Eine Videosprechstunde ist kein gewöhnlicher Videocall. Schon die Terminbuchung, der Wartebereich und die Information, wer mit wem spricht, betreffen Gesundheitsdaten oder lassen Rückschlüsse auf den Gesundheitszustand zu. Datenschutz Telemedizin DSGVO bedeutet deshalb mehr als einen Auftragsverarbeitungsvertrag mit dem Videodienst zu unterschreiben. Entscheidend ist, ob der gesamte Behandlungsprozess technisch, organisatorisch und dokumentarisch funktioniert – auch dann, wenn eine Beschwerde, ein Sicherheitsvorfall oder eine Prüfung auf dem Tisch liegt.
Für Praxisinhaber, MVZ-Geschäftsführungen und Anbieter digitaler Gesundheitsleistungen liegt das Risiko häufig nicht in fehlendem Problembewusstsein. Es liegt in ungeklärten Zuständigkeiten, schnell eingeführten Tools und Unterlagen, die zwar vorhanden sind, aber nicht zum tatsächlichen Ablauf passen. Genau dort entstehen vermeidbare Lücken.
Datenschutz Telemedizin DSGVO beginnt vor dem Gespräch
Der Datenschutzprozess startet nicht erst, wenn Arzt oder Therapeut die Kamera einschaltet. Patienten begegnen Ihrem Telemedizin-Angebot meist über eine Website, ein Terminportal, eine App oder einen Link per E-Mail oder SMS. Jede dieser Stationen braucht eine klare datenschutzrechtliche Bewertung.
Werden über ein Online-Formular Beschwerden, Befunde oder Medikationswünsche abgefragt, verarbeiten Sie besondere Kategorien personenbezogener Daten. Die Rechtsgrundlage muss zum Zweck passen. Im Behandlungskontext ist regelmäßig die medizinische Versorgung maßgeblich. Eine Einwilligung ist nicht automatisch die beste oder rechtlich passende Lösung. Sie darf insbesondere nicht als pauschaler Ersatz für eine fehlende Prozessgrundlage dienen.
Prüfungsrelevant ist außerdem die Patienteninformation. Sie muss verständlich erklären, welche Daten zu welchem Zweck verarbeitet werden, welche Dienstleister beteiligt sind, wie lange Daten gespeichert bleiben und welche Rechte betroffene Personen haben. Eine allgemeine Datenschutzerklärung von der Website genügt oft nicht, wenn der konkrete Ablauf über externe Buchungs-, Video- oder Kommunikationssysteme läuft.
Der tatsächliche Datenfluss entscheidet
Die zentrale Frage lautet: Wo fließen welche Daten tatsächlich? Nicht: Welche Software wurde beschafft? Ein Telemedizin-Prozess kann beispielsweise Terminbuchung, Identifizierung, Erinnerungsnachrichten, Videokonferenz, Dokumentation in der Praxissoftware, Rezeptversand und Abrechnung verbinden. Für jede Schnittstelle müssen Verantwortlichkeiten, Empfänger, Speicherorte und Schutzmaßnahmen nachvollziehbar sein.
Besondere Aufmerksamkeit verdienen Systeme, die im Alltag nebenher eingesetzt werden: private Messenger, persönliche E-Mail-Postfächer, Cloud-Speicher einzelner Mitarbeitender oder Bildschirmfreigaben in nicht freigegebenen Konferenztools. Sie sind praktisch, aber im Gesundheitswesen regelmäßig ein erhebliches Risiko. Eine mündliche Ansage, solche Wege nicht zu nutzen, reicht nicht. Es braucht freigegebene Alternativen, klare Regeln und Schulungen, die Mitarbeitende im Zeitdruck tatsächlich anwenden können.
Dienstleister steuern statt Verträge abheften
Telemedizin funktioniert fast immer mit externen Anbietern. Videodienst, Hosting, Terminplattform, Support, SMS-Versand, Identitätsprüfung oder digitale Anamnese können Auftragsverarbeiter sein. Ob das so ist, hängt jedoch nicht vom Etikett des Vertrags ab, sondern davon, wer über Zwecke und Mittel der Verarbeitung entscheidet.
Wo eine Auftragsverarbeitung vorliegt, benötigen Sie einen passenden Vertrag nach Art. 28 DSGVO. Dieser Vertrag allein schützt aber nicht vor Beanstandungen. Er muss zum realen Leistungsumfang passen und insbesondere Unterauftragnehmer, technische Maßnahmen, Weisungsrechte, Löschprozesse und Unterstützung bei Betroffenenanfragen abbilden. Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder greifen Anbieter von dort auf Systeme zu, kommt die Drittlandprüfung hinzu.
Ein häufiger Fehler: Der Vertrag liegt vor, doch niemand hat die Anlage zu den technischen und organisatorischen Maßnahmen gelesen. Dort steht dann nur allgemein etwas von Verschlüsselung und Zugriffsschutz, während unklar bleibt, ob Administrationszugriffe protokolliert werden, wie Berechtigungen vergeben werden oder ob getrennte Mandantenumgebungen bestehen. Gerade bei Gesundheitsdaten müssen Sie diese Punkte nicht nur abfragen, sondern bewerten und dokumentieren.
Zertifizierung ersetzt keine eigene Prüfung
Eine Zertifizierung oder ein Sicherheitsversprechen des Anbieters kann ein gutes Indiz sein. Es ersetzt nicht Ihre Verantwortung als verantwortliche Stelle. Auch ein zugelassener oder verbreiteter Dienst kann falsch eingesetzt werden, etwa wenn Mitarbeitende Einladungslinks unverschlüsselt an falsche Empfänger senden, Patientendaten im Chatverlauf stehen bleiben oder die Aufzeichnung einer Sitzung unkontrolliert aktiviert wird.
Definieren Sie daher verbindlich, welche Funktionen zulässig sind. Bei vielen Anwendungen sollte die Aufzeichnung standardmäßig deaktiviert sein. Chats, Dateiübertragungen, KI-Transkripte und automatische Zusammenfassungen verdienen eine eigene Prüfung. Was medizinisch hilfreich wirkt, kann zusätzliche Datenflüsse schaffen, für die weder Zweck noch Rechtsgrundlage noch Löschfrist sauber geregelt sind.
Sichere Abläufe brauchen klare Rollen
Telemedizin darf nicht davon abhängen, dass jede Person im Team selbst die richtige Datenschutzentscheidung trifft. Legen Sie fest, wer Termine anlegt, wer Patienten identifiziert, wer technische Unterstützung leisten darf und wer bei Störungen entscheidet. Auch Vertretungen und externe Dienstleister müssen in diese Regeln einbezogen sein.
Die Identitätsprüfung verdient besondere Sorgfalt. Wie streng sie ausfallen muss, hängt vom Risiko des jeweiligen Falls ab. Bei Folgeterminen mit bekannten Patienten kann ein anderer Ablauf angemessen sein als bei einer Erstverordnung, einer sensiblen Beratung oder dem Zugriff auf umfangreiche Befunde. Wichtig ist, dass die Entscheidung nachvollziehbar getroffen und einheitlich umgesetzt wird.
Auch die räumliche Situation gehört dazu. Mitarbeitende benötigen einen geschützten Arbeitsplatz, einen blickgeschützten Bildschirm und geeignete Headsets. Behandler sollten vor Gesprächsbeginn klären, ob der Patient in einer vertraulichen Umgebung sprechen kann und ob weitere Personen im Raum sind. Das ist keine Förmlichkeit, sondern Teil einer verantwortungsvollen Versorgung.
Technische Maßnahmen müssen im Alltag greifen
Bei der DSGVO für Telemedizin zählen keine Hochglanzversprechen, sondern wirksame Schutzmaßnahmen. Zugriffe müssen personengebunden sein. Gemeinsame Konten, weitergegebene Passwörter und dauerhaft eingerichtete Admin-Zugänge sind vermeidbare Schwachstellen. Mehr-Faktor-Authentifizierung, rollenbasierte Berechtigungen und eine regelmäßige Überprüfung ehemaliger oder veränderter Nutzerkonten gehören in einen belastbaren Standard.
Verschlüsselung bei Übertragung und Speicherung ist erforderlich, aber nicht die ganze Antwort. Ebenso relevant sind Protokollierung, sichere Backups, Wiederherstellungstests und ein geregeltes Patch-Management. Wenn ein telemedizinisches System ausfällt, darf das Team nicht improvisiert auf private Kanäle ausweichen. Ein Notfallprozess muss festlegen, wie Termine abgesagt, neu organisiert oder datenschutzkonform auf andere Wege verlagert werden.
Für viele Telemedizin-Angebote ist zudem eine Datenschutz-Folgenabschätzung zu prüfen. Sie ist besonders naheliegend, wenn Gesundheitsdaten in größerem Umfang verarbeitet werden, neue Technologien eingesetzt werden oder eine systematische Bewertung von Patienten stattfindet. Ob sie erforderlich ist, entscheidet nicht die Unternehmensgröße, sondern das konkrete Risiko für die betroffenen Personen. Eine sauber begründete Prüfung ist jedenfalls besser als die unbelegte Annahme, dass das eigene Angebot zu klein sei.
Löschkonzept, Vorfälle und Nachweise vorbereiten
Telemedizin erzeugt Daten an mehreren Orten. Terminplattformen speichern Buchungen, Videodienste hinterlassen Metadaten, Helpdesks dokumentieren Anfragen und Praxissoftware enthält Behandlungsdaten. Ohne abgestimmtes Löschkonzept bleiben Daten häufig länger liegen als nötig. Zugleich dürfen medizinische Unterlagen nicht voreilig gelöscht werden, weil berufsrechtliche und gesetzliche Aufbewahrungspflichten zu beachten sind.
Sie brauchen daher ein Konzept, das Datenarten, Aufbewahrungsfristen, Löschzeitpunkte und Verantwortliche konkret benennt. Es muss auch erklären, was mit Testkonten, unvollständigen Buchungen, Support-Tickets und Sicherungskopien geschieht. Genau diese Randbereiche werden bei einer Prüfung oft übersehen.
Ein weiterer Ernstfall: Ein Einladungslink wurde an die falsche Person geschickt, ein Mitarbeitender verliert ein unverschlüsseltes Gerät oder ein Dienstleister meldet einen unberechtigten Zugriff. Dann zählt Zeit. Der Vorfall muss aufgenommen, bewertet, dokumentiert und gegebenenfalls innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden. Betroffene müssen informiert werden, wenn ein hohes Risiko besteht. Wer erst im Ereignisfall Zuständigkeiten und Kontaktwege sucht, verliert wertvolle Stunden.
Aus Datenschutzpflichten wird ein steuerbarer Prozess
Prüfungsfest wird Telemedizin nicht durch einen einmaligen Dokumentenordner. Verfahrensverzeichnis, Risikoanalyse, Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen, Patienteninformationen, Schulungsnachweise und Löschkonzept müssen den gelebten Betrieb abbilden. Ändert sich ein Tool, eine Schnittstelle oder ein KI-Feature, müssen auch die Unterlagen und Freigaben nachgezogen werden.
Das INSTITUT FÜR DATENSCHUTZ übernimmt diese Arbeit als externe Datenschutzinstanz für Einrichtungen des Gesundheitswesens: mit prüfungsfähigen Unterlagen, klaren Entscheidungen und festen Ansprechpartnern. Nicht als zusätzliche Aufgabe für Praxismanagement oder Geschäftsführung, sondern als betreuter Prozess, der im Alltag funktioniert.
Der beste Zeitpunkt für klare Telemedizin-Regeln ist vor dem nächsten Software-Update, vor der nächsten Beschwerde und vor der ersten Behördenanfrage. Dann kann Ihr Team behandeln, beraten und organisieren – ohne bei jedem digitalen Schritt Datenschutz improvisieren zu müssen.
