In diesem Ratgeber
Praxis-Check
Vier Schritte, mit denen Sie beginnen können
Alle praxisbezogenen und persönlichen KIM-Adressen samt Zuständigkeit und Zugriffsrechten erfassen.
Vor Versand den tatsächlichen Empfänger und die Offenbarungsbefugnis prüfen.
Im PVS festlegen, wer KIM-Post bearbeitet, zuordnet, dokumentiert und bei Abwesenheit vertritt.
Fehlversand, technische Störung, Zugriffsentzug und Datenschutzvorfall als Abläufe schulen.
Was ist KIM – und warum ist es nicht einfach eine weitere E-Mail-Adresse?
KIM steht für Kommunikation im Medizinwesen. Der Dienst ist Teil der Telematikinfrastruktur (TI) und dient dem geschützten Austausch zwischen angeschlossenen Einrichtungen des Gesundheitswesens. Nachrichten und Anhänge werden verschlüsselt übertragen. Die KBV nennt unter anderem eAU, eArztbriefe und den Austausch einfacher eNachrichten als Anwendungsfälle.
KIM ist für bestimmte Fachverfahren vorgeschrieben, etwa für die Übermittlung elektronischer Arbeitsunfähigkeitsbescheinigungen. Ob ein weiterer Vorgang über KIM laufen muss oder kann, hängt von Verfahren, Empfängerkreis und den jeweils geltenden Vorgaben ab.
Ein verschlüsselter Versand ist nicht automatisch eine erlaubte Weitergabe
Auch die beste technische Verschlüsselung macht eine unzulässige Offenbarung nicht zulässig. Vor einer Übermittlung müssen Zweck, Empfänger, erforderlicher Datenumfang und die einschlägige Rechtsgrundlage geprüft werden. Daneben gilt die berufliche Schweigepflicht nach § 203 StGB.
Praxisbezogene und persönliche Postfächer unterscheiden
Praxen können eine oder mehrere KIM-Adressen verwenden. Nach den KBV-Hinweisen wird die praxisbezogene KIM-Post häufig von Mitarbeitenden abgerufen und verteilt. Zusätzlich sind personenbezogene Postfächer möglich. Für größere MVZ kann eine getrennte Postfachorganisation sinnvoll sein.
Die Organisation sollte schriftlich regeln:
- Welche KIM-Adresse für welche Fachrichtung und welche Aufgabe verwendet wird
- Wer Nachrichten lesen, versenden, weiterleiten oder endgültig zuordnen darf
- Wie vertrauliche Nachrichten einzelner Behandelnder geschützt werden
- Welche Vertretung während Urlaub und Krankheit eingerichtet ist
- Wie Berechtigungen bei Personalwechseln entzogen werden
Der sichere Versandablauf für Befunde und Arztbriefe
Vor dem Klick auf „Senden“:
- Empfänger anhand des Verzeichnisdiensts beziehungsweise sicherer Stammdaten auswählen
- Zulässigkeit der Offenbarung und benötigten Umfang der Daten prüfen
- Anhang, Patientenzuordnung und eventuell falsche Vorlagen kontrollieren
- Versand und erforderliche medizinische Dokumentation im vorgesehenen System festhalten
- Bei Fehladressierung oder technischer Störung den festgelegten Meldeweg auslösen
Die technische Anbindung des KIM-Dienstes gehört in das IT-Betriebskonzept; Rollen und Bearbeitungsregeln sind auch Bestandteil der Datenschutzorganisation. Für Empfänger außerhalb der TI sind geeignete Alternativen festzulegen, statt ungeprüft auf eine normale E-Mail auszuweichen.
Wo KIM bei Datenschutzprüfungen konkret eine Rolle spielt
Die Praxis sollte die zuständigen Beschäftigten und die verwendeten Systeme erfassen, technische Schutzmaßnahmen dokumentieren und die Arbeitsabläufe in Schulungen aufgreifen. Dazu gehören insbesondere Postfachrechte, Empfängerprüfung, Fehlversand sowie die Behandlung von Nachrichten mit besonders hohem Schutzbedarf.
Eine pauschale, eigene Datenschutz-Folgenabschätzung nur wegen der Nutzung von KIM ist nicht automatisch erforderlich. Zusätzliche Verarbeitungen oder neue Technologien sind nach den allgemeinen Risikokriterien zu beurteilen.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
- KBV – E-Mail-Dienst KIM (Kommunikation im Medizinwesen) (öffnet in neuem Tab)Abruf 31.10.2026
- gematik – KIM: Sicherheit, Einsatz und Einwilligung (öffnet in neuem Tab)Abruf 31.10.2026
- gematik – Fragen und Antworten zur KIM-Kommunikation (öffnet in neuem Tab)
- § 203 StGB – Schweigepflicht (öffnet in neuem Tab)
- DSGVO – Art. 5, 6, 9 und 32 (öffnet in neuem Tab)
Dieses Fachjournal ist ein Informationsangebot des Instituts für Datenschutz im Gesundheitswesen, das zugleich entgeltliche Datenschutzberatung anbietet. Die Beiträge dienen der datenschutzfachlichen und organisatorischen Orientierung und ersetzen keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung verbleibt bei Ihrer Einrichtung. Für die erste Anfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular übermitteln.