine Re-Identifizierung praktisch ausgeschlossen ist.

Warum der private ChatGPT-Account problematisch ist

Wer einen Arztbrief mit Name, Geburtsdatum oder seltenem Krankheitsverlauf in einen allgemeinen Chat kopiert, übermittelt Gesundheitsdaten an einen externen Dienst. Die Praxis muss vorher klären, auf welcher Grundlage das geschieht, welche Vertragsrolle der Dienst hat und ob Schweigepflicht, Informationspflichten und Sicherheitsanforderungen erfüllt sind.

OpenAI beschreibt für individuelle Dienste eigene Datenkontrollen und mögliche Modellverbesserung. Für Business-Angebote und die API gelten andere Zusagen; dort werden Organisationsdaten nach Anbieterangaben standardmäßig nicht zum Training verwendet. Diese Unterschiede müssen anhand der tatsächlich gebuchten Produktvariante geprüft werden.

Warum „anonymisiert“ oft zu schnell gesagt ist

Das Entfernen von Name und Adresse reicht nicht immer. Fachrichtung, Wohnort, Alter, Datum und seltene Diagnose können zusammen eine Person wieder erkennbar machen. Pseudonymisierte Daten bleiben personenbezogen, wenn die Praxis den Bezug wiederherstellen kann.

Echte Anonymisierung kann das Risiko deutlich senken, ist bei detailreichen medizinischen Texten aber anspruchsvoll. Deshalb sollte Datenminimierung bereits vor der Eingabe beginnen.

Checkliste für eine professionelle Lösung

Genaues Produkt und verantwortliche Vertragspartei bestimmen.
AVV, Unterauftragsverarbeiter und Drittlandtransfers prüfen.
Speicherfristen, Trainingsnutzung und Löschmöglichkeiten dokumentieren.
Rollen, Zugriffsschutz und Protokollierung in der Praxis festlegen.
Nur erforderliche Daten übermitteln und Ausgabe fachlich prüfen.
Patienteninformation und Verzeichnis der Verarbeitungstätigkeiten aktualisieren.

Spezialisierte Dokumentationssoftware ist mehr als ein Chatfenster

Ein medizinischer Dokumentationsassistent sollte einen kontrollierten Ablauf für Aufnahme, Strukturierung, Prüfung, Löschung und Übergabe ins PVS bieten. Das reduziert nicht automatisch jede rechtliche Pflicht, macht den Prozess aber prüfbarer als spontane Eingaben in ein nicht konfiguriertes Verbraucherkonto.

Fazit

Die Frage ist nicht, ob ein Sprachmodell grundsätzlich medizinischen Text verarbeiten kann. Entscheidend ist, ob das konkrete Produkt unter passenden Verträgen, Einstellungen und Praxisregeln eingesetzt wird. Ohne diese Prüfung gehören identifizierbare Patientendaten nicht in einen allgemeinen Chatbot.

Häufige Fragen

Reicht es, Namen zu entfernen?

Nicht immer. Weitere Merkmale können eine Person identifizierbar machen. Echte Anonymisierung muss eine Re-Identifizierung praktisch ausschließen.

Sind ChatGPT Business und die API dasselbe?

Nein. Es sind unterschiedliche Produkte mit eigenen Funktionen, Vertragsbedingungen und Datenflüssen. Die konkret eingesetzte Variante muss geprüft werden.

Macht das Abschalten des Trainings die Nutzung DSGVO-konform?

Nicht allein. Rechtsgrundlage, AVV, Transparenz, Sicherheit, Löschung, Datenübermittlung und Schweigepflicht bleiben zu prüfen.

Quellen und Stand

Dieser Beitrag wurde am 13. August 2026 anhand der folgenden Primärquellen und Produktinformationen geprüft:

Dieser Beitrag bietet eine allgemeine Orientierung und keine Rechtsberatung für den Einzelfall.