Arztrechnung per E-Mail: was der Datenschutz verlangt
Stand:
Viele Patienten fragen, ob die Rechnung nicht einfach per E-Mail kommen kann. Das ist bequem, aber eine Arztrechnung enthält Gesundheitsdaten. Hier steht, was die Datenschutzbehörden dazu sagen und wie Sie vorgehen können.
Das Wichtigste in Kürze
- Rechnungen enthalten Gesundheitsdaten, eine besonders geschützte Datenart (Art. 9 DSGVO) [1], und unterliegen der Schweigepflicht (§ 203 StGB) [2].
- Nach der Datenschutzkonferenz müssen Berufsgeheimnisträger bei hohem Risiko regelmäßig Ende-zu-Ende-Verschlüsselung einsetzen [3].
- Eine bloße Einwilligung senkt diese Pflicht nicht. Nur auf ausdrücklichen, eigenen Wunsch eines informierten Patienten kann im dokumentierten Einzelfall darauf verzichtet werden [4].
- Praktisch und einfach: Rechnung als verschlüsseltes PDF, Passwort auf anderem Weg vereinbart [5]. Sonst die Post.
Inhalt
Warum die Rechnung heikel ist
Eine GOÄ-Rechnung zeigt, wann jemand behandelt wurde und mit welchen Leistungen, oft auch eine Diagnose oder Begründung. Das sind Gesundheitsdaten. Ihre Verarbeitung ist grundsätzlich untersagt und nur ausnahmsweise erlaubt, etwa für die Behandlung durch Personen, die einer Schweigepflicht unterliegen (Art. 9 Abs. 1, 2 Buchst. h und Abs. 3 DSGVO) [1].
Wer Daten verarbeitet, muss dem Risiko angemessene technische und organisatorische Maßnahmen treffen; ausdrücklich genannt ist die Verschlüsselung (Art. 32 Abs. 1 Buchst. a DSGVO) [5]. Daneben gilt die ärztliche Schweigepflicht (§ 203 StGB) [2].
Was die Datenschutzkonferenz verlangt
Die Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat 2021 eine Orientierungshilfe zum E-Mail-Versand beschlossen [3]. Kernaussagen:
- Transportverschlüsselung (TLS zwischen den Mailservern) ist der Basisschutz und die Mindestmaßnahme. Bei normalem Risiko reicht sie.
- Bei hohem Risiko für die Vertraulichkeit müssen Absender regelmäßig eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung einsetzen. Ob darauf teilweise verzichtet werden kann, hängt von den Umständen und ausgleichenden Maßnahmen ab.
- Für Berufsgeheimnisträger wie Ärztinnen und Ärzte ist das Berufsgeheimnis ein Indiz für ein hohes Risiko. Sie müssen die Höhe des Risikos besonders prüfen.
- Die Nachricht darf beim Empfänger nur bei der Person ankommen, für die sie bestimmt ist (individuelle Adressierung).
- Lassen sich die Anforderungen nicht erfüllen, muss ein anderer Weg gewählt werden.
Die Orientierungshilfe wurde gegen die Stimme Bayerns beschlossen [3].
Hilft eine Einwilligung?
Nur eingeschränkt. Die DSK hat am 24.11.2021 beschlossen [4]:
- Die Schutzmaßnahmen nach Art. 32 DSGVO sind objektive Pflichten und stehen nicht zur Disposition der Beteiligten.
- Ein Verzicht auf diese Maßnahmen auf Grundlage einer Einwilligung ist nicht zulässig.
- In zu dokumentierenden Einzelfällen kann der Verantwortliche auf ausdrücklichen, eigeninitiativen Wunsch der informierten betroffenen Person bestimmte Maßnahmen ihr gegenüber in vertretbarem Umfang nicht anwenden.
Für die Praxis bedeutet das: Ein vorgedrucktes Formular, mit dem Sie allen Patienten den unverschlüsselten Versand anbieten, reicht nach dieser Auffassung nicht. Denkbar ist der unverschlüsselte Versand allenfalls dann, wenn der Patient selbst darum bittet, die Risiken kennt und Sie das festhalten.
Dieser Beschluss wurde gegen die Stimme Sachsens gefasst [4].
Wie einzelne Aufsichtsbehörden es sehen
Rheinland-Pfalz
- Für Gesundheitsdaten neben der Transportverschlüsselung eine zusätzliche Inhaltsverschlüsselung, zum Beispiel PDF-Verschlüsselung oder 7-Zip, mit einem einmalig vereinbarten Passwort [5].
- Unverschlüsselt nur, wenn Sie umfassend über die Risiken aufgeklärt, eine sichere Alternative angeboten haben und der Patient ausdrücklich und freiwillig zustimmt. Eine schriftliche Bestätigung wird empfohlen [5].
Zuständig ist die Aufsichtsbehörde des Landes, in dem Sie tätig sind. Im Zweifel fragen Sie dort nach.
So gehen Sie praktisch vor
- Standard ist die Post. Den E-Mail-Versand bieten Sie nur an, wenn der Patient ihn wünscht.
- Verschlüsselt versenden: Rechnung als PDF mit Passwort, das Sie mit dem Patienten vorher persönlich oder telefonisch vereinbaren, nie in derselben E-Mail [5].
- Adresse prüfen: Lassen Sie sich die Adresse schriftlich geben und senden Sie nur an diese. Keine Sammel- oder Familienadressen, wenn der Patient nicht ausdrücklich zustimmt [3].
- Wenig in die E-Mail selbst: Betreff und Text ohne Diagnosen oder Leistungen, zum Beispiel „Ihre Rechnung vom 12.10.2026“.
- Festhalten: Wunsch des Patienten, Aufklärung über die Risiken und die angebotene Alternative dokumentieren, ebenso einen späteren Widerruf [4] [5].
Gut zu wissen
Die DSK-Orientierungshilfe betrachtet nur den Transportweg. Für bereits gespeicherte E-Mails können weitere Maßnahmen nötig sein [3]. Schützen Sie deshalb auch Gerät und Postfach, etwa mit Gerätesperre und einem sicheren Passwort.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 15, Art. 9 und Art. 32 (abgerufen am 18.10.2026)
- § 203 StGB: Verletzung von Privatgeheimnissen (abgerufen am 18.10.2026)
- DSK: Orientierungshilfe „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“ vom 27.05.2021 (Stand 16.06.2021) (abgerufen am 18.10.2026)
- DSK: Beschluss zur Möglichkeit der Nichtanwendung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO auf ausdrücklichen Wunsch betroffener Personen vom 24.11.2021 (abgerufen am 18.10.2026)
- Landesbeauftragter für den Datenschutz Rheinland-Pfalz: Datenschutz in der Praxis #4, Kommunikation per E-Mail (mit Wortlaut Art. 32 DSGVO) (abgerufen am 18.10.2026)
- Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein: Häufig gestellte Fragen zum Bereich ambulante Arztpraxen (abgerufen am 18.10.2026)
Stand: Oktober 2026. Die Auffassungen der Aufsichtsbehörden sind keine Gesetze; verbindlich entscheiden im Streitfall die Gerichte.