DSGVO-konforme Patientenkommunikation 2026: Der Praxis-Leitfaden

Die Arztpraxis ist einer der sensibelsten Datenschutzbereiche überhaupt. Gesundheitsdaten genießen nach DSGVO besondere Schutzklasse. Gleichzeitig läuft die Alltagskommunikation — Terminbestätigungen, Erinnerungen, Rezeptbenachrichtigungen — oft über Kanäle, die datenschutzrechtlich problematisch sind.

2026 ist das Risiko für Praxen gestiegen. Die Aufsichtsbehörden haben Schwerpunktkontrollen angekündigt.

TL;DR

• Gesundheitsdaten unterliegen Art. 9 DSGVO — höchste Schutzklasse
• Viele verbreitete Kommunikationskanäle sind für Patientendaten nicht geeignet
• DSGVO-konforme Patientenkommunikation braucht EU-Server, Verschlüsselung und Einwilligungsdokumentation
• AIxion ist speziell für das datenschutzrechtliche Anforderungsprofil von Gesundheitseinrichtungen entwickelt

Was erlaubt ist — und was nicht

Erlaubt mit Einwilligung:

• Terminbestätigungen per SMS oder E-Mail (ohne Diagnoseangabe)
• Erinnerungen an anstehende Termine (ohne medizinische Details)
• Benachrichtigungen bei abholbereiten Rezepten

Problematisch ohne ausreichende Absicherung:

• Kommunikation über Consumer-Messenger-Dienste (auch wenn Ende-zu-Ende-verschlüsselt)
• Systeme, die Daten auf Servern außerhalb der EU speichern
• Kommunikation ohne schriftlichen Auftragsverarbeitungsvertrag mit dem Anbieter

Verboten:

• Diagnosen oder Behandlungsdetails in unverschlüsselten Nachrichten
• Weitergabe von Patientendaten an Dritte ohne Rechtsgrundlage

Die Einwilligungs-Dokumentation

Für alle aktiven Kommunikationsmaßnahmen braucht die Praxis eine dokumentierte Einwilligung des Patienten. Das klingt aufwendig, ist aber mit dem richtigen System minimal. AIxion erfasst die Einwilligung beim ersten Patientenkontakt und speichert sie revisionssicher.

Wichtig: Eine generelle Einwilligung im Rahmen des Behandlungsvertrags ist nicht ausreichend für Marketing-Kommunikation. Terminbestätigungen und Erinnerungen sind dagegen als Bestandteil des Behandlungsverhältnisses in der Regel abgedeckt.

Technische Anforderungen für DSGVO-Konformität

Für die Kommunikation sensibler Gesundheitsdaten gelten erhöhte technische Anforderungen:

• Server-Standort: Ausschließlich EU/EWR
• Verschlüsselung: Transport- und Ruheverschlüsselung
• Auftragsverarbeitungsvertrag: Mit jedem Dienstleister
• Löschkonzept: Automatische Löschroutinen nach definierten Fristen
• Protokollierung: Nachvollziehbarkeit aller Datenverarbeitungen

AIxion erfüllt alle diese Anforderungen und stellt den AVV als Standarddokument bereit.

Mehr zum datenschutzkonformen Praxisbetrieb: aixion.eu.