Lokale KI für Psychotherapie: §203 StGB, höchste Vertraulichkeit, RAG

KI in der Therapie-Praxis, ohne die Schweigepflicht zu riskieren? Wir bauen lokale, §203-konforme KI auf Ihrer Hardware - siehe KI für Psychotherapeuten und KI für Berufsgeheimnisträger, oder direkt ein Erstgespräch vereinbaren.

Sitzungsdokumentation, Berichte an Gutachter, Anamnese strukturieren - nach jeder Stunde fällt Schreibarbeit an, und KI kann hier viel Zeit sparen. Das Problem ist nicht die KI, sondern wohin die Daten dabei fließen. Therapie-Inhalte gehören zu den sensibelsten Daten überhaupt - ihre Eingabe in Cloud-KI ist regelmäßig ein Verstoß gegen die psychotherapeutische Schweigepflicht.

Die gute Nachricht: Es gibt einen klaren, legalen Weg. Er führt über lokale KI, die die Praxis nie verlässt - schlüsselfertig, auch ohne eigenes IT-Team. Dieser Beitrag ordnet die Rechtslage ein, zeigt die erlaubten Betriebsmodelle und erklärt, wie wir eine RAG-Pipeline auf Ihr Praxiswissen bauen.

Inhaltsverzeichnis

• Rechtslage 2026: §203 StGB und Art. 9 DSGVO
• Warum Cloud-KI für Therapie-Praxen zum Risiko wird
• Betriebsmodelle für Therapie-Praxis-KI
• Die RAG-Pipeline: Komponenten Schritt für Schritt
• Mehrere Wissensquellen sicher anbinden
• Unser Vorgehen bei WZ-IT
• Weiterführende Guides

Rechtslage 2026: §203 StGB und Art. 9 DSGVO

Die psychotherapeutische Schweigepflicht ist über §203 StGB strafbewehrt. Abs. 1 nennt Psychotherapeuten nicht wörtlich, erfasst sie aber über Nr. 1 als Angehörige eines Heilberufs mit staatlich geregelter Ausbildung, Berufspsychologen mit staatlich anerkannter wissenschaftlicher Abschlussprüfung über Nr. 2. Therapie-Inhalte geben intime Einblicke in die psychische Verfassung von Patienten - sie unterliegen damit einem besonders hohen Schutzniveau. Gesundheitsdaten sind zusätzlich nach Art. 9 DSGVO besonders geschützt. Für Behandlung und Dokumentation stützt sich die Verarbeitung auf Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit §22 Abs. 1 Nr. 1 lit. b BDSG, eine Einwilligung ist dafür nicht der Regelfall.

Für die Einbindung externer KI-Dienstleister gilt §203 Abs. 3 S. 2 StGB: Eine mitwirkende Person darf Geheimnisse nur soweit erforderlich offenbart bekommen - und ist nach §203 Abs. 4 StGB selbst in die Strafbarkeit einbezogen. Die Praxis macht sich nach §203 Abs. 4 S. 2 Nr. 1 StGB strafbar, wenn sie nicht dafür Sorge getragen hat, dass der Dienstleister zur Geheimhaltung verpflichtet wurde. Eine bestimmte Form schreibt das StGB nicht vor. Wir verpflichten uns trotzdem in Textform (§126b BGB) zur Verschwiegenheit und werden über die Straffolgen belehrt, weil das die Verpflichtung belegbar macht.

Die AVV nach Art. 28 DSGVO regelt nur den Datenschutz, nicht die strafbewehrte Schweigepflicht - beide Ebenen müssen erfüllt sein. Zudem gelten seit dem 2. August 2026 die Transparenzpflichten des EU AI Act nach Art. 50. Die Hochrisiko-Pflichten greifen nach dem Digital-Omnibus (Verordnung (EU) 2026/1744) für Anhang III ab dem 2. Dezember 2027 und für Anhang I ab dem 2. August 2028 (Stand Oktober 2026). Dieser Beitrag ist allgemeine Information und keine Rechtsberatung.

Warum Cloud-KI für Therapie-Praxen zum Risiko wird

Bei kaum einer anderen Berufsgruppe ist Cloud-KI so problematisch:

1. Maximale Sensibilität. Therapie-Inhalte sind Gesundheitsdaten der intimsten Art. Jede Übermittlung an Server Dritter ist ein erhebliches Risiko.
2. Die Unterauftragnehmer-Kette. Ein KI-Anbieter nutzt selbst Unterauftragnehmer (Azure, AWS, weitere). Jeder müsste verpflichtet werden - praktisch nicht leistbar.
3. Der CLOUD Act. US-Anbieter unterliegen dem US CLOUD Act; eine EU-Region schützt nicht, solange ein US-Mutterkonzern dahintersteht.

Bei lokaler KI in der Praxis entfällt das Cloud-Risiko: Die Daten verlassen den Raum nicht. Durch unseren Wartungszugriff bleiben wir mitwirkende Person - deshalb bieten wir das §203-Vertragspaket für die Aufbau- und Wartungsphase optional an.

Betriebsmodelle für Therapie-Praxis-KI

Für die Einzel- oder kleine Gemeinschaftspraxis ist die Lösung bewusst einfach gehalten:

• On-Premise-Appliance (AI Cube). Eine schlüsselfertige, leise KI-Box in Ihrer Praxis - vorkonfiguriert, ohne eigenes IT-Team, auf Wunsch vollständig offline (air-gapped). Für die Einzelpraxis ideal.
• Dedizierter GPU-Server bzw. LLM-Hosting. Für größere Ausbildungsinstitute oder MVZ mit mehreren Behandlern.
• Managed-Fallback. Wer keine eigene Hardware betreiben will, kann KI in unserer EU-Infrastruktur betreiben lassen - mit kurzer, kontrollierbarer Dienstleisterkette.

In allen Modellen kommen ausschließlich Open-Source-Bausteine zum Einsatz (kein Vendor Lock-in), und das §203-Vertragspaket ist optional erhältlich. Mehr zum branchenübergreifenden Rahmen unter KI für Berufsgeheimnisträger.

Die RAG-Pipeline: Komponenten Schritt für Schritt

Der eigentliche Wert entsteht nicht durch ein nacktes Sprachmodell, sondern durch Retrieval-Augmented Generation (RAG): Die KI beantwortet Fragen aus Fachliteratur und Ihren eigenen Vorlagen statt aus generischem Trainingswissen - mit Quellenbezug. So bauen wir die Pipeline (mehr unter Custom RAG):

1. Ingestion. Dokumente werden eingelesen (Leitlinien, Fachliteratur, Vorlagen) und normalisiert.
2. Chunking. Die Inhalte werden in sinnvolle Abschnitte zerlegt, an Kontext orientiert.
3. Embeddings + Vektordatenbank. Jeder Abschnitt wird in einen Vektor übersetzt und in einer Vektordatenbank (Qdrant) gespeichert.
4. Retrieval und Re-Ranking. Zu einer Anfrage werden die passendsten Abschnitte gesucht und per Re-Ranking sortiert.
5. Generierung. Ein lokales Modell (Ollama oder vLLM) formuliert die Antwort - ausschließlich auf Basis der gefundenen Stellen, mit Quellenangabe.
6. Observability und Qualität. Mit Langfuse messen wir Qualität und machen Antworten nachvollziehbar.

Genau diesen Stack betreiben wir auch selbst: Unser KI-Angebotsfinder auf wz-it.com ist ein produktives RAG-System auf Qdrant, LiteLLM/Mistral und Langfuse.

Mehrere Wissensquellen sicher anbinden

Wir binden mehrere Wissensquellen in dieselbe RAG-Pipeline ein - mit durchgesetzten Zugriffsrechten:

• Eigene Vorlagen. Strukturen für Sitzungs- und Verlaufsdokumentation sowie Berichte an Gutachter.
• Fachliteratur und Leitlinien. Soweit lizenzrechtlich zulässig, als RAG-Quelle.
• Interne Wissensdatenbank. Praxis-Know-how und Abläufe zentral durchsuchbar.

Sitzungsinhalte selbst bleiben lokal und werden nie zum Training verwendet. Über Zugriffsrechte sieht jede Anfrage nur die Quellen, die sie sehen darf.

Unser Vorgehen bei WZ-IT

Wir liefern Praxis-KI als Lebenszyklus, nicht als Gerätekauf:

1. Beraten und konzipieren. Kurzer Workshop, Sizing und der §203-Vertragsrahmen - schlank gehalten für die Einzelpraxis.
2. Aufbauen und integrieren. Schlüsselfertige Einrichtung des AI Cube, RAG auf Ihren Vorlagen, Geheimhaltungsverpflichtung plus AVV.
3. Betreiben und warten (optional). Updates und Pflege als Vertrag - oder Sie nutzen nach kurzer Einweisung selbst.

Die operativen Vertragstexte werden fachkundig erstellt; dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.

Weiterführende Guides

• KI für Psychotherapeuten - die Lösungsseite mit Use-Cases und Hardware-Optionen.
• KI für Berufsgeheimnisträger - der branchenübergreifende §203-Rahmen (auch für Arztpraxen und Kliniken).
• Custom RAG - wie wir RAG-Pipelines end-to-end bauen.
• KI-Hub - lokale KI-Infrastruktur, LLM-Hosting und RAG im Überblick.

Bereit für KI, die Ihre Patienten schützt? Wir bauen sie lokal, §203-konform und schlüsselfertig. Jetzt Erstgespräch vereinbaren.

Quellen

• §203 StGB (Verletzung von Privatgeheimnissen)
• Art. 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten)
• §22 BDSG (Verarbeitung besonderer Kategorien personenbezogener Daten)
• Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI-Verordnung)
• Europäische Kommission: Regulatory framework on AI (EU AI Act)