Kurze Antwort: 2026 ist das Fax weder durch die DSGVO verboten noch von Natur aus konform. Die europäische Verordnung spricht nicht von Telefax — sie spricht von der Verarbeitung personenbezogener Daten und verlangt „geeignete technische und organisatorische Maßnahmen" (Artikel 32). Ein Fax wird an drei ganz konkreten Stellen zum DSGVO-Problem: beim Absenden (eine Ziffer zu viel in der Nummer, und das Dokument landet bei einem Unbekannten), während der Übertragung (die analoge Leitung und ein großer Teil der VoIP-Verbindungen sind nicht verschlüsselt) und beim Empfang (ein Empfangsfach im Flur ist eine Offenlegung gegenüber jedem, der vorbeigeht). Alle drei lassen sich beheben, und für keine davon muss man auf das Fax verzichten: eine personenbezogene Empfangsnummer, die Zustellung per E-Mail in ein kontrolliertes Postfach, eine systematische Nummernprüfung und ein aktuelles Verzeichnis genügen, um aus einem Fax eine vor der Aufsichtsbehörde vertretbare Verarbeitung zu machen.
Das Thema ist heikel geworden, weil das Fax genau dort überlebt, wo die sensibelsten Daten zirkulieren: Arztpraxen, Labore, Apotheken, Notariate, Versicherungen, Personalabteilungen, Behörden. Anders gesagt: „Gesundheitsdaten" und „besondere Kategorien personenbezogener Daten" im Sinne von Artikel 9 DSGVO — jene, deren Offenlegung am teuersten wird, sowohl als Sanktion wie auch für den Ruf. Die französische Datenschutzbehörde CNIL hat mehrfach an die Risiken fehlgeleiteter medizinischer Unterlagen erinnert, und das Fax taucht dabei regelmäßig neben der falsch adressierten E-Mail auf.
Was die DSGVO tatsächlich von einer Faxsendung verlangt
Kein Artikel der Verordnung erwähnt das Telefax. Anwendbar sind die allgemeinen Grundsätze, und drei davon treffen das Fax besonders hart.
Datenminimierung (Artikel 5 Abs. 1 lit. c). Sie dürfen nur die für den Zweck erforderlichen Daten übermitteln. In der Praxis heißt das: keine vollständige Akte faxen, wenn eine einzige Seite reicht, und alles schwärzen, was den Empfänger nichts angeht. Ein Bericht an einen Kollegen braucht keine vollständige Sozialversicherungsnummer, wenn Name und Geburtsdatum zur Identifikation genügen.
Sicherheit der Verarbeitung (Artikel 32). Der Text verlangt Maßnahmen, die „dem Risiko angemessen" sind, und nennt Verschlüsselung und Pseudonymisierung ausdrücklich als Optionen, ohne sie vorzuschreiben. Genau hier spielt sich die ganze Debatte ab: Ein analoges Fax ist nicht verschlüsselt, läuft aber über einen dedizierten Kanal, der ohne physischen Zugang zur Leitung schwer abzuhören ist. Ein Fax über einen seriösen Online-Dienst wird per TLS bis zum Anbieter und anschließend per T.38 über ein Netz des Betreibers übertragen. Weder das eine noch das andere ist Ende-zu-Ende-Verschlüsselung — und genau deshalb zählt der Ausweichkanal: Bei hochsensiblen Daten bleibt ein sicherer Kommunikationsdienst im Gesundheitswesen vorzuziehen, wie wir in unserem Vergleich Fax oder sichere Messaging-Lösung dargelegt haben.
Meldung von Verletzungen (Artikel 33 und 34). Ein Fax an die falsche Nummer ist eine Datenschutzverletzung im Sinne der Verordnung, sobald es personenbezogene Daten enthält. Der Reflex „wir rufen den Empfänger an und sprechen nicht mehr darüber" ist genau das, was die Aufsichtsbehörde sanktioniert, wenn sie es bei einer Prüfung entdeckt.
Die fünf Schwachstellen einer Faxsendung
1. Die falsch gewählte Nummer
Das ist mit Abstand die häufigste Ursache für Zwischenfälle. Eine 3 statt einer 8, eine vergessene Ländervorwahl, ein Kontakteintrag, der seit dem Umzug der Praxis nie aktualisiert wurde. Anders als bei einer E-Mail gibt es beim Fax keine Unzustellbarkeitsmeldung: Eine an jemand anderen vergebene Nummer nimmt den Anruf an, druckt das Dokument aus, und Sie erhalten eine beruhigende Bestätigung „Übertragung erfolgreich".
Der Schutz besteht aus drei Gewohnheiten:
- Ein zentrales Adressbuch statt Haftnotizen und Faxgerätespeichern. Die Nummern werden dort einmal von einer benannten Person geprüft und für alle korrigiert.
- Doppelte Eingabe bei gelegentlichen Empfängern: Nummer eintippen, Ziffer für Ziffer laut vorlesen, senden.
- Ein Testversand einer leeren Deckblattseite vor einer umfangreichen Übertragung an einen neuen Korrespondenten. Der Sendebericht bestätigt die Kennung der Gegenstelle (die CSID), oft der Name der Praxis oder des Unternehmens: eine kostenlose Prüfung, die den Großteil der Fehler verhindert.
2. Das zu gesprächige Deckblatt
Ein Deckblatt, auf dem im Klartext steht „HIV-Testergebnisse — Frau Dupont, geb. 14.03.1978", offenbart die sensible Information, bevor überhaupt jemand die Akte geöffnet hat. Es soll den Absender, den namentlich genannten Empfänger, die Seitenzahl und einen Vertraulichkeitshinweis enthalten — nicht den Inhalt zusammenfassen. Die nützlichen Angaben haben wir in unserer Deckblatt-Vorlage im Detail beschrieben.
3. Das frei zugängliche Empfangsfach
Der klassische blinde Fleck. Das Unternehmen verschlüsselt seine Backups, sperrt seine Sitzungen … und lässt ein Faxgerät ununterbrochen in einem offenen Bereich drucken, der mitunter Besuchern und dem Reinigungsdienst zugänglich ist. Auf Thermopapier stapeln sich die Dokumente übers Wochenende, und niemand weiß, wie viele Seiten mitgenommen wurden.
Es gibt zwei Antworten. Die erste besteht im Umstieg auf den Empfang per E-Mail: Nichts wird mehr gedruckt, die Dokumente landen in einem personenbezogenen Postfach oder einem Funktionspostfach mit protokolliertem Zugriff — das ist das Prinzip von Fax-to-E-Mail. Die zweite, wenn der Ausdruck weiterhin nötig ist, verlangt, das Gerät in einen abschließbaren Raum zu stellen und dort einen Aktenvernichter mit Partikelschnitt für fehlerhafte oder veraltete Seiten bereitzustellen, die niemand einfach so in den Papierkorb werfen darf.
4. Der Dienstleister und sein Hosting
Sobald Sie einen Online-Faxdienst nutzen, wird dieser Dienst zum Auftragsverarbeiter im Sinne von Artikel 28 DSGVO. Drei Prüfungen sind vor der Unterschrift unerlässlich:
| Zu prüfender Punkt | Was Sie erhalten müssen |
|---|---|
| Auftragsverarbeitungsvertrag | Eine schriftliche Vereinbarung nach Artikel 28 (AVV/DPA) mit Zwecken, Dauer und Sicherheitsmaßnahmen |
| Speicherort der Daten | Hosting in der EU oder dokumentierte geeignete Garantien für jede Übermittlung außerhalb der EU |
| Aufbewahrungsdauer | Wie lange das PDF auf den Servern bleibt und wie es gelöscht wird |
| Gesundheitsdaten | HDS-Zertifizierung (Hosting von Gesundheitsdaten), wenn Sie Patientenakten verarbeiten |
| Protokollierung | Auswertbare Sende-/Empfangsprotokolle für Prüfungen oder Streitfälle |
Die HDS-Zertifizierung ist kein Marketingdetail: Für eine Arztpraxis, ein Labor oder eine Pflegeeinrichtung ist das Hosting von Gesundheitsdaten durch Dritte gesetzlich geregelt. Ein Anbieter, der diese Frage nicht beantworten kann, verdient es, dass man sich anderswo umsieht.
5. Das ausgemusterte Faxgerät
Professionelle Multifunktionsgeräte enthalten eine Festplatte oder einen Flash-Speicher, der die Bilder gesendeter und empfangener Dokumente aufbewahrt — teils mehrere tausend Seiten. Das Gerät ohne sichere Löschung zu verkaufen oder zu entsorgen heißt, eine Datenbank zu exportieren. Vor jeder Aussonderung muss die Löschfunktion des Herstellers gestartet werden (oft „Data Overwrite" oder „Festplatteninitialisierung" genannt), und bei Geräten mit ausbaubarer Festplatte sollte diese physisch entnommen werden. Diesem Schritt haben wir einen eigenen Artikel gewidmet: Lebensende des Faxgeräts.
Ein Fax an die falsche Nummer: das Vorgehen binnen 72 Stunden
Der Countdown nach Artikel 33 beginnt in dem Moment, in dem Sie von der Verletzung Kenntnis erlangen, nicht in dem Moment, in dem sie geschehen ist. Hier das Vorgehen, der Reihe nach.
Stunde 0 — Einordnen. Notieren Sie die gewählte Nummer, die richtige Nummer, den Zeitstempel des Sendeberichts, die Art der Daten (Identität, Kontaktdaten, Gesundheit, Bankdaten) und die Zahl der betroffenen Personen. Bewahren Sie den Bericht auf: Er ist Ihr Beweisstück.
Stunde 1 — Eindämmen. Rufen Sie die falsche Nummer telefonisch an. In den meisten Fällen meldet sich jemand; bitten Sie um die Vernichtung des Dokuments und notieren Sie Name der Person, Datum und Uhrzeit. Das ist keine juristische Garantie, aber eine Abhilfemaßnahme, die bei der Risikobewertung zählt.
Stunde 2 — Dokumentieren. Jede Verletzung, auch eine nicht gemeldete, muss in das nach Artikel 33 Abs. 5 vorgeschriebene Verzeichnis der Verletzungen eingetragen werden. Eine einfache datierte Tabelle genügt, sofern sie Sachverhalt, Auswirkungen und getroffene Maßnahmen enthält.
Binnen 72 Stunden — Melden, falls erforderlich. Führt die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der Betroffenen, ist sie der Aufsichtsbehörde über den dafür vorgesehenen Online-Dienst zu melden. Bei Gesundheits- oder Bankdaten lautet die Antwort fast immer ja. Ist das Risiko hoch, verlangt Artikel 34 zusätzlich, die betroffenen Personen einzeln und in klarer Sprache zu informieren.
Danach — Die Ursache beheben. Eine Verletzung ohne anschließende Korrekturmaßnahme ist ein erschwerender Umstand. Kontakteintrag korrigieren, doppelte Eingabe aktivieren, Team schulen: drei Zeilen im Verzeichnis, die bei einer Prüfung alles verändern.
Compliance organisieren, ohne den Alltag zu belasten
Das Fax ins Verarbeitungsverzeichnis aufnehmen
Das Verzeichnis nach Artikel 30 beschreibt Verarbeitungen, nicht Werkzeuge — aber wenn das Fax Ihr Hauptkanal für die Übermittlung von Berichten oder Akten ist, muss es in den Rubriken „Empfänger" und „Sicherheitsmaßnahmen" der betreffenden Verarbeitung auftauchen. Eine Zeile: „Übermittlung per Telefax über Dienstleister X, Hosting in der EU, Aufbewahrung 30 Tage." Genau nach dieser Zeile wird ein Prüfer suchen.
Eine einseitige Verfahrensanweisung schreiben
Die DSGVO-Konformität eines Faxes entscheidet sich nicht in einem vierzigseitigen Dokument, sondern in einem Merkblatt neben dem Gerät: Wer darf senden, wie prüft man eine Nummer, was gehört aufs Deckblatt, was tut man bei einem Fehler, wo werden die Berichte archiviert. Ein Ordner mit Hebelmechanik für die Papierberichte und ein datierter Ordner auf dem Server für die PDFs erledigen den Rest. Die Aufbewahrungsfristen richten sich nach der Art des Dokuments, nicht nach dem Kanal — ein Thema, das wir in unserem Archivierungsleitfaden behandelt haben.
Schulen, kurz, aber ernsthaft
Faxvorfälle entstehen fast nie durch einen Angriff: Sie entstehen durch einen Routinehandgriff, der zu schnell ausgeführt wurde. Zwanzig Minuten Sensibilisierung pro Jahr mit zwei oder drei konkreten Fällen senken die Fehlerquote stärker als jede Ausrüstung. Für Organisationen ohne Datenschutzbeauftragten liefert ein aktueller Praxisratgeber zur DSGVO für Kleinst- und mittelständische Unternehmen genug Rahmen, um ein korrektes Verzeichnis zu führen.
Den Arbeitsplatz zur Einsicht absichern
Wenn die Faxe nun per E-Mail ankommen, verlagert sich das Risiko auf den Bildschirm. In einem medizinischen Sekretariat oder an einem öffentlich zugänglichen Schalter verhindert ein Blickschutzfilter für Monitore das Mitlesen von der Seite, und die automatische Bildschirmsperre nach drei Minuten erledigt den Rest. An einem mobilen Arbeitsplatz verhindert ein hardwareverschlüsselter USB-Stick, dass eine für eine Besprechung exportierte Akte unverschlüsselt in einer Jackentasche landet.
Häufige Fragen
Ist das Fax für den Versand von Gesundheitsdaten sicherer als die E-Mail?
Weder sicherer noch unsicherer — einfach anders. Eine gewöhnliche E-Mail durchläuft mehrere Server und hinterlässt überall Kopien; das Fax nimmt einen direkteren Weg, ist aber nicht Ende-zu-Ende verschlüsselt. Für Gesundheitsdaten zwischen Fachpersonen bleibt ein sicherer Kommunikationsdienst im Gesundheitswesen in Frankreich die Referenz. Das Fax behält seinen Nutzen gegenüber Korrespondenten, die daran nicht angeschlossen sind — insbesondere im Ausland.
Braucht man die Einwilligung des Patienten, um seine Akte per Fax zu senden?
Die Einwilligung ist nur eine von sechs Rechtsgrundlagen. Zwischen Gesundheitsfachkräften, die an der Versorgung beteiligt sind, stützt sich die Übermittlung in der Regel auf eine andere Grundlage und auf das geteilte Berufsgeheimnis. Verpflichtend bleibt: die Person über die Empfänger ihrer Daten zu informieren und nur das Nötige zu übermitteln.
Beweist eine Sendebestätigung den ordnungsgemäßen Empfang?
Sie beweist, dass ein entferntes Gerät geantwortet und die Seiten angenommen hat, mit Zeitstempel und oft einer CSID-Kennung. Sie beweist nicht, dass der richtige Empfänger sie gelesen hat. Genau deshalb muss sie zusammen mit dem übermittelten Dokument archiviert werden und nicht getrennt davon.
Wie lange bewahrt ein Online-Faxanbieter meine Dokumente auf?
Das hängt vom Vertrag ab — und ist genau eine Frage, die man vor Vertragsabschluss stellen sollte. Eine kurze, einstellbare Dauer mit tatsächlicher Löschung nach Ablauf ist das richtige Signal. Verlangen Sie, dass dieser Punkt im AVV steht.
Ändert ein ins Ausland gesendetes Fax etwas an der DSGVO?
Die Übermittlung von Daten außerhalb der Europäischen Union ist in Kapitel V der Verordnung geregelt. In der Praxis kann ein einmaliger Versand an einen identifizierten Empfänger in einem Drittland unter eine Ausnahme fallen, ein regelmäßiger Datenfluss erfordert jedoch einen dokumentierten Rahmen. Prüfen Sie dabei auch die Liste der kompatiblen Zielländer, bevor Sie einen wiederkehrenden Versand einrichten.
Zum Mitnehmen
- Die DSGVO spricht nicht vom Fax: Sie spricht von Risiko, Datenminimierung und angemessener Sicherheit. Das Fax bleibt nutzbar — unter Bedingungen.
- Die drei Schwachstellen sind die gewählte Nummer, das Empfangsfach und der Dienstleister. Keine davon ist im engeren Sinne technisch: Sie werden organisatorisch gelöst.
- Ein falsch adressiertes Fax ist eine Datenschutzverletzung: einordnen, eindämmen, ins Verzeichnis eintragen, bei bestehendem Risiko binnen 72 Stunden der Aufsichtsbehörde melden.
- Ein Online-Faxdienst muss einen AVV, ein Hosting in der EU und eine einstellbare Aufbewahrungsdauer bieten — und eine HDS-Zertifizierung, sobald es um Gesundheitsdaten geht.
- Ein ausgemustertes Faxgerät ohne Speicherlöschung nimmt Monate an Dokumenten mit: Die sichere Löschung gehört zum Entsorgungsverfahren.
- Der Empfang per E-Mail beseitigt das frei zugängliche Empfangsfach, verlagert das Risiko aber auf den Bildschirm und das gemeinsame Postfach: personenbezogene Zugänge, Bildschirmsperre, Blickschutzfilter.
Für praktische Fragen zum Senden und Empfangen ergänzt unsere Frequently Asked Questions diesen Leitfaden; und wenn Sie einfach eine saubere Übertragung testen möchten, bevor Sie Ihre Abläufe umstellen, beginnt alles auf der Sendeseite.
Schlagwörterfaxsecuritypaperless
