Für Psycholog:innen und Gutachter:innen
Mehr als nur Datenschutz bei der KI-gestützten Gutachtenerstellung
Datenschutzkonforme KI in der Gutachtenerstellung: Wie Sachverständige effizient und rechtssicher arbeiten
Unternehmen und Organisationen verschiedenster Branchensetzen generative KI inzwischen zunehmend ein, um Arbeitsabläufe effizienter zu gestalten und Routineaufgaben zu vereinfachen. Und obwohl generative KI-Systeme technisch ebenso geeignet wären, Prozesse im psychologischen und ärztlichen Gutachtenwesen spürbar zu entlasten, lassen sie sich dort bislang kaum verantwortungsvoll einsetzen.
Der Grund liegt im Spannungsfeld zwischen technologischem Fortschritt und den hohen Anforderungen an Datenschutz, Vertraulichkeit und gerichtsfeste Nachvollziehbarkeit. Die Verarbeitung sensibler Gesundheits- und Verfahrensdaten auf nicht-europäischer Cloud-Infrastruktur ist im Kontext von DSGVO und § 203 StGB rechtlich hochproblematisch. Das führt in der Praxis zu spürbarer Frustration. Während andere Branchen längst produktiv mit KI arbeiten, bleibt Sachverständigen der verantwortungsvolle Zugang zu diesen Technologien faktisch verwehrt.
Entscheidend ist die Kontrolle, nicht der Speicherort
Mit dem Einsatz von KI steigen die Anforderungen an Datenschutz und Datensicherheit. Gerade bei sensiblen Gesprächsinhalten stehen Sachverständige vor der Aufgabe, moderne Effizienzgewinne mit ihrer berufsrechtlichen Verantwortung in Einklang zu bringen. Denn im psychologischen und gerichtlichen Kontext können Datenschutzverstöße erhebliche rechtliche und fachliche Folgen haben.
Viele marktübliche KI-Systeme übertragen Daten an internationale Cloud-Infrastrukturen. Problematisch ist dabei in erster Linie nicht der physische Speicherort, sondern die rechtliche Kontrolle über die Daten. Der US CLOUD Act (2018) verpflichtet US-amerikanische Technologieunternehmen und deren Tochtergesellschaften zur Herausgabe von Daten an US-Behörden, selbst dann, wenn diese Daten auf Servern in Deutschland oder der EU liegen. Das steht in direktem Konflikt zu Art. 48 DSGVO, der eine solche Herausgabe ohne Rechtshilfeabkommen gerade untersagt.
Sobald also ein Anbieter US-amerikanisch ist, wie etwa Microsoft, Google, AWS, OpenAI (ChatGPT) oder Anthropic (Claude), greift dieser Zugriff grundsätzlich unabhängig vom Speicherort. Ein tatsächlicher Zugriff ist nicht der Regelfall, lässt sich technisch und rechtlich aber nicht vollständig ausschließen. Das begründet kein automatisches Datenschutzdefizit, wohl aber einen strukturellen Risikofaktor, der weder vom Anbieter noch vom Gutachter kontrolliert werden kann.
Besonders tückisch ist, dass dieses Risiko nicht nur bei der offensichtlichen Nutzung US-amerikanischer Chatbots entsteht. Auch viele spezialisierte Werkzeuge wie etwa Transkriptions- oder Formulierungstools mit europäischem Auftritt greifen im Hintergrund auf US-Dienste als Unterauftragsverarbeiter zurück. Sobald an irgendeiner Stelle der Verarbeitungskette Daten an ein US-Unternehmen gelangen, stellt sich dieselbe Frage erneut.
Reicht Anonymisierung nicht aus?
Naheliegend wäre der Gedanke, die Daten einfach vor der Verarbeitung zu anonymisieren. In der Praxis löst das das Problem aber nur bedingt. Häufig möchte man ganze Gespräche, umfangreiche Notizen oder vollständige Akten verarbeiten. Das bloße Entfernen von Name, Wohnort oder offensichtlichen Personenmerkmalen reicht ab einer gewissen Datenmenge schlicht nicht mehr aus. Allein durch die Vielzahl an Datenpunkten sowie die Person- und Umfeldbeschreibungen bleibt die betroffene Person identifizierbar. Und selbst wenn man so weit reduziert, dass eine echte Anonymisierung gelingt, bliebe oft nur ein leeres Gerippe übrig. Ohnehin würde der Aufwand für die Anonymisierung und die anschließende Rückführung der Informationen die Zeitersparnis zunichtemachen.
Die Verantwortung liegt beim Sachverständigen
Was in der Diskussion oft untergeht, ist die Tatsache, dass die datenschutzrechtliche Verantwortung beim Sachverständigen selbst liegt. Er ist Verantwortlicher im Sinne der DSGVO und nicht der Anbieter der Software. Daraus ergeben sich konkrete Pflichten.
Wer Cloud-KI mit US-Anbindung bei personenbezogenen oder besonders sensiblen Daten einsetzt, muss nach Art. 35 DSGVO in aller Regel vorab eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Hier kommen gleich mehrere Auslöser zusammen: der Einsatz neuer Technologie, die Verarbeitung besonderer Datenkategorien und eben das nicht vollständig beherrschbare Risiko eines Drittstaatenzugriffs. Eine DSFA muss vor Beginn der Verarbeitung vorliegen und zieht weitere Pflichten nach sich wie etwa die Einbindung eines Datenschutzbeauftragten.
Hinzu kommt, dass mit jedem Anbieter, der personenbezogene Daten verarbeitet, ein Auftragsverarbeitungsvertrag (AVV) inklusive dokumentierter technischer und organisatorischer Maßnahmen (TOM) erforderlich ist. Und weil Sachverständige als Berufsgeheimnisträger der Schweigepflicht nach § 203 StGB unterliegen, müssen mitwirkende Dienstleister ausdrücklich auf diese Verschwiegenheit verpflichtet werden. Aus unserer Sicht ergibt sich daraus eine klare Konsequenz. Für die Kernbestandteile gutachterlicher Arbeit mit nicht anonymisierten Probandendaten kommen US-Anbieter, die dem CLOUD Act unterliegen, auch dann nicht infrage, wenn sich ihre Server in Deutschland befinden. Sie können strukturell nicht gewährleisten, dass keine Daten an Dritte abfließen.
mindocu: Datenschutz by Design
mindocu wird speziell für die Anforderungen professioneller Gutachter und ihre berufsethische Verantwortung entwickelt. Dafür wurde mindocu gemeinsam mit Sachverständigen unter realen Praxisbedingungen evaluiert. Im Mittelpunkt steht eine datensouveräne KI-Architektur. Sensible Daten werden mit mindocu ausschließlich lokal auf bereitgestellter Hardware oder auf datenschutzkonformen Servern in Deutschland verarbeitet. Im Unterschied zu vielen generativen KI-Systemen findet keine Übertragung an Dritte statt. Dieser Ansatz folgt konsequent dem Prinzip „Privacy by Design“ gemäß Art. 25 DSGVO. Datenschutz ist von Beginn an integraler Bestandteil der Systemarchitektur.
Konkret bedeutet das, dass die KI auf einer eigenen Hardware läuft, die dem Sachverständigen vor Ort zur Verfügung gestellt wird. Es handelt sich um ein physisches Gerät in den eigenen Räumen. Die Daten verlassen dieses Gerät nicht. Auch hochsensible Inhalte wie Gesprächsaufzeichnungen, Transkripte oder vollständige Akten bleiben damit an einem Ort, der vollständig der eigenen Kontrolle unterliegt. Wer das Gerät kontrolliert, kontrolliert auch die Daten. Ein externer Zugriff ist technisch nicht vorgesehen. Wie gut dieser Ansatz in der Praxis ankommt, zeigt eine eigens durchgeführte Nutzerstudie*: Das dort eingesetzte System wurde von den teilnehmenden Sachverständigen mit 6,8 von 7 Punkten hinsichtlich der Frage bewertet, ob die Verarbeitung der Gesprächsdaten den datenschutzrechtlichen Anforderungen ihrer Tätigkeit gerecht wird.
Hinzu kommt ein hohes Maß an Transparenz: Jede KI-generierte Formulierung ist direkt mit der entsprechenden Stelle im Gesprächstranskript und in der Audioaufnahme verknüpft, sodass sich Aussagen jederzeit überprüfen lassen. Mehr dazu lesen Sie hier.
Wir teilen die Verantwortung mit Ihnen
Datenschutzkonformität endet für uns nicht an der Grenze unserer eigenen Pflichten. Uns ist bewusst, dass Sachverständige als Verantwortliche mit einem komplexen rechtlichen Feld konfrontiert sind und wir lassen Sie damit nicht allein. Deshalb denken wir Ihre Seite von Anfang an mit. Wir stellen Vorlagen für die Probandeneinwilligung bereit, liefern Infomaterialien, die über Rechte und Pflichten aller Beteiligten aufklären, und gehen aktiv auf Sie zu mit Auftragsverarbeitungsverträgen, einer Zusicherung zur Verschwiegenheit nach § 203 StGB und weiteren Unterlagen, die Sie für einen rechtssicheren Einsatz benötigen. Ziel ist es, Ihnen den datenschutzkonformen Einsatz so einfach wie möglich zu machen.
Mehr als nur Datenschutz
Datenschutz ist die Grundlage, aber nicht das Ende. Mit dem EU AI Act kommen weitere Anforderungen hinzu. Auch diese Entwicklungen behalten wir im Blick und stellen Ihnen passendes Infomaterial zur Verfügung, damit Sie nicht nur datenschutzkonform, sondern insgesamt rechtssicher arbeiten können. Datenschutzkonforme KI wird so zur Grundlage einer modernen, effizienten und vertrauenswürdigen Gutachtenerstellung. Wenn Sie sich tiefergehend für die rechtlichen Voraussetzungen des KI-Einsatzes interessieren, nehmen Sie gerne Kontakt auf oder buchen Sie eine kostenfreie Demo.
*Titel: „Evaluation einer lokalen KI zur Nachbereitung familiengerichtlicher Gespräche: Wahrgenommene Qualität, Effizienz und Anwendererleben“ (noch unveröffentlicht), Erhebungszeitraum: Dezember 2025 – Januar 2026
Startseite
Transkription
Datenschutz & Recht - Fragen und Antworten
Die folgenden Antworten geben die Einschätzung von mindocu wieder und ersetzen keine individuelle Rechtsberatung. Wir unterscheiden dabei zwischen zwei Betriebsvarianten: dem lokalen Betrieb auf der mindocu-KI-Maschine im Netzwerk des Gutachters und dem Managed-Testzugang, bei dem Testnutzer über eine verschlüsselte Verbindung auf ein zentral von mindocu betriebenes System zugreifen.
Das hängt von der Betriebsvariante ab.
Im lokalen Betrieb: Nein. Eine Auftragsverarbeitung liegt nur dann vor, wenn ein Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 28 DSGVO). Die mindocu-KI-Maschine läuft im Netzwerk des Gutachters; mindocu erhält keine Patienten- oder Probandendaten und hat keinen Zugriff darauf. Damit fehlt es bereits an einer Auftragsverarbeitung. Ein AVV ist daher nicht erforderlich.
Beim Managed-Testzugang: Ja. Hier betreibt mindocu das System, sodass technisch ein Zugriff auf verarbeitete Daten möglich ist. Für diesen Fall stellen wir Ihnen einen Auftragsverarbeitungsvertrag inklusive dokumentierter technischer und organisatorischer Maßnahmen (TOM) zur Verfügung. Darin sichern wir Ihnen vertraglich zu, dass wir die verarbeiteten Daten nicht einsehen, nicht über Ihren Auftrag hinaus verarbeiten und nicht an Dritte weitergeben.
Ja.
Im lokalen Betrieb verlassen keine Daten das System im Netzwerk des Gutachters. mindocu hat schlicht keinen Zugriff auf die Inhalte. Eine Offenbarung gegenüber Dritten findet technisch nicht statt und die Schweigepflicht bleibt vollständig in Ihrer Hand.
Beim Managed-Testzugang wird die Vertraulichkeit zusätzlich vertraglich abgesichert. mindocu gibt eine schriftliche Zusicherung zur Verschwiegenheit nach § 203 StGB ab und verpflichtet alle mitwirkenden Mitarbeitenden ausdrücklich zur Wahrung des Berufsgeheimnisses.
Nach Einschätzung von mindocu ist in beiden Betriebsvarianten keine DSFA erforderlich. Diese Einschätzung sollten Sie als Verantwortlicher jedoch eigenverantwortlich prüfen und dokumentieren.
Für den lokalen Produktivbetrieb hat mindocu diese Frage in einem strukturierten DSFA-Screening unter Einbeziehung externer datenschutzrechtlicher Expertise geprüft. Trotz der Verarbeitung besonderer Datenkategorien und des Einsatzes einer neuen Technologie sprechen gewichtige Argumente gegen eine DSFA-Pflicht, insbesondere die ausschließlich lokale Verarbeitung, das Fehlen automatisierter Entscheidungsfindung, keine zentrale Datenaggregation sowie umfassende technische Schutzmaßnahmen. Das Screening kommt zu dem Ergebnis, dass kein voraussichtlich hohes Risiko im Sinne von Art.35 DSGVO vorliegt.
Auch beim zeitlich begrenzten Managed-Testzugang sehen wir keine Pflicht zur Durchführung einer DSFA. Werden ausschließlich synthetische oder anonymisierte Daten verwendet, findet die DSGVO bereits keine Anwendung, da es sich nicht um personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO handelt. Werden echte personenbezogene Daten auf Grundlage der erforderlichen Einwilligung verarbeitet, knüpft Art. 35 DSGVO die Pflicht zur Durchführung einer DSFA an eine geplante und dauerhaft eingerichtete Art der Verarbeitung, nicht jedoch an einen einzelnen, zeitlich begrenzten Testlauf zur Evaluierung der Funktionalität.
Unsere Einschätzung ist unverbindlich und ersetzt keine eigenverantwortliche Prüfung. Was in Ihrem konkreten Fall zu tun ist, erläutern wir gerne im direkten Gespräch.
Die Pflichten des EU AI Act treffen in erster Linie mindocu als Anbieter des Systems. Und diese übernehmen wir vollständig. Dazu zählen die Einstufung des Systems, die nötige Dokumentation und Registrierung, die KI-Kompetenz unserer Mitarbeitenden sowie die ab dem 2. August 2026 geltenden Transparenzpflichten nach Art. 50. Relevant für Sie ist vor allem: mindocu ist als nicht hochriskantes System eingestuft (Art. 6 Abs. 3), weil es ausschließlich vorbereitende Aufgaben übernimmt, keine automatisierten Entscheidungen trifft und kein Profiling erstellt. Die fachliche Beurteilung bleibt vollständig bei Ihnen.
Für Sie als Anwender ist der Aufwand entsprechend gering. Da ein Gutachten für das Gericht erstellt und nicht zur öffentlichen Information veröffentlicht wird, greifen die besonderen Kennzeichnungspflichten für Anwender hier in der Regel nicht. Wichtig bleibt vor allem, dass Sie das System und seine Grenzen verstehen und die Inhalte wie gewohnt fachlich prüfen und verantworten. Selbstverständlich unterstützen wir Sie mit Informationsmaterial und einem Einführungstermin vor Ort dabei. Die rechtliche Lage entwickelt sich derzeit dynamisch. Wir behalten sie im Blick und informieren Sie, sobald für Sie Handlungsbedarf entsteht.
Urheber der finalen Dokumentation ist der Gutachter.
Nach deutschem Urheberrecht können nur natürliche Personen Urheber sein. KI-Systeme sind nicht rechtsfähig und können keine Urheberrechte erwerben (DPMA, o. J.). Entscheidend ist, dass der Gutachter das KI-System nicht nur bedient, sondern die generierten Inhalte eigenständig prüft, bearbeitet und freigibt. Nach aktuellem Forschungsstand gilt: Das ursprünglich KI-generierte Werk kann nicht als menschliches Werk angesehen werden. Die durch den Menschen redaktionell überarbeitete Fassung hingegen schon (Hess, 2025). Die menschliche Entscheidung, Korrektur und Freigabe begründen die Urheberschaft.
Im Rahmen der mindocu-Nutzung ist die KI auf eng gefasste Aufgaben beschränkt: Transkription von Gesprächsdateien sowie sprachliche Aufbereitung und Vorformulierung von Textinhalten. Eine eigenständige kreative Leistung der KI, die urheberrechtlich relevant wäre, entsteht dabei nicht.
Quellen:
DPMA – Urheberrecht:https://www.dpma.de/service/schutzrechte_kurz_erklaert/urheberrecht/index.html
Hess, S. (2025): Understanding authorship in Artificial Intelligence-assisted works, Journal of Intellectual Property Law & Practice, 20(5), S. 354–371.https://academic.oup.com/jiplp/article/20/5/354/7965768
Jetzt mindocu live erleben und Ihre Gutachten DSGVO konform automatisieren.
.webp)