E-Mail-Archivierung im Gesundheitswesen

Kaum ein Bereich ist so dicht reguliert wie das Gesundheitswesen, und kaum ein Kommunikationskanal wird dort so selbstverständlich genutzt wie die E-Mail. Arztbriefe, Befundbesprechungen, Uberweisungsschreiben, Rezeptanfragen: Ein erheblicher Teil der medizinischen Alltagskommunikation läuft heute per E-Mail. Gleichzeitig gehören die dabei übermittelten Informationen zu den sensibelsten personenbezogenen Daten überhaupt.

Für Kliniken, Arztpraxen, Medizinische Versorgungszentren (MVZ) und weitere Gesundheitseinrichtungen ergibt sich daraus eine mehrschichtige Pflichtenlage: Neben den allgemeinen handels- und steuerrechtlichen Aufbewahrungsfristen greifen berufsrechtliche Dokumentationspflichten, datenschutzrechtliche Sondervorschriften für Gesundheitsdaten und seit 2024 auch die Anforderungen der NIS2-Richtlinie. Dieser Artikel gibt Ihnen einen strukturierten Überblick, welche Anforderungen konkret gelten und was eine regelkonforme E-Mail-Archivierung in Ihrer Einrichtung leisten muss.

Gesundheitsdaten als besondere Kategorie nach Art. 9 DSGVO

Der datenschutzrechtliche Ausgangspunkt ist Art. 9 Abs. 1 DSGVO. Darin werden Gesundheitsdaten ausdrücklich als besondere Kategorie personenbezogener Daten eingestuft, gleichrangig mit genetischen Daten, biometrischen Daten, Daten zur ethnischen Herkunft, zur Religion oder zur sexuellen Orientierung. Die Verarbeitung solcher Daten ist grundsätzlich verboten, es sei denn, einer der eng gefassten Erlaubnistatbestände des Art. 9 Abs. 2 DSGVO greift.

Im Gesundheitskontext ist vor allem Art. 9 Abs. 2 lit. h DSGVO relevant: Die Verarbeitung ist zulässig, wenn sie für Zwecke der Gesundheitsversorgung, der Beurteilung der Arbeitsfähigkeit, der medizinischen Diagnose oder der Verwaltung von Systemen und Diensten im Gesundheitsbereich erforderlich ist und durch Fachpersonal unter Berufsgeheimnis erfolgt.

Was bedeutet das für die E-Mail-Archivierung? Eine E-Mail, die den Namen eines Patienten, seinen Befund, seine Diagnose oder seine Medikation enthält, ist ein Datum der besonderen Kategorie. Schon das Speichern dieser E-Mail im Archiv ist eine Verarbeitung im Sinne der DSGVO und muss durch eine Rechtsgrundlage gedeckt sein. Die Aufbewahrung zu Dokumentationszwecken (§630f BGB, Landesarztgesetze) erfüllt dieses Erfordernis in der Regel, allerdings nur soweit die Archivierung auf das notwendige Minimum beschränkt bleibt und technisch-organisatorische Schutzmasnahmen nach Art. 32 DSGVO getroffen wurden.

Für den Datenschutzbeauftragten (DSB) einer Einrichtung ist die E-Mail-Archivierung damit kein rein technisches Thema, sondern Teil des Verarbeitungsverzeichnisses nach Art. 30 DSGVO. Die Rechtsgrundlage, die Zweckbindung, die Zugriffsberechtigungen und die Schutzmechanismen müssen dokumentiert sein.

E-Mail-Kommunikation im Gesundheitsalltag

Bevor die rechtlichen Anforderungen im Einzelnen dargestellt werden, lohnt ein Blick auf die Realität: Welche E-Mails entstehen im Gesundheitswesen überhaupt, und welche davon sind archivierungspflichtig?

Arztbriefe und Befundberichte werden in vielen Einrichtungen nach wie vor per E-Mail übermittelt, sowohl zwischen niedergelassenen Ärzten als auch zwischen Klinik und Hausarzt. Solche Schreiben enthalten vollständige Diagnosen, Medikationslisten, Operationsberichte oder Entlassungszusammenfassungen. Sie sind medizinische Dokumentation im Sinne des §630f BGB und müssen 10 Jahre aufbewahrt werden.

Laborwerte und Bildgebungsberichte werden von Laboren und radiologischen Instituten häufig per E-Mail oder über E-Mail-angebundene Portale übermittelt. Diese Berichte sind Bestandteil der Patientenakte und unterliegen denselben Fristen.

Rezeptanfragen und Medikamentenanfragen (insbesondere bei chronisch kranken Patienten, die per E-Mail Folgerezepte anfordern) erzeugen ebenfalls dokumentationspflichtige Korrespondenz. Aus haftungsrechtlicher Sicht ist die Dokumentation solcher Kommunikation wichtig: Im Streitfall muss nachweisbar sein, was der Patient mitgeteilt hat und was verordnet wurde.

Administrative Korrespondenz mit Krankenkassen, dem Medizinischen Dienst (MD), der Kassenärztlichen Vereinigung (KV) oder dem Gesundheitsamt enthält zwar nicht immer Einzelpatientendaten, kann aber geschaftsbrieflichen Charakter haben und unterliegt dann den steuerrechtlichen Aufbewahrungsfristen.

Interne Kommunikation zwischen Abteilungen, die Patientenfalle betrifft (etwa Rückfragen des Pflegepersonals an den dienst habenden Arzt), ist medizinische Dokumentation, auch wenn sie informell per E-Mail erfolgt.

Die Konsequenz: In einer Arztpraxis oder Klinik ist nahezu jede ausgehende und eingehende E-Mail entweder medizinisch dokumentationspflichtig, steuerrechtlich aufbewahrungspflichtig oder beides. Eine selektive Archivierung ist in der Praxis kaum sachgerecht zu betreiben.

Archivierungspflichten: §630f BGB, §147 AO und GoBD

§630f BGB: Behandlungsdokumentation, 10 Jahre

Das Patientenrechtegesetz hat mit §630f BGB eine gesetzliche Grundlage für die Behandlungsdokumentation geschaffen. Nach §630f Abs. 1 BGB ist der Behandelnde verpflichtet, zum Zeitpunkt der Behandlung in unmittelbarem zeitlichem Zusammenhang eine Patientenakte zu führen. Nach §630f Abs. 3 BGB sind die Dokumentation und die dazugehörigen Unterlagen mindestens 10 Jahre nach Abschluss der Behandlung aufzubewahren, soweit nicht nach anderen Vorschriften längere Aufbewahrungszeiten bestehen.

E-Mails, die Behandlungsrelevanz haben (also den Zustand des Patienten, Diagnosen, Therapieentscheidungen oder deren Ergebnisse dokumentieren), sind Bestandteil dieser Patientenakte. Die 10-Jahres-Frist beginnt mit dem Abschluss der Behandlung, nicht mit dem Entstehungsdatum der einzelnen E-Mail.

In der Praxis bedeutet das: Wenn ein Patient über mehrere Jahre in Behandlung ist, beginnt die Frist erst mit der letzten Behandlung zu laufen. Eine E-Mail aus dem Jahr 2015 kann also noch 2035 archivierungspflichtig sein, wenn die Behandlung erst 2025 endete.

Für besondere Einrichtungen gelten längere Fristen: Kliniken, die an der Versorgung von Kassenpatienten teilnehmen, müssen bestimmte Unterlagen nach den Vorgaben der Landesarztgesetze und der Rontgenverordnung (jetzt Teil der Strahlenschutzverordnung) bis zu 30 Jahre aufbewahren. Ähnliches gilt für Einrichtungen, die Blutprodukte oder Arzneimittelstudien dokumentieren.

§147 AO: Steuerrechtliche Aufbewahrung

Gesundheitseinrichtungen sind, soweit sie wirtschaftlich tätig sind (also Rechnungen stellen und Einnahmen erzielen), wie jedes andere Unternehmen an die Aufbewahrungspflichten der Abgabenordnung gebunden.

Nach §147 Abs. 1 AO sind Handels- und Geschäftsbriefe 6 Jahre aufzubewahren, Buchungsbelege 8 Jahre (nach dem BEG IV, auch für ältere Belege, deren Frist Ende 2024 noch lief). Das betrifft die gesamte kaufmännische Korrespondenz: Rechnungen an Kassen und Patienten, Mahnschreiben, Lieferantenkorrespondenz, Vertragsverhandlungen mit medizinischen Gerateherstellern.

Für niedergelassene Ärzte bedeutet das: Die E-Mail, in der ein Medizintechnikhersteller ein Gerät anbietet und die später zum Kaufvertrag führt, ist ein Geschäftsbrief im Sinne des §147 AO, auch wenn sie medizinisch irrelevant ist.

GoBD: Anforderungen an die elektronische Archivierung

Die Grundsätze zur ordnungsmaligen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD, zuletzt geändert 2019) gelten auch für Gesundheitseinrichtungen, die der steuerrechtlichen Aufbewahrungspflicht unterliegen.

Die GoBD verlangen unter anderem:

• Unveränderbarkeit: Archivierte E-Mails dürfen nach der Speicherung nicht mehr geändert oder gelöscht werden können. Jede Änderung muss protokolliert sein.
• Vollständigkeit: Es müssen alle aufbewahrungspflichtigen E-Mails erfasst werden. Eine selektive Archivierung (nur Rechnungs-E-Mails, nur bestimmte Absender) genügt nicht.
• Zeitnahe Erfassung: E-Mails sollen zeitnah nach Eingang oder Versand archiviert werden.
• Maschinelle Auswertbarkeit: Das Archiv muss so beschaffen sein, dass ein Betriebsprüfer des Finanzamts maschinell auf die Daten zugreifen kann (Z1-Zugriff, Z2-Zugriff oder Z3-Datenträgerübergabe).
• Verfahrensdokumentation: Die Einrichtung muss dokumentieren, wie sie E-Mails archiviert, welche Systeme eingesetzt werden und wie die Integrität gewährleistet wird.

NIS2: Gesundheitswesen als wesentliche Einrichtung

Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das die europäische NIS2-Richtlinie in deutsches Recht überführt, wurde das Gesundheitswesen als Sektor wesentlicher Einrichtungen eingestuft.

Das hat konkrete Konsequenzen: Kliniken ab einer bestimmten Größe (in der Regel ab 50 Mitarbeitern oder mehr als 10 Mio. Euro Jahresumsatz) gelten als wesentliche oder wichtige Einrichtungen und müssen ein umfassendes Informationssicherheitsmanagement betreiben. Dazu gehören unter anderem:

• Risikomanagement für IT-Systeme und Kommunikationsinfrastruktur
• Incident-Reporting an das BSI innerhalb vorgeschriebener Fristen
• Sicherheitsmasnahmen für den E-Mail-Verkehr, einschließlich Verschlüsselung und Integritätsschutz
• Nachweis der Sicherheitsmasnahmen gegenüber der Aufsichtsbehörde

Ein E-Mail-Archiv, das nach GoBD ordnungsgemäß konfiguriert ist und Protokolle über Zugriffe und Änderungen führt, leistet einen direkten Beitrag zur NIS2-Compliance. Die Revisionssicherheit des Archivs (der Nachweis, dass archivierte E-Mails nicht manipuliert wurden) ist zugleich ein Sicherheitsnachweis im Sinne von NIS2.

Für niedergelassene Praxen, die unterhalb der NIS2-Schwellenwerte liegen, bleibt NIS2 formal nicht unmittelbar bindend. Die Kassenärztlichen Vereinigungen und die Gesellschaft für Telematik (gematik) empfehlen jedoch, die NIS2-Maßstäbe als Orientierung zu nutzen, zumal die Telematikinfrastruktur (TI) eigene Sicherheitsanforderungen stellt, die E-Mail-Sicherheit einschließen.

Verschlusselungspflicht für E-Mails mit Gesundheitsdaten

Die DSK (Datenschutzkonferenz) hat in ihrer Orientierungshilfe zur E-Mail-Verschlüsselung vom 16. Juni 2021 klargestellt, dass E-Mails mit sensiblen personenbezogenen Daten (Gesundheitsdaten zählen ausdrücklich dazu) nicht ohne angemessene Schutzmasnahmen übermittelt werden dürfen.

Die DSK unterscheidet dabei zwei Ebenen:

Transportverschlüsselung (TLS): Die Übertragung der E-Mail zwischen den Mailservern muss per TLS gesichert sein. Das ist der Mindeststandard und heute technisch weitgehend Standard. TLS schützt die E-Mail auf dem Übertragungsweg, nicht jedoch bei Speicherung auf den Servern oder im Archiv.

Ende-zu-Ende-Verschlüsselung oder inhaltliche Verschlüsselung: Für E-Mails mit Gesundheitsdaten fordert die DSK in der Orientierungshilfe über die Transportverschlüsselung hinaus Masnahmen, die sicherstellen, dass der Inhalt auch bei den beteiligten Dienstleistern (Mailprovider, Archivierungsanbieter) nicht im Klartext vorliegt. In der Praxis sind dies S/MIME oder PGP für Ende-zu-Ende-Verschlüsselung; alternativ kommt verschlüsselte Speicherung im Archiv bei gleichzeitiger Begrenzung der Zugriffsrechte in Frage.

Für die E-Mail-Archivierung ergibt sich daraus: Das Archivierungssystem muss die E-Mails im Ruhezustand (at rest) verschlüsselt speichern. Ein Archiv, das E-Mails im Klartext auf dem Server ablegt, genügt den Anforderungen der DSK-Orientierungshilfe für Gesundheitsdaten nicht, selbst wenn der Server selbst gesichert ist. Der Schlüssel zur Entschlüsselung muss zudem so verwahrt werden, dass nur befugte Personen Zugriff erhalten.

Zugriffslogging: Art. 32 DSGVO verlangt, dass technische und organisatorische Masnahmen dem Risiko angemessen sind. Bei Gesundheitsdaten als höchster Schutzkategorie bedeutet das: Jeder Zugriff auf archivierte E-Mails muss protokolliert werden. Wer hat wann welche E-Mail aufgerufen? Diese Protokolle selbst sind Datenschutzrelevant und müssen sicher aufbewahrt werden.

Rollenbasierte Zugriffssteuerung: Nicht jeder Mitarbeiter darf auf das gesamte E-Mail-Archiv zugreifen. In einer Klinik mit mehreren Abteilungen sollte der Zugriff so konfiguriert sein, dass Buchhalter nur auf kaufmännische E-Mails, klinisches Personal nur auf medizinische Korrespondenz des eigenen Bereichs zugreifen kann. Die technische Durchsetzung dieser Trennung ist eine Anforderung aus Art. 25 DSGVO (Datenschutz durch Technikgestaltung).

Praktische Anforderungen an ein konformes Archivierungssystem

Aus den dargestellten rechtlichen Anforderungen ergeben sich konkrete Anforderungen an ein Archivierungssystem im Gesundheitswesen:

Automatische und vollständige Archivierung: Das System muss alle eingehenden und ausgehenden E-Mails lückenlos erfassen, unabhängig davon, ob die E-Mail auf dem Client gelöscht wird. Die Archivierung muss unabhängig vom Mailclient erfolgen und darf nicht durch den Nutzer umgehbar sein.

Unveränderbarkeit (Tamper-evidence): Archivierte E-Mails dürfen im Nachhinein nicht geändert werden. Das System muss nachweisen können, dass eine archivierte E-Mail mit der ursprünglich empfangenen E-Mail identisch ist, etwa durch kryptografische Hashwerte, die beim Eingang berechnet und dauerhaft gespeichert werden.

Verschlüsselte Speicherung: E-Mail-Inhalte und Anhänge müssen im Archiv verschlüsselt gespeichert werden. Der Verschlüsselungsschlüssel darf nicht beim Anbieter allein liegen. Eine Schlusselverwaltung, die dem Kunden die Kontrolle gibt (Customer Managed Keys), ist empfehlenswert.

Zugriffsprotokollierung: Jede Abfrage, jeder Zugriff auf archivierte E-Mails muss mit Zeitstempel, Nutzer-ID und abgerufener E-Mail protokolliert werden.

Konfigurierbare Aufbewahrungsfristen: Das System muss es ermöglichen, unterschiedliche Aufbewahrungsfristen für verschiedene E-Mail-Kategorien zu hinterlegen: 6 Jahre für allgemeine Geschäftskorrespondenz, 8 Jahre für Buchungsbelege, 10 Jahre für Behandlungsdokumentation, ggf. 30 Jahre für bestimmte medizinische Unterlagen.

Rechtskonformer Speicherort: Gesundheitsdaten unterliegen Art. 9 DSGVO. Eine Übermittlung in Drittländer ohne angemessenes Schutzniveau (außerhalb des EWR) ist grundsätzlich unzulässig. Das Archiv muss in einem Rechenzentrum innerhalb der EU oder des EWR betrieben werden, andernfalls muss ein zulässiger Ubermittlungsmechanismus nach Art. 46 DSGVO dokumentiert sein.

Auftragsverarbeitungsvertrag (AVV): Wenn das Archivierungssystem von einem externen Anbieter betrieben wird, ist ein AVV nach Art. 28 DSGVO zwingend erforderlich. Der Anbieter verarbeitet Gesundheitsdaten im Auftrag der Einrichtung und muss garantieren, dass er diese nur weisungsgemäß verarbeitet und ausreichende Sicherheitsmasnahmen trifft.

Besonderheiten für verschiedene Einrichtungstypen

Einzelpraxis und Gemeinschaftspraxis: Die Anforderungen der DSGVO, des §630f BGB und des §147 AO gelten unabhängig von der Größe der Einrichtung. Auch eine Einzelpraxis mit zwei Mitarbeitern archiviert Gesundheitsdaten und ist an die Datenschutzpflichten gebunden. Die praktische Umsetzung ist hier oft aufwändiger, weil IT-Kompetenz selten in-house vorhanden ist. Cloud-basierte Archivierungslösungen mit AVV und EU-Datenspeicherung können hier eine pragmatische Lösung sein.

MVZ und Kliniken: Grosere Einrichtungen müssen zusätzlich den Betrieb eines Datenschutzbeauftragten sicherstellen (Art. 37 DSGVO, §38 BDSG) und das Verarbeitungsverzeichnis für die E-Mail-Archivierung pflegen. Hier sind rollenbasierte Zugriffssteuerung und Zugriffslogging besonders wichtig, da viele Personen Zugang zum Mailsystem haben.

Labore und Radiologiepraxen: Diese Einrichtungen übermitteln häufig Befunde per E-Mail an niedergelassene Ärzte. Die übermittelten E-Mails sind auf beiden Seiten aufbewahrungspflichtig: beim Labor als Dokumentation der erbrachten Leistung, beim empfangenden Arzt als Bestandteil der Patientenakte.

Krankenhausapotheken und pharmazeutische Einrichtungen: Hier greifen zusätzlich die Aufbewahrungspflichten des Arzneimittelgesetzes (AMG) und der Apothekenbetriebsordnung (ApBetrO), die für bestimmte Unterlagen Fristen von bis zu 30 Jahren vorsehen.

Haftungsrisiken bei fehlender oder mangelhafter Archivierung

Die Konsequenzen einer unzureichenden E-Mail-Archivierung im Gesundheitswesen sind nicht abstrakt. Sie lassen sich in drei Kategorien einteilen:

Haftungsrisiken aus §630f BGB: Wenn eine Einrichtung im Rahmen eines Arzthaftungsprozesses Behandlungsunterlagen nicht vorlegen kann, tritt eine Beweislastumkehr ein: Der Behandelnde muss nachweisen, dass die Behandlung korrekt war. Fehlt die Dokumentation, wird zugunsten des Patienten vermutet, dass ein Behandlungsfehler vorliegt. Eine fehlende oder lückenhafte E-Mail-Archivierung kann im Ernstfall den Ausgang eines Haftungsverfahrens bestimmen.

Datenschutzrechtliche Masnahmen: Die Datenschutzbehörden können bei unzureichender Absicherung von Gesundheitsdaten Geldbußen nach Art. 83 DSGVO verhangen. Für Verstose gegen Art. 9 DSGVO (den Umgang mit besonderen Kategorien personenbezogener Daten) sind Geldbußen bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes möglich. In der Praxis werden gegen kleinere Einrichtungen zwar niedrigere Betrage verhängt, aber auch ein vierstelliger Busgeldbestand belastet eine Einzelpraxis erheblich.

Steuerrechtliche Risiken: Bei einer Betriebsprüfung, die feststellt, dass steuerrechtlich aufbewahrungspflichtige E-Mails nicht oder nicht ordnungsgemäß archiviert wurden, kann das Finanzamt die Buchführung als nicht ordnungsgemäß einstufen und Hinzuschätzungen vornehmen.

Checkliste: E-Mail-Archivierung im Gesundheitswesen

Die folgenden Punkte können als Ausgangsbasis für eine Bestandsaufnahme in Ihrer Einrichtung dienen:

• Werden alle eingehenden und ausgehenden E-Mails automatisch und vollständig archiviert?
• Sind archivierte E-Mails unveränderbar gespeichert und durch kryptografische Hashwerte gesichert?
• Werden E-Mails im Archiv verschlüsselt gespeichert (at-rest encryption)?
• Sind Aufbewahrungsfristen von 10 Jahren für Behandlungsdokumentation konfiguriert?
• Sind steuerrechtliche Fristen (6 bzw. 8 Jahre) separat konfiguriert?
• Werden Zugriffe auf das Archiv vollständig protokolliert?
• Ist der Zugriff auf das Archiv nach Rollen und Bereichen gesteuert?
• Liegt ein AVV mit dem Archivierungsanbieter vor?
• Werden Daten ausschließlich in der EU oder im EWR gespeichert?
• Ist die Archivierung im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert?
• Gibt es eine Verfahrensdokumentation nach GoBD?

Fazit

E-Mail-Archivierung im Gesundheitswesen ist kein optionales IT-Thema. Sie ist eine Pflicht, die sich aus mindestens vier voneinander unabhängigen Rechtsquellen ergibt: dem Datenschutzrecht (Art. 9 DSGVO), dem Behandlungsrecht (§630f BGB), dem Steuerrecht (§147 AO, GoBD) und für grosere Einrichtungen dem IT-Sicherheitsrecht (NIS2UmsuCG).

Das Besondere im Gesundheitswesen ist die Überlagerung dieser Anforderungen: Dieselbe E-Mail kann gleichzeitig medizinische Dokumentation, Buchungsbeleg und Geschäftsbrief sein; jede dieser Qualifikationen bringt eigene Fristen, Schutzpflichten und technische Anforderungen mit sich. Eine pauschale Archivierungslösung ohne Kenntnis dieser Anforderungen schützt nicht; sie kann sogar ein falsches Gefühl der Compliance erzeugen.

Die Lösung liegt in einem System, das Vollständigkeit, Unveränderbarkeit, Verschlüsselung, Zugriffslogging und konfigurierbare Aufbewahrungsfristen vereint und rechtssicher auf EU-Infrastruktur betrieben wird.

E-Mail-Archivierung für Gesundheitseinrichtungen mit EasyMailArchive

EasyMailArchive wurde von Anfang an für datenschutzrechtlich anspruchsvolle Umgebungen konzipiert. E-Mails werden unveränderbar, verschlüsselt und mit kryptografischen Hashwerten gespeichert. Der Speicherort ist ausschließlich EU-basiert. Aufbewahrungsfristen sind frei konfigurierbar. Sie können unterschiedliche Regeln für Behandlungsdokumentation, Buchungsbelege und allgemeine Geschäftskorrespondenz hinterlegen. Alle Zugriffe werden protokolliert.

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird mit jedem Kunden abgeschlossen. EasyMailArchive kann in wenigen Stunden in Betrieb genommen werden, ohne Serverinstallation in Ihrer Praxis oder Klinik.

Testen Sie EasyMailArchive 30 Tage kostenlos und sprechen Sie uns auf Ihre spezifischen Anforderungen im Gesundheitswesen an.