Fachlich geprüft vom medizinischen Team von Doctorcura am 11. Oktober 2026, Stand: 10. Oktober 2026 · So entstehen unsere Inhalte
Bei einer Online-Behandlung geben Sie Angaben preis, die zu den sensibelsten überhaupt gehören: Vorerkrankungen, Medikamente, Beschwerden, manchmal Fotos. Das europäische Datenschutzrecht stuft solche Gesundheitsdaten als besondere Kategorie ein und schützt sie strenger als andere personenbezogene Daten. Dieser Beitrag erklärt, welche Daten eine Fernbehandlung braucht, wer sie sehen darf, wie lange sie gespeichert werden und welche Rechte Sie gegenüber Anbietern haben.
Das Wichtigste in Kürze
- Gesundheitsdaten sind nach Artikel 9 der Datenschutz-Grundverordnung (DSGVO) besonders geschützt. Ihre Verarbeitung ist nur unter engen Voraussetzungen erlaubt, etwa für die Behandlung durch Fachpersonal, das der Schweigepflicht unterliegt, oder mit Ihrer ausdrücklichen Einwilligung.
- Ärztinnen, Ärzte und Apothekenpersonal unterliegen zusätzlich der strafbewehrten Schweigepflicht nach § 203 Strafgesetzbuch.
- Sie haben ein Recht auf Auskunft, Berichtigung, Löschung im Rahmen der Aufbewahrungspflichten, Datenübertragbarkeit und Beschwerde bei einer Aufsichtsbehörde.
- Ein seriöser Anbieter erklärt in seiner Datenschutzerklärung, welche Daten wozu verarbeitet werden, wer sie erhält und wie lange sie gespeichert bleiben.
Welche Daten eine Online-Behandlung braucht
Eine ärztliche Beurteilung aus der Ferne ist nur so gut wie die Angaben, auf denen sie beruht. Deshalb fragt ein medizinischer Fragebogen nach Beschwerden, Vorerkrankungen, aktuellen Medikamenten, Allergien, bei Frauen nach Schwangerschaft und Stillzeit sowie nach Gewicht, Größe und Alter. Für die Ausstellung eines Rezepts kommen Name, Geburtsdatum und Anschrift hinzu, für den Versand die Lieferadresse und für die Zahlung die Zahlungsdaten. Diese Angaben sind nach dem Grundsatz der Datenminimierung auf das zu beschränken, was für den jeweiligen Zweck erforderlich ist.
Wichtig ist die Trennung der Empfänger. Medizinische Angaben gehören zur Ärztin oder zum Arzt und zur Apotheke, die das Arzneimittel abgibt. Ein Versanddienstleister benötigt nur Name und Lieferadresse, ein Zahlungsdienstleister nur die Zahlungsdaten. Ein Hosting-Anbieter, der Server bereitstellt, ist Auftragsverarbeiter nach Artikel 28 DSGVO und darf die Daten nicht für eigene Zwecke nutzen.
Die rechtlichen Grundlagen
Artikel 9 DSGVO: besondere Kategorien
Nach Artikel 9 Absatz 1 DSGVO ist die Verarbeitung von Gesundheitsdaten grundsätzlich untersagt. Absatz 2 nennt die Ausnahmen. Für eine medizinische Behandlung ist vor allem Buchstabe h relevant: Die Verarbeitung ist erlaubt, wenn sie für die Gesundheitsversorgung oder die Behandlung erforderlich ist und durch Fachpersonal erfolgt, das dem Berufsgeheimnis unterliegt. Daneben kann die Verarbeitung auf Ihre ausdrückliche Einwilligung gestützt werden (Buchstabe a). In Deutschland ergänzt § 22 Bundesdatenschutzgesetz diese Vorschrift und verlangt besondere Schutzmaßnahmen, etwa Zugriffsbeschränkungen, Verschlüsselung und Protokollierung.
Schweigepflicht nach § 203 StGB
Unabhängig vom Datenschutzrecht dürfen Ärztinnen, Ärzte, Apothekerinnen, Apotheker und ihre Mitarbeitenden Geheimnisse, die ihnen in ihrer beruflichen Eigenschaft anvertraut wurden, nicht unbefugt offenbaren. Ein Verstoß ist strafbar. Die Schweigepflicht gilt auch gegenüber Angehörigen und gegenüber dem Anbieter einer Plattform, soweit dieser nicht an der Behandlung mitwirkt.
Informationspflichten
Nach Artikel 13 DSGVO muss der Anbieter Sie zum Zeitpunkt der Erhebung informieren: über den Verantwortlichen und seinen Datenschutzbeauftragten, über die Zwecke und Rechtsgrundlagen der Verarbeitung, über Empfänger oder Kategorien von Empfängern, über eine Übermittlung in Drittländer, über die Speicherdauer und über Ihre Rechte. Diese Angaben stehen in der Datenschutzerklärung. Lesen Sie dort vor allem die Abschnitte zu Gesundheitsdaten, zu Empfängern und zur Speicherdauer.
Wie lange Daten gespeichert werden
Das Recht auf Löschung nach Artikel 17 DSGVO wird durch gesetzliche Aufbewahrungspflichten begrenzt. Ärztliche Behandlungsunterlagen sind nach § 630f BGB in der Regel zehn Jahre aufzubewahren, Apotheken müssen Rezepte und Abgabedaten über mehrere Jahre nachweisen können, und für Rechnungen gelten handels- und steuerrechtliche Fristen. Ein Anbieter darf Ihre medizinischen Angaben deshalb nicht sofort löschen, wenn Sie das verlangen; er muss aber die Verarbeitung auf die Aufbewahrung beschränken und die Daten nach Ablauf der Fristen löschen. Kontodaten, die keiner Aufbewahrungspflicht unterliegen, etwa ein Benutzerkonto ohne Bestellung, sind auf Wunsch zu löschen.
Ihre Rechte gegenüber dem Anbieter
Nach Artikel 15 DSGVO können Sie Auskunft verlangen, welche Daten über Sie verarbeitet werden, und eine Kopie erhalten; die erste Kopie ist kostenlos, die Antwort muss spätestens nach einem Monat vorliegen. Nach Artikel 16 können Sie unrichtige Daten berichtigen lassen. Artikel 20 gibt Ihnen das Recht, Daten, die Sie selbst bereitgestellt haben, in einem gängigen Format zu erhalten, etwa um sie an eine andere Praxis weiterzugeben. Nach Artikel 21 können Sie einer Verarbeitung widersprechen, die auf berechtigte Interessen gestützt wird, zum Beispiel Werbung. Eine erteilte Einwilligung können Sie jederzeit widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
Wenn Sie der Ansicht sind, dass ein Anbieter gegen das Datenschutzrecht verstößt, können Sie sich nach Artikel 77 DSGVO bei einer Aufsichtsbehörde beschweren. Zuständig ist die Behörde Ihres Wohnorts; in Deutschland leitet die Landesdatenschutzbehörde Ihre Beschwerde bei Bedarf weiter. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) informiert über die Zuständigkeiten.
Woran Sie einen sorgfältigen Umgang erkennen
Einige Merkmale lassen sich ohne Fachwissen prüfen. Die Verbindung sollte verschlüsselt sein, erkennbar am Schloss-Symbol und an https in der Adresszeile. Medizinische Angaben sollten in einem geschützten Kontobereich oder Portal gespeichert und nicht per unverschlüsselter E-Mail ausgetauscht werden. Die Datenschutzerklärung sollte konkret nennen, welche Ärztinnen, Ärzte oder Apotheken Ihre Angaben erhalten, und einen Ansprechpartner für Datenschutzfragen benennen. Ein Cookie-Banner, das Tracking erst nach Ihrer Zustimmung startet, ist in der EU Pflicht. Und: Fragen Sie nach. Ein Anbieter, der Auskunftsanfragen nicht oder nur ausweichend beantwortet, nimmt seine Pflichten nicht ernst.
Häufige Fragen
Darf ein Online-Anbieter meine Gesundheitsdaten an Dritte weitergeben?
Nur, soweit das für die Behandlung erforderlich ist oder Sie ausdrücklich eingewilligt haben. Die Ärztin oder der Arzt und die abgebende Apotheke erhalten die medizinischen Angaben; Versand- und Zahlungsdienstleister erhalten nur die Daten, die sie für ihre Aufgabe brauchen. Eine Weitergabe zu Werbezwecken ist ohne Einwilligung unzulässig.
Werden meine Daten außerhalb der EU gespeichert?
Das muss die Datenschutzerklärung ausweisen. Eine Übermittlung in Drittländer ist nur unter den Voraussetzungen der Artikel 44 ff. DSGVO erlaubt, etwa auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln. Fragen Sie nach, wenn die Angaben unklar sind.
Kann ich verlangen, dass mein Fragebogen gelöscht wird?
Solange keine Behandlung stattgefunden hat, in der Regel ja. Wurde ein Rezept ausgestellt, gehören die Angaben zur Behandlungsdokumentation und unterliegen Aufbewahrungspflichten. Der Anbieter muss die Daten dann nach Ablauf der Fristen löschen und darf sie bis dahin nur zur Aufbewahrung verarbeiten.
Wer ist für den Datenschutz verantwortlich, wenn Plattform, Arzt und Apotheke getrennte Unternehmen sind?
Jede Stelle ist für die Daten verantwortlich, die sie verarbeitet. Die Plattform muss in ihrer Datenschutzerklärung erklären, welche Daten sie an die Ärztin oder den Arzt und an die Apotheke übermittelt. Für die Behandlungsdokumentation ist die Ärztin oder der Arzt verantwortlich, für die Abgabedaten die Apotheke.
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), insbesondere Artikel 9, 13, 15 bis 21, 28 und 77. eur-lex.europa.eu
- § 22 Bundesdatenschutzgesetz: Verarbeitung besonderer Kategorien personenbezogener Daten. gesetze-im-internet.de
- § 203 Strafgesetzbuch: Verletzung von Privatgeheimnissen. gesetze-im-internet.de
- § 630f BGB: Dokumentation der Behandlung. gesetze-im-internet.de
- Der Hessische Beauftragte für Datenschutz und Informationsfreiheit: Auskunftsrecht betroffener Personen gegenüber Arztpraxen. datenschutz.hessen.de
- Die Landesbeauftragte für den Datenschutz Niedersachsen: FAQ Gesundheitsbereich und Datenschutz. lfd.niedersachsen.de
- Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). bfdi.bund.de
Wie Doctorcura Ihre Angaben verarbeitet, welche Partner sie erhalten und wie Sie Ihre Rechte ausüben, steht in unserer Datenschutzerklärung.