Faxversand von Patientendaten bald nicht mehr datenschutzkonform

Liebe Leser,

Es ging wie ein Donnerschlag durch die datenschutzrechtliche Welt, als die Bremer Landesbeauftragte für Datenschutz, Frau Dr. Imke Sommer, im Mai 2021 den Faxversand von personenbezogenen Daten für nicht mehr datenschutzkonform erklärte und die Mitarbeiter der Bremer Landesverwaltung anwies, diese Technik insofern nicht mehr zu verwenden.

Mit zunehmender datenschutzrechtlichen Sensibilisierung war das Fax in Fachkreisen ohnehin in Verruf geraten, ist doch bereits bislang nicht klar, wer am anderen Ende Zugriff auf besonders sensible Daten hat (Problem des unklaren Empfängerkreises). Mit der technischen Weiterentwicklung der Daten- und Kommunikationsnetze und der flächendeckenden Umstellung von ISDN- auf IP-Telefonie trat noch ein weiteres Problem hinzu. Um Faxgeräte auch in modernisierten Netzen funktionsfähig zu halten, werden die Fax-Sendungen in einzelne Datenpakete aufgeteilt, einzeln verschickt und beim Empfänger wieder zusammengesetzt.

Der Kritikpunkt des „unklaren Empfängerkreises“ wird durch diese Technik noch verschärft. Vielfach werden die Datenpakete einer Fax-Sendung auf ein so genanntes Computer-Fax weitergeleitet. Bei dieser Technik werden die Datenpakete als E-Mail übertragen und erscheinen beim Empfängers nur noch digital.

Für unverschlüsselte E-Mails ist schon seit langem anerkannt, dass diese ein ähnliches Datenschutzniveau aufweist, wie eine Postkarte. Damit war aus Sicht der Bremer Datenschutzbeauftragten – jedenfalls bei der Faxnutzung in Bremer Landesbehörden – eine rote Linie überschritten.

Für Ärzte ist diese Nachricht vor allem deshalb bedeutsam, weil auch hier oftmals das Telefax noch das Mittel der Wahl in der Kommunikation mit anderen Gesundheitsberufen und Institutionen darstellt. Hinzu kommt, dass die patientenbezogene Daten als im Vergleich zu allgemeinen personenbezogenen Daten nochmals strenger geschützt sind (§ 9 Abs. 1 DSGVO).

Gerade für diese Datenkategorie erklärt die Bremer Datenschutzbehörde den Faxversandt explizit für unzulässig

(https://www.datenschutz.bremen.de/datenschutztipps/orientierungshilfen_und_handlungshilfen/telefax_ist_nicht_datenschutz_konform-16111).

Ob dies das Aus für das altgediente Telefax in der Arztpraxis darstellt, wird von den Datenschutzbehörden der Länder nicht einheitlich beantwortet. Während dies für die Bremer Behörde aufgrund des klaren Verweises auf Art. 9 Abs. 1 noch recht eindeutig bejaht werden, sehen andere Landesdatenschutzbehörden Ausnahmen vor. So werden Faxgeräte für die Übermittlung von Gesundheitsdaten zwar durch die Bank für hochproblematisch gehalten, bei besonderer Eilbedürftigkeit, soll ein Faxversand jedoch weiter möglich sein, soweit das Problem des „unklaren Empfängerkreises“ durch entsprechende Vorsichtsmaßnahmen, wie eine telefonische Ankündigung beseitigt wird. Nur in der Regelkommunikation sollte das Telefax nicht mehr verwendet werden. Auch Berlin will sich nicht festlegen und hält – für den betroffenen Arzt wenig hilfreich – eine individuelle Prüfung im Einzelfall für erforderlich. Im Regelfall will man den Ärzten der Bundeshauptstadt die Nutzung des Telefax wohl nicht verbieten.

Der wohlgemeinte Ratschlag zur telefonischen Ankündigung verkennt allerdings, dass es für das geschilderte Schutzniveau einer E-Mail bei Versand an ein Computerfax egal ist, ob man den Versand zuvor ankündigt. Auch die Datenschutzverstöße bei einer Übermittlung per E-Mail können nicht durch Ankündigungen geheilt werden.

Als Alternativen werden vor allem analoge Übertragungswege (Post- oder Kurierversandt) oder digitale Verschlüsselungsverfahren empfohlen.

Wie häufig, bleibt für den datenverarbeitenden Arzt damit eine Restunsicherheit. Jedenfalls in der Regelkommunikation dürfte das gute alte Telefax ausgedient haben. Bei Notfällen dürfte – mit Ausnahme für Bremer Ärzte – ein Faxversand immer noch vertretbar sein, soweit Arzt oder MfA den Versandt zuvor angekündigt haben.

Über e-mail oder Anrufe würde ich mich freuen.

Ihr