LLMs für die klinische Dokumentation und Arztbriefschreibung in deutschen Krankenhäusern: Compliance nach EU AI Act, DSGVO und § 203 StGB

Thema: LLMs für die klinische Dokumentation in deutschen Krankenhäusern — Regulatorische Compliance

Sprache: Deutsch

Datum: November 2026

Autor: Eduard Koshilko, MD (ukrainisch ausgebildeter Arzt)

Status: Unabhängiger Forscher — nicht als Arzt in Deutschland/EU approbiert, keine klinische Praxis

Zusammenfassung

Große Sprachmodelle (Large Language Models, LLMs) für die klinische Dokumentation — Ambient AI Scribes und automatisierte Arztbriefschreibung — sind der am schnellsten wachsende Trend der Digitalisierung in deutschen Krankenhäusern im Jahr 2026. Doch deutsche Kliniken stehen vor einem besonders engen regulatorischen Knoten: Der EU AI Act 2024/1689 stuft klinische KI als hochrisikobehaftet ein; die DSGVO Artikel 9 behandelt Gesundheitsdaten als besondere Kategorie; § 203 StGB stellt die unbefugte Offenlegung von Patientengeheimnis unter Strafandrohung; und DiGA (§ 33a SGB V) gilt nicht für interne B2B-Software von Krankenhäusern. Dieser Übersichtsartikel kartiert die regulatorische Landschaft, identifiziert Implementierungsbarrieren und liefert einen praktischen Compliance-Rahmen für deutsche Krankenhäuser bei der Einführung von LLM-Dokumentationstools.

1. Einleitung

1.1 Das klinische Problem

Der Dokumentationsaufwand von Ärzten ist ein gut dokumentierter Treiber von Burnout und Ineffizienz. Deutsche Ärzte verbringen bis zu 50 % ihrer Arbeitszeit mit Dokumentation statt mit direkter Patientenversorgung. Ambient AI Scribes — LLM-Systeme, die Klinik-Patient-Gespräche in Echtzeit aufnehmen und klinische Notizen entwerfen — versprechen, diese Zeit zurückzugewinnen. Automatisierte Arztbriefschreibung (Erstellung von Entlassungsbriefen) reduziert zusätzlich die Stunden, die für die Zusammenfassung von Krankenhausaufenthalten aufgewendet werden.

1.2 Warum Deutschland anders ist

Deutschland verbindet drei Regulierungsregime, die die meisten anderen Länder nicht kombinieren:

1. EU AI Act 2024/1689 — klinische KI-Systeme sind hochrisikobehaftet (Anhang III, Punkt 6), erfordern Konformitätsbewertung, Risikomanagement und menschliche Aufsicht.
2. DSGVO — Gesundheitsdaten sind besondere Kategorie gemäß Artikel 9; Verarbeitung ist grundsätzlich verboten, es sei denn, eine schmale Ausnahme greift.
3. § 203 StGB — Deutsches Strafgesetzbuch kriminalisiert die unbefugte Offenlegung von Patientengeheimnissen durch medizinisches Personal und Hilfskräfte, mit Strafen einschließlich Freiheitsstrafe.

Entscheidend: DiGA (Digitale Gesundheitsanwendungen, „Apps auf Rezept“ gemäß § 33a SGB V) gilt nicht. Die DiGA-Zertifizierung ist ausschließlich für patientenorientierte, niedrig risikobehaftete digitale Medizinprodukte (Klassen I und IIa) im ambulativen Sektor vorgesehen. Krankenhausinterne LLM-Dokumentationstools sind B2B-Software für Kliniker — sie können keine DiGA sein und sollten nicht als solche vermarktet werden.

2. Methoden

2.1 Regulatorische Landschaftsanalyse

Wir überprüften den EU AI Act 2024/1689, die DSGVO (Verordnung 2016/679), das Deutsche Strafgesetzbuch (§§ 203–204 StGB), das GDNG (Gesundheitsdatennutzungsgesetz), die ePA-Regularien (ePA für alle) und die FDA CDS Guidance (Januar 2026) zum vergleichenden Kontext. Quellen: offizielle EUR-Lex-Texte, BfArM-Leitlinien, peer-reviewte PMC-Analysen und 2026-rechtliche Kommentare deutscher Compliance-Institute.

2.2 Implementierungsrahmen

Ein Fünf-Säulen-Compliance-Modell wurde abgeleitet: (1) Risikoklassifikation, (2) Daten governance, (3) technische Architektur, (4) menschliche Aufsicht und (5) Dokumentation und Audit.

3. Regulatorische Analyse

3.1 EU AI Act 2024/1689

3.2 DSGVO (Verordnung 2016/679)

3.3 § 203 StGB — Patientengeheimnis

§ 203 Strafgesetzbuch stellt die unbefugte Offenlegung von dem medizinischem Personal anvertrauten Geheimnissen unter Strafe. Verstöße können mit bis zu einer Freiheitsstrafe oder Geldstrafe geahndet werden.

Wichtige Implikationen für die LLM-Dokumentation:

• LLM-Anbieter sind nicht automatisch an § 203 StGB gebunden — die Verpflichtung trifft den medizinischen Fachangestellten und seine Hilfskräfte. Krankenhäuser müssen sicherstellen, dass Anbieter-Mitarbeiter, die mit Patientendaten arbeiten, vertraglich zur Verschwiegenheit verpflichtet sind (§ 203(4) StGB erlaubt Dritten, die zur Verschwiegenheit verpflichtet sind).
• Cloud-basierte LLMs — wenn Patientendaten die Krankenhaus-IT-Umgebung verlassen, bleibt das Krankenhaus gemäß § 203 StGB und DSGVO verantwortlich. On-premise oder lokale LLM-Bereitstellung wird dringend empfohlen.
• Prompt-Daten — jeder klinische Prompt mit Patientenidentifikatoren ist eine potenzielle § 203 StGB-Exposition, wenn er von einem externen Anbieter ohne angemessene Schutzmaßnahmen verarbeitet wird.

3.4 § 204 StGB — Geschäftsgeheimnisse

§ 204 StGB schützt Geschäfts- und Betriebsgeheimnisse. Krankenhausbetriebsdaten, die von externen LLMs verarbeitet werden, können darunter fallen. Unbefugte Offenlegung durch Anbieter-Mitarbeiter kann § 204-StGB-Haftung für den Anbieter auslösen, mit zivil- und strafrechtlichen Folgen für das Krankenhaus.

3.5 Warum DiGA nicht gilt

DiGA gemäß § 33a SGB V ist ausschließlich für patientenorientierte digitale Medizinanwendungen im ambulanten Sektor vorgesehen, niedriges Risiko (Klassen I–IIa), erstattungsfähig über die GKV. Krankenhausinterne Dokumentationstools für Ärzte sind:

• Nicht patientenorientiert (klinikerorientierte B2B-Software)
• Nicht im ambulanten Sektor (stationäres/Krankenhaus-Setting)
• Nicht notwendigerweise niedrigrisikobehaftet (klinische Dokumentation beeinflusst Patientensicherheit)

Ein Krankenhaus-LLM-Dokumentationstool als „DiGA-konform“ zu vermarkten, ist ein regulatorischer Fehler, den deutsche Experten und medizinische Filter sofort erkennen werden. Der richtige Rahmen ist EU AI Act + DSGVO + §§ 203/204 StGB + lokale Krankenhaus-IT-Governance.

4. Implementierungsbarrieren

5. Compliance-Rahmen: Fünf Säulen

flowchart TD
    A[Krankenhaus entscheidet sich für LLM-Dokumentation] --> B[Säule 1: Risikoklassifikation]
    B --> C[Säule 2: Daten governance & DSGVO]
    C --> D[Säule 3: Technische Architektur]
    D --> E[Säule 4: Menschliche Aufsicht & Workflow]
    E --> F[Säule 5: Dokumentation & Audit]
    F --> G[Go-live mit EU AI Act Konformität]

    B --> B1[Hochrisiko-KI gemäß Anhang III]
    C --> C1[Art. 9 besondere Kategorie Gesundheitsdaten]
    C --> C2[DSFA gemäß Art. 35]
    C --> C3[DPA gemäß Art. 28]
    D --> D1[On-premise oder EU-gehostetes LLM]
    D --> D2[Verschlüsselung, Zugriffskontrollen]
    E --> E1[Kliniker prüft jeden Entwurf]
    E --> E2[Automatisierungs-Bias-Schulung]
    F --> F1[Technische Dokumentation]
    F --> F2[Konformitätsbewertung]

6. Empfehlungen für deutsche Krankenhäuser

1. Keine DiGA-Zertifizierung anstreben — das ist der falsche Rahmen für interne Krankenhaus-Dokumentationssoftware.
2. On-premise LLM-Bereitstellung bevorzugen — hält Patientendaten unter Kontrolle der Krankenhaus-IT und vereinfacht die § 203 StGB-Compliance.
3. Umfassenden DPA mit dem LLM-Anbieter abschließen — einschließlich bindender Verschwiegenheit von Anbieter-Mitarbeitern gemäß § 203(4) StGB.
4. DSFA vor dem Go-live durchführen — Dokumentation der Gesundheitsdaten-Verarbeitungsrisiken gemäß DSGVO Artikel 35.
5. Verpflichtenden Kliniker-Unterschriften-Workflow einführen — jeder KI-generierte Arztbrief oder jede Notiz erfordert menschliche Überprüfung und elektronische Unterschrift.
6. Kliniker für Automatisierungs-Bias schulen — übermäßiges Vertrauen in KI-Ausgabe ist ein dokumentiertes Patientensicherheitsrisiko.
7. Mit ePA für alle und GDNG abstimmen — sicherstellen, dass Dokumentationsausgabe in die nationale elektronische Patientenakte überführt werden kann.

7. Fazit

LLMs für die klinische Dokumentation bieten deutschen Krankenhäusern eine echte Effizienzchance, aber der regulatorische Pfad ist schmal. Die EU AI Act Hochrisiko-Klassifikation, die DSGVO Artikel 9 Gesundheitsdatenschutzbestimmungen und die strafrechtliche Haftung gemäß § 203 StGB schaffen ein Compliance-Umfeld, das strenger ist als in den meisten anderen EU-Ländern. DiGA ist nicht die Antwort — sie gilt für patientenorientierte ambulante Apps, nicht für interne Krankenhaus-B2B-Dokumentationstools. Krankenhäuser, die On-Premise-LLMs mit umfassenden DPAs, DSFA und verpflichtender menschlicher Aufsicht bereitstellen, können die Dokumentations-Effizienzgewinne realisieren und dabei innerhalb deutschen und EU-Rechts bleiben.

Mermaid-Diagramm: LLM-Dokumentations-Compliance-Workflow

flowchart TD
    A[Klinik-Patient-Begegnung] --> B[Ambient AI Scribe erfasst Audio]
    B --> C[LLM entwirft klinische Notiz / Arztbrief]
    C --> D{Pseudonymisiert?}
    D -- Nein --> E[Pseudonymisierung vor externer Verarbeitung anwenden]
    D -- Ja --> F[Lokales oder EU-gehostetes LLM-Inferenz]
    E --> F
    F --> G[Kliniker prüft und bearbeitet Entwurf]
    G --> H[Kliniker unterzeichnet elektronisch]
    H --> I[Dokument wird im KIS/EHR gespeichert]
    I --> J[Audit-Trail: wer hat bearbeitet, wann, warum]
    G -- Abgelehnt --> K[Kliniker schreibt manuell um]
    K --> I

Referenzen

1. Europäische Union. Verordnung (EU) 2024/1689 — KI-Gesetz. Amtsblatt der EU. 2024.
2. Europäisches Parlament und Rat. Verordnung (EU) 2016/679 — Datenschutz-Grundverordnung (DSGVO). 2016.
3. Deutsches Strafgesetzbuch (Strafgesetzbuch). §§ 203–204 — Verletzung des Privatgeheimnisses und Geschäftsgeheimnisses.
4. Sozialgesetzbuch (SGB V). § 33a — DiGA (Digitale Gesundheitsanwendungen).
5. Bundesministerium für Gesundheit. GDNG — Gesundheitsdatennutzungsgesetz. 2021–2026.
6. BfArM. DiGA Fast-Track-Verfahren. 2023–2026.
7. U.S. Food and Drug Administration. Clinical Decision Support Software: Guidance for Industry and FDA Staff. Januar 2026.
8. PMC13292296. The EU AI Act: implications and compliance guidance for healthcare facilities. 2026.
9. Questa AI. GDPR and AI Compliance for Hospitals: 2026 Guide. 2026.
10. ICLG. Digital Health Laws and Regulations Report 2026 — Germany. 2026.

DALL-E-Bildpromt

Stil: Abstrakter Expressionismus à la Wassily Kandinsky und Paul Klee — geometrische Formen, transluzente überlappende Rechtecke und Kreise, Motive der medizinischen Dokumentation (Klemmbrett, Stift, Krankenhausarmband, Stethoskop-Silhouette) die in Farbfelder aus tiefem Preußischblau, warmem Ocker, weichem Salbei und gedecktem Rost übergehen. Sichtbare Pinselstriche, strukturierte Leinwand, leuchtende Farbverläufe, die den Fluss von handschriftlichen Notizen zu digitalem Text zu KI-generiertem Output andeuten. Komposition ausgeglichen zwischen links (analoge Dokumentation, Handschrift, Papiertexturen) und rechts (digitale Abstraktion, klare Linien, Datenfluss). Stimmung: professionell, technologisch und doch menschlich, reguliert aber hoffnungsvoll. Kein Text, keine Logos, keine fotorealistischen Gesichter, keine deutsche Flagge.

Tags

LLM, klinische Dokumentation, deutsche Krankenhäuser, EU AI Act, DSGVO, § 203 StGB, Arztbriefschreibung, Ambient AI Scribe, Healthcare AI, regulatorische Compliance, DiGA, Medizin-KI, abstrakte Kunst

Autorenblock und Haftungsausschluss

Autor: Eduard Koshilko, MD (ukrainisch ausgebildeter Arzt, ukrainisches Medizin-Diplom)

Status: Approbationsverfahren in Deutschland (FSP-Vorbereitung) — nicht als Arzt in Deutschland approbiert, keine klinische Praxis in Deutschland/EU

Zugehörigkeit: Unabhängiger Forscher, Online-KI-Medizin-Training, Cureus Peer-Reviewer

Haftungsausschluss: Dieser Artikel dient ausschließlich Informations- und Bildungszwecken. Er stellt keine Rechtsberatung, keine medizinische Beratung, keine Diagnose und keine Behandlungsempfehlung dar. Der Autor ist nicht als Arzt in Deutschland/EU approbiert und führt keine klinische Praxis durch. Für rechtliche und klinische Entscheidungen wenden Sie sich bitte an einen qualifizierten Rechtsanwalt und einen approbierten Arzt bzw. eine approbierte Ärztin. Der Autor übernimmt keine Haftung für Konsequenzen, die aus der Verwendung dieser Informationen entstehen. Jede Einführung von KI-gestützter klinischer Dokumentation erfordert eine eigenständige regulatorische Bewertung, eine lokale Validierung und eine aktive ärztliche Kontrolle gemäß deutschem und EU-Recht (EU AI Act 2024/1689, DSGVO, §§ 203–204 StGB, GDNG).