Kurze Antwort: Das Fax ist durch die DSGVO nicht verboten, aber es ist auch nicht von Natur aus sicher. Ein Telefax reist im Klartext, ohne Authentifizierung des Empfängers, und materialisiert sich meist auf einem Papierfach, zu dem eine ganze Abteilung Zugang hat. Konform bleiben heißt daher dreierlei: die übermittelten Daten auf das strikt Notwendige reduzieren, den Sendevorgang absichern (doppelte Prüfung der Nummer, Deckblatt, Sendebericht) und jeden Fehlversand als Datenschutzverletzung behandeln, die zu dokumentieren – gegebenenfalls binnen 72 Stunden der Aufsichtsbehörde zu melden – ist.
Über MondialFax. Dieser Leitfaden behandelt die Vertraulichkeit von Telefaxen im Allgemeinen, nicht die Garantien eines bestimmten Dienstes. MondialFax versendet Faxe, kostenlos und ohne Anmeldung, in sieben Zielländer (Frankreich, Belgien, Deutschland, Spanien, Italien, Portugal, Kanada). Es vergibt keine Faxnummer und bietet keinen Empfang an: Die weiter unten beschriebenen Empfangsszenarien setzen einen Drittanbieter voraus. Siehe Fax empfangen und unseren Leitfaden Fax-to-E-Mail.
Das Fax schleppt einen schmeichelhaften und weitgehend unverdienten Ruf mit sich: den des „sicheren" Kanals. In Arztpraxen, Notariaten und Personalabteilungen hört man es noch regelmäßig – „wir schicken das per Fax, das ist vertraulicher als eine E-Mail". Dieser Glaube hat einen realen historischen Ursprung: In den 1990er-Jahren erforderte das Abhören einer geschalteten Telefonleitung physischen Zugang zur Kupferdoppelader, während eine E-Mail im Klartext über ein halbes Dutzend Server lief. Dreißig Jahre später hat sich das Verhältnis umgekehrt. E-Mail ist in der überwiegenden Mehrheit der Fälle auf dem Transportweg verschlüsselt; das Fax hat das nie gelernt.
Was die DSGVO über das Fax sagt – und was nicht
Die Datenschutz-Grundverordnung (Verordnung EU 2016/679) nennt keinen Übertragungskanal beim Namen. Sie verbietet das Fax nicht, ebenso wenig wie sie die E-Mail segnet. Was sie vorschreibt, ist eine verhältnismäßige Ergebnispflicht: Artikel 32 verlangt technische und organisatorische Maßnahmen, die „dem Risiko angemessen" sind, und nennt Verschlüsselung und Pseudonymisierung ausdrücklich als zu prüfende Mittel.
Drei Grundsätze gelten unmittelbar für ein Telefax:
- Datenminimierung (Artikel 5 Abs. 1 lit. c). Nur die strikt erforderlichen Daten übermitteln. Ein vollständiger Krankenhausentlassungsbericht, versandt obwohl nur eine Dosierungsangabe erfragt wurde, ist bereits ein Verstoß – unabhängig vom Kanal.
- Integrität und Vertraulichkeit (Artikel 5 Abs. 1 lit. f). Die Organisation muss Schutz vor unbefugter Verarbeitung und vor unbeabsichtigtem Verlust gewährleisten. Ein Fax, das auf einem gemeinsam genutzten Drucker im Großraumbüro ausgegeben wird, erfüllt das nicht.
- Rechenschaftspflicht (Artikel 5 Abs. 2). Sie müssen Ihre Konformität nachweisen können. Daher die Bedeutung des Sendejournals und der Sendeberichte.
Die Aufsichtsbehörden untersagen in ihren Empfehlungen zu Gesundheitsdaten und in ihren Leitfäden zur Sicherheit personenbezogener Daten das Telefax nicht, bestehen aber auf einem Punkt: Das Faxgerät muss in einem Raum mit beschränktem Zugang stehen, und die Dokumente dürfen nie im Ausgabefach liegen bleiben. In der Praxis ist das die am häufigsten verletzte Maßnahme überhaupt.
Das Fax ist nicht verschlüsselt, Punkt
Technisch moduliert ein Fax der Gruppe 3 (ITU-T-Norm T.30) ein Graustufenbild auf ein Audioband von 300 bis 3.400 Hz. Die Norm enthält keinerlei Verschlüsselungsschicht. Die Vertraulichkeit beruht vollständig auf der des Transports: der Leitung. Doch diese Leitung ist 2026 fast nie mehr eine dedizierte Kupferdoppelader.
Mit dem Ende des analogen Telefonnetzes und der flächendeckenden Umstellung auf VoIP wird das Faxsignal digitalisiert, gekapselt (oft in T.38) und über mehrere Transitnetzbetreiber weitergereicht. Jedes Gateway sieht das Bild vorbeiziehen. Der Unterschied zu einer unverschlüsselten E-Mail ist nicht mehr qualitativ: Er ist gleich null. Unser Artikel über die Schwächen von T.38 beschreibt diesen technischen Weg im Detail.
Es existiert zwar eine Norm zur Ende-zu-Ende-Faxverschlüsselung (T.36 mit den Modi HKM/HFX), doch sie setzt voraus, dass beide Geräte sie unterstützen und einen Schlüssel teilen. Außerhalb bestimmter behördlicher Anwendungen nutzt sie praktisch niemand.
Die vier häufigsten Vorfälle
Nach den von den europäischen Datenschutzbehörden veröffentlichten Typologien von Verletzungen steht der „Versand an den falschen Empfänger" Jahr für Jahr unter den häufigsten Meldegründen – dem Volumen nach noch vor so mancher Cyberattacke. Das Fax trägt aus sehr banalen Gründen erheblich dazu bei.
1. Der Zahlendreher
Auf Faxseite existiert kein Prüfmechanismus: Anders als eine E-Mail, deren ungültige Adresse zurückkommt, klingelt eine falsche, aber gültige Nummer irgendwo, und die Seite wird gedruckt. Dokumentierte Fälle, in denen Patientenakten bei einer Privatperson oder einem völlig unbeteiligten Unternehmen landeten, haben sowohl im Vereinigten Königreich als auch in Deutschland zu Sanktionen geführt. Der einzige Schutz ist menschlich: das Vier-Augen-Prinzip beim Nachlesen oder die Verwendung eines Verzeichnisses geprüfter Nummern.
2. Das gemeinsam genutzte Ausgabefach
Ein Fax, das um 18:40 Uhr in einem Flur eingeht, bleibt für die Reinigungskraft, die Praktikantin, den Besucher lesbar. Das ist die banalste und teuerste Schwachstelle. Die Gegenmaßnahme besteht aus drei Punkten: Gerät in einem abschließbaren Raum, Druckfreigabe per Code oder – deutlich wirksamer – Umstellung auf digitalen Empfang als PDF in einem personenbezogenen Postfach.
3. Der weggeworfene Entwurf
Fehlgedruckte Seiten, Kopiensätze, ausgedruckte Sendeberichte: All das landet viel zu oft im normalen Papierkorb. Ein einfacher Aktenvernichter mit Partikelschnitt der Stufe P-4 (Norm DIN 66399) beseitigt dieses Risiko zu lächerlichen Kosten im Vergleich zu einem Bußgeld. Es ist die erste Ausstattung, die neben jedem noch aktiven Faxgerät stehen sollte.
4. Der Gerätespeicher
Nur wenige Nutzer wissen es: Die meisten professionellen Multifunktionsgeräte speichern empfangene und gesendete Faxe auf einer internen Festplatte, mitunter monatelang. Bei der Geräteerneuerung gehen diese Maschinen ins Recycling – oder in den Wiederverkauf – samt ihrer Daten. Datenschutz- und IT-Sicherheitsbehörden empfehlen eine dokumentierte sichere Löschung vor jeder Ausmusterung.
Papierfax, Online-Fax: die Risiken ehrlich vergleichen
| Risiko | Physisches Faxgerät | Online-Fax (Cloud) |
|---|---|---|
| Verschlüsselung auf dem Transportweg | Keine (T.30 im Klartext) | HTTPS/TLS bis zum Anbieter, danach im Klartext |
| Zugriffskontrolle auf das empfangene Dokument | Gering (Papierfach) | Hoch (personenbezogenes Postfach, Passwort) |
| Nachvollziehbarkeit der Sendungen | Lokales Journal, löschbar | Zeitgestempeltes Journal beim Anbieter |
| Risiko einer falschen Nummer | Hoch | Hoch (identisch) |
| Verbleib der Daten | Vergessene interne Festplatte | Server des Anbieters (Dauer vertraglich zu regeln) |
| Neu eingeführtes Risiko | — | Auftragsverarbeitung: Der Anbieter liest den Inhalt |
Die ehrliche Lesart dieser Tabelle lautet: Das Online-Fax verbessert deutlich die „nachgelagerte" Seite (wer das Dokument nach Ankunft sieht, mit welcher Nachvollziehbarkeit), verbessert aber nicht den „Transport" zu einem analogen Faxgerät und fügt einen Zwischenakteur hinzu. Dieser Zwischenakteur ist ein Auftragsverarbeiter im Sinne von Artikel 28 DSGVO: Es braucht einen Vertrag, Kenntnis des Serverstandorts und eine festgelegte Speicherdauer.
Fragen, die man einem Online-Fax-Anbieter stellen sollte
- Wo werden die Daten gehostet? Ein Hosting in der Europäischen Union erspart die Debatte über Drittlandtransfers und das Data Privacy Framework.
- Wie lange werden die übermittelten Dokumente aufbewahrt? Idealerweise: automatische Löschung nach Sendebestätigung.
- Erfüllt der Dienst die besonderen Anforderungen an das Hosting von Gesundheitsdaten, wenn Sie medizinische Daten verarbeiten? In Frankreich ist die HDS-Zertifizierung (Hébergeur de Données de Santé) eine gesetzliche Pflicht, keine Option (Artikel L.1111-8 des Code de la santé publique); in Deutschland gelten entsprechend strenge Vorgaben für Sozial- und Gesundheitsdaten.
- Gibt es ein einsehbares Zugriffsprotokoll und ein Verfahren zur Meldung von Vorfällen?
Risiko senken: die operative Checkliste
Hier das, was wirklich funktioniert, sortiert nach Wirkung im Verhältnis zum Aufwand.
Vor dem Versand
- Prüfen, ob das Fax überhaupt nötig ist. Ein sicheres Portal, ein sicherer Gesundheitsdatendienst (in Frankreich MSSanté, in Deutschland KIM) oder ein verschlüsselter Datenraum sind in neun von zehn Fällen besser.
- Minimieren. Unnötige Identifikationsdaten abdecken. Ein Rolle deckendes Korrekturband oder Abdecketiketten erledigen das sauber vor dem Scannen, ohne dass der Text – wie bei einem schwarzen Marker im Gegenlicht-Scan – durchscheint.
- Grundsätzlich ein Deckblatt mit Vertraulichkeitshinweis und der Aufforderung zur Vernichtung im Fall eines Fehlempfangs. Es hat keine bindende Wirkung, dokumentiert aber Ihre Sorgfalt.
- Doppelte Prüfung der Nummer durch eine zweite Person bei jeder Sendung mit sensiblen Daten.
Während und danach
- Den Sendebericht aufbewahren: Er enthält Uhrzeit, Seitenzahl und die CSID des Empfängers. Er ist Ihr einziger Sendenachweis. Unser Leitfaden zur Archivierung von Faxen erläutert die geltenden Fristen.
- Nichts im Fach liegen lassen. Steht das Gerät in einem gemeinsam genutzten Bereich, sehen Sie mindestens einen abschließbaren Sammelmappen-Ordner für noch abzuholende Dokumente vor.
- Entwürfe sofort vernichten.
- Den Gerätespeicher löschen vor jeder Reparatur, jedem Weiterverkauf und jeder Entsorgung.
Auf Organisationsebene
- Das Fax in das Verzeichnis von Verarbeitungstätigkeiten aufnehmen, mit Zweck und Rechtsgrundlage.
- Die Teams schulen. Ein Exemplar eines behördlichen Praxisleitfadens zur Sicherheit personenbezogener Daten oder ein Praxishandbuch für Datenschutzbeauftragte frei zugänglich im Büro bringt mehr als eine längst vergessene Dienstanweisung.
- Das Verfahren für Datenschutzverletzungen vorbereiten: wer entscheidet, in welcher Frist, mit welcher Meldevorlage.
Ein Fax an die falsche Nummer: Was tun innerhalb einer Stunde?
Das ist das häufigste Szenario – und dasjenige, bei dem Organisationen am meisten improvisieren.
- Einordnen. Sind personenbezogene Daten betroffen? Sind sie sensibel (Gesundheit, Straftaten, Bankdaten)? Wie viele betroffene Personen?
- Eindämmen. Die versehentlich gewählte Nummer anrufen, um Vernichtung bitten, das Ganze schriftlich festhalten. Oft ist das die einzig mögliche Eindämmungsmaßnahme.
- Dokumentieren. Jede Verletzung, auch eine nicht gemeldete, muss im Verzeichnis der Datenschutzverletzungen stehen (Artikel 33 Abs. 5). Das Fehlen dieses Verzeichnisses ist selbst ein Verstoß, der bei Kontrollen regelmäßig festgestellt wird.
- Die Aufsichtsbehörde binnen 72 Stunden benachrichtigen, wenn ein Risiko für die Rechte und Freiheiten besteht. Die Meldung erfolgt online über das Portal der zuständigen Behörde. Eine verspätete Meldung ist besser als gar keine: Sie muss dann begründet werden.
- Die betroffenen Personen informieren, wenn das Risiko hoch ist – typischerweise bei einer offengelegten Patientenakte oder Bankverbindung.
Ein oft übersehener Punkt: Der Versand an einen falschen Empfänger ist eine Verletzung der Vertraulichkeit, der Verlust eines nie angekommenen Faxes dagegen eine Verletzung der Verfügbarkeit. Beides fällt unter denselben Artikel 33.
Häufige Fragen
Ist das Fax 2026 sicherer als die E-Mail?
Nein, im Regelfall nicht. Eine E-Mail zwischen zwei modernen Servern wird per TLS auf dem Transportweg verschlüsselt; ein Fax nie. Die vermeintliche Überlegenheit des Fax beruht auf seiner Papierausgabe – doch genau dort passieren die meisten Datenlecks.
Darf man Gesundheitsdaten per Fax übermitteln?
Es ist nicht verboten, aber nicht empfehlenswert und streng reguliert. Der bevorzugte Rahmen bleibt ein sicherer Gesundheitsdatendienst (MSSanté in Frankreich, KIM in Deutschland). Ist das Fax unvermeidbar, muss das Gerät in einem Bereich mit beschränktem Zugang stehen und die Sendung minimiert werden. Siehe auch unser Dossier über das Fax in Arztpraxen.
Hat ein Vertraulichkeitshinweis auf dem Deckblatt juristischen Wert?
Er verpflichtet den unfreiwilligen Empfänger zu nichts, denn dieser hat keinerlei Erklärung unterzeichnet. Sein Wert ist ein Beweiswert: Er zeigt, dass Sie eine organisatorische Maßnahme ergriffen haben, was bei der Bemessung einer Sanktion ins Gewicht fällt.
Schützt mich ein Online-Fax vor der DSGVO?
Nein: Es verlagert einen Teil des Risikos und schafft ein neues – die Auftragsverarbeitung. Sie bleiben Verantwortlicher. Der Anbieter muss durch einen Vertrag nach Artikel 28 eingebunden sein.
Wie lange muss man einen Sendebericht aufbewahren?
So lange, wie die für den betreffenden Vorgang geltende Verjährungsfrist läuft, im Vertragsrecht oft mehrere Jahre. Aber der Sendebericht enthält selbst personenbezogene Daten: Er darf nicht auf unbestimmte Zeit „für alle Fälle" aufbewahrt werden.
Fazit
- Die DSGVO verbietet das Fax nicht, verlangt aber dem Risiko angemessene Maßnahmen: Minimierung, Zugriffskontrolle, Nachvollziehbarkeit.
- Das Fax ist nicht verschlüsselt: Die Norm T.30 sieht nichts vor, und der Umstieg auf VoIP hat die Zahl der Zwischenstationen vervielfacht, die das Bild passieren sehen.
- Datenlecks entstehen selten durch Abhören: Sie entstehen durch eine falsch gewählte Ziffer, ein gemeinsam genutztes Ausgabefach, einen weggeworfenen Entwurf oder den Speicher eines weiterverkauften Geräts.
- Das Online-Fax verbessert die nachgelagerte Seite (personenbezogenes Postfach, zeitgestempeltes Journal), führt aber einen Auftragsverarbeiter ein, der vertraglich einzubinden ist – samt besonderer Anforderungen an das Hosting von Gesundheitsdaten, sofern solche betroffen sind.
- Ein Fehlversand ist eine Datenschutzverletzung: im Verzeichnis zu dokumentieren und der Aufsichtsbehörde binnen 72 Stunden zu melden, wenn das Risiko es rechtfertigt.
- Die beste Compliance-Maßnahme bleibt die Frage vor jedem Versand, ob es nicht einen geeigneteren Kanal gibt.
Schlagwörterfaxsecuritypaperless