DSGVO-konforme Faxkommunikation im Gesundheitsbereich – das sollten Sie wissen

Einige Datenschutzaufsichtsbehörden haben sich in ihren ersten Tätigkeitsberichten und FAQs seit Geltung der DSGVO zum Thema Faxversand durch Ärzte geäußert. Die Positionen der Aufsichts-behörden werden nachstehend zusammengefasst.

Darf im Gesundheitsbereich auch weiterhin das Fax als Kommunikationsmittel eingesetzt werden?

Im Zuständigkeitsbereich des Hessischen Beauftragten für Datenschutz und Informationsfreiheit wird das Fax auch weiterhin als ein legitimes Mittel zur Fristwahrung angesehen. Gleiches gilt für die Übermittlung in eilbedürftigen Fällen. Es soll jedoch keine Lösung für die Standard-Kommunikation darstellen. Beim Faxeinsatz muss zudem darauf geachtet werden, dass das empfangende Gerät in einem Raum steht, zu dem nur ein legitimierter Personenkreis Zugang hat. [Siehe auch hier: https://datenschutz.hessen.de/infothek/h%C3%A4ufig-gestellte-fragen-hgf]

Dürfen Gesundheitsdaten von Patienten per Fax oder per E-Mail verschickt werden?

Gesundheitsdaten von Patienten sollten am besten per Briefpost oder mit verschlüsselter E-Mail verschickt werden. Bei der Versendung von Patientendaten per Fax ist besondere Vorsicht geboten. Faxfehlversand durch Wählfehler und Irrläufer sind im Zweifel meldepflichtige Datenpannen [Siehe hier: https://datenschutz-hamburg.de/assets/pdf/2018.11.15_Data%20Breach_Vermerk_extern.pdf].

Soweit die Versendung mittels Fax aus organisatorischen Gründen geboten ist und im Einzelfall Patientendaten gefaxt werden sollen, muss beim Versenden sichergestellt sein, dass nur der Emp-fänger selbst oder ein ausdrücklich dazu ermächtigter Dritter Kenntnis vom Inhalt des Schreibens erhält. Dies gilt insbesondere dann, wenn ärztliche Mitteilungen an den Patienten selbst gefaxt werden. [Hinweis: Das gilt insbesondere, wenn Faxe an Patienten geschickt werden, die z. B. eine Faxnummer bei ihrem Arbeitgeber angeben.]

Diese Sicherung kann zum Beispiel durch Abstimmung der Übersendung mit dem Empfänger sowie regelmäßige Überprüfung der gespeicherten Rufnummern erreicht werden. [Hinweis: Dieser Aspekt sollte in ein Verarbeitungsverzeichnis, eine „Arbeitsanweisung Fax“ aufgenommen werden: jährlich Faxnummern anfaxen und nach Aktualität erkundigen – siehe Musterfaxdeckblatt: Testfax in der Mustervorlage.]

Anfragen von Dritten sowie Auskünfte an Krankenkassen, die nicht auf den vereinbarten Vordrucken erteilt werden, dürfen nur mit schriftlicher Einwilligung des Patienten per Fax übersandt werden. Es ist dabei sicherzustellen, dass beim Empfänger der Daten nur der Auskunftsberechtigte Kenntnis von den Daten nehmen kann. Bei Absendung ist deshalb ggf. eine entsprechende telefonische Rückversicherung beim Empfänger notwendig.

Sende- und Empfangsprotokolle sind zwecks Dokumentation gesichert aufzubewahren (Fernmeldegeheimnis).

Jeder Sendung sollte ein Vorblatt vorangestellt werden, welches den Absender, dessen Telefax- und Telefonnummer sowie die Anzahl der insgesamt gesendeten Seiten ausweist, sowie die deutliche Bitte, den Absender umgehend über das ggf. fehlgeleitete Fax zu informieren und es zu vernichten, sofern man nicht der berechtigte Empfänger ist. [siehe Musterfaxdeckblatt: Testfax in der Mustervorlage]

Welche Wege eine E-Mail im Internet nimmt und wer diese Kommunikation dabei zur Kenntnis nehmen kann, ist weder vom Absender noch vom Empfänger beeinflussbar. Vertrauliche Informati-onen wie Arztbriefe, Befunde etc. dürfen deshalb über das Internet per E-Mail nur versandt werden, wenn Maßnahmen zum Schutz vor unbefugter Kenntnisnahme ergriffen werden. Eine geeignete technische Maßnahme ist hier die Verschlüsselung. Diese ist bei Kommunikation mit externen Dritten notwendig und sollte auch bei Kontaktformularen im Internet bedacht werden. Gesundheitsdaten dürfen nicht beim Provider im Klartext vorliegen.

Idealerweise wird dies mittels eines über die bloße Transportverschlüsselung hinausgehenden Schutzes, also einer Ende-zu-Ende-Verschlüsselung zwischen Absender und Empfänger, über die Standards GPG oder S/MIME realisiert.

Beispiel: Sofern die Möglichkeit der Erreichbarkeit des Empfängers durch sog. E-POST mit der Deutschen Post als Dienstleister besteht, müsste der Absender ebenfalls bei diesem Dienst angemeldet sein. Wobei bei vertraulichen Inhalten nur der vollelektronische Versandweg genutzt werden darf (nicht der sog. Hybridbrief). Beim Versand von Daten mit besonders hohem Schutzbedarf (bspw. Gesundheitsdaten) sind diese als eigens verschlüsselter Anhang zum E-Postbrief zu versenden. Eine separate Verschlüsselung des Mailinhalts kann bspw. mithilfe eines geeigneten Packprogramms (z.B. ZIP-Komprimierung) erfolgen. Das dazugehörige Passwort ist dann auf einem anderen sicheren Kommunikationsweg zu übermitteln. [siehe: https://www.baden-wuerttemberg.datenschutz.de/faq-datenschutz-in-der-arztpraxis/]

Ist die Übermittlung von Patientendaten (Befunden, Arztbriefen u. Ä.) per E-Mail oder per Fax zulässig?

Angesichts der Sicherheitsanforderungen an die Verarbeitung von Gesundheitsdaten gilt sowohl bei der elektronischen Speicherung als auch bei der elektronischen Übermittlung von Gesundheitsdaten grundsätzlich eine Verschlüsselungspflicht. Das heißt, dass ein Versand von Patientendaten mittels einfacher (lediglich Transport-, nicht aber Ende-zu-Ende-verschlüsselter) E-Mail regelmäßig keinen zulässigen Übermittlungsweg darstellt. Das gilt – nach Ansicht der Hamburger Datenschutzaufsicht – auch dann, wenn die Patientin/der Patient sich ausdrücklich mit dem Versand per einfacher E-Mail einverstanden erklärt hat, da die Verpflichtung zur Gewährleistung eines angemessenen Schutzniveaus nicht durch eine Vereinbarung zwischen Praxis und Patient abbedungen werden kann. [Eine entsprechende Vorlage steht Ihnen ebenfalls zur Verfügung. Der Link am Ende des Artikels führt Sie zum Download.]

Eine Übermittlung von Gesundheitsdaten wie Diagnosen, Krankheitsverläufen, Arzt- und Befundberichten, radiologischen Bildern oder Symptombeschreibungen per einfacher E-Mail ist daher nur dann vertretbar, wenn die „Umstände der Verarbeitung“ (vgl. Art. 32 DSGVO) den Verschlüsselungsverzicht rechtfertigen. Dies kann zum Beispiel bei medizinischen Notfällen aufgrund der Dringlichkeit oder bei wechselndem Auslandsaufenthalt des Patienten mangels Erreichbarkeitsalternativen der Fall sein. [Hinweis: Solche Ausnahmefälle und die Gründe sind dann in der Patientenakte, am besten auf dem Sendebericht, zu dokumentieren, Art. 5 Abs. 2 DSGVO.]

Einfache Terminanfragen und -absagen, die neben dem Patientennamen und dem Kalenderdatum des angefragten/abgesagten Termins keine Gesundheitsdaten enthalten, dürfen aufgrund ihrer vergleichsweise geringen Sensibilität generell unverschlüsselt übermittelt werden.

Da im Regelfall bereits eine Umstellung des Telefonnetzes auf eine IP-basierte Datenübermitt-lung (All-IP) stattgefunden hat, bestehen gegenüber einer Faxübermittlung die gleichen Sicher-heitsbedenken wie bei dem Versand von Gesundheitsdaten mittels einfacher E-Mail. Ist ein Faxversand ausnahmsweise zulässig, muss in organisatorischer Hinsicht sichergestellt werden, dass im Rahmen der Abgangskontrolle Adressat und Faxnummer (insbesondere die Aktualität gespeicherter Nummern) kontrolliert werden und die Übersendung beim Adressaten telefonisch ange-kündigt wird, sodass auch dort nur Berechtigte von den Daten Kenntnis nehmen können. [siehe: Tätigkeitsbericht Datenschutzaufsicht 2018 Hamburg – S. 120 ff https://datenschutz-hamburg.de/assets/pdf/27._Taetigkeitsbericht_Datenschutz_2018_HmbBfDI.pdf]

Eine telefonische Ankündigung ist dann nicht erforderlich, wenn sich der Absender beim Empfänger vergewissert hat, dass aufgrund des Standorts des Empfängerfaxgeräts kein Unbefugter Kenntnis von dem Fax nehmen kann. Dies kann im Rahmen einer Abfrage auf einem Test-Fax bei der Anlage der Faxnummer im System erfolgen [siehe Muster-Vorlage].