Patientenkommunikation sicher gestalten: Datenschutz klar geregelt

Patientenkommunikation sicher gestalten: Datenschutz klar geregelt

Patientenkommunikation und Datenschutz: Ein praxisnaher Leitfaden

Inhaltsverzeichnis

1. Einleitung: Warum gezielte Patientenkommunikation im Gesundheitssystem wichtig ist

Die Digitalisierung hat die Erwartungen von Patientinnen und Patienten nachhaltig verändert. Eine schnelle Terminanfrage per E-Mail, eine Befundübermittlung über einen sicheren Kanal oder eine Videosprechstunde sind längst keine Seltenheit mehr. Für Arztpraxen und medizinische Einrichtungen bietet dies enorme Chancen zur Effizienzsteigerung und Verbesserung der Patientenversorgung. Doch mit den neuen Kanälen wachsen auch die Herausforderungen. Im Mittelpunkt steht die komplexe Schnittstelle von Patientenkommunikation und Datenschutz. Gesundheitsdaten gehören gemäß der Datenschutz-Grundverordnung (DSGVO) zu den besonders schutzwürdigen Informationen. Ihre Verarbeitung unterliegt strengsten Regeln. Dieser Leitfaden bietet Ärztinnen, Ärzten, Praxispersonal und Datenschutzbeauftragten eine praxisnahe Hilfestellung, um eine moderne und zugleich rechtskonforme Kommunikation zu etablieren. Ziel ist es, die Balance zwischen Serviceorientierung und dem Schutz sensibler Daten sicherzustellen.

2. Kurzfassung: Kernempfehlungen auf einen Blick

Für eine schnelle Übersicht fassen wir die wichtigsten Handlungsempfehlungen für eine datenschutzkonforme Patientenkommunikation zusammen:

  • Einwilligung ist entscheidend: Holen Sie für die Kommunikation über unsichere Kanäle (z. B. unverschlüsselte E-Mail) immer eine freiwillige, informierte und dokumentierte Einwilligung Ihrer Patientinnen und Patienten ein.
  • Datensparsamkeit praktizieren: Übermitteln Sie nur die absolut notwendigen Informationen. Vermeiden Sie die Übertragung sensibler Diagnosen oder Befunde über ungesicherte Wege.
  • Sichere Kanäle bevorzugen: Nutzen Sie für den Austausch von Gesundheitsdaten bevorzugt Ende-zu-Ende-verschlüsselte Kommunikationslösungen. Prüfen Sie Anbieter sorgfältig.
  • AV-Vertrag abschließen: Setzen Sie externe Dienstleister (z. B. für Videosprechstunden oder Praxissoftware) nur auf Basis eines gültigen Auftragsverarbeitungsvertrages (AVV) gemäß Art. 28 DSGVO ein.
  • Mitarbeitende schulen: Sensibilisieren Sie Ihr gesamtes Team regelmäßig für die Risiken und korrekten Prozesse im Umgang mit Patientenkommunikation und Datenschutz.
  • Prozesse dokumentieren: Definieren und dokumentieren Sie klar, wer wann welche Informationen über welchen Kanal kommunizieren darf. Dies ist für die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) unerlässlich.

3. Rechtliche Grundlagen und Besonderheiten von Gesundheitsdaten (Art. 9 DSGVO)

Die rechtliche Basis für den Umgang mit Patientendaten bildet die DSGVO. Der entscheidende Paragraph für das Gesundheitswesen ist Artikel 9 DSGVO „Verarbeitung besonderer Kategorien personenbezogener Daten“. Gesundheitsdaten sind hier explizit genannt und genießen den höchsten Schutzstatus.

Was sind Gesundheitsdaten?

Gesundheitsdaten sind alle personenbezogenen Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen. Dazu gehören unter anderem:

  • Diagnosen und Anamnesen
  • Behandlungsverläufe und Medikationspläne
  • Laborwerte und Untersuchungsergebnisse
  • Genetische oder biometrische Daten
  • Informationen über einen Krankheitsstatus oder eine Behinderung

Die Verarbeitung dieser Daten ist grundsätzlich untersagt, es sei denn, eine der Ausnahmen des Art. 9 Abs. 2 DSGVO greift. Für die alltägliche Patientenkommunikation und den Datenschutz in der Praxis sind vor allem zwei Rechtsgrundlagen relevant:

  1. Behandlungsvertrag (Art. 9 Abs. 2 lit. h DSGVO): Die Verarbeitung ist für Zwecke der Gesundheitsvorsorge, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich erforderlich. Dies deckt die interne Verarbeitung in der Praxis ab, aber nicht zwangsläufig die Kommunikation über unsichere Kanäle nach außen.
  2. Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO): Die betroffene Person hat in die Verarbeitung ihrer Gesundheitsdaten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt. Diese Einwilligung ist die wichtigste Grundlage für die digitale Patientenkommunikation, beispielsweise per E-Mail.

4. Kanalbewertung: Datenschutzrisiken von E-Mail, SMS, Messenger und Fax

Die Wahl des Kommunikationskanals hat direkte Auswirkungen auf den Datenschutz. Nicht jeder Kanal ist für jeden Zweck geeignet. Eine sorgfältige Risikobewertung ist unerlässlich.

Kommunikationskanal Datenschutzrisiko Empfohlene Nutzung
Unverschlüsselte E-Mail Hoch. Inhalte können von Dritten mitgelesen werden (Postkarten-Prinzip). Absender und Empfänger sind leicht zu fälschen. Nur nach ausdrücklicher, dokumentierter Einwilligung und nur für organisatorische Zwecke (z. B. Terminbestätigungen ohne medizinische Details).
Verschlüsselte E-Mail (S/MIME, PGP) Gering. Technisch sicher, aber in der Praxis oft aufwändig für Patientinnen und Patienten, da beide Seiten Schlüssel benötigen. Sicherer Austausch mit anderen Praxen oder Institutionen, die ebenfalls Verschlüsselung nutzen. Für die breite Patientenkommunikation oft unpraktikabel.
SMS Hoch. Unverschlüsselt und Metadaten fallen an. Die Zuordnung der Nummer zur Person kann unsicher sein. Ausschließlich für nicht-sensible Informationen wie Terminerinnerungen (ohne Nennung des Facharztes oder Behandlungsgrundes) und nach Einwilligung.
Messenger (z.B. WhatsApp) Sehr hoch. Oft unklare Datenverarbeitung durch US-Anbieter (Problem Drittlandtransfer), Auslesen von Adressbüchern, fehlender AV-Vertrag. Nicht empfohlen für jegliche Form der Patientenkommunikation. Das Risiko eines Datenschutzverstoßes ist enorm.
Fax Mittel bis hoch. Risiko von Fehlversand an falsche Nummern, ungesicherte Ablage beim Empfänger. Kein Nachweis über den tatsächlichen Empfänger. Nur mit einem qualifizierten Fax-Deckblatt, das den Empfänger zur Vertraulichkeit verpflichtet. Für sensible Datenübermittlung zunehmend veraltet.

5. Auswahlkriterien für Kommunikationslösungen

Bei der Auswahl von Software für die Patientenkommunikation (z. B. Videosprechstunden-Tools, sichere Messenger oder E-Mail-Verschlüsselungs-Gateways) sollten folgende Kriterien im Fokus stehen:

Rechtliche und Organisatorische Kriterien

  • Hosting in der EU/EWR: Der Anbieter muss seine Server ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums betreiben, um komplexe Drittlandtransfers zu vermeiden.
  • DSGVO-konformer AV-Vertrag: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO muss abschließbar, verständlich und ohne einseitige Benachteiligungen sein.
  • Transparente Datenschutzinformationen: Der Anbieter muss klar darlegen, welche Daten er wie, wo und wofür verarbeitet.
  • Zertifizierungen: Gütesiegel wie ISO 27001 oder spezifische Zertifikate im Gesundheitswesen können ein Indikator für hohe Sicherheitsstandards sein.

Technische Kriterien

  • Ende-zu-Ende-Verschlüsselung (E2EE): Dies ist der Goldstandard. Nur Absender und Empfänger können die Nachricht entschlüsseln, nicht einmal der Anbieter selbst.
  • Transportverschlüsselung (TLS): Eine TLS-Verschlüsselung (erkennbar am „https://“ in der Web-Adresse) ist das absolute Minimum für jede webbasierte Anwendung.
  • Starke Authentifizierung: Die Lösung sollte eine sichere Anmeldung für Personal (z. B. Zwei-Faktor-Authentifizierung) und eine verlässliche Identifizierung von Patientinnen und Patienten ermöglichen.
  • Protokollierungsfunktionen (Logging): Wichtige Ereignisse (z. B. Zugriffe, Versand) müssen revisionssicher protokolliert werden, um die Nachvollziehbarkeit zu gewährleisten.

6. Vorlagen und Formulierungen für die Praxis

Die folgenden Vorlagen dienen als Orientierung und müssen an die spezifischen Gegebenheiten Ihrer Praxis angepasst werden. Eine rechtliche Prüfung wird empfohlen.

Vorlage: Einwilligungstext für E-Mail-Kommunikation

„Einwilligung in die Kommunikation per unverschlüsselter E-Mail

Ich, [Name des Patienten/der Patientin], geboren am [Geburtsdatum], willige hiermit freiwillig ein, dass die Praxis [Name der Praxis] mir organisatorische Informationen (z. B. Terminerinnerungen, Terminbestätigungen) an die folgende E-Mail-Adresse senden darf: [E-Mail-Adresse des Patienten].

Ich wurde darüber aufgeklärt, dass die Datenübertragung per unverschlüsselter E-Mail Sicherheitsrisiken birgt. E-Mails können von unbefugten Dritten eingesehen, verändert oder gelöscht werden. Die Praxis übernimmt hierfür keine Haftung. Sensible medizinische Daten wie Diagnosen oder Befunde werden über diesen Kanal nicht versendet.

Diese Einwilligung ist freiwillig und kann von mir jederzeit ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen werden. Der Widerruf kann schriftlich, per E-Mail an [E-Mail der Praxis] oder persönlich in der Praxis erfolgen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Kommunikation bleibt davon unberührt.

Datum, Unterschrift des Patienten/der Patientin“

Vorlage: Hinweis für Videokonsultation

„Vor Beginn der Videokonsultation möchten wir Sie darauf hinweisen, dass wir den zertifizierten Anbieter [Name des Anbieters] nutzen, der eine sichere Ende-zu-Ende-Verschlüsselung gewährleistet und seine Server in der EU betreibt. Bitte stellen Sie sicher, dass Sie sich für die Sprechstunde in einer privaten Umgebung aufhalten, in der niemand mithören kann. Das Aufzeichnen der Videosprechstunde durch eine der beiden Seiten ist strengstens untersagt.“

Checkliste für ein datenschutzkonformes Fax-Deckblatt

  • Klarer Empfänger: Name der Praxis/Abteilung und des zuständigen Ansprechpartners.
  • Vertraulichkeitshinweis: Ein gut sichtbarer Hinweis, dass die enthaltenen Informationen vertraulich und nur für den adressierten Empfänger bestimmt sind.
  • Handlungsanweisung bei Fehlversand: Eine Bitte, den Absender bei irrtümlicher Zustellung sofort zu informieren und das Fax zu vernichten.
  • Kontaktdaten des Absenders: Name der Praxis, Telefonnummer, Faxnummer.
  • Seitenanzahl: Angabe der Gesamtseitenzahl (z. B. „Seite 1 von 3“), um Vollständigkeit zu prüfen.

7. Prozessdesign: Rollen, Verantwortlichkeiten und Dokumentationspflichten

Eine sichere Technik allein reicht nicht aus. Die Organisation der Patientenkommunikation und des Datenschutzes muss in klaren Prozessen verankert sein.

  • Rollen definieren: Legen Sie fest, welche Mitarbeitenden (z. B. Anmeldung, Ärztin/Arzt) welche Art von Informationen (organisatorisch vs. medizinisch) über welche Kanäle kommunizieren dürfen.
  • Verantwortlichkeiten zuweisen: Bestimmen Sie eine verantwortliche Person für die Verwaltung der Einwilligungen und die regelmäßige Überprüfung der Kommunikationsprozesse (oft der/die Datenschutzbeauftragte oder Praxisinhaber/in).
  • Dokumentationspflicht: Alle Prozesse, Rollen und getroffenen technischen und organisatorischen Maßnahmen (TOMs) müssen im Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO dokumentiert werden.

8. Technische Maßnahmen: Verschlüsselung, Authentifizierung und mehr

Technische und organisatorische Maßnahmen (TOMs) sind das Rückgrat des Datenschutzes. Sie müssen dem Stand der Technik entsprechen.

  • Verschlüsselung: Neben der Ende-zu-Ende-Verschlüsselung für die Kommunikation müssen auch die Endgeräte (PCs, Laptops, Smartphones) durch Festplattenverschlüsselung (z. B. BitLocker, FileVault) geschützt werden.
  • Authentifizierung: Der Zugang zur Praxissoftware und zu Kommunikations-Tools muss durch starke, individuelle Passwörter und idealerweise eine Zwei-Faktor-Authentifizierung (2FA) gesichert sein.
  • Logging (Protokollierung): Relevante Systemzugriffe und Datenverarbeitungen müssen protokolliert werden, um unbefugte Aktivitäten nachvollziehen zu können.
  • Löschkonzepte: Definieren Sie, wie und wann Patientendaten und Kommunikationsprotokolle nach Ablauf der gesetzlichen Aufbewahrungsfristen sicher gelöscht werden.

9. Protokollierung, Aufbewahrung und Nachweisführung für Einwilligungen

Die Rechenschaftspflicht der DSGVO verlangt, dass Sie die Einhaltung der Datenschutzprinzipien nachweisen können. Für Einwilligungen bedeutet das:

  • Was wird protokolliert? Der genaue Wortlaut des Einwilligungstextes, der Zeitpunkt der Einwilligung (Datum, Uhrzeit), der Name der Person und der Kanal, über den die Einwilligung erteilt wurde (z. B. unterschriebenes Formular, digitale Checkbox).
  • Wie wird aufbewahrt? Einwilligungen müssen so gespeichert werden, dass sie dem jeweiligen Patienten eindeutig zugeordnet werden können. Sie sollten Teil der Patientenakte sein und vor unbefugtem Zugriff geschützt werden.
  • Wie lange wird aufbewahrt? Die Einwilligung sollte mindestens für die Dauer der Nutzung des Kommunikationskanals aufbewahrt werden, plus einer angemessenen Frist zur Nachweisführung danach. Sie unterliegt den allgemeinen Aufbewahrungsfristen für medizinische Dokumentation.

10. DSFA-Check: Wann und wie eine Datenschutz-Folgenabschätzung durchzuführen ist

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist immer dann erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Im Gesundheitswesen ist dies schnell der Fall.

Wann ist eine DSFA wahrscheinlich notwendig?

  • Bei der Einführung einer neuen Praxissoftware, die umfangreiche Gesundheitsdaten verarbeitet.
  • Bei der Implementierung eines neuen Kommunikationskanals für einen großen Patientenstamm (z. B. ein Patientenportal).
  • Bei der Einführung von Videosprechstunden-Systemen.
  • Generell bei der systematischen und umfangreichen Verarbeitung von Daten gemäß Art. 9 DSGVO.

Die Aufsichtsbehörden stellen Listen mit Verarbeitungsvorgängen bereit, für die eine DSFA durchzuführen ist. Im Zweifel sollte eine DSFA präventiv durchgeführt werden, um Risiken zu identifizieren und zu minimieren.

11. Schulung und Awareness: Das Praxisteam als erste Verteidigungslinie

Der Faktor Mensch ist oft die größte Schwachstelle. Regelmäßige Schulungen sind daher keine Option, sondern eine Pflicht. Inhalte für das Praxisteam sollten ab 2025 umfassen:

  • Grundlagen der DSGVO und die besondere Schutzwürdigkeit von Gesundheitsdaten.
  • Die internen Prozesse und Richtlinien zur Patientenkommunikation und zum Datenschutz.
  • Erkennen von Phishing-Mails und anderen Social-Engineering-Angriffen.
  • Das korrekte Vorgehen bei einer Datenpanne (Meldepflichten).
  • Sicherer Umgang mit Passwörtern und mobilen Geräten.

Führen Sie mindestens einmal jährlich eine dokumentierte Datenschutzschulung durch und nehmen Sie das Thema in die Einarbeitung neuer Mitarbeitender auf.

12. Praktische Checklisten für die interne Prüfung und Audits

Nutzen Sie die folgende Checkliste, um Ihre Prozesse regelmäßig zu überprüfen:

  • Einwilligungsmanagement: Liegen für alle Patientinnen und Patienten, die per E-Mail oder SMS kontaktiert werden, dokumentierte Einwilligungen vor?
  • AV-Verträge: Sind mit allen externen Dienstleistern (Software-Anbieter, IT-Dienstleister) aktuelle und gültige AV-Verträge abgeschlossen?
  • Zugriffsrechte: Haben Mitarbeitende nur Zugriff auf die Daten, die sie für ihre jeweilige Aufgabe benötigen (Need-to-know-Prinzip)?
  • Dokumentation: Ist das Verzeichnis von Verarbeitungstätigkeiten (VVT) aktuell und vollständig?
  • Schulungsnachweis: Wurden alle Mitarbeitenden im letzten Jahr nachweislich zum Datenschutz geschult?
  • Technik-Check: Sind alle Systeme auf dem aktuellen Stand (Updates, Virenscanner)? Wird Verschlüsselung dort eingesetzt, wo sie erforderlich ist?

13. Quellen: Behördenlinks und weiterführende Literatur

Für vertiefende Informationen und offizielle Stellungnahmen empfehlen wir die Webseiten der Datenschutzbehörden und Fachverbände:

14. Anhang: Glossar, DSFA-Gliederung und Compliance-Checkliste

Kurz-Glossar

  • AVV (Auftragsverarbeitungsvertrag): Ein Vertrag zwischen einem Verantwortlichen (Praxis) und einem Auftragsverarbeiter (Dienstleister), der die weisungsgebundene Verarbeitung personenbezogener Daten regelt.
  • DSGVO (Datenschutz-Grundverordnung): Die seit 2018 geltende europäische Verordnung, die den Schutz personenbezogener Daten EU-weit einheitlich regelt.
  • E2EE (Ende-zu-Ende-Verschlüsselung): Eine Methode der Verschlüsselung, bei der nur der Sender und der Empfänger die Nachricht lesen können.
  • TOMs (Technische und Organisatorische Maßnahmen): Alle Maßnahmen, die ergriffen werden, um die Sicherheit der Datenverarbeitung zu gewährleisten (z. B. Verschlüsselung, Zutrittskontrollen, Schulungen).

Beispiel-Gliederung einer Datenschutz-Folgenabschätzung (DSFA)

  1. Beschreibung der geplanten Verarbeitungsvorgänge.
  2. Bewertung der Notwendigkeit und Verhältnismäßigkeit.
  3. Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen (Patienten).
  4. Geplante Abhilfemaßnahmen zur Risikominimierung (technisch und organisatorisch).
  5. Dokumentation der Bewertung und der getroffenen Entscheidungen.

Compliance-Checkliste: Patientenkommunikation und Datenschutz

  • [ ] Datenschutzbeauftragte/r benannt und den Behörden gemeldet?
  • [ ] Verzeichnis von Verarbeitungstätigkeiten (VVT) für Kommunikationsprozesse erstellt?
  • [ ] Prozess zur Einholung und Verwaltung von Einwilligungen etabliert?
  • [ ] Vorlagen für Einwilligungen und Datenschutzerklärungen vorhanden und aktuell?
  • [ ] AV-Verträge mit allen relevanten Dienstleistern geprüft und vorhanden?
  • [ ] Rollen- und Berechtigungskonzept für den Zugriff auf Patientendaten umgesetzt?
  • [ ] Regelmäßige Schulungen des Personals werden durchgeführt und dokumentiert?
  • [ ] Technischer Schutz (Virenscanner, Firewall, Updates, Verschlüsselung) ist gewährleistet?
  • [ ] Prozess für die Meldung von Datenpannen ist definiert und bekannt?
  • [ ] Löschkonzept für Patientendaten und Kommunikationsprotokolle existiert?