Schweigepflicht und KI am Telefon: Was Praxen und Kanzleien vom Anbieter verlangen müssen
Kurz zusammengefasst
Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO deckt § 203 StGB nicht mit ab. Wer als Ärztin, Zahnarzt, Psychotherapeutin, Steuerberater oder Rechtsanwältin einen Dienstleister einsetzt, der Patienten- oder Mandantendaten zu hören bekommt, muss diesen Dienstleister als „sonstige mitwirkende Person“ nach § 203 Abs. 3 StGB sorgfältig auswählen und auf die Geheimhaltung verpflichten. Unterbleibt die Verpflichtung, liegt das Strafbarkeitsrisiko nach § 203 Abs. 4 Nr. 1 StGB bei der Praxis oder Kanzlei — nicht beim Dienstleister. Verlangen Sie deshalb ein eigenes Dokument, nicht nur einen Satz im AVV.
Warum der AVV allein nicht genügt
Der Auftragsverarbeitungsvertrag regelt Datenschutz: Wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, welche technischen Maßnahmen gelten, wie lange gespeichert wird. § 203 StGB regelt etwas anderes, nämlich Strafrecht: das Berufsgeheimnis. Beide gelten nebeneinander, und der eine erledigt den anderen nicht. Wer nur einen AVV unterschreiben lässt, hat den datenschutzrechtlichen Teil abgedeckt und den strafrechtlichen offen gelassen.
Was § 203 Absatz 3 erlaubt — und was Absatz 4 verlangt
Seit der Neuregelung stellt § 203 Absatz 3 StGB klar, dass Berufsgeheimnisträger „sonstige an ihrer beruflichen Tätigkeit mitwirkende Personen“ einbeziehen dürfen, ohne damit unbefugt ein Geheimnis zu offenbaren. Dazu zählen typischerweise IT-Dienstleister, Serverbetreiber, Schreibdienste — und ein Telefonservice, gleich ob mit Menschen oder mit KI besetzt. Die Erlaubnis ist aber an zwei Bedingungen geknüpft: sorgfältige Auswahl und Verpflichtung zur Geheimhaltung. Absatz 4 zieht die Konsequenz daraus und stellt es unter Strafe, wenn die mitwirkende Person nicht zur Geheimhaltung verpflichtet wurde.
§ 203 Abs. 4 Nr. 1 StGB
Strafbarkeit des Berufsgeheimnisträgers, wenn die mitwirkende Person nicht zur Geheimhaltung verpflichtet wurde(Quelle)
Das Risiko liegt bei Ihnen, nicht beim Anbieter
Das ist der Punkt, der in Verkaufsgesprächen selten fällt. Die Strafnorm richtet sich an den Berufsgeheimnisträger, also an die Praxis oder die Kanzlei. Wenn Sie einen Dienstleister einsetzen und ihn nicht verpflichtet haben, ist das Ihr Problem, nicht seines. Hinzu kommt nach § 203 Abs. 4 Satz 2 Nr. 1 StGB eine eigenständige Verantwortlichkeit, wenn Sie die mitwirkende Person nicht sorgfältig ausgewählt oder überwacht haben. Deshalb ist die Frage nach dem Dokument keine Formalie, sondern Eigenschutz.
| Dokument | Regelt | Wer trägt das Risiko ohne das Dokument |
|---|---|---|
| Auftragsverarbeitungsvertrag (Art. 28 DSGVO) | Datenschutz: Verarbeitung, Löschfristen, technische Maßnahmen | Praxis und Dienstleister, aufsichtsrechtlich |
| Verpflichtung auf das Berufsgeheimnis (§ 203 StGB) | Strafrecht: Schweigepflicht der mitwirkenden Person | Die Praxis oder Kanzlei, strafrechtlich |
| Technische Dokumentation | Wo verarbeitet wird, was gespeichert wird | Praxis, im Nachweis gegenüber der Aufsicht |
Was Sie vor der Unterschrift fragen sollten
Diese Fragen kosten fünf Minuten und trennen Anbieter, die das Thema kennen, von solchen, die es noch nie gehört haben. Wenn ein Anbieter bei der zweiten Frage ins Stocken gerät, haben Sie Ihre Antwort.
- Bekomme ich neben dem AVV eine gesonderte Verpflichtung auf das Berufsgeheimnis nach § 203 StGB? Bitte als eigenes Dokument.
- Sind auch Ihre eigenen Beschäftigten und Ihre Unterauftragnehmer entsprechend verpflichtet?
- Wer genau kann im Betrieb auf Gesprächsinhalte zugreifen, und wie ist das technisch begrenzt?
- Werden Gespräche aufgezeichnet? Wenn ja: verschlüsselt, wie lange, und wer kann entschlüsseln?
- Wo stehen die Server, und welche Unterauftragsverarbeiter sind beteiligt? Bitte die vollständige Liste.
- Was passiert mit den Daten, wenn ich kündige?
Der praktische Unterschied zwischen Anbietern
In der Preisklasse unterhalb von etwa hundert Euro im Monat ist ein Telefonassistent in der Regel ein Selbstbedienungsprodukt: Sie legen ein Konto an, klicken sich eine Konfiguration zusammen und akzeptieren AGB. Ein individuell unterzeichnetes Dokument zum Berufsgeheimnis gibt es in diesem Modell meist nicht, weil es Aufwand pro Kunde bedeutet. Das ist für einen Handwerksbetrieb unproblematisch — er ist kein Berufsgeheimnisträger. Für eine Praxis oder Kanzlei ist es der Punkt, an dem das günstigere Angebot seinen Preis hat.
Wie Vokaro das handhabt
Praxen und Kanzleien erhalten von uns beides: den Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit vollständiger Liste der Unterauftragsverarbeiter und eine gesonderte Verpflichtung auf das Berufsgeheimnis nach § 203 StGB als eigenes Dokument. Aufzeichnungen werden verschlüsselt gespeichert und nach einer vereinbarten Frist automatisch gelöscht. Verarbeitet wird in Deutschland und der EU. Betriebe ohne Berufsgeheimnis — Handwerk, Kfz, Hausverwaltung — bekommen den AVV und brauchen die § 203-Verpflichtung nicht; wir verkaufen sie ihnen deshalb auch nicht.
Kein Rechtsrat
Dieser Beitrag beschreibt den Regelfall und ersetzt keine Rechtsberatung. Ob und in welchem Umfang § 203 StGB in Ihrem Fall greift, hängt von Ihrem Beruf und der konkreten Ausgestaltung ab. Ihre Kammer hält dazu in der Regel Merkblätter und Mustertexte bereit; ein Anruf dort ist kostenlos und oft der schnellste Weg.
Häufig gestellte Fragen
Reicht der Auftragsverarbeitungsvertrag nicht aus?
Nein. Der AVV setzt Artikel 28 DSGVO um und regelt den Datenschutz. § 203 StGB ist Strafrecht und verlangt zusätzlich, dass Sie die mitwirkende Person auf die Geheimhaltung verpflichten. Beide Dokumente gelten nebeneinander.
Wer macht sich strafbar, wenn die Verpflichtung fehlt?
Nach § 203 Abs. 4 Nr. 1 StGB der Berufsgeheimnisträger — also die Praxis oder die Kanzlei, die den Dienstleister eingesetzt hat. Das ist der Grund, warum Sie das Dokument aktiv einfordern sollten, statt darauf zu warten, dass der Anbieter es anbietet.
Gilt das auch für einen Telefonservice mit Menschen?
Ja. Die Norm unterscheidet nicht danach, ob am anderen Ende ein Mensch oder ein KI-System sitzt. Entscheidend ist, dass ein externer Dienstleister Kenntnis von Geheimnissen erlangen kann. Ein klassischer Büroservice fällt genauso darunter wie ein KI-Telefonassistent.
Betrifft mich das als Handwerksbetrieb?
Nein. § 203 StGB gilt für die dort aufgezählten Berufsgruppen, etwa Ärztinnen und Ärzte, Zahnärzte, Psychotherapeuten, Apotheker, Rechtsanwältinnen, Steuerberater und Notare. Ein Handwerksbetrieb, eine Kfz-Werkstatt oder eine Hausverwaltung sind keine Berufsgeheimnisträger im Sinne der Norm und brauchen die Verpflichtung nicht.
Was ist mit Unterauftragnehmern des Anbieters?
Die müssen ebenfalls eingebunden sein. Ein Anbieter, der Spracherkennung, Sprachausgabe oder Hosting von Dritten bezieht, sollte Ihnen diese Kette offenlegen und bestätigen, dass die Verpflichtung durchgereicht wird. Verlangen Sie die vollständige Liste der Unterauftragsverarbeiter — sie gehört ohnehin als Anlage in den AVV.
Muss ich die Verpflichtung jährlich erneuern?
In der Regel nicht. Sie gilt für die Dauer der Zusammenarbeit fort. Ändert sich jedoch etwas Wesentliches — ein neuer Unterauftragsverarbeiter, ein neuer Verarbeitungsort, ein deutlich veränderter Funktionsumfang — sollten Sie sich den Stand erneut bestätigen lassen.