Patientendaten versenden: Fax, E-Mail, Messenger, KI
Kurz gesagt: Schickt nur, was der Empfänger für seine Aufgabe braucht, und nehmt den Kanal, den die Aufsichtsbehörden für Gesundheitsdaten vorsehen. Beim Fax sind sich die Behörden nicht einig. Bei unverschlüsselter E-Mail und privaten Messengern raten sie ab. Für KI-Tools gilt die Schweigepflicht ohne Ausnahme.
Inhalt: Zahlen · Fax · E-Mail & KIM · Messenger · KI-Tools · Anonymisieren · Arztbriefe · Falscher Empfänger · Checkliste · Häufige Fragen
HbA1c 8,1 %, Metformin weiter wie bisher.
Dieser Leitfaden sammelt, was Datenschutzbehörden, die Kassenärztliche Bundesvereinigung (KBV) und die Bundesärztekammer (BÄK) dazu veröffentlicht haben. Jede Zahl hat eine Quelle und ein Datum. Wo es keine Daten gibt, steht das dabei.
Was sagen die Zahlen?
Die Zahlen zeigen zwei Dinge. Praxen kommunizieren mit Kliniken noch überwiegend analog, also per Fax und Papier. Und viele Ärzt:innen nutzen private KI-Tools. Wie oft dabei Patientendaten falsch rausgehen oder in ein KI-Tool wandern, misst keine deutsche Studie. Die besten Daten stammen aus Berichten der Aufsichtsbehörden.
| Zahl | Was sie misst | Quelle |
|---|---|---|
| 50 % | der befragten Ärzt:innen nutzen private KI-Tools wie ChatGPT für Recherche, 28 % für Dokumentation | Doctolib/YouGov, Digital Health Report 2026 (n = 204 Ärzt:innen, im Auftrag eines Softwareanbieters) [1] |
| 46,67 % | der Befragten an fünf bayerischen Unikliniken nutzen Sprachmodelle täglich oder wöchentlich für die Arbeit | Vladika et al., Scientific Reports 2026 (n = 120: 70 Studierende, 36 Ärzt:innen, 14 Verwaltung) [2] |
| 64,17 % | derselben Befragten sagen, ihre Einrichtung sei auf Sprachmodelle nicht vorbereitet | ebd. [2] |
| 12 % | der Praxen tauschen sich überwiegend digital mit Krankenhäusern aus | KBV PraxisBarometer Digitalisierung 2025 (n = 1.719) [3] |
| 61 % | der Praxen nutzen KIM, etwa gleich viele (60 %) E-Mail | ebd. [3] |
| über 45 % | der Datenpannen-Meldungen im medizinischen Bereich gingen auf Fehlversand oder falsche Übergabe zurück | ULD Schleswig-Holstein, Berichtsjahr 2021 (regional) [4] |
| 138 | gesundheitsbezogene Lagebeiträge beim BSI von Oktober 2024 bis September 2025, 43 davon zu Praxen, Kliniken und anderen Leistungserbringern | BSI, Cybersicherheit im Gesundheitswesen 2025 [5] |
Zur BSI-Zahl: Das BSI zählt Lagebeiträge, keine einzelnen Vorfälle. Im Vorjahr waren es 205. Bei den Leistungserbringern gingen etwas unter 50 Meldungen ein [5]. Weil Leistungserbringer nicht meldepflichtig sind, geht das BSI von einer größeren Dunkelziffer aus.
Was es nicht gibt: Keine deutsche Studie misst, wie viele Praxen Patientendaten in ChatGPT eingeben oder per WhatsApp verschicken. Wer eine solche Zahl nennt, sollte die Quelle zeigen können.
Darf eine Praxis Patientendaten faxen?
Das hängt vom Bundesland ab. Ein bundesweites Verbot gibt es nicht. Bremen hält Fax für Gesundheitsdaten für unzulässig. Niedersachsen vergleicht ein Telefax mit einer Postkarte. Acht Länder erlauben es nur als Ausnahme mit Vorkehrungen, etwa in dringenden Fällen und an eine gespeicherte Nummer. Für sieben Länder fand sich keine veröffentlichte Position. Die Datenschutzkonferenz (DSK) hat keinen gemeinsamen Beschluss.
Ein Entwurf des Bundesgesundheitsministeriums will das Fax durch KIM ablösen. Beschlossen ist das noch nicht (Stand Juni 2026).
Dürfen Patientendaten per E-Mail verschickt werden?
Unverschlüsselt raten Aufsichtsbehörden und Ärzteschaft davon ab. BÄK und KBV nennen die „unverschlüsselte Übermittlung von Geheimnissen über E-Mail oder Messenger“ als Risiko für die Schweigepflicht [6]. Niedersachsen schreibt, Gesundheitsdaten dürften nur mit einem Verschlüsselungsverfahren nach aktuellem Stand der Technik übermittelt werden [7].
KIM (Kommunikation im Medizinwesen) ist der verschlüsselte E-Mail-Dienst der Telematikinfrastruktur. 61 % der Praxen nutzen ihn, Hausarztpraxen sogar zu 80 % [3]. Allerdings hilft KIM nur, wenn der Empfänger auch KIM hat. Mit Krankenhäusern läuft vieles noch über Fax und Papier.
Ist WhatsApp für Patientendaten erlaubt?
Die Aufsichtsbehörden raten von privaten Messengern ab. Die DSK hat 2021 Muss-Anforderungen für Messenger im Krankenhaus festgelegt, darunter eine Ende-zu-Ende-Verschlüsselung und Server beim Krankenhaus oder einem Auftragsverarbeiter [8]. Private Messenger erfüllen das in der Regel nicht.
Das Thema ist nicht auf Kliniken beschränkt. Bei Prüfungen ambulanter Pflegedienste stößt das ULD Schleswig-Holstein nach eigenen Angaben immer häufiger auf WhatsApp [9].
„WhatsApp und vergleichbare Messengerdienste sind nicht die Lösung. Auch die Nutzung von privaten Smartphones stellt eine Gefahr für das Patientengeheimnis dar.“ULD Schleswig-Holstein, Tätigkeitsbericht 2025, zu ambulanten Pflegediensten [9]
Eine Zahl, die nicht stimmt: Oft zu lesen ist „54 % des Klinikpersonals verschicken Befunde per WhatsApp“. Das gibt die Quelle nicht her.
Die Originalumfrage des Deutschen Datenschutz Instituts von 2018 befragte 353 Klinikärzt:innen. Mehr als die Hälfte gab an, Patientendaten wie Laborbefunde oder Röntgenbilder über Messenger an Kolleg:innen zu schicken, und zwar über WhatsApp und andere Apps [10]. Neuere Zahlen für Deutschland gibt es nicht.
Dürfen Patientendaten in ChatGPT?
Nicht mit Namen, Geburtsdatum oder anderen Angaben, über die sich die Patientin oder der Patient erkennen lässt. Für KI-Tools gelten dieselben Regeln wie für jeden anderen Empfänger: Schweigepflicht und Datenschutz ohne Einschränkung. Ein privates ChatGPT-Konto hat keinen Vertrag mit der Praxis, der regelt, was mit den Eingaben passiert.
„Sowohl die Schweigepflicht als auch die datenschutzrechtlichen Anforderungen gelten uneingeschränkt auch beim Einsatz von Künstlicher Intelligenz (KI) in der Arztpraxis.“BÄK und KBV, Hinweise und Empfehlungen, Stand 01.10.2025 [6]
Trotzdem nutzt die Hälfte der befragten Ärzt:innen private KI-Tools [1]. Der Digital Health Report nennt das „Schatten-KI“.
Kann ich Patientendaten anonymisieren, bevor ich sie verschicke?
Ja, aber es ist schwerer, als es klingt. Anonym ist ein Text erst, wenn sich die Person auch mit Zusatzwissen nicht mehr bestimmen lässt (Erwägungsgrund 26 DSGVO). Dann gilt die DSGVO nicht mehr. Den Namen zu streichen reicht dafür selten: Diagnose, Alter, Wohnort und Datum zusammen verraten oft, um wen es geht.
Was in der Praxis meist passiert, ist Pseudonymisierung (Art. 4 Nr. 5 DSGVO). Name und Geburtsdatum werden durch Platzhalter ersetzt, die Zuordnung bleibt getrennt in der Praxis. Pseudonymisierte Daten sind weiter personenbezogen, die DSGVO gilt also. Der Empfänger sieht aber deutlich weniger. Die DSGVO nennt Pseudonymisierung ausdrücklich als Schutzmaßnahme (Art. 25 und Art. 32 DSGVO).
Faustregel: Wer einen Text „anonymisieren“ will, sollte fragen, ob der Empfänger die Person noch erkennen könnte. Wenn ja, ist der Text pseudonymisiert, nicht anonym.
Was gilt für Arztbriefe an Kliniken und Kolleg:innen?
Auch innerhalb der Versorgung gilt die Schweigepflicht (§ 203 StGB, § 9 Berufsordnung). Ins Schreiben gehört, was die mitbehandelnde Stelle für ihre Aufgabe braucht, nicht mehr. Die DSGVO nennt das Datenminimierung (Art. 5 Abs. 1 lit. c). Der Weg ist oft noch analog: Digitale Entlassbriefe aus der Klinik erhalten nur 15 % der Praxen [3].
85 % der Praxen sehen einen Nutzen in digitalen Entlassbriefen [3]. Bei Befunden aus dem Krankenhaus sehen 61 % einen Nutzen, digital bekommen sie aber nur 9 % [3]. Bis KIM überall angekommen ist, gehen viele Briefe weiter per Fax oder Post. Umso wichtiger ist, was drinsteht: Für eine Rückfrage zur Medikation braucht die Klinik selten die Adresse, für eine Abrechnungsfrage selten die Diagnose.
Was tun, wenn ein Befund beim falschen Empfänger landet?
Die häufigste Panne ist banal: ein falsch adressierter Brief, ein Fax an die falsche Nummer, eine E-Mail an den falschen Kontakt. In Schleswig-Holstein stand das 2021 hinter über 45 % der Meldungen im medizinischen Bereich [4]. Eine solche Panne muss in der Regel binnen 72 Stunden der Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO).
Was tun, wenn ein Befund falsch rausging →
Checkliste für die Praxis
- Vorher kürzen: Braucht der Empfänger Name, Geburtsdatum und Adresse? Wenn nicht, weglassen oder durch Platzhalter ersetzen.
- Anonym oder pseudonym: Prüfen, ob der Empfänger die Person aus dem Rest noch erkennen könnte.
- Fax: Position eurer Landesbehörde prüfen. Wenn Fax, dann nur an gespeicherte, geprüfte Nummern.
- E-Mail: Gesundheitsdaten nicht unverschlüsselt. KIM nutzen, wo der Empfänger es hat.
- Messenger: keine privaten Apps und keine privaten Smartphones für Patientendaten.
- KI-Tools: keine Namen, Geburtsdaten oder andere identifizierende Angaben in private KI-Tools.
- Vier-Augen-Prinzip: Empfänger vor dem Versand von einer zweiten Person prüfen lassen.
- Panne passiert: sofort dokumentieren, Datenschutzbeauftragte:n informieren, 72-Stunden-Frist im Blick behalten.
Die Leitfäden im Detail
Was macht Lysi Doc dabei?
Lysi Doc ist eine Desktop-App, die ausgewählte Angaben durch Platzhalter ersetzt, bevor ein Text an eine Institution, eine Kollegin oder ein KI-Tool geht. Sie läuft lokal, ohne Cloud und ohne Upload.
Das ersetzt keinen der Punkte oben. Es hilft beim ersten: nur verschicken, was nötig ist. Mehr zu Lysi Doc →
Häufige Fragen
Ist Fax für Patientendaten verboten?
Bundesweit nicht. Bremen hält Fax für Gesundheitsdaten für unzulässig, Niedersachsen verlangt Verschlüsselung. Acht Länder erlauben Fax nur als Ausnahme mit Vorkehrungen. Maßgeblich ist die Position eurer Landesdatenschutzbehörde. Alle Länder im Überblick
Was ist KIM?
KIM (Kommunikation im Medizinwesen) ist der verschlüsselte E-Mail-Dienst der Telematikinfrastruktur. 61 % der Praxen nutzen ihn [3]. Ein Gesetzentwurf will das Fax durch KIM ablösen. Beschlossen ist das nicht (Stand Juni 2026).
Dürfen Befunde per WhatsApp verschickt werden?
Die DSK verlangt für Messenger im Krankenhaus unter anderem Ende-zu-Ende-Verschlüsselung und Server beim Krankenhaus oder einem Auftragsverarbeiter [8]. Das ULD Schleswig-Holstein schreibt: „WhatsApp und vergleichbare Messengerdienste sind nicht die Lösung.“ [9]
Kann ich Patientendaten anonymisieren?
Nur wenn sich die Person danach auch mit Zusatzwissen nicht mehr bestimmen lässt. Den Namen zu streichen reicht selten. Meist entsteht ein pseudonymisierter Text: Die DSGVO gilt weiter, der Empfänger sieht aber weniger. Der Unterschied erklärt
Wie schnell muss eine Datenpanne gemeldet werden?
In der Regel binnen 72 Stunden, nachdem die Praxis davon weiß (Art. 33 DSGVO). Besteht ein hohes Risiko für die Patientin oder den Patienten, ist auch sie oder er zu informieren (Art. 34 DSGVO). Schritt für Schritt
Wie viele Praxen geben Patientendaten in ChatGPT ein?
Das weiß niemand. Keine deutsche Studie misst es. Die vorhandenen Umfragen zeigen nur, wie viele Ärzt:innen KI-Tools nutzen: laut Doctolib/YouGov 50 % für Recherche [1].
Dieser Leitfaden ist keine Rechtsberatung. Für den Einzelfall: eure Datenschutzbeauftragte oder die zuständige Landesdatenschutzbehörde.
Quellen
- Doctolib: Digital Health Report 2026, Befragung durch YouGov, Juli/August 2025. about.doctolib.de
- Vladika J, Fichtl A, Matthes F: Investigating expectations and needs regarding the use of large language models at Bavarian university clinics. Scientific Reports 16:10505, 26.03.2026. nature.com
- KBV/IGES: PraxisBarometer Digitalisierung 2025, Kurzbericht, Oktober 2025. iges.com (PDF)
- Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD): 40. Tätigkeitsbericht, Berichtsjahr 2021. datenschutzzentrum.de
- BSI: Cybersicherheit im Gesundheitswesen 2025, veröffentlicht 20.04.2026, S. 2. bsi.bund.de (PDF)
- BÄK und KBV: Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis, Stand 01.10.2025. kbv.de (PDF)
- Die Landesbeauftragte für den Datenschutz Niedersachsen: FAQ Gesundheitsbereich. lfd.niedersachsen.de
- DSK: Technische Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich, 29.04.2021. datenschutzkonferenz-online.de (PDF)
- ULD Schleswig-Holstein: 43. Tätigkeitsbericht (2025), Tz. 4.5.1. datenschutzzentrum.de
- Deutsches Datenschutz Institut, Umfrage unter 353 Klinikärzt:innen, berichtet in der FAZ, 09.05.2018. deutsches-datenschutz-institut.de (PDF)