In Bogenhausen, zwischen Prinzregentenstraße und Herkomerplatz, klingelt an einem Montagmorgen um kurz nach acht das Telefon einer dermatologischen Privatpraxis zum vierzehnten Mal. Die einzige MFA am Empfang hat gerade einen Privatpatienten mit Terminwunsch für eine Muttermalkontrolle in der Leitung, während zwei weitere Anrufer warten und im Wartezimmer schon jemand nach der Rechnung fragt. So sieht der Engpass in vielen Münchner Praxen aus, und genau hier setzt die Debatte um einen KI-Anrufbeantworter für die Praxis DSGVO-konform an. Denn die Inhaber hier kaufen keine Technik, weil sie modern klingt. Sie kaufen sie erst, wenn die Datenschutzunterlagen stimmen.
Dieser Beitrag geht die Prüfliste durch, die eine Münchner Praxis abarbeitet, bevor überhaupt über den Preis gesprochen wird: Auftragsverarbeitungsvertrag, Datenschutz-Folgenabschätzung nach Art. 35, C5-testiertes Hosting und die Stimmkennzeichnung nach dem AI-Act. Und er zeigt, wie diese Anforderungen zusammen mit der eigentlichen Entlastung am Empfang funktionieren.
Warum der Empfang in Bogenhausen und Schwabing zuerst überläuft
München hat eine hohe Dichte an Privatpraxen, und die Erwartungshaltung der Patientinnen und Patienten ist entsprechend. Wer privat versichert ist oder als Selbstzahler zur ästhetischen Dermatologie kommt, erwartet, dass jemand abnimmt, dass Rückfragen zur Rechnung sofort beantwortet werden und dass ein Termin ohne wochenlange Warteschleife zustande kommt. Gleichzeitig ist der Arbeitsmarkt für Medizinische Fachangestellte in der Stadt angespannt. Die Lebenshaltungskosten in Vierteln wie Bogenhausen, Schwabing oder Grünwald sind hoch, gute MFA werden umworben, und eine unbesetzte Stelle am Empfang lässt sich nicht mal eben aus dem Umland nachbesetzen.
Das Ergebnis kennt jede Praxisleitung: Die Anrufspitze zwischen acht und zehn Uhr trifft auf eine Belegschaft, die parallel den Wartebereich, die Materialbestellung und die Privatabrechnung bedient. Illustrativ, aber typisch: In dieser Morgenspitze gehen an einem Empfang schnell 40 bis 60 Anrufe ein, und ein spürbarer Teil landet in der Mailbox oder wird gar nicht erst angenommen. Jeder verpasste Anruf einer Privatpatientin ist in diesem Segment kein Kleckerbetrag, sondern ein verlorener Termin, der andernorts gebucht wird. Die Praxis verliert also nicht Technik, sie verliert Umsatz und Bindung.
Ein KI-Telefonassistent, der jeden Anruf annimmt, rund um die Uhr, auf Deutsch und für Münchens internationale Patientschaft auch auf Englisch, löst dieses operative Problem. Aber in München entscheidet nicht das Feature. Es entscheidet, ob die Verarbeitung sauber ist.
Genau daran scheitern viele Anläufe. Eine Praxis probiert ein günstiges Callcenter-Tool aus dem Ausland, die Sprachaufnahmen laufen über Server, deren Standort niemand belegen kann, und spätestens beim Gespräch mit dem Datenschutzbeauftragten wird das Projekt wieder eingestampft. Der Frust ist doppelt: Die Anrufspitze bleibt, und die Zeit für die Evaluation war verloren. Deshalb hat sich in der Stadt eine feste Reihenfolge etabliert. Zuerst die Rechtsgrundlage, dann die Funktion. Eine Praxisleitung, die diese Reihenfolge einhält, spart sich zwei Fehlversuche und kommt schneller zu einer Lösung, die auch nach einer Prüfung durch die Aufsichtsbehörde Bestand hat.
Der AVV nach Art. 28 DSGVO steht am Anfang, nicht am Ende
Sobald ein externer Dienst im Auftrag der Praxis Patientendaten verarbeitet, greift Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag ist keine Formalie, die man nach der Unterschrift nachreicht, sondern die Grundlage, ohne die der Dienst nicht produktiv laufen darf. Für einen KI-Anrufbeantworter heißt das konkret: Name, Rückrufnummer, Terminwunsch und im Zweifel ein grob genannter Grund wie eine Muttermalkontrolle sind personenbezogene Daten, teils sogar Gesundheitsdaten nach Art. 9.
Eine Münchner Praxis verlangt daher vor dem ersten Testanruf den AVV-Entwurf und liest ihn mit dem eigenen Datenschutzbeauftragten. Geprüft werden mindestens diese Punkte:
- Verarbeitung ausschließlich auf dokumentierte Weisung der Praxis.
- Ein konkretes, benanntes Verzeichnis der Unterauftragnehmer statt einer pauschalen Blankovollmacht.
- Technische und organisatorische Maßnahmen, die zur Kategorie Gesundheitsdaten passen.
- Klare Regeln zu Löschung und Rückgabe der Daten am Vertragsende.
- Meldeketten für den Fall einer Datenschutzverletzung.
CallSphere liefert den AVV als verhandelbares Dokument, listet die eingesetzten Subprozessoren offen und benennt die Speicherorte. Das ist der Punkt, an dem viele generische Callcenter-Tools durchfallen, weil sie ihre Datenketten nicht sauber aufschlüsseln.
In der Praxis heißt das: Der Datenschutzbeauftragte einer Bogenhausener Privatpraxis will nicht nur wissen, dass ein AVV existiert, sondern ob er die richtigen Kategorien abbildet. Bei einer Dermatologie geht es eben nicht nur um Terminorganisation, sondern gelegentlich um sensible Hinweise, etwa wenn ein Anrufer eine auffällige Hautveränderung schildert. Ein Vertrag, der Gesundheitsdaten nur beiläufig erwähnt, reicht nicht. Er muss die besonderen Schutzmaßnahmen konkret benennen, von der Verschlüsselung über die Zugriffsprotokolle bis zum Löschkonzept nach Vertragsende. Ein durchdachtes Löschkonzept ist dabei oft der Prüfstein, an dem sich zeigt, ob ein Anbieter das Thema ernst nimmt oder nur ein Standardformular ausfüllt.
DSFA nach Art. 35 und C5-testiertes Hosting in der EU
Weil ein KI-Assistent systematisch besondere Kategorien personenbezogener Daten verarbeitet, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO in der Regel Pflicht. Der Bayerische Landesbeauftragte für den Datenschutz führt Verfahren dieser Art auf der Liste der DSFA-pflichtigen Vorgänge. Die Praxis bleibt dafür verantwortlich, aber sie ist nicht allein: Ein guter Anbieter liefert die technische Beschreibung des Systems, die Datenflüsse und eine Risikoeinschätzung, sodass die DSFA nicht bei null beginnt.
Parallel dazu prüft die Praxis das Hosting. In der DACH-Region ist der C5-Kriterienkatalog des BSI der De-facto-Maßstab dafür, ob ein Cloud-Dienst sicher betrieben wird. Ein C5-Testat und Rechenzentren innerhalb der EU sind für eine Münchner Privatpraxis oft die harte Grenze: Landen Sprachdaten auf Servern außerhalb des EWR ohne belastbare Garantien, ist das Gespräch beendet, bevor es begonnen hat.
Der folgende Ablauf zeigt, wie die Prüfliste eine Kaufentscheidung strukturiert, bevor über Konditionen gesprochen wird.
flowchart TD
A[Praxis Bogenhausen prueft KI-Telefonassistent] --> B{AVV nach Art 28 vorhanden}
B -->|Nein| X[Absage vor Preisgespraech]
B -->|Ja| C{DSFA nach Art 35 machbar}
C -->|Nein| X
C -->|Ja| D{C5-Testat und Hosting in der EU}
D -->|Nein| X
D -->|Ja| E{AI-Act Stimmkennzeichnung}
E -->|Nein| X
E -->|Ja| F[Testanruf und Preisgespraech]
F --> G[Live am Empfang 24/7]Erst wenn jeder dieser Knoten grün ist, wird in München über Preise gesprochen. Wer die Reihenfolge umdreht und mit dem Angebot startet, verliert die Praxis im ersten Termin.
Art. 50 AI-Act: Die synthetische Stimme muss sich zu erkennen geben
Seit die KI-Verordnung der EU greift, gilt für Systeme, die direkt mit Menschen sprechen, eine Transparenzpflicht. Art. 50 verlangt, dass eine Person erkennt, wenn sie mit einem KI-System interagiert. Für einen KI-Anrufbeantworter bedeutet das ganz praktisch: Zu Beginn des Gesprächs muss der Anrufer erfahren, dass hier ein KI-Assistent antwortet und nicht eine Mitarbeiterin am Empfang.
Das ist keine juristische Spitzfindigkeit, sondern in München auch eine Frage des Vertrauens. Privatpatientinnen akzeptieren einen KI-Assistenten erstaunlich gut, solange sie nicht getäuscht werden. CallSphere spielt die Kennzeichnung automatisch als Ansage aus, protokolliert sie und macht sie damit prüfbar. Kommt es zu einer Beschwerde oder einer Nachfrage der Aufsichtsbehörde, lässt sich belegen, dass die Offenlegung erfolgt ist. Genau diese Nachweisbarkeit unterscheidet ein compliancefähiges Produkt von einem Bastel-Bot.
Wer sich die technische Umsetzung im Detail ansehen will, findet die Bausteine unter /features beschrieben, von der mehrsprachigen Gesprächsführung bis zur Protokollierung.
Was am Empfang tatsächlich passiert, wenn die Compliance sitzt
Sind AVV, DSFA-Grundlage, C5-Hosting und Stimmkennzeichnung geklärt, kommt der Teil, der die Praxis eigentlich interessiert: die Entlastung. Der KI-Assistent nimmt jeden Anruf beim ersten Klingeln an, auch in der Montagsspitze und auch um 21 Uhr, wenn ein Patient nach dem Feierabend anruft. Er bucht Termine direkt in den Kalender, gleicht Zeitfenster ab und füllt frei gewordene Slots aus einer Warteliste automatisch nach, sodass Absagen nicht als Leerlauf enden.
Für Münchens internationale Patientschaft spielt die Mehrsprachigkeit eine reale Rolle. In einer Stadt mit vielen Zugezogenen und Beschäftigten internationaler Unternehmen wechselt der Assistent ohne Umweg zwischen Deutsch und Englisch und nimmt weitere Sprachen auf, ohne dass die MFA dolmetschen muss. Rückfragen zur Privatrechnung oder zum Rezept landen strukturiert und nachvollziehbar bei der Praxis, statt in einer überquellenden Mailbox.
Die MFA am Empfang gewinnt damit ihre Vormittage zurück. Sie kümmert sich um die Patientin, die tatsächlich vor ihr steht, statt zwischen drei parallelen Leitungen zu jonglieren. Kein Anruf geht mehr verloren, und die Praxis behält die Termine, die früher stumm in der Warteschleife abgebrochen wurden. Die Preismodelle dafür sind unter /pricing einsehbar, sodass sich der Aufwand gegen die verlorenen Termine sauber gegenrechnen lässt.
Auch die automatische Rückgewinnung von Patienten spielt in einem Segment wie der ästhetischen Dermatologie eine Rolle. Eine Kontrolluntersuchung, die alle sechs oder zwölf Monate ansteht, geht im Alltag schnell unter, wenn niemand nachhält. Der Assistent erinnert die betreffenden Patientinnen zum passenden Zeitpunkt und bietet direkt einen Termin an, ohne dass die Praxis eine Liste manuell abtelefonieren muss. Für die Praxisleitung bedeutet das einen kalkulierbaren, gleichmäßigeren Kalender statt der üblichen Wellen aus überlaufenen Montagen und stillen Freitagen. Und weil jede Interaktion protokolliert wird, bleibt der Nachweis über die Einwilligung und die erfolgte Kennzeichnung jederzeit greifbar.
Die Reihenfolge entscheidet über die Einführung
Für eine dermatologische Privatpraxis in Bogenhausen ist ein KI-Telefonassistent kein Technikkauf, sondern ein Datenschutzprojekt mit einem operativen Nutzen am Ende. Wer die Reihenfolge respektiert, erst AVV und DSFA-Grundlage, dann C5 und Art.-50-Kennzeichnung und danach das Preisgespräch, führt die Lösung ruhig und rechtssicher ein. Der Empfang wird entlastet, die Anrufspitze verliert ihren Schrecken, und die Praxis kann belegen, dass jede Verarbeitung dokumentiert ist. Das ist in München kein Zusatz, sondern die Bedingung, unter der so ein Projekt überhaupt startet.