Kategorie: neoscript.ai

  • Dokumentationspflicht Psychotherapie: Gesetze, Inhalte und Fristen 2026 | neoscript

    Dokumentationspflicht Psychotherapie: Gesetze, Inhalte und Fristen 2026 | neoscript

    Dokumentationspflicht Psychotherapie: Welche Gesetze gelten, was muss dokumentiert werden, welche Fristen gelten? Überblick für therapeutische Praxen.

    Die Dokumentationspflicht in der Psychotherapie ist nicht optional. Sie ergibt sich aus mehreren Gesetzen und Berufsordnungen, deren Einhaltung haftungsrechtliche Konsequenzen nach sich zieht, wenn sie vernachlässigt wird. In diesem Artikel erfahren Sie, welche rechtlichen Grundlagen gelten, was genau dokumentiert werden muss und wie lange Unterlagen aufzubewahren sind.

    Rechtliche Grundlagen der Dokumentationspflicht

    Die Dokumentationspflicht für Psychotherapeutinnen und Psychotherapeuten stützt sich in Deutschland auf mehrere Rechtsquellen, die sich ergänzen und teilweise überschneiden. Die zentrale Norm ist § 630f BGB, der durch das Patientenrechtegesetz 2013 in das Bürgerliche Gesetzbuch aufgenommen wurde. Er gilt für alle Behandelnde, also auch für Psychologische Psychotherapeutinnen und -therapeuten sowie Kinder- und Jugendlichenpsychotherapeutinnen und -therapeuten.

    § 630f Abs. 1 BGB formuliert die Pflicht klar: Der Behandelnde ist verpflichtet, zum Zweck der Dokumentation in unmittelbarem zeitlichen Zusammenhang mit der Behandlung eine Behandlungsakte in Papierform oder elektronisch zu führen. Berichtigungen und Änderungen sind nur zulässig, wenn neben dem ursprünglichen Inhalt erkennbar bleibt, wann sie vorgenommen worden sind. Für elektronisch geführte Akten muss dies ebenfalls sichergestellt sein.

    Abs. 2 desselben Paragrafen konkretisiert den Inhalt: Die Behandlungsakte muss sämtliche aus fachlicher Sicht für die derzeitige und künftige Behandlung wesentlichen Maßnahmen und deren Ergebnisse enthalten, insbesondere Anamnese, Diagnosen, Untersuchungen, Untersuchungsergebnisse, Befunde, Therapien und ihre Wirkungen, Eingriffe und ihre Wirkungen, Einwilligungen und Aufklärungen. Arztbriefe sind in die Behandlungsakte aufzunehmen.

    Neben dem BGB verpflichtet die Musterberufsordnung der BPtK in § 9 Abs. 2 zur Aufzeichnung sämtlicher aus fachlicher Sicht wesentlichen Maßnahmen und deren Ergebnisse. Die landesrechtlichen Berufsordnungen der jeweiligen Landespsychotherapeutenkammern setzen diese Vorgaben um. Hinzu kommen das Haftungsrecht, das Sozialrecht (insbesondere SGB V und SGB X) sowie das Heilberufsgesetz des jeweiligen Bundeslandes.

    Eine besondere Rolle spielt § 203 StGB, der die Verletzung von Privatgeheimnissen unter Strafe stellt. Abs. 1 Nr. 1 erfasst Ärztinnen und Ärzte sowie Angehörige anderer Heilberufe mit staatlich geregelter Ausbildung, Abs. 1 Nr. 2 ausdrücklich Berufspsychologinnen und -psychologen mit staatlich anerkannter wissenschaftlicher Abschlussprüfung. Diese strafrechtliche Verschwiegenheitspflicht ist nicht identisch mit der Dokumentationspflicht, beeinflusst aber, wie Dokumentationsinhalte verarbeitet, gespeichert und weitergegeben werden dürfen. Wer Dokumentationssoftware einsetzt, muss sicherstellen, dass keine unbefugte Offenbarung im Sinne des § 203 StGB erfolgt, beispielsweise durch Weitergabe an Cloud-Dienstleister außerhalb des geschützten Personenkreises.

    Österreich und Schweiz

    In Österreich regelt das Psychotherapiegesetz (BGBl. Nr. 361/1990 in der jeweils geltenden Fassung) die Berufspflichten von Psychotherapeutinnen und -therapeuten. Die Dokumentationspflicht ergibt sich dort aus den Berufspflichten und ist inhaltlich vergleichbar mit den deutschen Anforderungen. Auch hier ist eine sorgfältige, zeitnahe und vollständige Dokumentation verpflichtend.

    In der Schweiz gibt es auf Bundesebene kein eigenständiges Psychotherapiegesetz. Die Dokumentationspflicht ergibt sich aus kantonalen Gesundheitsgesetzen, dem Berufsrecht der jeweiligen Berufsverbände sowie dem revidierten Datenschutzgesetz (revDSG), das seit September 2023 in Kraft ist. Für Gesundheitsdaten gelten hier besonders strenge Anforderungen an Datensicherheit und Zweckbindung.

    Was muss dokumentiert werden? Inhalte und Struktur

    Die Bundespsychotherapeutenkammer (BPtK) und die Landespsychotherapeutenkammer Baden-Württemberg (LPK-BW) haben 2021 Empfehlungen für die Dokumentation psychotherapeutischer Behandlungen veröffentlicht, die einen orientierenden Rahmen bieten. Diese Empfehlungen strukturieren die Dokumentation in neun Bereiche, die im Folgenden zusammengefasst dargestellt werden. Sie können als Vorlage für die eigene Praxisorganisation dienen, müssen aber an das jeweilige Therapieverfahren und die individuelle Patientin oder den individuellen Patienten angepasst werden.

    1. Administrative Daten

    Name, Anschrift, Geburtsdatum, Geschlecht, Versicherung und Versicherungsnummer, Kontaktdaten, überweisende Personen, ggf. Sorgeberechtigte oder rechtliche Vertreterinnen und Vertreter. Auch Mitbehandelnde (Ärztinnen, andere Psychotherapeutinnen, weitere Gesundheitsberufe) mit Datum und Inhalt wesentlicher Abstimmungen sowie ggf. Schweigepflichtsentbindungen sind zu erfassen.

    2. Anamnestische Daten

    Vorbehandlungen (stationär und ambulant, mit Angaben zu Zeitraum, Diagnosen, Behandlungsverfahren und Namen der Vorbehandlerinnen und Vorbehandler), Krankheitsanamnese inklusive Suchtanamnese und Suizidalität, körperliche und neurologische Erkrankungen, Medikation mit Dosierung, Dauer, Wirkungen und Nebenwirkungen. Die biografische Anamnese umfasst Familienstand, Familiengeschichte, Partnerschaft, Kinder, körperliche und psychosoziale Entwicklung, traumatische und belastende Lebensereignisse, sexuelle Entwicklung, aktuelle Wohn- und berufliche Situation sowie Schul- und Berufsabschlüsse.

    3. Eingangsdiagnostik

    Aktuelle Beschwerden und Behandlungsanlass mit Beginn, Dauer und Verlauf, psychischer Befund einschließlich Suizidalität (ja/nein, ggf. Akuität, Absprachefähigkeit), sozialmedizinische Aspekte (Arbeitsunfähigkeit, Erwerbsfähigkeit, Grad der Behinderung, bei Kindern und Jugendlichen Beschulbarkeit). Diagnostische Untersuchungen mit eingesetzten Testverfahren und Interviews. ICD-Diagnose(n) in der verbindlichen ICD-GM-Version. Indikationsstellung mit Setting, Verfahren, Dringlichkeit und weiteren Empfehlungen.

    4. Information und Aufklärung

    Dokumentation der Aufklärung über festgestellte psychische Erkrankungen, indizierte Behandlung (Wirksamkeit, Nebenwirkungen, konkretes therapeutisches Vorgehen), Behandlungsalternativen und Rahmenbedingungen (geplante Dauer, Frequenz, Antragsverfahren, Kontaktpfade, Notfallvorgehen). Einwilligung in die Behandlung, ggf. Therapievereinbarung und PTV-Formulare.

    5. Behandlungsplan

    Ätiopathogenetische Hypothesen (verfahrensspezifisch), vereinbarte Therapieziele, angewendetes Verfahren und Setting (Einzel, Gruppe, Kombination, Mehrpersonensetting, Einbezug Bezugspersonen), geplantes therapeutisches Vorgehen, Interventionen und psychotherapeutische Strategien.

    6. Erfassung des Behandlungsverlaufs

    Wiederholte Erfassung behandlungsrelevanter Dimensionen, die eine Beurteilung des Verlaufs ermöglicht. Die Zeitpunkte können an Bewilligungsschritte ausgerichtet sein. Die Besprechung des Therapiefortschritts mit der Patientin oder dem Patienten wird dokumentiert.

    7. Fallbezogene Supervision oder Intervision

    Dokumentation, wenn eine fallbezogene Konsultation im Rahmen von Supervision oder Intervision erfolgt ist.

    8. Therapieende

    Gemeinsame Betrachtung der erreichten Veränderungen und Therapiezielerreichung mit der Patientin oder dem Patienten. Art und Gründe des Therapieendes sowie weitere Maßnahmen und Empfehlungen sind festzuhalten.

    9. Stundenbezogene Verlaufsdokumentation

    Neben den fallbezogenen Anforderungen ist eine sitzungsbezogene Dokumentation erforderlich. Sie dient der Therapiesicherung, Beweissicherung und Transparenz. Pro Sitzung sind mindestens zu dokumentieren:

    Administrativ: Datum mit Beginn und Ende oder Dauer der Sitzung, Behandlungsform, Sitzungsnummer, ggf. weitere Teilnehmerinnen und Teilnehmer, ggf. abweichender Sitzungsort.

    Inhaltlich: Durchgeführte Interventionen und deren Ergebnisse, inhaltliche und verfahrensbezogene Beschreibung des Therapiegeschehens, relevante Änderungen im psychischen Befund (insbesondere Suizidalität), Veränderungen in der Behandlungsentwicklung (Motivation, bedeutsame Ereignisse außerhalb der Therapie, Probleme, Rückschritte, Stagnation, Fortschritte).

    Zusätzlich sind alle weiteren wesentlichen Maßnahmen fallbezogen zu dokumentieren, darunter der patientenbezogene Austausch mit mitbehandelnden Ärztinnen und Ärzten, anderen Psychotherapeutinnen und Psychotherapeuten oder Einrichtungen, Gespräche mit Angehörigen sowie Telefonate oder E-Mail-Kontakte, sofern deren Inhalt über eine reine Terminvereinbarung hinausgeht.

    Dokumentationspflicht digital umsetzen: Aufbewahrung, Haftung und Software

    Aufbewahrungsfrist: 10 Jahre

    § 630f Abs. 3 BGB schreibt vor, dass die Behandlungsakte für die Dauer von zehn Jahren nach Abschluss der Behandlung aufzubewahren ist, soweit nicht nach anderen Vorschriften andere Aufbewahrungsfristen bestehen. Diese Frist gilt unabhängig davon, ob die Akte in Papierform oder elektronisch geführt wird. Bei Abrechnungsunterlagen können zusätzlich steuerrechtliche Aufbewahrungsfristen von sechs bis zehn Jahren (§ 147 AO) sowie sozialrechtliche Fristen relevant sein.

    Haftungsrisiko: Beweislastumkehr bei fehlender Dokumentation

    Das wichtigste haftungsrechtliche Argument für eine vollständige Dokumentation liefert § 630h Abs. 3 BGB: Hat der Behandelnde eine medizinisch gebotene wesentliche Maßnahme und ihr Ergebnis entgegen § 630f Abs. 1 oder Abs. 2 nicht in der Behandlungsakte aufgezeichnet oder hat er die Behandlungsakte entgegen § 630f Abs. 3 nicht aufbewahrt, wird vermutet, dass er diese Maßnahme nicht getroffen hat.

    Das bedeutet: Fehlt ein Dokumentationseintrag, gilt im Haftungsprozess rechtlich die Vermutung, dass die entsprechende Maßnahme gar nicht durchgeführt wurde. Die Psychotherapeutin oder der Psychotherapeut muss dann beweisen, dass die Maßnahme dennoch erfolgt ist, was ohne Dokumentation in der Regel nicht gelingt. Eine vollständige fachgerechte Dokumentation verhindert diese Umkehr der haftungsrechtlichen Beweislast, wie die BPtK in ihren Empfehlungen ausdrücklich feststellt.

    Elektronische Dokumentation zulässig, aber mit Vorgaben

    § 630f Abs. 1 BGB erlaubt ausdrücklich die Führung der Behandlungsakte in elektronischer Form. Das Gesetz fordert lediglich, dass Berichtigungen und Änderungen nachvollziehbar bleiben. Das schließt die Verwendung von Praxisverwaltungssystemen (PVS), elektronischen Akten und KI-gestützten Dokumentationshilfen ein.

    Bei der Wahl digitaler Werkzeuge sind jedoch mehrere Aspekte zu prüfen. Die Software muss Änderungshistorien nachvollziehbar abbilden und manipulationssicher speichern. Sie muss den Zugriff durch unbefugte Dritte verhindern und die Aufbewahrungsfrist von zehn Jahren technisch gewährleisten. Vor allem aber muss sie mit der Verschwiegenheitspflicht aus § 203 StGB vereinbar sein: Wenn Dokumentationsinhalte an externe Dienstleister, insbesondere KI-Anbieter im außereuropäischen Ausland, weitergegeben werden, stellt sich die Frage, ob dies als unbefugte Offenbarung im Sinne des § 203 StGB Abs. 1 gewertet werden kann.

    Hier setzt die Architektur von neoscript an. neoscript ist eine KI-Dokumentationshilfe, die auf einer eigenen Infrastruktur betrieben wird. Es findet keine Weitergabe von Patientendaten an externe KI-Anbieter wie OpenAI, Anthropic oder Google statt. Die KI-Verarbeitung erfolgt auf europäischen Servern, die vollständig unter der Kontrolle von neoscript stehen. Das bedeutet: Die DSGVO-Konformität ergibt sich aus der Systemarchitektur, nicht allein aus vertraglichen Zusicherungen. Für die sitzungsbezogene Verlaufsdokumentation kann neoscript aus dem gesprochenen Therapiegespräch einen Strukturvorschlag generieren, den die behandelnde Person prüft, ergänzt und freigibt. Die Dokumentationsverantwortung verbleibt vollständig bei der Psychotherapeutin oder dem Psychotherapeuten.

    Häufige Fragen zur Dokumentationspflicht in der Psychotherapie

    Wie lange muss die psychotherapeutische Dokumentation aufbewahrt werden?

    Die Aufbewahrungsfrist beträgt nach § 630f Abs. 3 BGB zehn Jahre nach Abschluss der Behandlung. Dies gilt sowohl für papierbasierte als auch für elektronisch geführte Akten. Andere Rechtsvorschriften können abweichende, teils längere Fristen vorsehen, beispielsweise steuerrechtliche Aufbewahrungsfristen nach § 147 AO.

    Was passiert bei unvollständiger oder fehlender Dokumentation?

    Nach § 630h Abs. 3 BGB wird vermutet, dass eine nicht dokumentierte, medizinisch gebotene wesentliche Maßnahme nicht durchgeführt wurde. Das bedeutet eine Umkehr der Beweislast zu Lasten der behandelnden Person. Im Haftungsprozess muss die Psychotherapeutin oder der Psychotherapeut beweisen, dass die Maßnahme dennoch erfolgt ist, was ohne Dokumentation in der Regel nicht möglich ist.

    Gilt die Dokumentationspflicht auch für Heilpraktiker für Psychotherapie?

    Ja. § 630f BGB gilt für alle Behandelnde im Sinne des Behandlungsvertrags, unabhängig von der Zulassung als Kassenleistungserbringer. Heilpraktikerinnen und Heilpraktiker für Psychotherapie unterliegen zudem den Berufspflichten nach dem Heilpraktikergesetz und den dazu erlassenen Durchführungsverordnungen. Die inhaltlichen Anforderungen an die Dokumentation sind vergleichbar, auch wenn der Umfang je nach Tätigkeit variieren kann. Bei heilpraktischer Tätigkeit entfallen die speziellen sozialrechtlichen Dokumentationsanforderungen der vertragspsychotherapeutischen Versorgung (PTV-Formulare, Abrechnungsbelege).

    Ist eine elektronische Dokumentation zulässig?

    Ja. § 630f Abs. 1 BGB erlaubt ausdrücklich die Führung der Behandlungsakte in Papierform oder elektronisch. Voraussetzung ist, dass Änderungen und Berichtigungen nachvollziehbar bleiben und die Akte vor unbefugtem Zugriff geschützt ist. Bei Einsatz digitaler Werkzeuge wie Praxisverwaltungssystemen oder KI-Dokumentationshilfen muss zusätzlich die Vereinbarkeit mit § 203 StGB (Verschwiegenheitspflicht) sichergestellt sein.


    neoscript ist eine KI-Dokumentationshilfe für Psychotherapeutinnen und Psychotherapeuten sowie Ärztinnen und Ärzte im DACH-Raum. neoscript bietet reine Dokumentationsunterstützung und ersetzt keine fachliche Beurteilung. Die Verantwortung für die Behandlungsdokumentation verbleibt bei der behandelnden Person. Dieser Artikel dient der Information und stellt keine Rechtsberatung dar.

  • Lokale KI für Therapiedokumentation: Was die aktuelle Forschung zeigt

    Lokale KI für Therapiedokumentation: Was die aktuelle Forschung zeigt

    Eine aktuelle Studie in der Zeitschrift für Verhaltenstherapie (Taubitz & Alpers, 2026) untersucht erstmals systematisch, wie Large Language Models Therapiegespräche transkribieren, Sprechern zuordnen und datenschutzkonform aufbereiten können. Das Ergebnis: Die Technologie funktioniert, und sie funktioniert lokal. Die Autoren zeigen, dass die gesamte Verarbeitungskette, von der Transkription bis zur Sprecherzuordnung, auf lokaler Infrastruktur laufen kann, ohne dass sensible Patientendaten das Gerät verlassen müssen.

    Das ist ein entscheidender Befund. Denn parallel dazu bestätigt eine randomisierte klinische Studie mit 238 Ärztinnen und Ärzten aus 14 Fachrichtungen (Lukac et al., 2025), dass KI-gestützte Dokumentation die Dokumentationszeit messbar reduzieren und Burnout-Werte verbessern. Die

    Die Kombination beider Studien legt nahe: Das Potenzial der KI-gestützten Dokumentation ist belegt, und die Verarbeitung muss nicht in der Cloud stattfinden. Lokale Modelle bieten einen entscheidenden Vorteil, weil sie die grundlegendste Anforderung der therapeutischen Praxis erfüllen: Vertraulichkeit.

    Genau hier setzen wir mit neoscript an. Unsere Plattform betreibt Sprachmodelle ausschließlich auf lokaler Infrastruktur. Die Sitzungsdokumentation entsteht dort, wo das Gespräch stattfindet, in der Praxis. Keine Datenweitergabe an Dritte, keine Abhängigkeit von externen Servern, kein Restrisiko für die therapeutische Schweigepflicht, kein Cloud-Act-Risiko.

    Die Forschung zeigt: Lokale KI ist nicht nur machbar, sondern der richtige Weg für sensible Anwendungsfälle wie die Psychotherapie.

    Quellen:

    Taubitz & Alpers (2026). Language Model, bitte zum Diktat. Verhaltenstherapie, 36(2). https://karger.com/ver/article/36/2/91/939843/ Lukac et al. (2025). Ambient AI Scribes in Clinical Practice: A Randomized Trial. NEJM AI. https://pubmed.ncbi.nlm.nih.gov/41497288/

  • Microsoft gibt niederländische Beamtennamen an US-Regierung weiter – eine reale Gefahr für alle, die US-Cloud-Dienste nutzen

    Microsoft gibt niederländische Beamtennamen an US-Regierung weiter – eine reale Gefahr für alle, die US-Cloud-Dienste nutzen

    Ein aktueller Fall aus den Niederlanden zeigt, wie real das Risiko von US-Cloud-Diensten ist:

    Microsoft hat die Namen und internen Kommunikationen niederländischer Beamter und Wissenschaftler an den US-Kongress weitergegeben – ohne die Namen zu schwärzen.

    Was ist passiert?

    Ein Untersuchungsausschuss des US-Repräsentantenhauses forderte von Microsoft Daten zu niederländischen Regulierungsbeamten an, die an der Durchsetzung des EU-Digital Services Act (DSA) arbeiten. Microsoft kam dieser Aufforderung nach und übergab E-Mails, Besprechungsnotizen und Einladungen von Mitarbeitern der niederländischen Wettbewerbsbehörde ACM und der Datenschutzbehörde AP.

    Die Namen der betroffenen Beamten wurden nicht geschwärzt. Das niederländische Kabinett bezeichnete den Vorgang als „äußerst besorgniserregend“ – die genannten Personen könnten nun mit Einreiseverboten oder sogar Sanktionen belegt werden. Auch Meta soll ähnliche Daten weitergegeben haben.

    Der rechtliche Hebel: Der US CLOUD Act

    Der Vorfall ist kein Betriebsunfall, sondern systemisch bedingt. Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) verpflichtet US-Unternehmen, der US-Regierung auf Anforderung sämtliche gespeicherten Daten herauszugeben – unabhängig davon, wo auf der Welt diese Daten physisch gespeichert sind. Serverstandort in Frankfurt? Azure-Rechenzentrum in Amsterdam? Die Daten in einer europäischen Region von Microsoft 365? Aus Sicht des CLOUD Act irrelevant. Solange das Unternehmen seinen Hauptsitz in den USA hat, unterliegt es US-Jurisdiktion.

    Die niederländische Digitalministerin Willemijn Aerdts brachte es auf den Punkt: „Wenn Sie Politik diskutieren wollen, dann tun Sie das mit uns – oder, wenn nötig, in Europa – aber nicht auf dem Rücken von Beamten.“

    Die Ohnmacht der Kunden

    Besonders bezeichnend: Auf die Frage, ob die Niederlande die Zusammenarbeit mit Microsoft beenden könnten, antwortete Wirtschaftsstaatssekretär Eric van der Burg: Kurzfristig keine Option. Die Abhängigkeit ist zu groß. Microsoft 365 ist in der öffentlichen Verwaltung, im Gesundheitswesen und in Bildungseinrichtungen tief verwurzelt.

    Eine Untersuchung des niederländischen Public Broadcasters NOS ergab, dass 67 % von rund 16.500 untersuchten Websites staatlicher Stellen, Krankenhäuser, Schulen und anderer essenzieller Organisationen mit mindestens einem US-Cloud-Dienst verbunden sind.

    Die Lehre für Praxen im DACH-Raum

    Was für niederländische Ministerien gilt, gilt erst recht für Psychotherapiepraxen, Arztpraxen und kleinere Einrichtungen: Wer Patientendaten in Microsoft 365 verwaltet oder auf Azure-basierte KI-Dienste setzt, unterliegt mittelbar dem US CLOUD Act. Die DSGVO verlang von Verantwortlichen in der EU, dass sie personenbezogene Daten vor unbefugtem Zugriff schützen. Ein Cloud-Dienst, der per US-Gesetz zur Herausgabe dieser Daten gezwungen werden kann, ist mit der DSGVO nur schwer vereinbar – eine Einschätzung, die Datenschutzbehörden zunehmend teilen.

    Für Psychotherapeut:innen bedeutet das konkret: Wer seine Abrechnung, Patientenakten oder Dokumentation über einen Microsoft-basierten Dienst laufen lässt, geht ein reales Datenschutzrisiko ein – nicht, weil Microsoft böswillig handeln würde, sondern weil US-Recht über EU-Recht gestellt werden kann.

    Fazit

    Microsoft hat nicht versagt, Microsoft hat sich an US-Recht gehalten. Genau das ist das Problem. Der Fall der Niederlande zeigt, dass dies keine abstrakte theoretische Diskussion mehr ist, sondern eine reale Gefahr für alle, die auf US-Cloud-Infrastruktur angewiesen sind. Wer sensible Patientendaten verarbeitet, sollte sich bewusst sein: Standort Europa allein schützt nicht vor US-Zugriff. Entscheidend ist, wem die Infrastruktur gehört und welchem Recht sie unterliegt.

    #CLOUDAct #Datenschutz #DSGVO #Psychotherapie #Psychotherapeuten #Praxisalltag #MedizinischeDokumentation

    Quelle: https://nltimes.nl/2026/05/22/microsoft-accused-leaking-dutch-civil-servants-names-us-government

  • Der CLOUD Act im HealthTech-Kontext: Warum Vertragswerke und Datenschutzerklärungen jetzt genau geprüft werden müssen

    Der CLOUD Act im HealthTech-Kontext: Warum Vertragswerke und Datenschutzerklärungen jetzt genau geprüft werden müssen

    Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ermöglicht US-Behörden den Zugriff auf Daten, die von US-Unternehmen verwaltet werden – unabhängig vom physischen Speicherort. Für Healthcare-Organisationen und HealthTech-Unternehmen ist dies kein abstraktes Risiko, sondern eine konkrete Compliance-Herausforderung.

    Das Problem: Es geht nicht nur um „US-Produkte“

    Viele Unternehmen gehen davon aus, dass sie vom CLOUD Act nicht betroffen sind, weil sie „europäische“ Cloud-Lösungen nutzen. Doch die Realität ist komplexer:

    • Auch europäische Anbieter können US-Subunternehmer für Infrastruktur, Support oder Wartung einsetzen
    • APIs, SDKs und Third-Party-Komponenten in HealthTech-Lösungen stammen häufig von US-Firmen
    • Konzernstrukturen mit US-Muttergesellschaften können Datenflüsse in US-Jurisdiktion ermöglichen

    Die Folge: Selbst bei vermeintlich lokaler Lösung kann der CLOUD Act greifen – wenn die vertraglichen und technischen Rahmenbedingungen nicht klar geregelt sind.

    Warum AGBs und Datenschutzerklärungen entscheidend sind

    Die Details machen den Unterschied. In Allgemeinen Geschäftsbedingungen, Data Processing Agreements und Datenschutzerklärungen finden sich oft Klauseln, die über CLOUD Act-Risiken Aufschluss geben:

    Darauf sollten Sie achten:

    1. Jurisdiktion und anwendbares Recht: Unter welchem Recht steht der Vertrag? Gibt es Klauseln zur Kooperation mit Strafverfolgungsbehörden?
    2. Subprocessor-Transparenz: Werden Unterauftragnehmer namentlich gelistet? Gibt es ein Verfahren zur Vorab-Information bei Wechseln?
    3. Behördenanfragen: Informiert der Anbieter bei Zugriffsersuchen ausländischer Behörden? Besteht ein vertragliches Widerspruchsrecht?
    4. Datenlokalisierung und Schlüsselverwaltung: Wo werden Daten verarbeitet? Wer kontrolliert die Verschlüsselungsschlüssel?
    5. Audit-Rechte: Können Sie die Compliance des Anbieters unabhängig prüfen lassen?

    Was wir bei neoscript.ai anders machen

    Als HealthTech-Unternehmen mit Fokus auf Healthcare-Lösungen haben wir uns bewusst für einen souveränen Ansatz entschieden:

    Deutsche Infrastruktur Unsere Server stehen ausschließlich in Rechenzentren in Deutschland. Damit unterliegen sämtliche Datenverarbeitungsprozesse deutschem und europäischem Recht – ohne extraterritoriale Zugriffsrisiken durch den CLOUD Act.

    Eigene Server, volle Kontrolle Wir betreiben unsere Infrastruktur selbst und setzen auf keine Public-Cloud-Dienste US-amerikanischer Anbieter. Das bedeutet: Keine versteckten Datenflüsse, keine unbekannten Subprozessoren, keine Hintertüren.

    Open Source Software Unsere Lösungen basieren auf transparenter, überprüfbarer Open Source Software. Das ermöglicht unabhängige Sicherheitsaudits, vermeidet Vendor-Lock-in und stärkt das Vertrauen unserer Kunden in die Integrität unserer Systeme.

    Unabhängigkeit von US-Anbietern Durch den Verzicht auf US-Technologiepartner minimieren wir nicht nur CLOUD Act-Risiken, sondern schaffen auch langfristige Planungssicherheit – frei von geopolitischen Unsicherheiten oder einseitigen Vertragsänderungen.

    Praktische Schritte für Healthcare und HealthTech

    • Vertragsprüfung institutionalisieren: Binden Sie Rechtsabteilung, Datenschutz und IT-Sicherheit frühzeitig in die Anbieterauswahl ein
    • Checklisten nutzen: Entwickeln Sie interne Kriterienkataloge für die Bewertung von Cloud-Verträgen unter CLOUD Act-Gesichtspunkten
    • Dokumentation pflegen: Halten Sie getroffene Maßnahmen, Risikobewertungen und Entscheidungsgründe nachvollziehbar fest
    • Schulungen anbieten: Sensibilisieren Sie Produktteams und Einkauf für die datenschutzrechtlichen Implikationen von Vertragsklauseln

    Fazit

    Der CLOUD Act erfordert im Healthcare- und HealthTech-Umfeld mehr als technische Absicherung. Entscheidend ist, dass Vertragswerke, AGBs und Datenschutzerklärungen systematisch auf Risiken extraterritorialer Zugriffe geprüft werden. Wer Patientendaten verarbeitet, muss Datensouveränität strategisch verankern – technisch, vertraglich, organisatorisch.

    Bei Neoscript.ai haben wir uns für einen klaren Weg entschieden: Deutsche Infrastruktur, eigene Server, Open Source und Unabhängigkeit von US-Anbietern. Für mehr Rechtssicherheit, Patientenvertrauen und langfristige Innovationsfähigkeit im Gesundheitswesen.

  • Warum neoscript kein BSI C5-Zertifikat braucht – und warum das ein Vorteil für Sie ist

    Warum neoscript kein BSI C5-Zertifikat braucht – und warum das ein Vorteil für Sie ist

    Manche Anbieter präsentieren ihre Cloud-Zertifikate wie Gütesiegel. Doch was steckt wirklich dahinter – und wann ist ein Zertifikat schlicht unnötig?

    C5 schützt Sie vor fremder Infrastruktur – nicht vor fremder Infrastruktur selbst

    Das BSI C5-Testat ist kein Qualitätsmerkmal für sich. Es ist eine Compliance-Anforderung für Cloud-Dienste – also für Software, die Daten auf Servern Dritter verarbeitet. Das steht so auch in § 393 SGB V: Wer als Leistungserbringer Gesundheitsdaten über einen Cloud-Dienst verarbeitet, muss sicherstellen, dass dieser Dienst ein gültiges C5 Typ 2-Testat vorweist.

    Das Schlüsselwort ist Cloud-Dienst. Und genau hier unterscheidet sich neoscript grundlegend von anderen Anbietern: Bei neoscript läuft die Verarbeitung Ihrer Patientendaten nicht in der Cloud eines Drittanbieters.

    Die Hardware gehört uns. Die Software gehört. Ihre Daten verlassen nie eine Infrastruktur, über die wir keine vollständige Kontrolle haben.

    Das C5-Zertifikat wäre für uns das, was ein Rauchmelder für ein Haus ohne Strom ist: für den vorliegenden Fall schlicht nicht relevant.


    Was viele Anbieter Ihnen nicht sagen

    Ein C5-Testat klingt nach maximaler Sicherheit. Doch es gibt eine Lücke, über die in der Branche wenig gesprochen wird: Das Testat bezieht sich auf den zertifizierten Anbieter – nicht zwingend auf alle Infrastrukturschichten, die er nutzt.

    Viele Software-Anbieter im Gesundheitsbereich betreiben ihre Dienste auf Infrastruktur von Microsoft Azure, Amazon AWS oder Google Cloud. Sprachaufnahmen aus Ihrer Therapiesitzung werden dort verarbeitet – auch wenn sie anschließend gelöscht werden. Auch temporäre Verarbeitung ist Verarbeitung. Die Daten fließen durch Systeme, auf die der Softwareanbieter selbst keinen vollständigen Einblick hat.

    Das ist rechtlich compliant – wenn das C5-Testat vorliegt. Aber es ist keine echte Datenhoheit. Es ist rechtliche Verbindlichkeit ohne faktische Kontrolle.

    Für Psychotherapeut:innen ist das kein akademisches Problem. Therapiegespräche gehören zu den sensibelsten Daten, die es gibt. Die Frage „Wer hat technisch Zugriff auf diese Aufnahme?“ ist nicht mit einem Zertifikat beantwortet (siehe US Cloud-Act)


    Echte Datensouveränität: Was das bedeutet

    Bei neoscript – ob als Software-Lösung oder als neobox für Ihre Praxis – gilt ein einfaches Prinzip: Die Hardware gehört uns, nicht einem Hyperscaler. Das bedeutet:

    • Sprachaufnahmen werden lokal verarbeitet – nicht auf Azure, AWS oder Google-Servern
    • Kein Drittanbieter hat technischen Zugang zu Ihren Patientendaten
    • Keine Abhängigkeit von den Datenschutzpraktiken amerikanischer Cloud-Konzerne
    • Volle Transparenz, welche Infrastruktur genutzt wird – weil es unsere ist

    Das ist der Unterschied zwischen einem Zertifikat, das bescheinigt, dass ein Dritter vertrauenswürdig mit Ihren Daten umgeht – und einer Architektur, in der eine solche Vereinbarung gar nicht erst nötig ist.


    Fragen, die Sie jedem Anbieter stellen sollten

    Ob C5-zertifiziert oder nicht: Stellen Sie die richtigen Fragen, bevor Sie eine KI-Lösung in Ihrer Praxis einsetzen:

    1. Auf welcher Infrastruktur werden Sprachaufnahmen verarbeitet? Konkret: Werden Audiodateien oder Transkriptionen an Microsoft, Amazon, Google oder andere Dritte übertragen – auch temporär?

    2. Wer hat technischen Zugang zu den Servern, auf denen meine Daten liegen? Ein Zertifikat beschreibt Sicherheitsprozesse. Es beschreibt nicht, wer technisch Zugang haben könnte.

    3. Werden Daten für Modelltraining verwendet? Auch wenn eine Lösung „DSGVO-konform“ ist, können Nutzungsbedingungen eine Verwendung von Daten zu Trainingszwecken erlauben.

    4. Wo stehen die Server physisch? Rechenzentren in der EU und unter deutschem Recht sind nicht dasselbe wie ein US-Unternehmen mit EU-Servern.


    Fazit

    Das BSI C5-Zertifikat ist ein sinnvolles Instrument – für Cloud-Dienste, die auf fremder Infrastruktur laufen. Es schafft Transparenz und Verbindlichkeit dort, wo Daten die eigene Kontrolle verlassen.

    Aber es schafft keine echte Datenhoheit. Es dokumentiert, dass ein Dritter sorgfältig mit Ihren Daten umgeht. Es garantiert nicht, dass kein Dritter Ihre Daten verarbeitet.

    neoscript und neobox brauchen kein C5-Zertifikat – weil sie keine Infrastruktur Dritter nutzen. Ihre Sprachaufnahmen werden nie bei Azure oder AWS verarbeitet. Punkt.

    Wenn Sie als Psychotherapeut:in echte Datenhoheit wollen und nicht nur rechtliche Absicherung, dann ist der entscheidende Unterschied nicht das Zertifikat. Es ist die Frage, wem die Hardware gehört.


    Haben Sie Fragen zu unserer Infrastruktur oder möchten neoscript in Ihrer Praxis testen? Sprechen Sie uns an.

  • Die Zukunft der Gesundheitsversorgung beginnt heute – und neoscript.ai ist bereits mittendrin.

    Die Zukunft der Gesundheitsversorgung beginnt heute – und neoscript.ai ist bereits mittendrin.


    Während das Bundesministerium für Gesundheit in seiner Digitalisierungsstrategie „Gemeinsam Digital 2026″ das große Ziel ausgibt, KI-gestützte Dokumentation bis 2028 zum Standard zu machen und mehr als 70 % aller Einrichtungen dafür zu gewinnen, hat neoscript diesen Wandel längst eingeleitet.

    1.000+ automatisierte Dokumentationen. 1.000+ Chat-Einträge. Das sind keine Pilotprojekte. Das ist gelebte Realität – qualitativ hochwertig, zuverlässig und direkt im Versorgungsalltag von Fachkräften im Gesundheitswesen.
    Und das Entscheidende: ohne Abhängigkeit von US-amerikanischen Anbietern. Genau das fordert die Bundesregierung: digitale Souveränität, europäische Resilienz, Datenschutz nach höchsten Standards. Die Strategie formuliert es klar – es braucht Lösungen, die DSGVO-konform, sicher und unabhängig funktionieren. neoscript.ai liefert das nicht als Versprechen, sondern als nachgewiesene Praxis.

    Das BMG betont in seiner Weiterentwicklung der Digitalisierungsstrategie, dass KI dort eingesetzt werden soll, „wo sie Abläufe effizienter macht oder von administrativen Tätigkeiten entlastet – ohne ärztliche oder pflegerische Verantwortung zu ersetzen.“
    Genau diesen Anspruch erfüllt neoscript: Fachkräfte werden entlastet, Dokumentationsaufwand sinkt, die Qualität steigt – und der Mensch bleibt im Mittelpunkt.

    Was uns besonders stolz macht:
    ✅ Hohe Dokumentationsqualität, die dem Versorgungsalltag standhält
    ✅ DSGVO-Konformität ohne Kompromisse
    ✅ Kein Lock-in bei US-Hyperscalern – digitale Souveränität in der Praxis
    ✅ Entlastung für Fachkräfte, die jeden Tag Außergewöhnliches leisten

    Über 1.000 erfolgreichen Einträge sind mehr als eine Zahl. Sie sind ein Beweis dafür, dass KI im Gesundheitswesen jetzt funktioniert – nicht irgendwann 2028.

    Deutschland braucht mutige Vorreiter auf dem Weg zur digitalen Gesundheitsversorgung. neoscript.ai ist einer davon.

    Quelle: BMG Gemeinsam Digital – Digitalisierungsstrategie für das Gesundheitswesen und die Pflege.

  • Gastbeitrag: Meine Praxis-Story mit neoscript.ai

    Wie KI-Dokumentation meinen Praxisalltag verändert hat – Ein Erfahrungsbericht

    Gastbeitrag von Frau Kasten, Psychotherapeutin aus Düsseldorf


    Als das neoscript-Team mich fragte, ob ich über meine Erfahrungen schreiben möchte, musste ich erst einmal schmunzeln. Ausgerechnet ich – jemand, der Technik eher pragmatisch begegnet und sich lange gegen digitale Lösungen gesträubt hat. Aber genau deshalb schreibe ich jetzt diesen Beitrag: Weil sich wirklich etwas verändert hat.

    Der Moment, in dem ich „Ja“ gesagt habe

    Ehrlich gesagt war ich anfangs skeptisch. KI in der Therapie? Das klang für mich nach einer dieser Lösungen, die in schicken Präsentationen funktionieren, aber im echten Praxisalltag scheitern. Dazu kam meine größte Sorge: Datenschutz. Meine Patient*innen erzählen mir Dinge, die sie sonst niemandem anvertrauen. Diese Verantwortung trage ich sehr bewusst.

    Was mich dann doch überzeugt hat, war ein Gespräch mit einer Kollegin, die neoscript bereits nutzte. Sie erzählte nicht von Features oder Funktionen, sondern davon, dass sie abends wieder Zeit für sich hatte. Das hat mich aufhorchen lassen.

    Wie mein Alltag früher aussah

    Nach einem intensiven Therapietag – manchmal sechs, sieben Sitzungen hintereinander – war mein Kopf voll. Voller Geschichten, Emotionen, therapeutischer Hypothesen. Und dann wartete noch die Dokumentation. Verlaufsnotizen, die zeitnah geschrieben werden sollten, damit nichts verloren geht. Berichte für Kostenträger. Anamnesegespräche, die ausführlich festgehalten werden müssen.

    Das Frustrierende: Je später am Abend ich dokumentierte, desto schwieriger wurde es. Details verschwammen, ich suchte nach Formulierungen, die ich tagsüber sofort gefunden hätte. Manchmal saß ich bis 21 Uhr am Schreibtisch – nicht wegen der Therapie selbst, sondern wegen der Bürokratie drumherum.

    Wie ich heute arbeite

    Mein Workflow hat sich grundlegend verändert. Ich zeichne das Therapiegespräch auf – natürlich nur mit ausdrücklicher Einwilligung meiner Patient*innen, die ich zu Beginn der Behandlung einhole. Diese Aufzeichnung wird dann von neoscript transkribiert und in einen strukturierten Dokumentationsentwurf umgewandelt.

    Und hier ist der entscheidende Punkt: Es ist ein Entwurf. Ich lese ihn sorgfältig durch, passe Formulierungen an, ergänze therapeutische Einschätzungen, die nur ich treffen kann, wähle aus, was dokumentationsrelevant ist, und gebe ihn erst dann frei.

    Die KI nimmt mir nicht die fachliche Arbeit ab – sie nimmt mir die mühsame Tipparbeit ab und erstellt eine erste Struktur aus dem gesprochenen Wort. Der Unterschied ist enorm.

    Was sich konkret verändert hat

    Zeit: An vielen Tagen spare ich anderthalb bis zwei Stunden reine Dokumentationszeit. Das klingt nach viel – und ist es auch. Diese Zeit nutze ich unterschiedlich: Manchmal gehe ich früher nach Hause, manchmal bereite ich eine komplexe Sitzung intensiver vor, manchmal lese ich einfach Fachliteratur in Ruhe.

    Qualität: Meine Dokumentation ist jetzt konsistenter und vollständiger. Weil die Aufzeichnung das gesamte Gespräch erfasst, gehen keine wichtigen Details verloren – auch nicht die, die ich früher vielleicht in der Erinnerung übersehen hätte. Ich kann mich in der Sitzung voll auf meine Patient*innen konzentrieren, statt nebenbei schon ans Dokumentieren zu denken.

    Energie: Das klingt vielleicht weich, aber es macht einen Unterschied: Ich verlasse die Praxis häufiger mit dem Gefühl, fertig zu sein. Die Dokumentation hängt nicht mehr als unsichtbare To-do-Liste über meinem Feierabend.

    Die Datenschutz-Frage, die ich mir stellte

    Bevor ich mich für neoscript entschieden habe, habe ich mir auch andere Anbieter angeschaut. Manche hatten durchaus überzeugende Funktionen. Aber dann kam immer der Punkt, an dem ich in die Datenschutzerklärung schaute – und ins Stocken geriet.

    Server bei Amazon, Google oder Microsoft. Support-Tools mit Zugriff aus den USA. Analyse-Dienste auf ausländischen Servern. Für viele Branchen mag das akzeptabel sein. Für Psychotherapie ist es das nicht.

    Ich arbeite mit Menschen, die mir von Traumata erzählen, von familiären Krisen, von Suizidgedanken. Diese Daten dürfen nicht auf Servern landen, auf die US-Behörden durch den CLOUD Act zugreifen könnten. Dieser US-amerikanische Gesetz verpflichtet US-Unternehmen, auf Anfrage von Behörden Daten herauszugeben – unabhängig davon, wo die Server physisch stehen.

    Bei neoscript läuft alles in Deutschland. Server, Verarbeitung, Support. Keine US-Cloud-Anbieter im Hintergrund, keine versteckten Unterauftragnehmer in Drittländern. Das war für mich nicht verhandelbar – und es war das ausschlaggebende Argument.

    Wie meine Patient*innen reagiert haben

    Ich habe das Thema von Anfang an offen kommuniziert. Bevor ich die Aufzeichnung starte, hole ich eine informierte Einwilligung ein. Ich erkläre, dass die Aufnahme ausschließlich zur Dokumentation dient, dass KI-Unterstützung zum Einsatz kommt, dass alle Daten in Deutschland bleiben und dass ich jeden Entwurf persönlich prüfe und freigebe. Die Verantwortung und fachliche Kontrolle bleiben komplett bei mir.

    Die Reaktionen haben mich überrascht. Die meisten fanden es gut. Einige sagten sogar, dass sie es sympathisch finden, wenn ich moderne Mittel nutze, um mehr Zeit für die eigentliche therapeutische Arbeit zu haben. Nur wenige hatten Bedenken – und die konnte ich im persönlichen Gespräch meist ausräumen, indem ich den Datenschutz-Aspekt und das Verfahren genau erklärt habe.

    Was ich anderen Therapeut*innen sagen würde

    Wenn Kolleg*innen mich fragen, ob sie KI-Dokumentation nutzen sollten, sage ich: Es kommt darauf an. Nicht jede Lösung passt zu jeder Praxis. Aber wenn ihr abends erschöpft am Schreibtisch sitzt und euch fragt, warum ihr nochmal Psychotherapie studiert habt – dann lohnt sich zumindest ein Blick.

    Wichtig ist: Sucht euch einen Anbieter, dem ihr eure Patient*innen anvertrauen könnt. Fragt konkret nach, wo die Daten verarbeitet werden. Achtet besonders auf US-Cloud-Anbieter und den CLOUD Act. Lasst euch nicht mit vagen Aussagen abspeisen. Und probiert es aus – aber mit der klaren Erwartung, dass ihr die fachliche Kontrolle behaltet.

    Mein persönliches Fazit

    neoscript hat mir etwas zurückgegeben, das im Gesundheitswesen selten geworden ist: Planbarkeit. Ich kann meinen Tag besser strukturieren, bin weniger erschöpft und habe mehr Kapazität für das, wofür ich eigentlich angetreten bin – Menschen in schwierigen Lebensphasen zu begleiten.

    Das ist keine Revolution. Es ist eine stille, pragmatische Verbesserung. Aber genau solche Verbesserungen brauchen wir in der Psychotherapie. Nicht das große Disruptive, sondern das Praktische, das funktioniert und uns Luft zum Atmen gibt.

    Und ja: Ich gehe tatsächlich öfter pünktlich nach Hause.


    Frau Kasten ist approbierte Psychotherapeutin mit eigener Praxis in Düsseldorf und nutzt neoscript.ai seit der Anfangsphase. Sie hat diesen Gastbeitrag in ihrer Freizeit verfasst und wurde dafür nicht vergütet.

  • CLOUD Act: US-Macht und Tech-Konzerne vs. EU-Datenschutz

    CLOUD Act: US-Macht und Tech-Konzerne vs. EU-Datenschutz

    Der US CLOUD Act ermöglicht amerikanischen Behörden den Zugriff auf Daten weltweit, auch auf EU-Servern von US-Firmen, und kollidiert direkt mit der DSGVO. Unter der aktuellen US-Regierung kann dies systematisch geschehen, während Tech-Konzerne ihre AGBs brechen, ohne harte Konsequenzen zu fürchten. Dieser Blogpost entkräftet das Gegenargument, BKA-Anfragen seien vergleichbar, und beleuchtet die Risiken für sensible Daten wie Patientenakten.[1][2][3]

    Was ist der CLOUD Act?

    Der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) von 2018 erlaubt US-Strafverfolgungsbehörden, US-basierte Unternehmen zu zwingen, Daten herauszugeben – unabhängig vom Speicherort, also auch aus EU-Rechenzentren. Dies umgeht internationale Rechtshilfeabkommen wie MLATs und widerspricht DSGVO-Artikel 48, der nur Abkommen-basierte Zugriffe erlaubt. Europäische Unternehmen riskieren Bußgelder, wenn sie US-Clouds nutzen, da Anbieter wie Microsoft keinen vollen Schutz garantieren können.[2][4][5][6][7]

    Kollision mit DSGVO und EU-Souveränität

    Der CLOUD Act zwingt US-Firmen zur Datenübergabe ohne EU-Rechtsgrundlage, was DSGVO-Verstöße auslöst und durch Urteile wie Schrems II bestätigt wird. EU-Daten bleiben unsicher, selbst auf europäischen Servern, wenn der Mutterkonzern in den USA sitzt. Dies stärkt US-Macht über globale Datenströme und untergräbt europäische Souveränität.[8][9][10][1]

    BKA-Anfragen: Einzelfälle vs. Systematik

    Gängiges Argument: Das BKA kann Patientendaten genauso anfordern wie die USA. Falsch – BKA-Zugriffe (z.B. auf Fluggastdaten (548 Mio. Datensätze 2024)) sind gesetzlich geregelt, gerichtlich überprüfbar und auf spezifische Fälle beschränkt. Im Gegensatz dazu ermöglicht der CLOUD Act massenhafte, systematische Anfragen ohne EU-Kontrolle, potenziell unter der Trump-Regierung eskaliert. Patientendaten bei neoscript.ai wären bei US-Providern systematisch gefährdet, beim BKA nur in Einzelfällen.[11][12][2]

    Tech-Konzerne brechen AGBs straffrei

    US-Tech-Riesen ignorieren eigene AGBs und Datenschutzversprechen mit geringen Konsequenzen. Meta-CEO Zuckerberg siedelte 2025 eine 8-Milliarden-Dollar-Klage zum Cambridge-Analytica-Skandal, bei dem Nutzerdaten massenhaft missbraucht wurden, ohne Aussage vor Gericht. EU-Strafen gegen Apple (500 Mio. €) und Meta (200 Mio. €) 2025 wegen DMA-Verstößen sind Tropfen auf den heißen Stein bei Umsätzen von Hunderten Milliarden. Konzerne zahlen lieber Geldstrafen, statt Compliance zu priorisieren.[13][3][14]

    Risiken für Healthcare und Lösungen

    Für Healthcare-Anwendungen bedeuten US-Clouds existenzielle Risiken: Patientendaten könnten systematisch an US-Behörden fließen, unvereinbar mit der DSGVO. Empfehlung: Deutsche oder europäische Anbieter nutzen, die CLOUD-Act-frei sind und volle Souveränität bieten. So schützen Sie Datenhoheit und vermeiden AGB-Fallen von Big Tech.[5][1]

    Quellen
    [1] CLOUD Act vs. EU-Datenschutz: Was das US-Gesetz für … https://wire.com/de/blog/cloud-act-eu-souver%C3%A4nit%C3%A4t
    [2] 🌩️ Warum der US CLOUD Act ein Problem und Risiko für … https://xpert.digital/us-cloud-act/
    [3] Mark Zuckerberg settles lawsuit over Cambridge Analytica scandal … https://www.cbsnews.com/news/mark-zuckerberg-meta-lawsuit-settlement-cambridge-analytica-trial/
    [4] Wie der US CLOUD Act das europäische Datenschutzdilemma verschärft https://www.heise.de/hintergrund/Wie-der-US-CLOUD-Act-das-europaeische-Datenschutzdilemma-verschaerft-10518058.html
    [5] US Cloud Act: Was ist das – und ist er DSGVO-konform? https://www.idgard.com/de/blog/us-cloud-act-vs-datenschutz/
    [6] LfD: Der CLOUD Act – Zugriff von US-Behörden auf Daten … https://datenschutz.nibis.de/2020/09/07/der-cloud-act-zugriff-von-us-behoerden-auf-daten-in-der-eu/
    [7] Warum der US CLOUD Act EU-Unternehmen gefährdet https://www.digitalsamba.com/de/blog/why-the-cloud-act-is-a-threat-to-your-business-even-if-youre-in-europe
    [8] US Cloud Act: Bedrohung des europäischen Datenschutzes https://conceptboard.com/de/blog/us-cloud-act-europaeischer-datenschutz/
    [9] CLOUD Act vs GDPR Compliance – Impossible Cloud https://www.impossiblecloud.com/de-de/magazine/cloud-act-vs-gdpr-compliance-a-guide-to-sovereign-eu-cloud-storage-de-new
    [10] EU DSGVO und US Cloud Act – Das sollten Sie … – cloudshift https://www.cloudshift.de/eu-dsgvo-und-us-cloud-act-das-sollten-sie-als-mittelstaendler-wissen/
    [11] BKA: 548 Millionen Fluggastdatensätze durchsucht https://www.heise.de/news/BKA-548-Millionen-Fluggastdatensaetze-durchsucht-1525-Verdaechtige-verhaftet-10965210.html
    [12] Daten von 153 Millionen Fluggästen landen 2024 beim BKA https://netzpolitik.org/2025/rasterfahndung-daten-von-153-millionen-fluggaesten-landen-2024-beim-bka/
    [13] EU verhängt 700 Millionen Euro Strafen gegen Apple und Meta https://www.tagesschau.de/wirtschaft/unternehmen/apple-meta-eu-millionenstrafen-100.html
    [14] Mark Zuckerberg hoped the Supreme Court would dismiss an $8 … https://fortune.com/2025/07/17/trial-8-billion-lawsuit-mark-zuckerberg-meta-leaders-cambridge-analytica-privacy-scandal/
    [15] Drucksache 20/11869 https://dserver.bundestag.de/btd/20/118/2011869.pdf
    [16] EU-Datenschutz vs. CLOUD Act und Privacy Shield https://www.agnitas.de/cloud-act-und-privacy-shield/
    [17] Googles Vergleich über 391 Millionen Dollar treibt die Strafen für Big Tech im Jahr 2022 auf über 3 Milliarden Dollar | Proton https://proton.me/blog/de/big-tech-three-billion-fines
    [18] AGBs – Der Haken an der Sache https://www.hannesgrassegger.com/reporting/agbs—der-haken-an-der-sache-hannesgrassegger
    [19] Zuckerberg settles lawsuit over Cambridge Analytica scandal https://www.timesofisrael.com/zuckerberg-settles-lawsuit-over-cambridge-analytica-scandal/
    [20] Memo zur Reichweite des US-CLOUD-Act in Europa … https://www.pinsentmasons.com/de-de/out-law/nachrichten/dutch-memo-us-cloud-act-europe

  • Digitale Souveränität im Gesundheitswesen

    Digitale Souveränität im Gesundheitswesen

    Digitale Souveränität ist kein politisches Modewort mehr, sondern eine sehr konkrete wirtschaftliche und strategische Notwendigkeit – gerade für kritische Bereiche wie das Gesundheitswesen, in dem neoscript ansetzt. Die Beispiele aus Deutschland und der Schweiz zeigen eindrücklich, was passiert, wenn Verwaltungen und Unternehmen Abhängigkeiten reduzieren und eigene, offene Strukturen aufbauen und welche Rolle Lösungen wie neoscript dabei spielen können.

    Was digitale Souveränität bedeutet

    Digitale Souveränität heißt, die eigene IT‑Infrastruktur, Daten und zentralen Prozesse unter eigener Kontrolle zu behalten – technisch, rechtlich und wirtschaftlich. Es geht nicht darum, jede Zeile Code selbst zu schreiben, sondern darum, bewusst zu entscheiden, wo Daten liegen, wer zugreifen kann und wie austauschbar einzelne Bausteine sind.

    Für Gesundheitsanbieter, Praxen und therapeutische Einrichtungen bedeutet das: Patientendaten dürfen nicht in undurchsichtigen Blackbox-Clouds verschwinden, Lizenz- und Nutzungsbedingungen müssen nachvollziehbar bleiben und Kernprozesse wie Dokumentation oder Befundschreibung dürfen nicht von der Preispolitik eines einzelnen US‑Konzerns abhängen.

    Schleswig-Holstein: Open Source statt Vendor Lock-in

    Schleswig-Holstein zeigt aktuell sehr sichtbar, was passiert, wenn eine öffentliche Verwaltung konsequent auf Open Source und digitale Unabhängigkeit setzt. Das Land stellt seine Verwaltungs-IT schrittweise von proprietären Microsoft‑Lösungen auf freie Software um und spart damit schon im ersten Jahr mehr als 15 Millionen Euro an Lizenzkosten, bei einmaligen Investitionen von rund neun Millionen Euro – die Maßnahme amortisiert sich also in weniger als zwölf Monaten.

    Gleichzeitig reduziert das Land den Anteil an Microsoft‑Lizenzen um fast 80 Prozent und gewinnt damit Spielräume, offene Lösungen weiterzuentwickeln, Fachverfahren besser zu integrieren und eigene Prioritäten zu setzen, statt Roadmaps und Preismodelle eines einzelnen Anbieters einfach hinnehmen zu müssen. Genau diese Logik lässt sich auf Krankenhäuser, MVZs und Praxisketten übertragen: Wer offene, modular aufgebaute Software einführt, verschafft sich nicht nur Kostenvorteile, sondern auch echte strategische Handlungsfreiheit.

    Preisspirale bei Cloud-Suiten als Warnsignal

    Parallel dazu drehen große Anbieter weiter an der Preisschraube: Microsoft kündigt für die Microsoft‑365‑Suite ab Juli 2026 deutliche Erhöhungen an; einzelne Pläne steigen um bis zu ein Drittel, etwa wenn ein Tarif von 2,25 auf 3 US‑Dollar pro Nutzer und Monat wächst. Auch Business‑ und Enterprise‑Pläne legen teils im zweistelligen Prozentbereich zu, begründet mit neuen KI‑Funktionen und Security‑Features.

    Für Organisationen im Gesundheitswesen, die ohnehin mit knappen Budgets und steigenden Kosten in Pflege, Therapie und Infrastruktur kämpfen, bedeutet diese Preisdynamik: Jede zusätzliche Abhängigkeit von proprietären Suiten erhöht das finanzielle Risiko und reduziert den Spielraum für echte Innovation am Patienten. Digitale Souveränität heißt hier sehr konkret, diese Risiken zu begrenzen durch offene Standards, exportierbare Datenformate und Anbieter, die auf Transparenz und Interoperabilität

    Schweiz: Souveräne KI‑Infrastruktur als Vorbild

    Die Schweiz geht mit Initiativen wie der «Digital Switzerland Strategy» und der Swiss AI Initiative einen eigenen Weg, um digitale Souveränität auch im Bereich KI zu sichern. Basis ist unter anderem der öffentliche Supercomputer Alps, mit dem ein großer, mehrsprachiger Open‑Source‑Sprachmodell‑Stack aufgebaut wurde – mit Millionen GPU‑Stunden und signifikanten öffentlichen Investitionen, ausdrücklich ausgerichtet auf Transparenz, Datenschutz und offene Wissenschaft.

    Das Ziel ist klar: Staat und öffentliche Institutionen sollen KI nutzen können, ohne sich vollständig von einzelnen globalen Cloud‑Anbietern abhängig zu machen, sowohl in Bezug auf Infrastruktur als auch auf Modelle und Daten. Für Anwendungen im Gesundheitswesen entsteht damit ein Ökosystem, in dem sensible medizinische Informationen mit hohen Datenschutzanforderungen verarbeitet werden können, während Governance, Update‑Zyklen und Datenflüsse nachvollziehbar bleiben.

    Wo neoscript ansetzt

    neoscript ist genau in dieser neuen Realität verortet: Als spezialisierte Plattform für medizinische Dokumentation und KI‑gestützte Transkription zielt sie darauf, die Effizienz in Praxen und Kliniken zu steigern, ohne digitale Souveränität zu opfern. Durch einen Fokus auf deutsche undeuropäische Infrastruktur und klare Datenschutz-Architektur kann neoscript in souveräne IT-Strategien von Einrichtungen integriert werden, statt ein weiteres proprietäres Insel-System zu sein.

    Statt ein monolithisches US‑Produkt «von der Stange» zu kaufen, das jede Preiserhöhung und Produktentscheidung von außen diktiert, können Gesundheitsanbieter mit Lösungen wie neoscript schrittweise Kompetenz im eigenen Haus aufbauen: Daten bleiben in kontrollierten Umgebungen, Schnittstellen zu Praxis- und Kliniksystemen sind dokumentiert, und KI‑Modelle lassen sich perspektivisch austauschen oder ergänzen, passend zu regulatorischen Anforderungen und eigenen Qualitätsstandards. Damit wird digitale Souveränität vom abstrakten Schlagwort zur konkreten Architekturentscheidung und neoscript zu einem Baustein in einem unabhängigen, zukunftsfähigen Gesundheits-Ökosystem.

    1. https://www.heise.de/news/Adieu-Microsoft-Schleswig-Holstein-setzt-auf-Open-Source-und-spart-Millionen-11105389.html
    2. https://www.schleswig-holstein.de/DE/landesregierung/ministerien-behoerden/I/Presse/PI/2025/cds/251204_cds_open-source
    3. https://www.s-ge.com/en/article/news/why-digital-sovereignty-begins-switzerland
    4. https://find.swiss/find-library/articles/digital-sovereignty-lost-in-the-cloud
    5. https://www.swisscom.ch/en/business/enterprise/themen/cloud/digitale-souveraenitaet.html
    6. https://www.igorslab.de/adieu-microsoft-schleswig-holstein-setzt-auf-open-source-und-spart-millionen/
    7. https://www.it-boltwise.de/schleswig-holstein-spart-millionen-durch-open-source-umstellung.html
    8. https://www.trendingtopics.eu/microsoft-preiserhoehungen/
    9. https://www.heise.de/news/Microsoft-erhoeht-Preise-fuer-Microsoft-365-ab-Juli-2026-deutlich-11103864.html
    10. https://www.handelsblatt.com/technik/it-internet/software-microsoft-hebt-preise-fuer-buerosoftware-um-bis-zu-33-prozent-an-01/100181349.html
    11. https://www.ad-hoc-news.de/boerse/ueberblick/microsoft-365-preise-steigen-um-bis-zu-33-prozent/68411818
    12. https://de.linkedin.com/posts/handelsblatt_software-microsoft-hebt-preise-f%C3%BCr-b%C3%BCrosoftware-activity-7403566701218254849-owzZ
    13. https://www.smartcountry.berlin/en/newsblog/strategy-initiative-how-switzerland-is-going-digital.html
    14. https://www.heise.de/news/Studie-Bundesverwaltung-soll-bei-generativer-KI-auf-Eigenentwicklungen-setzen-11105571.html
    15. https://winfuture.de/news,155429.html
    16. https://www.reddit.com/r/de/comments/1pgimhv/adieu_microsoft_schleswigholstein_setzt_auf_open/
    17. https://s3nnet.de/lesetp-adieu-microsoft-schleswig-holstein-setzt-auf-open-source-und-spart-millionen/
    18. https://de.linkedin.com/posts/dev-felix-becker_software-microsoft-hebt-preise-f%C3%BCr-b%C3%BCrosoftware-activity-7403672438342909955-FTms
    19. https://www.facebook.com/heiseonline/photos/mit-der-migration-von-microsoft-zu-freier-software-zahlt-schleswig-holstein-gut-/1263775259118737/
    20. https://news.microsoft.com/source/emea/2025/09/how-microsoft-is-addressing-digital-sovereignty-in-switzerland/
  • 2025: Das Jahr, in dem Europa aufwachte

    2025: Das Jahr, in dem Europa aufwachte

    Jahrelang haben wir uns eingeredet, das Internet gehöre allen. Wir haben „Akzeptieren“ geklickt, ohne nachzudenken, unsere wertvollsten Erinnerungen in den Clouds US-amerikanischer Riesen abgelegt und Warnungen ignoriert. „Ich habe nichts zu verbergen“, war die Ausrede. Doch 2025 lässt sich die unbequeme Wahrheit nicht mehr leugnen: Wenn es wirklich drauf ankommt, haben wir Europäer:innen die Schlüssel zu unserem digitalen Zuhause längst abgetreten.

    Dieses Jahr hat schmerzhaft gezeigt, was Experten prophezeit hatten: Unsere digitale Abhängigkeit ist keine theoretische Gefahr mehr, sondern eine akute Bedrohung für Freiheit und Privatsphäre.

    Der „Kill Switch“ wird Realität

    Experten warnten: „Europa ist digital vom US abhängig – alles kann mit einem Klick abgeschaltet werden.“ Damals klang das nach Weltuntergangsszenario. Wie könnte ein Verbündeter das tun?

    Am 16. Mai 2025 erlebten wir, wie dieser Knopf aussieht: Microsoft blockierte die E-Mail-Accounts des Chefanklägers des Internationalen Strafgerichtshofs (IStGH) in Den Haag. Auf US-politischen Druck hin wurde eine unabhängige Institution digital zum Schweigen gebracht. Akten unzugänglich, Kommunikation dunkel.

    Dieser Vorfall beweist: Unsere kritische Infrastruktur ist Gast auf Servern, die wir nicht kontrollieren. Entscheidet ein Tech-Riese (oder die Regierung dahinter), dass du ein Problem bist, bist du raus – ob Bürger oder internationales Gericht.

    Dein Leben als Trainingsdaten (es sei denn, du widersprichst)

    Während unsere Souveränität bedroht ist, zerfrisst Big Tech unsere Privatsphäre. Erinnert ihr euch? „Widersprecht jetzt, wenn Meta eure Daten nicht für KI trainieren soll.“

    Vollkommene Umkehrung: Statt um Erlaubnis zu bitten, nehmen Firmen Urlaubsfotos, Kinder-Videos und Chats für profitablere KI-Modelle – es sei denn, du kämpfst dich durch verwirrende Menüs. 2025 wurde klar: Big Tech sieht deine Daten nicht als Eigentum, sondern als kostenloses Rohmaterial. Amnesty International warnte schon im August: Dieses Geschäftsmodell bedroht grundlegende Menschenrechte.

    Warum Big Tech kein sicherer Hafen ist

    Fazit 2025 ist hart, aber klar. Drei strukturelle Probleme lassen sich nicht mehr ignorieren:

    • Kill Switch: Wie NU.nl beschrieb und der IStGH erlebte, können Dienste einseitig gekappt werden.
    • Daten-Ausbeutung: Wie NOS und AP warnten, dienen Erinnerungen kommerzieller KI.
    • Machtmissbrauch: Wie Amnesty betont, gefährdet Konzentration bei wenigen Firmen unsere Freiheit.[1]

    Die Lösung in Europa: neoscript.ai

    Wir müssen das nicht hinnehmen. Der einzige Weg, Big Techs Macht zu brechen, führt unsere Daten nach Hause – nach Europa.

    Bei neoscript.ai machen wir es anders. Als privacy-fokussierte Healthcare-AI-Plattform glauben wir: Deine sensiblen medizinischen Daten gehören dir – und niemandem sonst.

    Kein KI-Training: Wir schauen nicht in deine Dateien. Deine Dokumente sind kein Algorithmus-Futter.

    Deutscher Schutz: Daten auf unseren eigenen Servern, oder wenn gewünscht auf deiner eigenen Infrastruktur, geschützt durch DSGVO Kein US-Cloud Act-Zugriff.

    Transparent: Kein Kleingedrucktes oder versteckte Opt-outs. Du bist Kunde, nicht Produkt.

    Kontrolle zurückholen – heute

    Wartet nicht auf den nächsten Skandal, die nächste Sperre oder AGB-Änderung. 2025 war der Weckruf.

    Tretet aus Big Techs Schatten. Wählt Privatsphäre, Sicherheit und Souveränität.

    Originalartikel: https://pixelunion.eu/blog/2025/

Blog – KI-Dokumentation & DSGVO im Gesundheitswesen

Expertenwissen zu KI-Dokumentation, DSGVO im Gesundheitswesen und datenschutzkonformer Software für Psychotherapeuten und Ärzte.