In diesem Ratgeber
Der typische Fall: ‚Schicken Sie mir den Befund einfach per Mail‘
Eine Patientin nennt am Telefon eine neue E-Mail-Adresse. Die MFA findet den Befund, hängt ihn an und möchte sofort senden. Dabei bleiben mehrere Fragen offen: Ist die Anruferin tatsächlich die Patientin? Stimmt die Adresse? Enthält der Anhang weitere Seiten oder Daten anderer Personen? Und schützt das verwendete Mailverfahren den Inhalt ausreichend? Eine Versandregel muss diese Alltagssituation auffangen, ohne jedes Mal eine Grundsatzdiskussion auszulösen.
Legen Sie deshalb vorab fest, welche Wege für welche Empfänger freigegeben sind. Eine solche Übersicht gehört an den Arbeitsplatz und in die Einarbeitung. Neue Adressen, besonders sensible Unterlagen und außergewöhnliche Empfänger brauchen einen definierten Rückfrageweg zur Praxisleitung.
Berechtigung und Sicherheit sind zwei verschiedene Prüfungen
Die ärztliche Schweigepflicht betrifft die Frage, wem Informationen offenbart werden dürfen. Daneben braucht die Verarbeitung eine datenschutzrechtliche Grundlage. Erst anschließend wird entschieden, welcher Übertragungsweg dem Risiko angemessen ist. Eine zulässige Weitergabe an eine Versicherung wird durch eine falsche Empfängeradresse nicht sicher; eine verschlüsselte Nachricht macht eine unzulässige Offenbarung nicht erlaubt.
Welcher Versandweg passt zum Empfänger?
Die Datenschutzkonferenz unterscheidet nach dem Risiko der Übermittlung. Bei hohem Risiko sind regelmäßig Ende-zu-Ende-Verschlüsselung und qualifizierte Transportverschlüsselung erforderlich; Abweichungen hängen vom Einzelfall und zusätzlichen Schutzmaßnahmen ab. Berufsgeheimnisse verlangen eine besonders sorgfältige Risikoprüfung. Ein bloßer Hinweis des Mailanbieters auf TLS beantwortet daher noch nicht alle Fragen.
| Empfänger | Praktischer Prüfpunkt |
|---|---|
| Andere TI-Teilnehmende | KIM kann für den medizinischen Austausch passen. KIM-Adresse und konkrete Empfangsberechtigung trotzdem prüfen. |
| Patientin oder Patient | Ein geeignetes Patientenportal oder ein freigegebenes verschlüsseltes Verfahren anbieten; eine normale private Mailadresse ist keine KIM-Adresse. |
| Bevollmächtigte oder Versicherung | Zuerst Umfang der Berechtigung klären, danach einen geeigneten sicheren Übertragungsweg vereinbaren. |
| Kein geeigneter digitaler Zugang | Eine praktikable Alternative wie persönliche Abholung nach Identitätsprüfung oder geeigneten Postversand organisieren. |
Ein verschlüsselter Anhang kann Bestandteil eines Schutzkonzepts sein. Passwortqualität, Verschlüsselungsverfahren, getrennte Passwortübermittlung und das Mailpostfach selbst müssen zusammenpassen. Diagnosen gehören dann auch nicht ungeschützt in Betreff oder Nachrichtentext. Die technische Einrichtung stimmt die Praxis mit ihrem IT-Dienstleister ab.
Ein Versandablauf, den das Team tatsächlich nutzt
- Anlass festhalten: Welche Unterlagen werden von wem und zu welchem Zweck angefordert?
- Identität und Berechtigung prüfen: Neue Kontaktdaten über einen verlässlichen Weg bestätigen; eine passende Namensanzeige genügt nicht.
- Umfang begrenzen: Nur die freigegebenen Dokumente exportieren und jede Seite des fertigen Anhangs kontrollieren.
- Adressfeld prüfen: Automatische Vervollständigung bewusst kontrollieren; keine Sammelmail mit sichtbaren Patientenadressen versenden.
- Freigegebenen Kanal nutzen: Schutzfunktion und gegebenenfalls gesonderte Passwortzustellung vor dem Versand prüfen.
- Versand dokumentieren: Empfänger, Datum, Dokumentumfang und gegebenenfalls die zugrunde liegende Freigabe nachvollziehbar festhalten.
Für risikoreiche Sendungen ist eine zweite Sichtkontrolle sinnvoll. Das muss keine starre Vier-Augen-Regel für jede Nachricht sein: Die Praxis kann beispielsweise vollständige Aktenexporte, neue Versicherungsadressen und besonders umfangreiche Anhänge gezielt erfassen. So bleibt der Ablauf handhabbar.
Fehlversand: schnell reagieren statt die Nachricht nur zurückrufen
Geht eine Nachricht an die falsche Person, sichern Sie die Eckdaten und informieren sofort die zuständige Person in der Praxis. Ein Rückrufversuch im Mailprogramm belegt nicht, dass die Daten verschwunden sind. Weitere Schutzmaßnahmen und eine mögliche Meldung werden anhand des konkreten Risikos geprüft. Das Team sollte wissen, wen es auch bei Abwesenheit der Praxisleitung erreicht.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.