Telemedizin und Datenschutz: DSGVO-konforme Videosprechstunde

Telemedizin Datenschutz bedeutet in Deutschland vor allem eines: Die Videosprechstunde muss über die gesamte Übertragung Ende-zu-Ende verschlüsselt laufen, der Anbieter darf die Inhalte weder einsehen noch speichern, die Verbindung erfolgt ohne zentralen Server, und technische Verbindungsdaten löscht der Anbieter spätestens nach drei Monaten.

Diese Vorgaben stehen nicht in der DSGVO, sondern in der Anlage 31b zum Bundesmantelvertrag-Ärzte. Sie gelten für jede Videosprechstunde, die eine Praxis über die Kassenärztliche Vereinigung abrechnen möchte. Wer sie ignoriert, riskiert nicht nur ein Bußgeld, sondern auch die Abrechnungsfähigkeit der Leistung.

Der Bedarf wächst schneller als die Nutzung. Laut einer Bitkom-Befragung vom Februar 2026 befürworten 92 Prozent der Menschen ab 65 Jahren die Digitalisierung im Gesundheitswesen, aber nur 6 Prozent haben bisher eine Videosprechstunde genutzt. 41 Prozent können sich die Nutzung künftig vorstellen. Zwischen Zustimmung und Praxis liegt eine Lücke, und Datenschutzunsicherheit gehört zu den Gründen dafür.

Inhalt

• Was Telemedizin Datenschutz konkret verlangt
• Die technischen Anforderungen der Anlage 31b im Detail
• Zertifizierung: Der Stichtag 1. Juli 2026
• Auftragsverarbeitung, Schweigepflicht und Serverstandort
• Typische Fehler in der Praxis
• Sprachbarrieren: Der blinde Fleck der Videosprechstunde
• Checkliste: 10 Fragen an jeden Videodienstanbieter
• Wo Meeyra passt und wo nicht
• Häufig gestellte Fragen

Was Telemedizin Datenschutz konkret verlangt

Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen, etwa der Behandlung durch Berufsgeheimnisträger. Jede Videosprechstunde verarbeitet solche Daten, und zwar gleich mehrfach: im Bild- und Tonstrom, in den Verbindungsdaten und in allem, was Praxis oder Anbieter zusätzlich speichern.

Verantwortlich bleibt immer die Praxis. Der Videodienstanbieter arbeitet als Auftragsverarbeiter, nicht als eigenständiger Verantwortlicher. Diese Rollenverteilung entscheidet darüber, wer bei einer Panne haftet, wer Betroffene informiert und wer gegenüber der Aufsichtsbehörde Rede und Antwort steht.

Hinzu kommt die ärztliche Schweigepflicht nach § 203 StGB. Sie erfasst seit der Reform von 2017 ausdrücklich auch mitwirkende Personen, also IT-Dienstleister und Anbieter. Datenschutz und Strafrecht laufen hier parallel, und das Strafrecht kennt keine Bagatellgrenze.

Die technischen Anforderungen der Anlage 31b im Detail

Die Anlage 31b zum BMV-Ä beschreibt Ablauf, Datenschutz und IT-Sicherheit der Videosprechstunde. Die folgende Übersicht fasst die zentralen technischen Pflichten zusammen.

Zwei Punkte werden regelmäßig unterschätzt. Erstens ist Transportverschlüsselung nicht gleich Ende-zu-Ende-Verschlüsselung: Wenn der Anbieter den Strom auf seinem Server entschlüsselt, erfüllt er die Anforderung nicht. Zweitens ist die Löschfrist eine Bringschuld des Anbieters, die Ihre Praxis dokumentieren muss.

Zertifizierung: Der Stichtag 1. Juli 2026

Videodienstanbieter für die vertragsärztliche Versorgung brauchen nach § 365 Absatz 1 SGB V zwei Nachweise: einen für Datenschutz und einen für Informationstechniksicherheit. Der Datenschutznachweis erfolgt über ein Zertifikat nach Artikel 42 DSGVO, ausgestellt von einer nach ISO/IEC 17065 akkreditierten Zertifizierungsstelle.

Bis zum 30. Juni 2026 galt eine Übergangsregelung: Auch Nachweise von Prüfstellen ohne abgeschlossene Akkreditierung wurden akzeptiert. Diese Frist ist abgelaufen. Praxen sollten deshalb jetzt prüfen, ob ihr Anbieter weiterhin auf der Liste der zertifizierten Videodienstanbieter der KBV steht — der Stand vom 24. August 2026 ist die aktuell maßgebliche Fassung.

Der Unterschied ist praktisch relevant. Ein nicht zertifizierter Dienst kann technisch hervorragend sein und trotzdem die Abrechnung der Videosprechstunde unmöglich machen. Der GKV-Spitzenverband und die KBV führen diese Anforderungen gemeinsam.

Auftragsverarbeitung, Schweigepflicht und Serverstandort

Mit jedem Anbieter, der in Ihrem Auftrag Patientendaten verarbeitet, schließen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Er regelt Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragsverhältnisse, Meldewege bei Datenpannen und die Löschung nach Vertragsende.

Der Serverstandort verdient besondere Aufmerksamkeit. Verarbeitung innerhalb der EU oder des EWR vereinfacht die Rechtslage erheblich, weil kein zusätzliches Transfermechanismus-Konstrukt nötig wird. Fragen Sie nicht nur nach dem Standort der Produktivsysteme, sondern auch nach Backups, Protokollservern und Supportzugriffen aus Drittstaaten.

Ergänzend brauchen Sie drei Dokumente, die bei einer Prüfung sofort vorliegen sollten: das Verzeichnis der Verarbeitungstätigkeiten mit dem Eintrag Videosprechstunde, die Patienteninformation nach Artikel 13 DSGVO und — bei hohem Risiko — eine Datenschutz-Folgenabschätzung. Welche Kriterien darüber hinaus für jeden Anbieter gelten, zeigt unser Vergleich DSGVO-konformer Videokonferenz-Anbieter.

Typische Fehler in der Praxis

Die meisten Datenschutzprobleme entstehen nicht in der Technik, sondern in der Routine. Vier Muster tauchen immer wieder auf.

Der falsche Kanal aus Zeitnot. Ein Rückruf über einen privaten Messenger, ein Befund als Foto, eine Terminabsprache über einen Consumer-Dienst — jeder dieser Wege verlässt den geprüften Rahmen. Legen Sie einen verbindlichen Kanal fest und kommunizieren Sie ihn im Team.

Aufzeichnungen ohne Konzept. Wer aufzeichnet, braucht Rechtsgrundlage, Einwilligung, Speicherort und Löschfrist. Ohne diese vier Punkte ist die Aufnahme ein Risiko ohne Nutzen.

Der ungeschützte Raum. Eine Videosprechstunde aus dem Großraumbüro oder mit offener Tür verletzt die Schweigepflicht unabhängig von der Verschlüsselung. Kopfhörer und ein geschlossener Raum gehören zur Grundausstattung.

Fehlende Dokumentation. Aufsichtsbehörden bewerten das, was Sie belegen können. Eine sorgfältige Auswahl ohne schriftliche Spur wirkt im Prüfungsfall wie keine Auswahl. Wie eine strukturierte Sicherheitsbewertung aussieht, zeigt unser Beitrag zur sichersten Videokonferenz-Software.

Sprachbarrieren: Der blinde Fleck der Videosprechstunde

Ein Thema fehlt in fast jeder Datenschutz-Checkliste, obwohl es die Versorgungsqualität direkt trifft: die Verständigung. Die gesetzliche Krankenversicherung übernimmt Dolmetscherkosten für ambulante Arztbesuche grundsätzlich nicht; die Sozialgerichte haben das mehrfach bestätigt, wie das Deutsche Ärzteblatt berichtete.

Die Folge kennt jede Praxis. Angehörige übersetzen — oft Kinder, oft bei intimen Themen, meist ohne medizinisches Vokabular. Aus Datenschutzsicht ist das heikel, weil eine dritte Person Gesundheitsdaten erfährt, ohne dass jemand die Einwilligung sauber dokumentiert. Aus medizinischer Sicht ist es riskant, weil Dosierungen, Allergien und Warnzeichen verloren gehen.

Live-Übersetzung schließt diese Lücke nicht vollständig, aber sie verkleinert sie deutlich. Für Anamnese-Vorgespräche, Terminkoordination, Nachsorge und Rückfragen nach der Entlassung ersetzt sie das Warten auf einen Dolmetschertermin. Für Aufklärung, Diagnosemitteilung und Einwilligungserklärungen bleibt der qualifizierte Dolmetscher der Maßstab — diese Grenze sollte jede Praxis schriftlich festhalten.

Checkliste: 10 Fragen an jeden Videodienstanbieter

Stellen Sie diese Fragen vor Vertragsschluss und archivieren Sie die Antworten.

1. Sind Sie aktuell auf der KBV-Liste der zertifizierten Videodienstanbieter geführt?
2. Wer hat das Zertifikat nach Artikel 42 DSGVO ausgestellt und wann läuft es aus?
3. Ist die Übertragung durchgehend Ende-zu-Ende verschlüsselt oder endet die Verschlüsselung an Ihrem Server?
4. Wo stehen Produktivsysteme, Backups und Protokollserver?
5. Welche Unterauftragsverarbeiter setzen Sie ein und in welchen Ländern?
6. Nach welcher Frist löschen Sie technische Verbindungsdaten?
7. Werden Aufzeichnungen standardmäßig deaktiviert und können wir sie zentral sperren?
8. Innerhalb welcher Frist melden Sie uns eine Datenpanne?
9. Stellen Sie einen AVV nach Artikel 28 DSGVO ohne individuelle Verhandlung bereit?
10. Was passiert mit unseren Daten nach Vertragsende und wie belegen Sie die Löschung?

Antworten ohne Zahlen und Fristen sind keine Antworten. Dieselbe Systematik lässt sich auf andere Berufsgeheimnisträger übertragen, etwa in der Online-Rechtsberatung.

Wo Meeyra passt und wo nicht

Klarheit ist hier wichtiger als Werbung. Meeyra ist kein nach Anlage 31b zertifizierter Videodienstanbieter. Für die vertragsärztliche, über die KV abgerechnete Videosprechstunde brauchen Sie einen Dienst von der KBV-Liste — das ist keine Frage der technischen Qualität, sondern der formalen Zulassung.

Meeyra ist eine browserbasierte Videoplattform mit Ende-zu-Ende verschlüsselter Übertragung, ohne dauerhafte Speicherung der Gesprächsinhalte, mit SOC-2-Type-II-zertifizierten Rechenzentren und DSGVO-orientierter Datenverarbeitung. Details dazu finden Sie auf unserer Sicherheitsseite. Der eigentliche Unterschied liegt in der Sprache: Live-Übersetzung in 42+ Sprachen, direkt im Browser und ohne Installation auf Patientenseite, beschrieben auf der Seite zur Live-Übersetzung.

Damit eignet sich Meeyra für Szenarien außerhalb der abrechnungsfähigen Videosprechstunde: internationale Zweitmeinungen, Privatsprechstunden, Beratungsgespräche vor einer Behandlung, Koordination mit Angehörigen im Ausland, Studien- und Forschungskommunikation. Prüfen Sie jeden Anbieter nach denselben Kriterien — auch uns.

Häufig gestellte Fragen

Ist WhatsApp oder FaceTime für eine Videosprechstunde zulässig?

Nein. Beide Dienste erfüllen die Anforderungen der Anlage 31b nicht und stehen nicht auf der KBV-Liste. Für eine abrechnungsfähige Videosprechstunde scheiden sie damit aus, unabhängig davon, wie verschlüsselt der Dienst wirbt.

Reicht Transportverschlüsselung für Telemedizin aus?

Nein. Die Anlage 31b verlangt eine Ende-zu-Ende-Verschlüsselung über die gesamte Übertragung, bei der die Inhalte für den Anbieter weder einsehbar noch speicherbar sind. Endet die Verschlüsselung am Server des Anbieters, ist die Anforderung nicht erfüllt.

Wie lange dürfen Verbindungsdaten gespeichert werden?

Technische Verbindungsdaten müssen spätestens nach drei Monaten gelöscht werden und dürfen ausschließlich der Abwicklung der Videosprechstunde dienen. Eine Nutzung für Statistik oder Produktverbesserung ist damit ausgeschlossen.

Brauche ich für die Videosprechstunde eine Datenschutz-Folgenabschätzung?

Häufig ja. Bei umfangreicher Verarbeitung von Gesundheitsdaten und beim Einsatz neuer Technologien liegt regelmäßig ein hohes Risiko vor. Die Aufsichtsbehörden veröffentlichen Positivlisten, an denen Sie Ihre Einschätzung ausrichten können.

Was ändert sich seit dem 1. Juli 2026?

Die Übergangsregelung für Prüfstellen ohne Akkreditierung ist am 30. Juni 2026 ausgelaufen. Seitdem zählt für den Datenschutznachweis nur noch ein Zertifikat einer nach ISO/IEC 17065 akkreditierten Stelle.

Darf ich eine Videosprechstunde aufzeichnen?

Nur mit ausdrücklicher Einwilligung, dokumentierter Rechtsgrundlage, definiertem Speicherort und fester Löschfrist. Ohne diese vier Elemente schaffen Sie ein Haftungsrisiko ohne medizinischen Mehrwert.

Wer haftet, wenn beim Anbieter Daten abfließen?

Verantwortlich im Sinne der DSGVO bleibt die Praxis. Der Auftragsverarbeitungsvertrag regelt Regressansprüche und Meldepflichten im Innenverhältnis, verschiebt die Verantwortung gegenüber Patienten und Aufsichtsbehörde aber nicht.

Datenschutz in der Telemedizin scheitert selten an der Technik und fast immer an fehlenden Nachweisen. Prüfen Sie den Zertifizierungsstatus Ihres Anbieters nach dem Stichtag im Juli 2026, holen Sie den AVV mit Löschkonzept ein, definieren Sie einen verbindlichen Kommunikationskanal und halten Sie schriftlich fest, wo Live-Übersetzung endet und der qualifizierte Dolmetscher beginnt.

Wenn die Sprachbarriere Ihr eigentliches Problem ist, testen Sie Meeyra direkt im Browser: kostenloses Konto erstellen und in zwei Minuten das erste mehrsprachige Gespräch führen, oder die Tarife auf der Preisseite vergleichen.