Transkription für Therapeuten: Notizen, Review und die BAA-Hürde

Jede Aufzeichnung oder jedes Transkript, das identifizierbare Klienteninformationen enthält, ist eine geschützte Gesundheitsinformation (PHI). Das bedeutet: Verlaufsnotizen aus Sitzungsaudio, Supervisionsaufzeichnungen, die mit einem Supervisor besprochen werden, und Forschungsaufzeichnungen mit echten Klienten fallen alle unter die HIPAA – und Ihr Transkriptionsanbieter muss einen Business Associate Agreement unterzeichnen, bevor Sie auch nur eine einzige Datei hochladen.

Dieser Beitrag konzentriert sich auf die Praxis: wie Workflows für Verlaufsnotizen und Supervisionsreviews tatsächlich funktionieren, wo die Compliance-Schranken liegen und was die wichtigsten Ethikkodizes verlangen.

Betrifft Ihr Anwendungsfall PHI?

Die erste Frage lautet nicht „welches Tool soll ich nutzen“, sondern „welche Art von Inhalt transkribiere ich“.

Verlaufsnotizen aus Sitzungsaufzeichnungen sind PHI. Audio eines sprechenden Klienten, KI-generierte Transkripte dieses Audios und jede daraus abgeleitete strukturierte Notiz enthalten allesamt PHI. Dass die fertige Notiz möglicherweise anonymisiert ist, ändert nichts am Status der Quellaufzeichnung während der Verarbeitung.

Supervisionsaufzeichnungen sind PHI. Wenn ein Auszubildender oder approbierter Therapeut eine Sitzung zur Prüfung durch den Supervisor aufzeichnet, behält die Aufzeichnung ihren PHI-Status. Der Supervisor wird ein zusätzlicher autorisierter Zugreifender – kein Grund dafür, dass der Inhalt seinen Schutzstatus verliert.

Vollständig anonymisierte Lehrinhalte sind kein PHI. Wenn Sie zusammengesetzte Szenarien aus mehreren Klienten erstellen – ohne Namen, Daten, Orte oder Details, die jemanden identifizieren könnten –, liegt dieses Material außerhalb des Geltungsbereichs der HIPAA. Dasselbe gilt für Ihre eigenen Fortbildungsaufzeichnungen, Podcasts und Inhalte zur beruflichen Weiterentwicklung.

Die praktische Trennung: HIPAA-konformer Anbieter mit BAA für alles Klinische; allgemeine KI-Transkription für alles andere.

Was die HIPAA tatsächlich von Transkriptionsanbietern verlangt

Für jede Transkription, die PHI betrifft, muss Ihr Anbieter:

Einen Business Associate Agreement unterzeichnen. Pflicht. Keine Ausnahmen. Das OCR hat Fälle in erheblicher Höhe beigelegt, bei denen der einzige Verstoß eine fehlende BAA war. Gemäß HIPAA-Leitlinien verstoßen sowohl die betroffene Einrichtung als auch der Anbieter gegen die Vorschriften, wenn PHI ohne BAA verarbeitet wird – selbst wenn kein Datenleck auftritt.

Daten ruhend und bei der Übertragung verschlüsseln. Der aktuelle Standard ist AES-256 für die Speicherung und TLS für die Übertragung.

Zugriffskontrollen und Audit-Logs pflegen. Nur autorisiertes Personal sollte auf Aufzeichnungen und Transkripte zugreifen können.

Subprozessoren abdecken. Nutzt der Transkriptionsanbieter Cloud-Speicher oder KI-Infrastruktur von Drittanbietern, muss dieser Subprozessor ebenfalls in die Compliance-Kette eingebunden sein.

Ihre Aufbewahrungsrichtlinie unterstützen. Aufzeichnungen sollten nach einem definierten Zeitplan gelöscht werden. Mentalyc löscht Sitzungsaufzeichnungen beispielsweise automatisch nach drei Tagen und behält nur die generierte Notiz – gut vereinbar mit dem Grundsatz des „Minimum Necessary“.

Eine vollständige Aufschlüsselung der BAA-Anforderungen und worauf Sie in Anbieterverträgen achten sollten, finden Sie im Beitrag HIPAA-konforme Transkription.

Tools für Verlaufsnotizen und Supervision

Die therapiespezifischen KI-Notiz-Tools haben den Compliance-Stack von Grund auf neu gebaut. Die universellen Plattformen nicht.

Mentalyc wurde speziell für die Therapiepraxis entwickelt. Es erstellt SOAP-, DAP-, BIRP- und Erstgesprächsnotizen aus Sitzungsaudio. Eine BAA ist in jedem Tarif enthalten (von 19,99 $/Monat für 40 Notizen bis 119,99 $/Monat für 330 Notizen, verifiziert auf der Mentalyc-Preisseite im Juli 2026). Aufzeichnungen werden nach drei Tagen automatisch gelöscht. SOC 2 Type II zertifiziert. Geeignet für Einzel- und Gruppenpraxen.

Upheal kombiniert einen KI-Notizschreiber mit integrierten EHR-Funktionen inklusive Terminplanung und Telehealth. HIPAA-konform mit BAA auf allen kostenpflichtigen Konten (laut Upheal-Dokumentation, verifiziert im Juli 2026). Notizen entstehen in Sekunden; Aufzeichnungen werden standardmäßig gelöscht, sofern Sie sich nicht aktiv für die Aufbewahrung entscheiden.

Eleos Health richtet sich an größere Organisationen im Bereich Verhaltensgesundheit statt an Einzelpraktiker. HIPAA-, SOC 2 Type II-, HITRUST- und ISO-27001-zertifiziert; BAA über Enterprise-Vertrag verfügbar. Wird als Browser-Overlay auf bestehenden EHR-Systemen eingesetzt, ohne sie zu ersetzen. Die Implementierung dauert zwei bis drei Monate – ein Spiegelbild seines Zielmarkts.

Lyssn ist auf klinische Ausbildung und Qualitätssicherung ausgerichtet statt auf Abrechnungsdokumentation. HIPAA-konform mit BAA, gehostet auf AWS-Infrastruktur. Gut geeignet für Ausbildungsprogramme und Gruppenpraxen, die Supervisions-Workflows im größeren Umfang betreiben – weniger für den Einzelpraktiker, der jeden Abend Verlaufsnotizen erstellt.

SimplePractice Note Taker ist die integrierte KI-Notizfunktion innerhalb der SimplePractice-EHR. HIPAA-konform, HITRUST-zertifiziert, über die SimplePractice-BAA abgedeckt. Stand Juni 2026 bewahrt SimplePractice anonymisierte Transkripte zur Modellverbesserung auf, sofern Sie nicht widersprechen – das sollten Sie prüfen, bevor Sie die Funktion nutzen (gemäß der veröffentlichten Aufbewahrungsrichtlinie von SimplePractice).

In EHR integrierte Optionen (TherapyNotes, TheraNest). Wenn Sie eine dieser Plattformen bereits nutzen, prüfen Sie, ob deren KI-Notizfunktion live ist, wie die BAA-Abdeckung aussieht und ob Sie ein separates Add-on benötigen.

Für die Prüfung von Supervisionsaufzeichnungen im Ausbildungskontext ist Lyssn die am stärksten spezialisierte Option. Für Verlaufsnotizen in Einzel- oder kleinen Gruppenpraxen sind Mentalyc und Upheal am unkompliziertesten einzurichten.

Was die Ethikkodizes verlangen

Die HIPAA deckt die Ebene der Datensicherheit ab. Die berufsethischen Kodizes legen darüber hinaus eine Ebene für Einwilligung und Zweck.

APA-Standard 4.03 (Aufzeichnung): Bevor Psychologen Stimmen oder Bilder von Personen aufzeichnen, denen sie Dienste erbringen, müssen sie die Erlaubnis aller dieser Personen oder ihrer gesetzlichen Vertreter einholen. Dies ist von der allgemeinen informierten Einwilligung zur Behandlung getrennt; sie muss die Aufzeichnung ausdrücklich abdecken.

APA-Standard 4.04 (Minimierung von Eingriffen in die Privatsphäre): Psychologen nehmen in schriftliche und mündliche Berichte nur Informationen auf, die für den Zweck der Mitteilung relevant sind. Das betrifft, was Sie mit Transkripten anstellen, nachdem Sie sie haben – nicht nur, ob Sie aufzeichnen.

ACA-Abschnitt B.6.c (Erlaubnis zur Aufzeichnung): Berater müssen vor der Aufzeichnung von Sitzungen – gleich ob elektronisch oder auf andere Weise – die Erlaubnis des Klienten einholen. Abschnitt B.6.d ergänzt, dass auch vor dem Gewähren von Einsicht für Dritte in Transkripte oder Sitzungsaufzeichnungen eine Erlaubnis erforderlich ist, was die Nutzung in der Supervision direkt abdeckt.

NASW-Abschnitt 1.07 (Privatsphäre und Vertraulichkeit) und Abschnitt 3.04 (Klientenakten): Vertrauliche Informationen dürfen nur mit gültiger Einwilligung offengelegt werden. Abschnitt 3.04 regelt, wie Klientenakten einschließlich Aufzeichnungen dokumentiert, gespeichert und geschützt werden müssen.

AAMFT-Abschnitt 1.11 (Schriftliche Einwilligung zur Aufzeichnung): Ehe- und Familientherapeuten müssen vor der Aufzeichnung von Bildern, Video oder Audio, vor der Nutzung jeglicher Transkriptionsdienste oder vor der Zulassung von Beobachtungen durch Dritte eine informierte Einwilligung und schriftliche Genehmigung einholen. Dies ist der ausdrücklichste der großen Kodizes speziell zu Transkriptionsdiensten.

Der gemeinsame Nenner aller vier: Die Einwilligung muss sich speziell auf die Aufzeichnung beziehen, den Zweck benennen und angeben, wer sonst noch Zugriff erhält. Ein allgemeines Behandlungseinwilligungsformular, das Aufzeichnungen oder KI-Tools nicht erwähnt, erfüllt diese Anforderungen nicht.

Wenn Sie mit Klienten mit Substanzkonsumstörungen arbeiten, fügt 42 CFR Part 2 eine bundesgesetzliche Ebene über die HIPAA hinaus hinzu. Die finale Regel von 2024 (in Kraft seit Februar 2026) hat Part 2 enger an die HIPAA angeglichen, doch SUD-Unterlagen unterliegen weiterhin zusätzlichen Beschränkungen bei der Offenlegung. Jeder Aufzeichnungs-Workflow mit SUD-Klienten benötigt eine Compliance-Prüfung speziell zu Part 2.

Für den Schwesterbeitrag, der die ethischen Aspekte vertieft behandelt, siehe Ethik der Transkription von Therapiesitzungen.

Der Verlaufsnotiz-Workflow in der Praxis

Ein realistischer Workflow für Verlaufsnotizen mit einem HIPAA-konformen Tool sieht so aus:

Vor der ersten aufgezeichneten Sitzung: Aktualisieren Sie Ihr Einwilligungsformular, sodass es Aufzeichnungen abdeckt, nennen Sie das eingesetzte KI-Tool, beschreiben Sie, wer Zugriff erhält, und geben Sie Ihre Aufbewahrungsrichtlinie an. Lassen Sie den Klienten unterschreiben. Dokumentieren Sie die unterschriebene Einwilligung in der Akte.

Während der Sitzung: Zeichnen Sie über die App des Tools auf oder laden Sie das Audio unmittelbar danach hoch. Die meisten Tools verarbeiten das Audio und liefern innerhalb weniger Minuten einen Notizentwurf.

Nach der Sitzung: Prüfen und bearbeiten Sie den KI-Entwurf, bevor Sie unterschreiben. Keine KI-generierte Notiz sollte ungeprüft und unsigniert in die Akte gelangen. Die bearbeitete Notiz ist der klinische Datensatz; die Quellaufzeichnung dient nur als Zwischenschritt.

Aufbewahrung: Legen Sie einen Aufbewahrungszeitplan für Aufzeichnungen fest. In den meisten Praxen hat die Aufzeichnung keinen klinischen Wert mehr, sobald die Notiz finalisiert und signiert ist. Das zeitnahe Löschen begrenzt das Risiko.

Jährliche Überprüfung: Die Compliance-Ausrichtung von Anbietern ändert sich. Überprüfen Sie Ihre BAA und die Datenpraktiken des Anbieters mindestens einmal jährlich.

Der Workflow für Supervisionsaufzeichnungen

Für Auszubildende oder approbierte Therapeuten, die Sitzungen für die Supervision aufzeichnen:

Die informierte Einwilligung des Klienten muss ausdrücklich festhalten, dass der Supervisor (oder die Supervisionsgruppe) Zugriff auf die Aufzeichnung oder das Transkript erhält. Eine allgemeine Supervisionseinwilligung reicht nicht aus, wenn KI-Transkription Teil des Workflows ist.

Der Supervisor übernimmt dieselben Vertraulichkeitspflichten wie der behandelnde Kliniker. Das Transkript oder die Aufzeichnung sollte ausschließlich mit dem autorisierten Supervisor geteilt, für den genannten Supervisionszweck geprüft und nicht darüber hinaus aufbewahrt werden.

Für Programme mit formalisierter Supervision und mehreren Auszubildenden lohnt sich ein Blick auf Lyssns Funktionen zur Sitzungsprüfung. Für einen einzelnen Supervisor mit ein oder zwei Supervisanden kann ein gemeinsam genutztes Mentalyc- oder Upheal-Konto mit Supervisor-Zugang einfacher sein.

Wo allgemeine Transkriptionstools passen

Therapeuten erstellen zahlreiche Fachinhalte ohne PHI, für die ein allgemeines KI-Transkriptionstool gut funktioniert und eine therapiespezifische Plattform unnötig ist.

Fortbildungsvorträge, Keynote-Mitschnitte und Podcastfolgen über Therapiekonzepte enthalten keine Klienten-PHI. Dasselbe gilt für Aufnahmen zur beruflichen Weiterentwicklung, Konferenzsitzungsnotizen und Supervisionsgespräche über Ihre eigene klinische Entwicklung statt über konkrete Klientenfälle. Für all diese Inhalte ist ein Tool ohne BAA angemessen.

Wenn Sie einen Podcast oder regelmäßig Audioinhalte für Kollegen oder Klienten produzieren, erledigt ConvertAudioToText das sauber: Audio hochladen und ein formatiertes Transkript zurückbekommen – ohne Kontoanforderung für die grundlegende Nutzung. Das Audio-zu-Text-Tool eignet sich ebenfalls für Konferenzmitschnitte, Fortbildungsinhalte und jedes Audio ohne Klienteninformationen.

Die Grenze, die klar bleiben muss: Inhalte mit PHI gehören zum BAA-Anbieter – Punkt. Nicht-PHI-Fachinhalte können dorthin, wo es für Sie passt.

Häufige Fehler, die Compliance-Lücken schaffen

Drei Muster, die echte Probleme verursacht haben:

Konsum-KI-Tools für Klientensitzungsinhalte verwenden. Ein Therapeut nutzt ein allgemeines Transkriptions- oder Zusammenfassungstool, um eine aufgezeichnete Sitzung zu verarbeiten. Die Informationen des Klienten landen damit in einem System ohne HIPAA-Konformität und ohne BAA.

Praxisnutzung mit Privatnutzung vermischen. Eigene Reflexionen über Ihre klinische Arbeit aufzuzeichnen kann in die Beschreibung von Klientensituationen übergehen. Enthalten Ihre „Aufnahmen zur beruflichen Entwicklung“ erkennbare Klientendetails, tragen sie PHI.

Unzureichende Einwilligungsformulare. Sitzungen mit einem Formular aufzeichnen, das die allgemeine Behandlung abdeckt, aber nichts zu KI-Tools, Aufbewahrung von Aufzeichnungen oder dem Zugriff auf Transkripte sagt. Die Klienten haben keine informierte Einwilligung zu dem gegeben, was tatsächlich passiert.

Die Lösung ist bei allen dreien dieselbe: eine klare Richtlinie dazu, welcher Inhalt welches Tool nutzt, Einwilligungsformulare, die zum tatsächlichen Workflow passen, und eine jährliche Überprüfung, wenn sich Tools ändern.

Häufig gestellte Fragen

Kann ein Therapeut ein allgemeines KI-Transkriptionstool für Sitzungsnotizen verwenden?

Nein, nicht für identifizierbare Klientensitzungen. Sitzungsaudio und Transkripte mit Klienteninformationen sind geschützte Gesundheitsinformationen (PHI). PHI mit einem allgemeinen KI-Transkriptionstool zu verarbeiten, das keinen Business Associate Agreement unterzeichnet, ist ein HIPAA-Verstoß – unabhängig davon, wie sich das Tool vermarktet. Nutzen Sie eine therapiespezifische Plattform, die ausdrücklich eine BAA für die gesamte klinische Dokumentation unterzeichnet.

Was ist ein Business Associate Agreement und warum ist es für die Transkription wichtig?

Eine BAA ist ein von der HIPAA geforderter Vertrag zwischen einer betroffenen Einrichtung (dem Therapeuten oder der Praxis) und jedem Anbieter, der in ihrem Auftrag PHI verarbeitet. Ohne unterzeichnete BAA ist die Beauftragung eines Anbieters zur Verarbeitung von Klientenaudio ein HIPAA-Verstoß, selbst wenn kein Datenleck auftritt. Bei der Transkription muss die BAA den Transkriptionsanbieter und alle von ihm genutzten Subprozessoren abdecken, etwa Cloud-Speicheranbieter.

Verlangen Ethikkodizes eine informierte Einwilligung vor der Aufzeichnung von Therapiesitzungen?

Ja, in allen wichtigen Kodizes. APA-Standard 4.03 verlangt von Psychologen, vor Aufzeichnungen die Erlaubnis der Klienten oder ihrer gesetzlichen Vertreter einzuholen. ACA-Abschnitt B.6.c verlangt von Beratern, vor der Aufzeichnung mit elektronischen oder anderen Mitteln die Erlaubnis des Klienten einzuholen. AAMFT-Abschnitt 1.11 verlangt informierte Einwilligung und schriftliche Genehmigung vor Aufzeichnungen oder der Nutzung von Transkriptionsdiensten. Die Einwilligung muss den konkreten Zweck abdecken, wer Zugriff erhält und wie lange die Aufzeichnung aufbewahrt wird.

Unterliegen Supervisionsaufzeichnungen denselben HIPAA- und Ethikregeln wie Sitzungsaufzeichnungen?

Ja. Supervisionsaufzeichnungen von Klientensitzungen bleiben PHI. Der Klient muss ausdrücklich zustimmen, dass der Supervisor Zugriff erhält, und das verwendete Transkriptionstool muss HIPAA-konform mit BAA sein. Der Supervisor hat dieselben Vertraulichkeitspflichten wie der behandelnde Therapeut. Das Einwilligungsformular sollte ausdrücklich festhalten, dass die Supervisionsprüfung ein Zweck ist, für den Aufzeichnungen verwendet werden dürfen.

Welche Therapieinhalte lassen sich sicher mit einem allgemeinen KI-Transkriptionstool transkribieren?

Nicht-PHI-Fachinhalte eignen sich für allgemeine KI-Transkriptionstools. Dazu gehören Fortbildungsvorträge, Konferenzmitschnitte, Podcasts über Konzepte der psychischen Gesundheit ohne Klienteninformationen, vollständig anonymisierte Lehrszenarien (keine Namen, keine identifizierenden Details, zusammengesetzte Fälle aus mehreren Klienten) sowie eigene Aufnahmen zur beruflichen Reflexion oder Karriereplanung. Besteht auch nur der geringste Zweifel, ob Inhalte einen Klienten identifizieren könnten, behandeln Sie sie als PHI.

Quellen

• APA-Ethische Grundsätze für Psychologen und Verhaltenskodex (Standards 4.03 und 4.04, verifiziert im Juli 2026)
• ACA-Ethikkodex 2014, Abschnitt B.6 (B.6.c Erlaubnis zur Aufzeichnung, B.6.d Erlaubnis zur Beobachtung, verifiziert im Juli 2026)
• AAMFT-Ethikkodex (Abschnitt 1.11 Schriftliche Einwilligung zur Aufzeichnung, verifiziert im Juli 2026)
• NASW-Ethikkodex (Abschnitte 1.07, 3.04, verifiziert im Juli 2026)
• 42 CFR Part 2 Finale Regel, HHS.gov (Regel von 2024, Durchsetzung begann Februar 2026)
• Mentalyc-Preisseite (Tarifstufen und BAA inbegriffen, verifiziert im Juli 2026)
• Mentalyc Sicherheit und BAA (BAA in allen Tarifen enthalten, verifiziert im Juli 2026)
• Upheal KI-Klinische Notizen (HIPAA-Konformität und BAA, verifiziert im Juli 2026)
• Eleos Health (HIPAA-, SOC 2-, HITRUST-Zertifizierungen, verifiziert im Juli 2026)
• Lyssn (HIPAA-BAA, auf Supervision ausgerichtete Plattform, gemäß Anbieterdokumentation)
• SimplePractice Note Taker FAQs (BAA-Abdeckung und Aufbewahrungsrichtlinie, verifiziert im Juli 2026)