Eine Laboranforderung, eine Rückfrage zur Abrechnung und ein Bildschirmfoto für den IT-Support sehen im Postfach ähnlich aus. Trotzdem darf nicht derselbe Versandweg automatisch für alle drei gelten. Entscheidend sind der konkrete Zweck, die Empfangsberechtigung, der notwendige Datenumfang und der freigegebene Kanal. Dieser Leitfaden hilft deutschen Praxen und ihren Dienstleistern, diese Entscheidung vor dem Versand zu treffen. Er ergänzt die allgemeine DSGVO-Schulung für Mitarbeitende um einen überprüfbaren Übergabeprozess, nicht um eine weitere pauschale Verbotsliste. Die Entscheidung bleibt im Team nachvollziehbar.
Zwei Freigaben: Offenlegung und Übermittlungsweg
Zuerst ist zu klären, ob die Informationen für diesen Zweck an diesen Empfänger gelangen dürfen. Für Gesundheitsdaten genügt eine allgemeine Rechtsgrundlage allein nicht; zusätzlich muss eine passende Ausnahme vom Verarbeitungsverbot besonderer Datenkategorien greifen. Artikel 6 und 9 DSGVO bilden hierfür den rechtlichen Ausgangspunkt. Die zuständige Leitung legt die zulässigen Standardfälle mit Datenschutzberatung fest. Mitarbeitende sollen im Versandmoment erkennen können, welcher Fall vorliegt, statt zwischen Tür und Angel eine eigene rechtliche Bewertung zu improvisieren.
Daneben bleibt die berufliche Schweigepflicht eigenständig relevant. § 203 StGB enthält Regeln zur Offenbarung gegenüber mitwirkenden Personen und zur Geheimhaltungsverpflichtung; ein Dienstleistungsvertrag allein ist keine Freigabe für beliebige Patientendaten. Der Versandprozess muss deshalb auch erkennen lassen, ob die konkrete Tätigkeit den Zugriff erfordert. Die bereits behandelten Empfangs- und Angehörigensituationen erklären die gleiche Grenze für mündliche Auskünfte. Ein vertrautes Gesicht oder eine bekannte Firmenadresse ersetzt weder die Berechtigung noch den erforderlichen Umfang einer Offenlegung.
Der Empfängercheck beginnt vor der Adresszeile
Der erste praktische Prüfschritt lautet: Wer braucht welche Information für welche Aufgabe? Ein Labor kann für einen definierten Auftrag andere Angaben benötigen als ein Wartungsunternehmen. Die interne Versandregel sollte Empfängerorganisation, zuständige Funktion, freigegebene Adresse und zulässige Datenarten zusammenführen. Ein Sammelpostfach ist nur geeignet, wenn dessen tatsächlicher Empfängerkreis zur Offenlegung passt. Dass die Nachricht technisch angekommen ist, beweist nicht, dass ausschließlich befugte Personen sie lesen können. Unklare Zugriffsgruppen sind vor dem Versand zu klären.
Neue oder geänderte Adressen werden über einen bereits bekannten Kontaktweg bestätigt. Die Telefonnummer aus der verdächtigen E-Mail selbst ist dafür keine unabhängige Bestätigung. Prüfen Sie außerdem ähnlich geschriebene Domains, automatisch ergänzte Kontakte und alte Verteiler. Diese Empfängerprüfung ist ein konkreter Anwendungsfall für Social Engineering im Arbeitsalltag: Auch eine überzeugend formulierte dringende Anfrage kann einen unberechtigten Datenabfluss auslösen. Für häufige Übergaben empfiehlt sich ein gepflegtes Empfängerverzeichnis mit verantwortlicher Person und Änderungsnachweis; das ist eine organisatorische Empfehlung, kein gesetzliches Pflichtformular.
KI-generiertDen Datensatz verkleinern, nicht nur den Anhang schützen
Vor der Kanalwahl wird der Inhalt begrenzt. Benötigt der Dienstleister wirklich den vollständigen Befund oder nur eine Vorgangsnummer und eine technische Fehlerbeschreibung? Entfernen Sie nicht benötigte Seiten, vorherige Nachrichten und zusätzliche Anhänge. Prüfen Sie auch Dateinamen, Betreff, Vorschau und sichtbare Patientennamen in Bildschirmfotos. Ein neutrales Betrefffeld verhindert, dass eine Diagnose bereits in einer Benachrichtigung erscheint. Pseudonyme oder Fallnummern sind weiterhin personenbezogen, wenn eine Zuordnung möglich bleibt; sie entbinden nicht von Zugriffsschutz und rechtlicher Prüfung.
Die Versandfreigabe bezieht sich auf genau die Datei, die tatsächlich angehängt wird. Öffnen Sie die finale Fassung und prüfen Sie Patientenzuordnung, Seitenzahl und fremde Datensätze im selben Export. Besonders bei Serienbriefen oder Tabellen kann eine versteckte Registerkarte zusätzliche Informationen enthalten. Die rollenbezogene Schulung im Gesundheitswesen lässt sich hier konkretisieren: Der Empfang kontrolliert Zuordnung und Adresse, die fachlich zuständige Person den erforderlichen Inhalt, die IT den freigegebenen Übermittlungsweg. Nicht jede Rolle muss dabei sämtliche medizinischen Details sehen.
TLS ist nicht gleich Ende-zu-Ende-Verschlüsselung
Die DSK-Orientierungshilfe zum E-Mail-Versand unterscheidet Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung. Transportverschlüsselung schützt die jeweilige Verbindung; sie sagt nicht automatisch, wer auf beteiligten Servern oder im Zielpostfach Inhalte lesen kann. Bei hohen Risiken verlangt die Orientierungshilfe regelmäßig Ende-zu-Ende-Verschlüsselung und qualifizierte Transportverschlüsselung, wobei konkrete Risiken und kompensierende Maßnahmen zu berücksichtigen sind. Berufsgeheimnisse erfordern eine besonders sorgfältige Risikoprüfung. Eine Anzeige wie „TLS aktiv“ reicht daher nicht als alleinige Freigabeentscheidung für einen sensiblen Befundversand.
Legen Sie mit der IT fest, welche Verfahren für welche Übergabe freigegeben sind und was bei einem technischen Fehler geschieht. Wenn der vereinbarte Schutz nicht hergestellt werden kann, darf ein automatischer Rückfall auf ungeschützten Versand nicht die Lösung sein. Ein passwortgeschütztes Dokument ist ebenfalls kein pauschaler Ersatz für ein geprüftes Verfahren. Qualität der Verschlüsselung, sichere Schlüsselübergabe, Schutz der Metadaten und Empfängerprüfung gehören zusammen. Ein Kennwort in derselben E-Mail löst das Problem einer fehlgeleiteten Nachricht nicht.
KIM, Portal oder anderer freigegebener Weg
Für geeignete Kommunikation innerhalb der Telematikinfrastruktur beschreibt gematik KIM als verschlüsselten und signierten E-Mail-Dienst. Das Verzeichnis enthält geprüfte Adressdaten angeschlossener Einrichtungen mit KIM-Adresse. Das erleichtert die technische Zuordnung, ersetzt aber nicht die Prüfung, ob gerade diese Einrichtung und Funktion die Daten benötigt. KIM ist kein Versandweg an beliebige externe Dienstleister oder gewöhnliche Patientenpostfächer. Prüfen Sie die tatsächliche Erreichbarkeit, den Anwendungsfall und die lokalen Zugriffsrechte, bevor Sie den Dienst als Standard in die Arbeitsanweisung aufnehmen.
Ein geeignetes Portal kann eine Alternative sein, wenn Identitätsprüfung, Zugangsschutz, Berechtigungen und sichere Bereitstellung zusammenpassen. Ein öffentlich weiterleitbarer Link ohne angemessenen Zugriffsschutz ist dagegen keine belastbare Lösung. Die Regeln für Passwörter, MFA und Passkeys helfen bei der Auswahl des Kontozugangs, ersetzen aber nicht die Freigabe einzelner Dokumente. Klären Sie auch Ablauf und Entzug von Berechtigungen, Benachrichtigung ohne sensible Inhalte und den Umgang mit abgelaufenen Links. Die Praxis muss wissen, wer einen fehlgeschlagenen Abruf bearbeitet.
KI-generiertDrei Fälle für die nächste Teambesprechung
Fall eins: Der IT-Dienstleister bittet um einen Screenshot der Fehlermeldung. Die Anmeldung würde dabei versehentlich den Namen und die Diagnose der zuletzt geöffneten Patientenakte mitsenden. Die richtige erste Entscheidung ist nicht „verschlüsselt versenden“, sondern „Inhalt reduzieren“. Reproduzieren Sie den Fehler nach Möglichkeit mit Testdaten oder einem bereinigten Ausschnitt und prüfen Sie das Ergebnis. Falls echte Daten zur Analyse erforderlich bleiben, entscheidet die zuständige Person über Umfang, Vertragsgrundlage und Kanal. Der Supportwunsch selbst begründet noch keine Berechtigung.
Fall zwei: Ein externer Abrechnungsdienst meldet kurzfristig eine neue Adresse und verlangt die komplette Monatsdatei. Stoppen Sie zunächst den Versand und bestätigen Sie die Änderung unabhängig. Danach prüfen Sie die Dienstleisterrolle: Eine Verarbeitung im Auftrag erfordert die Voraussetzungen und vertragliche Regelung nach Artikel 28 DSGVO; nicht jeder Empfänger ist automatisch Auftragsverarbeiter. Die bestehende Vereinbarung muss zum tatsächlichen Vorgang passen. Auch bei geklärter Rolle werden nur benötigte Daten übermittelt. Zeitdruck aus der Buchhaltung ist kein Ersatz für diese Prüfung.
Fall drei: Eine weiterbehandelnde Praxis benötigt einen Befund noch vor dem Termin. Die fachlich zuständige Person bestätigt Zweck, Umfang und Offenlegungsbefugnis; anschließend werden Empfänger und freigegebener Kanal geprüft. Ist KIM auf beiden Seiten eingerichtet und für diesen Vorgang geeignet, folgt der Versand dem definierten Verfahren. Scheitert die Übermittlung, greift der vereinbarte Ersatzprozess statt einer spontanen Nachricht an eine private Adresse. Klinische Dringlichkeit gehört sofort an die zuständige medizinische Stelle, damit Versorgung und Datenschutz gemeinsam entschieden werden.
Eine kompakte Freigabekarte statt langer Sonderregeln
Eine lokale Freigabekarte kann sechs Fragen enthalten: Ist der Zweck geklärt? Ist die Offenlegung erlaubt? Sind Empfänger und Zugriffsgruppe bestätigt? Ist der Datensatz auf das Notwendige begrenzt? Funktioniert der freigegebene Kanal? Ist die Übergabe nachvollziehbar? Jede ungeklärte Antwort führt zur benannten zuständigen Person. Das Vier-Augen-Prinzip kann für besonders sensible oder umfangreiche Sendungen sinnvoll sein; es ist hier eine risikobasierte Empfehlung, keine behauptete allgemeine gesetzliche Pflicht. Routinefälle sollen durch klare Vorentscheidungen schneller werden, nicht durch weniger Prüfung.
Die Dokumentation sollte den Vorgang belegen, ohne eine zusätzliche Sammlung medizinischer Inhalte anzulegen. Sinnvoll sind eine interne Referenz, Empfängerfunktion, Kanal, Zeitpunkt, verantwortliche Person und gegebenenfalls die begründete Ausnahmeentscheidung. Ein Zustellstatus belegt nur, was das jeweilige System tatsächlich bestätigt, nicht automatisch fachliche Bearbeitung oder Lesen durch die richtige Person. Schulungsnachweise ohne Excel können daneben festhalten, wer welche Fassung der Versandregel geübt hat. Betriebsnachweis und Lernnachweis erfüllen unterschiedliche Zwecke und sollten nicht miteinander verwechselt werden.
Fehlversand erkennen und ohne Verzögerung eskalieren
Wurde eine Nachricht falsch adressiert, beginnt die Reaktion sofort mit dem internen Meldeweg. Sichern Sie die erforderlichen Fakten, stoppen Sie weitere Sendungen und lassen Sie mögliche Zugriffe begrenzen. Eine Rückruffunktion oder Löschbestätigung beseitigt das Risiko nicht automatisch. Die verantwortliche Stelle bewertet die Verletzung und prüft Meldungen nach Artikel 33 sowie gegebenenfalls Benachrichtigungen nach Artikel 34 DSGVO. Die behördliche Meldung ist grundsätzlich unverzüglich und möglichst binnen 72 Stunden ab Kenntnis erforderlich, sofern ein Risiko für Betroffene nicht unwahrscheinlich ist. Mitarbeitende warten diese Frist nicht ab.
Üben Sie auch den Moment der Unsicherheit: Eine Kollegin merkt erst nach dem Versand, dass die Autovervollständigung den falschen Kontakt eingesetzt hat. Bewertet wird, ob sie schnell meldet und die relevanten Informationen weitergibt, nicht ob sie eine juristische Risikoeinstufung auswendig kann. Das entspricht dem Grundgedanken einer Phishing-Schulung mit Fokus auf Meldeverhalten. Aus dem Vorfall sollten konkrete Änderungen entstehen, etwa bereinigte Adresslisten oder eine zusätzliche Prüfung bestimmter Exporte, statt lediglich die allgemeine Schulung nochmals zuzuweisen.
Den Prozess mit echten Rollen und fiktiven Daten testen
Starten Sie mit einem häufigen Übergabetyp und testen Sie ihn mit erfundenen Patientendaten. Lassen Sie Empfang, fachlich Verantwortliche und IT dieselbe Sendung aus ihrer jeweiligen Perspektive prüfen. Messen Sie, ob alle die zuständige Person für eine Ausnahme finden und einen technischen Abbruch richtig behandeln. Erst wenn diese Übergabe funktioniert, übertragen Sie das Muster auf weitere Empfängergruppen. Überprüfungen sollten bei Änderungen an Dienstleistern, Systemen oder Aufgaben sowie risikobasiert erfolgen; dieser Leitfaden behauptet dafür kein universelles jährliches Pflichtintervall.
Das ConformBase-Branchenpaket Gesundheitswesen verbindet Datenschutz, Schweigepflicht und Hygiene als Schulungsthemen und ist laut aktueller Angebotsseite zu einer Suite zubuchbar. Für den E-Mail-Prozess liefert eine Schulung die gemeinsame Sprache; die lokale Versandregel, technische Freigabe und rechtliche Einordnung bleiben Aufgaben der Einrichtung. Wählen Sie deshalb zuerst einen konkreten Fall und die beteiligten Rollen aus. Der Erfolg ist eine begründbare Entscheidung am echten Arbeitsplatz: korrekt versenden, unnötige Daten entfernen oder rechtzeitig stoppen und die zuständige Person einbeziehen.
ConformBase
Vom Wissen zur wirksamen Schulung.
Bringen Sie Compliance, Datenschutz und Security Awareness in ein Format, das Ihre Mitarbeiter gern abschließen, inklusive Zertifikat und revisionssicherem Nachweis.
Kostenlos testenIndividuelle Kurse anfragen →
