Patientendaten per E-Mail? Warum das riskant ist und was stattdessen geht

E-Mail ist der bequemste Weg, etwas zu verschicken, und deshalb landet in vielen Praxen mehr darin, als hineingehört: Befunde, Anamnesebögen, Rezeptwünsche, Fotos, Arztbriefe. Der Vorgang fühlt sich sicher an, weil das Postfach mit einem Passwort geschützt ist. Der Transportweg dazwischen ist es aber in aller Regel nicht.

Was technisch wirklich passiert

Eine E-Mail läuft über mehrere Zwischenstationen. Zwischen den Servern ist die Verbindung heute meist verschlüsselt, das ist die Transportverschlüsselung. Auf den Servern selbst liegt die Nachricht jedoch im Klartext und ist für die Betreiber lesbar.

Eine echte Ende-zu-Ende-Verschlüsselung, bei der nur Absender und Empfänger den Inhalt sehen, gibt es nur, wenn beide Seiten das ausdrücklich eingerichtet haben. Das ist bei Patienten praktisch nie der Fall.

Dazu kommen die Alltagsrisiken, die häufiger zuschlagen als jeder Angriff: die falsche Adresse aus der Autovervollständigung, der Sammelverteiler mit sichtbaren Adressen, das private Postfach eines Angehörigen, in dem der Befund plötzlich liegt, das Handy, auf dem das Postfach ohne Sperre offen ist.

Warum das bei Gesundheitsdaten schwerer wiegt

Gesundheitsdaten fallen unter Artikel 9 DSGVO und genießen besonderen Schutz. Artikel 32 verlangt Maßnahmen, die dem Risiko angemessen sind. Bei besonders schützenswerten Daten heißt das: einfache Transportverschlüsselung allein gilt als nicht ausreichend.

Und in Heilberufen kommt die Schweigepflicht nach § 203 StGB hinzu. Sie gilt unabhängig vom Datenschutzrecht, sie ist strafbewehrt, und sie trifft auch Ihre Mitarbeiterinnen. Das ist der Punkt, der in Datenschutzdiskussionen oft untergeht: Es geht nicht nur um ein Bußgeld.

Was in der Praxis funktioniert

Für eingehende Anfragen: ein Formular auf Ihrer eigenen Website statt einer E-Mail-Adresse. Die Übertragung ist verschlüsselt, die Anfrage landet an einem Ort, den Sie kontrollieren, und Sie bekommen vollständige Angaben statt einer freien E-Mail.

Für ausgehende Dokumente: Abholung in der Praxis, Post, oder ein geschützter Abrufweg mit persönlichem Zugang. Wenn ein Dokument doch elektronisch raus soll, dann als verschlüsselte Datei, deren Passwort auf einem anderen Weg mitgeteilt wird, also telefonisch, nicht in derselben Mail.

Für den Austausch mit Kollegen: die dafür vorgesehenen Fachdienste. Wo sie verfügbar sind, sind sie der sichere und dokumentierte Weg, und sie ersparen Ihnen die Abwägung im Einzelfall.

Für die interne Kommunikation: keine privaten Messenger auf privaten Geräten. Das ist der am schnellsten wachsende blinde Fleck, weil es sich harmlos anfühlt und praktisch ist.

Was Sie an eine E-Mail-Adresse verlieren

Es gibt einen Aspekt, der mit Recht nichts zu tun hat und im Alltag trotzdem stärker wiegt: Eine E-Mail-Adresse als Hauptkontaktweg produziert schlechte Anfragen.

Patienten schreiben, was ihnen einfällt. Es fehlen Geburtsdatum, Versichertenstatus, Medikamentenname, Wirkstärke. Ihr Team fragt nach, der Patient antwortet, es entsteht ein Verlauf über vier Nachrichten und zwei Tage. Für einen Vorgang, der mit sechs Pflichtfeldern in zwei Minuten erledigt wäre.

Deshalb ist der Wechsel vom Postfach zum Formular kein reines Datenschutzthema. Er ist zuerst eine Arbeitszeitfrage, und das ist meist das Argument, das im Team überzeugt.

Wenn der Patient selbst darauf besteht

Das kommt vor: Der Patient will seinen Befund unbedingt per E-Mail. Eine Einwilligung ist hier grundsätzlich möglich, aber sie muss echt sein. Der Patient muss verstanden haben, welches Risiko er eingeht, die Einwilligung muss dokumentiert sein und sie muss freiwillig erfolgen. Ein pauschaler Haken im Anmeldebogen genügt dafür nicht.

Wichtig: Ihre eigene Pflicht, angemessene Maßnahmen zu treffen, verschwindet dadurch nicht vollständig. Die Einwilligung ist eine Ausnahme für den Einzelfall, kein Freibrief für den Regelbetrieb.

Praktikabel ist ein kurzer Vordruck mit drei Sätzen: worum es geht, welches Risiko besteht, und dass die Einwilligung jederzeit widerrufen werden kann. Unterschrift, ab in die Akte, fertig.

Was innerhalb der Praxis gilt

Der Blick geht meist nach außen, dabei liegen viele Schwachstellen innen. Vier Punkte, die schnell zu klären sind:

Diese vier Punkte kosten fast nichts und beheben die Fälle, die in der Realität am häufigsten vorkommen. Der spektakuläre Angriff von außen ist selten, der mitgehörte Satz am Tresen passiert jeden Tag.

Was passiert, wenn doch etwas schiefgeht

Ein Befund geht an den falschen Empfänger, ein Sammelverteiler zeigt alle Adressen, ein Laptop verschwindet. Das sind die typischen Fälle, und sie passieren auch in gut geführten Praxen.

Wichtig ist, dass Sie den Ablauf vorher kennen. Bei einer Verletzung des Schutzes personenbezogener Daten gilt eine Meldefrist von 72 Stunden an die zuständige Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko müssen zusätzlich die Betroffenen informiert werden.

Drei Dinge sollten deshalb schriftlich festliegen: Wer entscheidet, ob gemeldet wird. Wo die Kontaktdaten der Aufsichtsbehörde stehen. Und wie der Vorfall dokumentiert wird, denn dokumentiert werden muss er in jedem Fall, auch wenn keine Meldung nötig ist.

Eine Seite im Ordner reicht. Die Erfahrung zeigt, dass im Ernstfall vor allem Zeit verloren geht, weil niemand weiß, wer zuständig ist.

Das Fax ist keine Lösung

Ein hartnäckiger Irrtum: Das Fax gilt vielen als sicherer Weg, weil es alt und vertraut ist. Aufsichtsbehörden haben mehrfach darauf hingewiesen, dass moderne Faxübertragung technisch weitgehend wie E-Mail funktioniert, also über das Internet läuft und unterwegs nicht durchgehend geschützt ist.

Dazu kommt das klassische Problem der Zahlendreher: Ein Fax an die falsche Nummer landet bei einem fremden Empfänger, ohne dass es jemand merkt. Wenn Sie noch faxen, prüfen Sie zumindest die Nummern doppelt und beschränken Sie es auf das Nötigste.

Der häufigste Fehler beim Umstieg

Viele Praxen richten ein Formular ein und lassen die E-Mail-Adresse daneben stehen, groß und sichtbar. Das Ergebnis ist vorhersehbar: Ein Teil nutzt das Formular, der Rest schreibt weiter Mails, und Sie haben zwei Wege statt einem.

Wenn Sie umstellen, dann konsequent. Die E-Mail-Adresse gehört ins Impressum, weil sie dort nach § 5 DDG hingehört, aber sie muss nicht als bevorzugter Kontaktweg auf jeder Seite stehen. Auf der Kontaktseite steht das Formular, und darunter ein Satz, wofür die E-Mail-Adresse gedacht ist, nämlich für alles ohne Gesundheitsbezug.

Und wenn doch eine Mail mit Gesundheitsbezug kommt: nicht per Mail antworten. Kurz anrufen oder auf das Formular verweisen. Das fühlt sich beim ersten Mal umständlich an und ist nach drei Wochen selbstverständlich.

Drei Dinge für nächste Woche

1. Nachsehen, was tatsächlich läuft. Schauen Sie in die letzten vier Wochen Ihres Postfachs. Meist ist es mehr als gedacht, und meist gibt es zwei bis drei wiederkehrende Fälle.
2. Für die zwei häufigsten Fälle einen anderen Weg festlegen und ihn aufschreiben. Ohne schriftliche Festlegung bleibt es beim Vorsatz.
3. Es nach außen sagen. Ein Satz auf der Website, dass Anliegen mit Gesundheitsbezug über das geschützte Formular und nicht per E-Mail kommen sollen, verhindert die Hälfte der Fälle.

Der dritte Punkt wirkt am schnellsten, weil ein großer Teil der problematischen Mails schlicht deshalb kommt, weil die E-Mail-Adresse der sichtbarste Kontaktweg auf Ihrer Seite ist.

Die Ausnahme, die es tatsächlich gibt

Nicht jede E-Mail aus einer Praxis ist ein Problem. Unkritisch sind alle Nachrichten ohne Gesundheitsbezug, also die Terminbestätigung ohne Angabe des Anlasses, die Information über geänderte Öffnungszeiten, die Antwort auf eine Bewerbung, die Bestellung beim Lieferanten.

Die Grenze verläuft dort, wo aus der Nachricht hervorgeht, dass eine bestimmte Person bei Ihnen in Behandlung ist oder woran sie leidet. Bei einer Hausarztpraxis ist die bloße Terminbestätigung meist noch unkritisch, bei einer Fachpraxis mit eindeutigem Schwerpunkt kann schon der Absender die Information tragen.

Das ist der Grund, warum es keine allgemeingültige Antwort gibt: Dieselbe Nachricht ist je nach Fachrichtung unterschiedlich sensibel. Wenn Sie unsicher sind, ist die Frage hilfreich, ob es der Person unangenehm wäre, wenn ein Dritter die Nachricht liest.

Was Sie Ihrem Team sagen sollten

Alle Regeln nützen nichts, wenn sie im Alltag umgangen werden, und umgangen werden sie fast nie aus Nachlässigkeit, sondern aus Zeitmangel. Wenn der sichere Weg drei Klicks mehr kostet, gewinnt der unsichere.

Deshalb ist die wichtigste Regel für Sie als Praxisinhaber: Machen Sie den sicheren Weg zum bequemsten. Ein Formular, das schneller ist als eine E-Mail, wird benutzt. Eine Anweisung, die den Tag verlängert, wird umgangen, und Sie erfahren davon erst, wenn etwas passiert ist.

Dieser Beitrag ist eine Orientierung, keine Rechtsberatung. Für Ihren Einzelfall bleiben Ihr Datenschutzbeauftragter oder ein Fachanwalt zuständig.