E-Mail in der Arztpraxis: Was sicher ist und was DSGVO-Risiken birgt
E-Mail ist das meistgenutzte Kommunikationsmittel — und eine der größten Datenschutzfallen für Berliner Arztpraxen. Normale, unverschlüsselte E-Mails sind für die Übermittlung von Patientendaten grundsa¨tzlich verboten. Trotzdem werden täglich in Tausenden von Arztpraxen Befunde, Diagnosen und Patientendaten per normaler E-Mail versandt. Dieser Artikel klärt, was erlaubt ist und welche sicheren Alternativen es gibt.
Warum normale E-Mail für Patientendaten verboten ist
Normale E-Mails (SMTP ohne Ende-zu-Ende-Verschlüsselung) werden über mehrere Server übertragen und können an jedem dieser Server im Klartext gelesen werden. Für Gesundheitsdaten — die sensibelste Datenkategorie der DSGVO — ist dieses Schutzniveau völlig unzureichend.
Konkret verboten für die Übermittlung von Patientendaten:
- Unverschlüsselte E-Mail (Standard-SMTP)
- E-Mail-Dienste auf US-Servern (Gmail, Outlook.com, Yahoo Mail)
- WhatsApp, Telegram oder andere Messenger für Patientenkommunikation
- Unverschlüsselte Dateifreigaben via Link (Dropbox, Google Drive)
Auch wenn ein Patient ausdrücklich per E-Mail kommunizieren möchte: Die Einwilligung des Patienten entbindet die Praxis nicht von der DSGVO-Pflicht zur sicheren Übertragung. Der Arzt bleibt verantwortlich.
Sichere Kommunikationskanäle für Berliner Arztpraxen
- KIM (Kommunikation im Medizinwesen): Der offizielle, TI-basierte sichere E-Mail-Dienst für Kommunikation zwischen Leistungserbringern. Pflicht für die eAU-Übermittlung und Arztbriefe. Alle Gesundheitsberufe, die an der TI teilnehmen, haben eine KIM-Adresse.
- Ende-zu-Ende-verschlüsselte E-Mail (S/MIME oder PGP): Mit entsprechenden Zertifikaten können normale E-Mail-Programme (Outlook, Thunderbird) für verschlüsselte Kommunikation genutzt werden. Voraussetzung: Auch der Empfänger muss S/MIME oder PGP unterstützen.
- Sichere Patientenportale: Einige Praxissoftware-Anbieter bieten Patientenportale mit gesicherter Kommunikation an. Patienten loggen sich ein und erhalten Nachrichten über eine verschlüsselte Plattform.
- Fax als letzte Möglichkeit: Trotz seiner technischen Altertlichkeit ist Fax (klassisches Leitungsfax) DSGVO-mäßig noch akzeptabel — wird aber durch KIM zunehmend abgelöst.
Praxistipp für Patienten-E-Mails: Wenn Patienten Sie per E-Mail kontaktieren, darf die Antwort grundsätzlich keine Gesundheitsdaten enthalten — nur allgemeine Informationen (z.B. Terminbestätigung ohne Diagnose). Sensible Informationen immer über sichere Kanäle.
Haben Sie Fragen zu IT oder Datenschutz in Ihrer Praxis? Nehmen Sie Kontakt auf — wir beraten Berliner Arztpraxen kostenlos und unverbindlich.
