Wie Sie rechtssicher mit Patienten per unverschlüsselter E-Mail kommunizieren

Der Anrufbeantworter blinkt, das Wartezimmer ist überfüllt, und ein Patient ruft bereits zum dritten Mal an. Sein Wunsch: den Laborbefund einfach per E-Mail zugeschickt bekommen. Eine scheinbar harmlose Bitte, die vielen Praxisteams nur allzu vertraut ist. In der Hektik des Praxisalltags erscheint es oft verlockend, solche Anfragen schnell zu bedienen – zumal Patientinnen und Patienten den digitalen Weg als bequem und zeitsparend empfinden. Doch sobald Gesundheitsdaten per unverschlüsselter E-Mail verschickt werden, bewegen Sie sich auf rechtlich unsicherem Terrain

Denn ungeschützte Kommunikation birgt nicht nur technische Risiken, sondern auch erhebliche datenschutzrechtliche Fallstricke. Trotzdem ist der Wunsch nach digitaler Erreichbarkeit nachvollziehbar – etwa wenn Patientinnen und Patienten nicht mobil sind oder schnell eine Rückmeldung benötigen. Die gute Nachricht: Es gibt eine rechtssichere Lösung. Wenn Sie bestimmte Voraussetzungen beachten und gezielt Einwilligungen einholen, können Sie auch auf diesem Weg kommunizieren – ohne sich angreifbar zu machen. Die auf dieser Seite vorgestellte Arbeitshilfe hilft Ihnen bei dieser Aufgabe.

Warum E-Mails in der Arztpraxis problematisch sein können

Unverschlüsselte E-Mails sind ungefähr so privat wie eine Postkarte: Jeder, der sie unterwegs abfängt, kann den Inhalt mitlesen. Für medizinische Informationen ist das besonders kritisch, da sie der ärztlichen Schweigepflicht unterliegen. Wer unverschlüsselt kommuniziert, riskiert nicht nur einen Datenschutzverstoß, sondern im schlimmsten Fall auch strafrechtliche Konsequenzen.

Besonders heikel wird es, sobald die Kommunikation die Praxis verlässt. Innerhalb der eigenen Infrastruktur lassen sich Schutzmaßnahmen einfacher umsetzen. Doch sobald eine E-Mail externe Server und Netzwerke durchläuft, geschieht dies meist unverschlüsselt und damit außerhalb der Kontrolle der Praxis.

Viele Praxen setzen auf moderne Praxissoftware, die zwar datenschutzkonform entwickelt wurde, aber externe Kommunikation nicht automatisch absichert. Hier braucht es ergänzende Lösungen wie KIM oder Patientenportale – oder eine klare Einwilligung des Patienten, wenn dennoch der unsichere Weg per E-Mail gewählt werden soll.

Was bedeutet „unverschlüsselte Kommunikation“ konkret?

Unverschlüsselte E-Mails sind wie offene Briefe ohne Umschlag. Sie durchlaufen unterschiedliche Stationen – Router, Server, Mailgateways – und können auf diesem Weg theoretisch von Dritten eingesehen werden. Die Vertraulichkeit medizinischer Daten ist so nicht gewährleistet.

Zwar nutzen viele Provider inzwischen Transportverschlüsselung, also eine Verschlüsselung des Übertragungswegs zwischen zwei Servern. Doch das reicht nicht aus: Auf dem Endgerät des Empfängers liegt die Nachricht im Klartext vor. Das Problem: Die Verschlüsselung endet oft auf dem Mailserver des Anbieters. Dort liegt die Nachricht im Klartext vor, bevor der Patient sie abruft. Zudem hat die Praxis keine Kontrolle über die Sicherheit des privaten E-Mail-Kontos.

Praxisbeispiel: Eine Patientin bittet um eine Terminerinnerung per E-Mail. Auch wenn die Praxis technisch alles korrekt einrichtet, bleibt das Risiko auf Empfängerseite bestehen. Ohne ausdrückliche Einwilligung darf die Nachricht deshalb nicht versendet werden.

Trotz dieser Risiken ist E-Mail-Kommunikation im Praxisalltag weit verbreitet. Patienten schätzen die Schnelligkeit, und viele medizinische Fachangestellte (MFA, früher: »Arzthelferin«) greifen aus Routine darauf zurück. Genau deshalb ist es wichtig, die rechtlichen Vorgaben einzuhalten und die Patientenentscheidung einzuholen.

Typische Praxis-Situation: Der schnelle Kommunikationsweg

Ein Patient bittet telefonisch darum, das Rezept „mal eben per Mail“ zu schicken. Die MFA kennt ihn, weiß um seine Erkrankung und möchte helfen – also geht das Rezept raus. Ein Szenario, das sich in vielen Praxen täglich wiederholt. Doch rechtlich ist der spontane E-Mail-Versand hoch riskant.

Selbst wenn der Patient ausdrücklich darum bittet: Ohne dokumentierte Einwilligung bleibt der Versand unzulässig. Gerade unter Zeitdruck fällt es schwer, den datenschutzkonformen Weg einzuhalten. Was als Ausnahme beginnt, wird schnell zur Routine: Ein kurzer Klick – und schon ist der Befund unterwegs. Die Frage, ob eine gültige Einwilligung vorliegt, wird dabei oft nicht mehr gestellt.

Praxisbeispiel: Eine MFA versendet eine Rezeptbestätigung per E-Mail – weil es „immer so gemacht wird“. Erst später stellt sich heraus: Eine Einwilligung liegt gar nicht vor.

Deshalb brauchen Praxen klare Regeln und feste Abläufe: Wer darf wann welche Inhalte per Mail verschicken? Welche Daten sind tabu? Und wie wird dokumentiert, ob eine Einwilligung vorliegt? Solche Vorgaben schützen das gesamte Team vor Fehlern im Alltag.

Rechtslage: Was dürfen Arztpraxen eigentlich?

Die Datenschutz-Grundverordnung erlaubt die Verarbeitung personenbezogener Daten nur auf Basis einer rechtlichen Grundlage. Bei der unverschlüsselten Kommunikation mit Patienten gibt es dafür genau eine Möglichkeit: die freiwillige, informierte und dokumentierte Einwilligung des Patienten.

Dabei genügt es nicht, wenn ein Patient beiläufig sagt, dass eine E-Mail „schon okay“ sei. Eine wirksame Einwilligung muss klar formuliert, eindeutig, freiwillig und jederzeit widerrufbar sein. Außerdem muss sie konkret benennen, welche Daten über welchen Kommunikationsweg verarbeitet werden dürfen.

Auch die ärztliche Schweigepflicht bleibt bestehen. Sie wird durch eine Einwilligung nicht aufgehoben, sondern lediglich für bestimmte Inhalte und Situationen eingeschränkt – und diese Einschränkung muss in der Erklärung ausdrücklich benannt sein.

Praxisbeispiel: Ein Patient erlaubt den Versand seines Laborbefunds per E-Mail. In der Einwilligung ist klar festgehalten, dass es sich um medizinische Daten handelt, die unverschlüsselt übertragen werden, und dass er die Risiken kennt.

Praxen haben also Handlungsspielraum: Auf Wunsch des Patienten können sie pragmatisch handeln – aber nur dann, wenn die Einwilligung nachweisbar vorliegt und die Risiken eindeutig erklärt wurden.

So funktioniert die Einwilligung in unverschlüsselte Kommunikation

Eine wirksame Einwilligungserklärung ist mehr als ein schnell unterschriebenes Blatt Papier. Sie muss den Patienten verständlich erklären, was unverschlüsselte Kommunikation bedeutet, welche Risiken bestehen und welche Informationen künftig per E-Mail übermittelt werden dürfen. Nur wer umfassend informiert ist, kann wirksam einwilligen.

Die Arbeitshilfe empfiehlt, dass eine Einwilligung mindestens folgende Punkte enthält: die Kommunikationsart („unverschlüsselte E-Mail“), die Absender- und Empfängeradresse, eine Erklärung zur Schweigepflichtentbindung, den Hinweis auf das jederzeitige Widerrufsrecht sowie eine klare Darstellung der möglichen Risiken.

Praxisbeispiel: Bei der Aufnahme neuer Patienten legt die Praxis ein Formular vor, das alle genannten Punkte enthält. Der Patient unterschreibt, die Einwilligung wird eingescannt und in der digitalen Patientenakte hinterlegt. So ist die Zustimmung jederzeit dokumentiert und nachweisbar.

Die Einwilligung sollte grundsätzlich schriftlich erfolgen – am besten bei Aufnahme oder beim nächsten Praxisbesuch. Wichtig ist dabei: Auch mit Einwilligung darf nicht beliebig kommuniziert werden. Medizinisch sensible Inhalte bleiben besonders geschützt und die Verantwortung liegt weiterhin bei der Praxis.