Die Telemedizin hat sich in den vergangenen Jahren von einer ergänzenden Serviceleistung zu einem festen Bestandteil der Gesundheitsversorgung entwickelt. Videosprechstunden, digitale Befundübermittlungen und telemedizinische Monitoring-Systeme ermöglichen eine flexible, ortsunabhängige Betreuung von Patientinnen und Patienten.
Doch mit der zunehmenden Digitalisierung steigt auch die datenschutzrechtliche Verantwortung. Gesundheitsdaten gehören zu den sensibelsten personenbezogenen Daten im Sinne der Datenschutz-Grundverordnung (DSGVO). Fehler in der technischen oder organisatorischen Umsetzung können erhebliche rechtliche, finanzielle und reputative Folgen haben.
Dieser Beitrag zeigt, welche datenschutzrechtlichen Anforderungen für die Telemedizin gelten, welche typischen Risiken bestehen und wie Sie die Telemedizin datenschutzkonform umsetzen können.
Das Wichtigste in Kürze
- Telemedizin = digitale medizinische Versorgung: Videosprechstunden, Fernüberwachung, digitale Befunde und Telekonsile.
- Gesundheitsdaten sind besonders sensibel: Nach Art. 9 DSGVO gilt ein grundsätzliches Verarbeitungsverbot ohne Rechtsgrundlage.
- Technische und organisatorische Maßnahmen: Ende-zu-Ende-Verschlüsselung, rollenbasierte Zugriffsrechte, sichere Authentifizierung, Privacy by Default, Protokollierung und Nachvollziehbarkeit.
- Auftragsverarbeitung (Art. 28 DSGVO): Nutzung externer Videoplattformen erfordert AV-Vertrag, Sicherheitsprüfung, klare Subunternehmer-Strukturen.
- Datenschutz-Folgenabschätzung (DSFA): Pflicht bei umfangreicher Verarbeitung, systematischer Überwachung oder Einsatz neuer Technologien.
Was ist Telemedizin?
Telemedizin bezeichnet die Erbringung medizinischer Leistungen unter Einsatz digitaler Kommunikationsmittel. Sie ermöglicht es Ärztinnen, Ärzten und anderen medizinischen Fachkräften, Patientinnen und Patienten auch über räumliche Distanz hinweg zu betreuen. Dabei kommen unterschiedliche digitale Technologien zum Einsatz, von Videosprechstunden über elektronische Patientenakten bis zu Fernüberwachungssystemen für chronisch erkrankte Personen.
Zu den zentralen Anwendungsbereichen zählen unter anderem:
- Die Durchführung von Videosprechstunden, bei denen Patientinnen und Patienten ihre Ärztinnen oder Ärzte online konsultieren können.
- Digitale Patientenakten, die einen sicheren Austausch und eine strukturierte Dokumentation von Befunden ermöglichen.
- Die Fernüberwachung chronisch Erkrankter, etwa über Messgeräte, die Vitalparameter direkt an medizinisches Personal übertragen; die elektronische Rezeptübermittlung, die eine schnelle und sichere Ausstellung von Medikamenten ermöglicht.
- Sowie Telekonsile zwischen medizinischen Fachkräften, die den fachlichen Austausch und die Diagnosestellung unterstützen, ohne dass alle Beteiligten physisch am selben Ort sein müssen.
Rechtlich bewegt sich Telemedizin an der Schnittstelle verschiedener Regelungsbereiche. Neben dem Berufsrecht, das die ärztliche Tätigkeit regelt, spielt insbesondere das Sozialrecht eine Rolle, wenn es um Abrechnung und Versorgungspflichten geht. Ein besonders kritischer Bereich ist das Datenschutzrecht, denn Telemedizin erfordert die Verarbeitung besonders sensibler Gesundheitsdaten. Hier greift die DSGVO, die klare Vorgaben für die Erhebung, Speicherung und Verarbeitung von Gesundheitsdaten macht. Der Schutz dieser Daten ist nicht nur gesetzliche Pflicht, sondern auch entscheidend für das Vertrauen der Patientinnen und Patienten in digitale Gesundheitsangebote.
Telemedizin bietet somit die Möglichkeit einer ortsunabhängigen, flexiblen und effizienten Gesundheitsversorgung, bringt aber auch die Verantwortung mit sich, personenbezogene Daten umfassend zu schützen und datenschutzkonform zu handeln.
Warum Datenschutz in der Telemedizin besonders sensibel ist
Gesundheitsdaten zählen gemäß Artikel 9 DSGVO zu den „besonderen Kategorien personenbezogener Daten“. Ihre Verarbeitung ist grundsätzlich verboten, es sei denn, es greift eine ausdrückliche gesetzliche Erlaubnis – zum Beispiel für die medizinische Versorgung oder auf Grundlage einer ausdrücklichen Einwilligung.
In der Telemedizin werden regelmäßig folgende Datenarten verarbeitet, die jeweils besondere Schutzanforderungen mit sich bringen:
- Diagnosen: Medizinische Diagnosen enthalten Informationen über die gesundheitliche Situation einer Person. Ihre Offenlegung kann nicht nur die Privatsphäre verletzen, sondern auch Auswirkungen auf Versicherungen, Arbeitgeber oder soziale Kontakte haben.
- Befunde und Laborergebnisse: Laborwerte, radiologische Bilder oder andere Befunde sind hochsensible Daten, die Rückschlüsse auf Krankheiten oder genetische Prädispositionen zulassen. Eine fehlerhafte Speicherung oder ein unbefugter Zugriff kann schwerwiegende Konsequenzen für die betroffene Person nach sich ziehen.
- Medikationsdaten: Informationen über verschriebene Medikamente, Dosierungen oder Einnahmepläne ermöglichen Rückschlüsse auf Gesundheitszustände und Behandlungsmuster. Ein Missbrauch dieser Daten kann z. B. Diskriminierung oder betrügerische Nutzung zur Folge haben.
- Bild- und Tonaufnahmen aus Videosprechstunden: Videomitschnitte oder Screenshots können intime Details und persönliche Gespräche enthalten. Ihre unbefugte Weitergabe stellt einen erheblichen Eingriff in die Privatsphäre dar und kann das Vertrauen in digitale Gesundheitsangebote nachhaltig schädigen.
- Kommunikationsinhalte: Nachrichten zwischen Patientinnen, Patienten und medizinischem Personal enthalten häufig sensible Informationen zu Symptomen, Beschwerden oder psychischen Zuständen. Jede ungesicherte Speicherung oder Übermittlung birgt das Risiko, dass Dritte Zugriff auf private Gesundheitsinformationen erhalten.
Ein Datenschutzverstoß in der Telemedizin kann daher nicht nur Bußgelder nach sich ziehen, sondern auch das Vertrauensverhältnis zwischen Patientinnen, Patienten und Behandelnden nachhaltig beschädigen. Datenschutz ist hier nicht nur gesetzliche Pflicht, sondern auch eine grundlegende Voraussetzung für die Akzeptanz und den Erfolg digitaler Gesundheitslösungen.
Rechtsgrundlagen für Telemedizin nach DSGVO
Die Verarbeitung personenbezogener Daten im Rahmen telemedizinischer Leistungen erfordert eine klare und tragfähige datenschutzrechtliche Grundlage. Da es sich regelmäßig um Gesundheitsdaten handelt, greifen neben den allgemeinen Voraussetzungen der DSGVO insbesondere die besonderen Schutzvorschriften für sensible Daten.
Zunächst ist auf Ebene der allgemeinen Rechtmäßigkeit der Verarbeitung regelmäßig Artikel 6 Absatz 1 lit. b DSGVO einschlägig. Danach ist eine Verarbeitung zulässig, wenn sie zur Erfüllung eines Vertrags erforderlich ist. Im telemedizinischen Kontext ist dies in der Regel der Behandlungsvertrag zwischen Patientin bzw. Patient und Leistungserbringer. Ohne die Verarbeitung personenbezogener Daten, etwa von Stammdaten, Kontaktdaten oder medizinischen Informationen, kann die digitale Behandlung nicht durchgeführt werden. Die Datenverarbeitung ist somit integraler Bestandteil der vertraglichen Leistungserbringung.
Da Gesundheitsdaten jedoch zu den besonderen Kategorien personenbezogener Daten gehören, reicht Artikel 6 DSGVO allein nicht aus. Zusätzlich muss eine Ausnahme nach Artikel 9 Absatz 2 DSGVO greifen. Diese Vorschrift erlaubt die Verarbeitung von Gesundheitsdaten, wenn sie für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik, der Versorgung oder Behandlung im Gesundheits- oder Sozialbereich erforderlich ist und durch Fachpersonal erfolgt, das einer gesetzlichen Verschwiegenheitspflicht unterliegt. Telemedizinische Leistungen fallen regelmäßig unter diese Ausnahme, sofern sie durch entsprechend befugte Berufsgruppen erbracht werden.
In bestimmten Konstellationen kann ergänzend oder ausnahmsweise eine ausdrückliche Einwilligung erforderlich sein. Dies kann beispielsweise dann der Fall sein, wenn Daten für zusätzliche Zwecke verarbeitet werden sollen, die nicht unmittelbar von der medizinischen Behandlung gedeckt sind – etwa bei freiwilligen Zusatzfunktionen, bestimmten Analyseverfahren oder der Nutzung externer Plattformdienste, die nicht zwingend für die Behandlung erforderlich sind. Eine Einwilligung muss dabei freiwillig, informiert, eindeutig und widerruflich ausgestaltet sein.
Entscheidend ist, dass die jeweilige Rechtsgrundlage nicht nur theoretisch benannt, sondern im Rahmen des Verzeichnisses von Verarbeitungstätigkeiten sauber dokumentiert und in der Datenschutzinformation transparent dargestellt wird. Verantwortliche müssen klar festlegen, auf welche Rechtsgrundlage sie die jeweilige Datenverarbeitung stützen und weshalb diese erforderlich ist.
Eine pauschale oder vorsorglich eingeholte Einwilligung ersetzt keine differenzierte rechtliche Prüfung. Vielmehr besteht die Gefahr, dass Einwilligungen unwirksam sind, wenn ein strukturelles Ungleichgewicht besteht oder wenn die Verarbeitung bereits auf einer gesetzlichen Grundlage zulässig wäre. Aus datenschutzrechtlicher Perspektive ist daher stets sorgfältig zu prüfen, welche Norm tatsächlich einschlägig ist und ob zusätzliche organisatorische oder technische Schutzmaßnahmen erforderlich sind.
Technische und organisatorische Maßnahmen (TOM) in der Telemedizin
Die DSGVO verlangt nach Artikel 32 geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Gerade in der Telemedizin, in der hochsensible Gesundheitsdaten digital übermittelt und gespeichert werden, sind erhöhte Sicherheitsstandards erforderlich.
Besonders relevant sind folgende Maßnahmen:
1. Ende-zu-Ende-Verschlüsselung
Video‑, Audio- und Kommunikationsdaten müssen während der Übertragung wirksam geschützt sein. Eine echte Ende-zu-Ende-Verschlüsselung stellt sicher, dass ausschließlich die beteiligten Kommunikationspartner Zugriff auf die Inhalte haben, nicht einmal der Plattformanbieter darf die Inhalte einsehen können. Auch gespeicherte Daten sollten verschlüsselt abgelegt werden.
2. Zugriffsbeschränkungen
Patientendaten dürfen ausschließlich für berechtigte Personen zugänglich sein. Hierfür sind differenzierte Rollen- und Berechtigungskonzepte erforderlich, die sich an den tatsächlichen Aufgaben orientieren (Need-to-know-Prinzip). Zugriffsrechte sollten regelmäßig überprüft und bei Personalwechseln unverzüglich angepasst werden.
3. Sichere Authentifizierung
Ein starkes Authentifizierungskonzept reduziert das Risiko unbefugter Zugriffe erheblich. Insbesondere bei Fernzugriffen oder cloudbasierten Anwendungen ist eine Zwei-Faktor-Authentifizierung empfehlenswert. Auch sichere Passwortrichtlinien und automatische Sitzungsbeendigungen sind Teil eines angemessenen Sicherheitsniveaus.
4. Datensparsame Systemeinstellungen
Systeme sollten standardmäßig so konfiguriert sein, dass nur die für die jeweilige Behandlung erforderlichen Daten verarbeitet werden. Nicht benötigte Zusatzfunktionen, automatische Datenspeicherungen oder erweiterte Profilbildungen sind zu deaktivieren. Dieses Prinzip entspricht den Vorgaben von Privacy by Default.
5. Protokollierung und Nachvollziehbarkeit
Zugriffe auf Gesundheitsdaten sollten nachvollziehbar dokumentiert werden. Protokollierungen ermöglichen es, unbefugte Zugriffe zu erkennen und im Verdachtsfall eine interne Prüfung durchzuführen. Gleichzeitig dienen sie der Rechenschaftspflicht gegenüber Aufsichtsbehörden.
Auftragsverarbeitung bei Telemedizin-Anbietern
Nutzen Praxen oder Apotheken externe Plattformen für Videosprechstunden, digitale Patientenakten oder Messenger-Dienste, liegt regelmäßig eine Auftragsverarbeitung nach Artikel 28 DSGVO vor. Der externe Anbieter verarbeitet dabei die Daten nicht zu eigenen Zwecken, sondern im Auftrag der verantwortlichen Stelle.
Dabei ist insbesondere zu beachten:
- Abschluss eines rechtskonformen Auftragsverarbeitungsvertrags (AVV).
- Prüfung und Dokumentation der technischen und organisatorischen Maßnahmen des Anbieters.
- Klärung des Serverstandorts und möglicher Drittlandübermittlungen.
- Transparente Offenlegung und vertragliche Einbindung von Subunternehmern.
Wichtig: Die datenschutzrechtliche Verantwortung verbleibt trotz externer Dienstleister bei der Praxis oder Apotheke als verantwortlicher Stelle.
Datenschutz-Folgenabschätzung (DSFA) bei Telemedizin
Da in der Telemedizin regelmäßig umfangreiche und besonders schützenswerte Gesundheitsdaten verarbeitet werden, kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich sein.
Die DSFA dient der strukturierten Identifikation, Bewertung und Minimierung von Risiken für die Rechte und Freiheiten betroffener Personen. Sie ist somit ein zentrales Instrument der präventiven Risikosteuerung.
Eine DSFA ist insbesondere angezeigt, wenn:
- neue oder innovative Technologien eingesetzt werden
- systematische oder umfangreiche digitale Auswertungen erfolgen
- große Mengen sensibler Gesundheitsdaten verarbeitet werden
- neue telemedizinische Plattformen eingeführt werden
Einschätzung von Michael Triesch: Datenschutzexperte klärt auf: Welche Datenschutzrisiken gibt es in der Telemedizin
In der praktischen Umsetzung telemedizinischer Angebote zeigen sich immer wieder ähnliche Problembereiche, die sowohl technischer als auch organisatorischer Natur sind. Häufig werden digitale Lösungen unter hohem Zeitdruck eingeführt, ohne dass die Datenschutzanforderungen von Beginn an strukturiert geprüft und dokumentiert werden.
Gerade weil die Telemedizin eine Schnittstelle zwischen medizinischer Versorgung, IT-Infrastruktur und externen Dienstleistern darstellt, entstehen komplexe Verarbeitungssituationen mit erhöhtem Risikopotenzial. Fehlen klare Zuständigkeiten, definierte Prozesse oder eine datenschutzrechtliche Begleitung bei der Auswahl und Konfiguration der Systeme, führen selbst gut gemeinte Digitalisierungsmaßnahmen schnell zu rechtlichen und sicherheitstechnischen Schwachstellen.
Nutzung nicht ausreichend geprüfter oder nicht DSGVO-konformer Videodienste
Werden Videoplattformen eingesetzt, ohne deren Datenschutzkonformität und Sicherheitsstandards sorgfältig zu prüfen, besteht ein erhebliches Risiko unzulässiger Datenübermittlungen. Insbesondere fehlende Verschlüsselung oder Serverstandorte außerhalb der EU können zu Verstößen gegen die DSGVO führen.
Fehlende oder unvollständige Auftragsverarbeitungsverträge
Ohne einen ordnungsgemäß abgeschlossenen Auftragsverarbeitungsvertrag fehlt die rechtliche Grundlage für die Einbindung externer Dienstleister. Dies kann dazu führen, dass Verantwortliche ihrer Rechenschaftspflicht nicht nachkommen und erhebliche Haftungsrisiken entstehen.
Zu weitreichende Zugriffsrechte ohne differenziertes Berechtigungskonzept
Erhalten Mitarbeitende Zugriff auf mehr Daten als für ihre Tätigkeit erforderlich ist, wird das Prinzip der Datenminimierung verletzt. Fehlende Rollen- und Berechtigungskonzepte erhöhen zudem das Risiko interner Datenschutzverstöße.
Speicherung von Videosprechstunden ohne klare Rechtsgrundlage
Die Aufzeichnung von Videosprechstunden ist datenschutzrechtlich besonders sensibel und regelmäßig nicht für die Behandlung erforderlich. Erfolgt eine Speicherung ohne eindeutige Rechtsgrundlage oder wirksame Einwilligung, liegt ein erheblicher Datenschutzverstoß vor.
Unklare oder nicht technisch umgesetzte Löschfristen
Werden keine konkreten Löschfristen definiert oder technisch implementiert, besteht die Gefahr einer unzulässigen Vorratsdatenspeicherung. Gesundheitsdaten dürfen jedoch nur so lange aufbewahrt werden, wie es gesetzlich vorgeschrieben oder medizinisch erforderlich ist.
Nutzung privater Endgeräte ohne angemessene Absicherung
Werden private Laptops oder Smartphones ohne geeignete Sicherheitsmaßnahmen für telemedizinische Anwendungen genutzt, erhöht sich das Risiko von Datenverlust oder unbefugtem Zugriff. Fehlende Verschlüsselung, unsichere WLAN-Verbindungen oder mangelnde Zugriffssperren können sensible Gesundheitsdaten gefährden.
Diese Risiken entstehen häufig durch Zeitdruck bei der Einführung digitaler Lösungen, unzureichende technische Prüfung oder fehlende datenschutzrechtliche Begleitung im Auswahlprozess.
Vorteile einer datenschutzkonformen Telemedizin
Ein hohes Datenschutzniveau kann jedoch auch Qualitätsmerkmal wahrgenommen werden und somit einen Wettbewerbsvorteil darstellen. Richtig umgesetzt bietet Telemedizin erhebliche Vorteile:
- flexible und ortsunabhängige Patientenversorgung
- Zeitersparnis für Behandelnde und Patientinnen bzw. Patienten
- Erweiterung des Einzugsgebiets
- strukturierte und digitale Dokumentation
- Stärkung des Vertrauens durch transparente Datenschutzstandards
Datenschutz in der Telemedizin: Best Practices von Michael Triesch, Ihrem Datenschutzexperten
Eine rechtssichere Umsetzung telemedizinischer Angebote erfordert mehr als nur eine technisch funktionierende Plattform. Entscheidend ist ein strukturiertes Datenschutzkonzept, das sowohl rechtliche Vorgaben als auch organisatorische Abläufe berücksichtigt. Aus datenschutzrechtlicher Sicht sollten insbesondere folgende Maßnahmen umgesetzt werden:
Anbieter sorgfältig auswählen und datenschutzrechtlich prüfen: Vor der Beauftragung sollte geprüft werden, ob der Anbieter nachvollziehbare Sicherheitskonzepte, transparente Datenschutzinformationen und eine DSGVO-konforme Vertragsgrundlage vorweisen kann. Auch Aspekte wie Serverstandort, Verschlüsselungsstandards und der Umgang mit Subunternehmern sind sorgfältig zu bewerten.
Auftragsverarbeitung vertraglich sauber absichern: Sofern der Anbieter personenbezogene Daten im Auftrag verarbeitet, ist ein rechtskonformer Auftragsverarbeitungsvertrag zwingend erforderlich. Dieser sollte klare Regelungen zu Sicherheitsmaßnahmen, Kontrollrechten und Unterstützungsleistungen bei Datenschutzvorfällen enthalten.
Rollen- und Zugriffskonzepte klar definieren: Zugriffe auf Gesundheitsdaten müssen sich strikt am Aufgabenbereich der jeweiligen Mitarbeitenden orientieren. Ein dokumentiertes Berechtigungskonzept sowie regelmäßige Überprüfungen der vergebenen Zugriffsrechte sind unerlässlich.
Löschfristen festlegen und technisch implementieren: Gesundheitsdaten dürfen nicht unbegrenzt gespeichert werden. Gesetzliche Aufbewahrungspflichten sind zu beachten. Darüber hinausgehende Speicherungen müssen vermieden und durch technische Routinen (z. B. automatische Löschläufe) abgesichert werden.
Erforderlichkeit einer Datenschutz-Folgenabschätzung prüfen: Bei umfangreicher oder besonders sensibler Datenverarbeitung ist zu bewerten, ob eine Datenschutz-Folgenabschätzung durchzuführen ist. Diese dient der systematischen Risikoanalyse und hilft, geeignete Schutzmaßnahmen frühzeitig zu definieren.
Mitarbeitende regelmäßig sensibilisieren und schulen: Technische Schutzmaßnahmen allein reichen nicht aus. Mitarbeitende müssen im sicheren Umgang mit telemedizinischen Anwendungen geschult werden, insbesondere im Hinblick auf Authentifizierung, Zugriffsschutz und Vertraulichkeit.
Transparente und verständliche Datenschutzhinweise bereitstellen: Patientinnen und Patienten müssen klar darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden und welche Rechte ihnen zustehen. Die Datenschutzhinweise sollten leicht zugänglich, verständlich formuliert und auf die telemedizinischen Besonderheiten abgestimmt sein.
Warum TRIESCHconsult?
Michael Triesch verfügt über langjährige Erfahrung als externer Datenschutzbeauftragter und unterstützt Unternehmen im Gesundheitswesen bei der praktischen Umsetzung datenschutzrechtlicher Anforderungen im digitalen Umfeld.
Diese Spezialisierung bietet Ihnen entscheidende Vorteile:
Rechtssichere Umsetzung telemedizinischer Prozesse: Sie können sicher sein, dass Ihre telemedizinischen Leistungen auf einer klar definierten Rechtsgrundlage beruhen und die Verarbeitung sensibler Gesundheitsdaten DSGVO-konform erfolgt.
Strukturierte Prüfung technischer und organisatorischer Maßnahmen: Er analysiert Ihre Sicherheitsarchitektur, Berechtigungskonzepte, Löschroutinen und Auftragsverarbeitungsverhältnisse und entwickelt praxistaugliche Optimierungsvorschläge.
Vorbereitung auf behördliche Prüfungen: Durch nachvollziehbare Dokumentation und klare Entscheidungsprozesse sind Sie auf Prüfungen durch Datenschutzaufsichtsbehörden vorbereitet.
Praxisorientierte Beratung: Seine Beratung verbindet juristische Fachkenntnis mit technischer Umsetzbarkeit und den organisatorischen Anforderungen medizinischer Einrichtungen.
Fazit
Privacy by Default ist eine verbindliche gesetzliche Verpflichtung gemäß Artikel 25 Absatz 2 DSGVO. Unternehmen müssen demnach sicherstellen, dass personenbezogene Daten standardmäßig nur zweckgebunden, erforderlich und zugriffsbeschränkt verarbeitet werden.
Wer datenschutzfreundliche Voreinstellungen systematisch implementiert, regelmäßig überprüft und dokumentiert, reduziert Risiken, stärkt das Vertrauen von Kundinnen und Kunden und schafft nachhaltige Compliance.
TRIESCHconsult unterstützt Sie dabei, Privacy by Default nicht nur formal umzusetzen, sondern strukturell und dauerhaft in Ihren Unternehmensprozessen zu verankern.
