Was passiert mit meinen Gesundheitsdaten bei einer Online-Behandlung?

Die Datenschutz-Grundverordnung führt Gesundheitsdaten als besondere Kategorie personenbezogener Daten. Artikel 4 Nummer 15 DSGVO fasst darunter alle Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Artikel 9 Absatz 1 DSGVO verbietet die Verarbeitung solcher Daten zunächst. Erlaubt ist sie nur in eng umrissenen Ausnahmefällen. Für eine ärztliche Behandlung greift Artikel 9 Absatz 2 Buchstabe h DSGVO, der die medizinische Diagnostik und die Versorgung ausdrücklich nennt. Absatz 3 knüpft diese Ausnahme daran, dass die Daten von Personen verarbeitet werden, die einer Schweigepflicht unterliegen.

Es geht um mehr als die Antworten im Fragebogen

Zu den Gesundheitsdaten gehören nicht allein die Angaben, die Sie bewusst zu Ihren Beschwerden machen. Auch Umstände, aus denen sich ein Gesundheitszustand ableiten lässt, fallen darunter. In einer Online-Behandlung sind das in der Regel:

• alle Antworten im medizinischen Fragebogen, einschließlich Größe, Gewicht, Vorerkrankungen und Dauermedikation,
• hochgeladene Befunde, Laborwerte oder Fotos,
• der Inhalt einer Videosprechstunde und die ärztliche Dokumentation dazu,
• das verordnete Präparat, seine Stärke und die Dosierungsanweisung,
• bereits der Umstand, dass Sie eine Behandlung zu einem bestimmten Beschwerdebild angefragt haben.

Neben der DSGVO gilt die ärztliche Schweigepflicht. § 203 Absatz 1 StGB stellt es unter Strafe, wenn Ärztinnen und Ärzte oder ihre berufsmäßig tätigen Gehilfen ein ihnen anvertrautes Geheimnis unbefugt offenbaren. Die Berufsordnung verpflichtet Ärztinnen und Ärzte in § 9 zusätzlich zur Verschwiegenheit, auch gegenüber Familienangehörigen der Patientin oder des Patienten. Beides gilt unabhängig davon, ob die Behandlung in einer Praxis oder über eine Plattform stattfindet. Wie ein solcher Ablauf im Einzelnen aussieht, beschreibt unser Beitrag zu Ablauf und Sicherheit einer Online-Behandlung.

An einer Online-Behandlung sind mehrere Stellen beteiligt. Jede von ihnen bekommt nur das, was sie für ihre eigene Aufgabe braucht. Dieser Grundsatz steht in Artikel 5 Absatz 1 Buchstabe c DSGVO und heißt Datenminimierung. In der Praxis sieht die Aufteilung so aus:

Der letzte Punkt überrascht viele. Eine Verordnung, die Sie selbst bezahlen, wird nicht über Ihre gesetzliche Krankenkasse abgerechnet. Damit erfährt die Kasse weder das Präparat noch den Anlass. Privat Versicherte entscheiden selbst, ob sie eine Rechnung zur Erstattung einreichen. Wer das tut, gibt die darin genannten Angaben an sein Versicherungsunternehmen weiter.

Innerhalb des Betriebs greift zusätzlich eine Zugriffsbeschränkung. Medizinische Angaben gehören zu den Ärztinnen und Ärzten, die den Fall bearbeiten, und nicht zum Kundenservice. Was eine telemedizinische Versorgung leisten kann und wo ihre Grenzen liegen, ordnet unser Überblick zum Arztkontakt über das Internet ein.

Der häufigste Irrtum lautet, ein Antrag auf Löschung müsse alle Spuren einer Behandlung beseitigen. Das Gegenteil ist der Fall. Ärztliche Dokumentation ist gesetzlich vorgeschrieben, und die Aufbewahrung ist es ebenso. § 630f Absatz 3 BGB bestimmt: „Der Behandelnde hat die Patientenakte für die Dauer von zehn Jahren nach Abschluss der Behandlung aufzubewahren, soweit nicht nach anderen Vorschriften andere Aufbewahrungsfristen bestehen.“ Die Berufsordnung nennt in § 10 Absatz 3 dieselbe Frist.

Artikel 17 Absatz 3 Buchstabe b DSGVO nimmt Daten vom Löschanspruch aus, deren Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Genau darunter fallen die beiden ersten Zeilen der Tabelle. Solange die Frist läuft, wird die Dokumentation aufbewahrt und ihre Nutzung stattdessen eingeschränkt. Ihr Konto können Sie unabhängig davon schließen lassen. Welche Empfänger, Rechtsgrundlagen und Fristen im Einzelnen gelten, steht in unserer Datenschutzerklärung.

Eine zweite Grenze betrifft die Richtigkeit. Ein Eintrag in der Behandlungsakte darf nach § 630f Absatz 1 BGB nur so geändert werden, dass der ursprüngliche Inhalt und der Zeitpunkt der Änderung erkennbar bleiben. Eine Korrektur überschreibt die Dokumentation also nicht, sie ergänzt sie.

Die DSGVO gibt Ihnen mehrere Rechte, die Sie gegenüber jeder verantwortlichen Stelle geltend machen können. Ein formloser Text an die im Impressum oder in der Datenschutzerklärung genannte Adresse genügt.

• Auskunft nach Artikel 15 DSGVO: welche Daten gespeichert sind, woher sie stammen, an wen sie weitergegeben wurden und wie lange sie gespeichert bleiben.
• Berichtigung nach Artikel 16 DSGVO, wenn eine Angabe falsch oder unvollständig ist.
• Löschung nach Artikel 17 DSGVO, soweit keine Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung nach Artikel 18 DSGVO als Zwischenschritt, solange eine Richtigkeit strittig ist.
• Datenübertragbarkeit nach Artikel 20 DSGVO, um Ihre Daten in einem gängigen Format zu erhalten.
• Widerspruch nach Artikel 21 DSGVO gegen bestimmte Verarbeitungen.
• Beschwerde nach Artikel 77 DSGVO bei der Datenschutzaufsichtsbehörde Ihres Bundeslandes.

Daneben steht das Einsichtsrecht aus § 630g Absatz 1 BGB. Danach ist Ihnen auf Verlangen unverzüglich Einsicht in die vollständige Behandlungsakte zu gewähren, und die erste Abschrift wird unentgeltlich zur Verfügung gestellt. Verweigert werden darf die Einsicht nur, soweit erhebliche therapeutische Gründe oder erhebliche Rechte Dritter entgegenstehen, und diese Ablehnung ist zu begründen.

Die elektronische Patientenakte

Die elektronische Patientenakte ist ein getrennter Speicherort. Nach § 342 SGB V stellen die Krankenkassen sie ihren Versicherten bereit, seit Januar 2025 ohne vorherigen Antrag, wenn nicht innerhalb einer Frist von sechs Wochen widersprochen wurde. Der Widerspruch bleibt jederzeit möglich, ebenso der Widerspruch gegen die Übermittlung einzelner Daten. Versicherte können Zugriffsberechtigungen erteilen und deren Dauer selbst festlegen.

Wichtig für die Einordnung: Inhalte einstellen können nur Leistungserbringer, die an die Telematikinfrastruktur angebunden sind. Eine privatärztliche Verordnung über eine Plattform landet nicht automatisch dort. Was in Ihrer Akte steht und wer darauf zugreifen durfte, sehen Sie in der App Ihrer Krankenkasse.

Datenschutz lässt sich von außen schlecht messen. Ein paar Punkte lassen sich vor der ersten Eingabe trotzdem prüfen.

1. Ein vollständiges Impressum mit ladungsfähiger Anschrift und benannten Verantwortlichen.
2. Eine Datenschutzerklärung, die konkrete Empfänger, Rechtsgrundlagen und Speicherfristen nennt, statt allgemeiner Formeln.
3. Eine ausdrückliche Nennung der Rechtsgrundlage für Gesundheitsdaten, also Artikel 9 Absatz 2 Buchstabe h DSGVO.
4. Eine verschlüsselte Übertragung über TLS und die Angabe, in welchem Land die Daten gespeichert werden.
5. Ein benannter Datenschutzbeauftragter mit einer erreichbaren Kontaktmöglichkeit.
6. Tracking und Analyse nur nach Ihrer Einwilligung, mit einer Ablehnung, die genauso leicht zu treffen ist wie die Zustimmung.
7. Eine klare Trennung zwischen Zahlungsabwicklung und medizinischen Angaben.

Ein Warnzeichen ist der umgekehrte Fall. Wenn eine Seite medizinische Angaben abfragt, bevor überhaupt erkennbar ist, wer verantwortlich ist und wer die Antworten liest, fehlt die Grundlage für eine informierte Entscheidung. Auch Werbeeinwilligungen, die mit der Behandlungsanfrage in einem Kästchen zusammengefasst sind, gehören dorthin. Welche Maßstäbe wir an ärztliche Prüfung, Dokumentation und Datensicherheit anlegen, haben wir auf der Seite zur Qualität und Sicherheit zusammengestellt.