Rechnungen per E-Mail an Patienten: Datenschutz, Optionen und eine ehrliche Einordnung
Wünscht eine Patientin die Arztrechnung per E-Mail – etwa um sie per App bei Krankenversicherung oder Beihilfe einzureichen –, stellt sich die Frage, ob und wie das datenschutzrechtlich geht. Die Datenschutzaufsichtsbehörden schließen E-Mail nicht aus, verlangen aber Schutzmaßnahmen nach dem Risiko – und das kann bei Rechnungen mit Leistungsangaben von Berufsgeheimnisträgern hoch sein. Hier lesen Sie, was die Datenschutzkonferenz verlangt, warum eine Einwilligung nicht genügt und welche Versandwege es gibt.
Warum die Arztrechnung per E-Mail ein Datenschutzthema ist
Eine Privatrechnung nennt, wer an welchem Tag welche Leistung erhalten hat. Damit ist sie mehr als ein Zahlungsbeleg.
Gesundheitsdaten sind nach Art. 4 Nr. 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen – ausdrücklich einschließlich der Erbringung von Gesundheitsdienstleistungen – und aus denen Informationen über ihren Gesundheitszustand hervorgehen. Erwägungsgrund 35 stellt klar, dass dazu auch Informationen gehören, die bei der Anmeldung zu und der Erbringung von Gesundheitsdienstleistungen erhoben werden. Art. 9 Abs. 1 DSGVO stellt solche Daten unter besonderen Schutz: Ihre Verarbeitung ist untersagt, soweit keine der Ausnahmen des Absatzes 2 greift.
Beim E-Mail-Versand geht es meist weniger darum, ob Sie die Rechnungsdaten verarbeiten dürfen, als darum, wie sicher der Weg ist. Art. 32 Abs. 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten – unter Berücksichtigung des Stands der Technik und der Implementierungskosten –, und nennt als Beispiel ausdrücklich die Verschlüsselung.
Hinzu kommt die Schweigepflicht. § 203 StGB bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihr oder ihm unter anderem als Ärztin oder Arzt, Zahnärztin oder Zahnarzt, Tierärztin oder Tierarzt oder als Angehörige eines anderen Heilberufs mit staatlich geregelter Ausbildung anvertraut oder sonst bekannt geworden ist. Ob Sie selbst darunter fallen, hängt von Ihrem Beruf ab; die DSGVO gilt unabhängig davon. Die Datenschutzkonferenz weist darauf hin, dass ein Berufsgeheimnis bei der Einschätzung des Risikos zu berücksichtigen ist – und dass nicht automatisch datenschutzrechtlich zulässig ist, was straf- oder berufsrechtlich nicht verboten ist.
Nach der Orientierungshilfe der Datenschutzkonferenz sind auch die Umstände der Kommunikation geschützt, soweit sich daraus Informationen über Personen ableiten lassen – dazu zählen die Angaben in den Kopfzeilen einer E-Mail wie Absender und Betreff. Trägt der Praxisname eine Fachrichtung oder steht eine Leistung im Betreff, verrät schon der Posteingang etwas.
| Teil | Inhalt im Beispiel | Was Dritte daraus erfahren könnten |
|---|---|---|
| Absender | „Praxis am Park“ | dass Erika Mustermann Post von einer Praxis erhält – bei einer Fachrichtung im Praxisnamen auch, von welcher |
| Betreff | „Ihre Rechnung RE-0143 · Praxis am Park“ | dass eine Rechnung der Praxis vorliegt – ohne Hinweis auf die Behandlung |
| Text der E-Mail | Betrag 21,44 €, zahlbar bis 12.10.2026, Link zum Bezahlen | Betrag und Zahlungsziel |
| Rechnungs-PDF (Anhang oder Download-Link) | 24.09.2026: GOÄ Nr. 1 „Beratung“ 10,72 €, GOÄ Nr. 5 „Symptombezogene Untersuchung“ 10,72 €, Summe 21,44 € | welche Leistungen an welchem Tag erbracht wurden – Gesundheitsdaten |
| Seite hinter dem Zahlungslink | je nach Anbieter; datensparsam: Praxisname, Rechnungsnummer, Betrag, Zahlungsziel | keine Leistungen, sofern die Seite keine anzeigt |
Fiktive Beispieldaten. Beträge nach § 5 GOÄ: 80 Punkte × 5,82873 Cent = 4,66 € Einfachsatz, zum 2,3-fachen Satz 10,72 € je Leistung, zusammen 21,44 €. Bei manchen Fachrichtungen verraten schon Leistungsbezeichnungen oder Praxisname deutlich mehr als in diesem Beispiel.
Was die Datenschutzkonferenz zum E-Mail-Versand sagt
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat ihre Anforderungen in der Orientierungshilfe „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“ beschrieben (vom 27. Mai 2021, Stand 16. Juni 2021). Sie unterscheidet nach dem Risiko.
Die Transportverschlüsselung ist nach der Orientierungshilfe ein Basisschutz und eine Mindestmaßnahme. Wer E-Mails mit personenbezogenen Daten versendet, bei denen ein Bruch der Vertraulichkeit ein Risiko für die Betroffenen darstellt, muss nach Abschnitt 4.2.1 eine obligatorische Transportverschlüsselung sicherstellen: Unterstützt der empfangende Server keine verschlüsselte Verbindung, wird der Verbindungsaufbau abgebrochen, statt die Nachricht unverschlüsselt zu übertragen (Abschnitt 5.1). In Situationen mit normalen Risiken erreicht die Transportverschlüsselung laut Orientierungshilfe bereits eine ausreichende Risikominderung.
Anders bei hohem Risiko: Wer E-Mails versendet, bei denen ein Bruch der Vertraulichkeit des Inhalts ein hohes Risiko für die Betroffenen darstellt, muss nach Abschnitt 4.2.2 „regelmäßig“ eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung vornehmen. Ob auf einzelne Anforderungen verzichtet werden kann, hängt von den Risiken, der konkreten Ausgestaltung des Übertragungswegs und gegebenenfalls kompensierenden Maßnahmen ab. Für Berufsgeheimnisträger ergänzt Abschnitt 4.2.3: Weil ein Berufsgeheimnis ein Indiz für ein hohes Risiko sein kann, ist die Höhe des Risikos besonders zu prüfen. Bestehen hohe Risiken, gelten die Anforderungen aus 4.2.2, bei nur normalen Risiken die aus 4.2.1.
Lassen sich die Anforderungen an eine sichere Übermittlung per E-Mail nicht erfüllen, muss nach Abschnitt 1 der Orientierungshilfe ein anderer Kommunikationskanal gewählt werden. Für die Kommunikation mit Betroffenen nennt sie als Beispiel die Bereitstellung eines Webportals.
| Maßnahme | Was sie schützt | Wann sie gefordert ist |
|---|---|---|
| Obligatorische Transportverschlüsselung (TLS wird erzwungen) | den Weg zwischen den Mailservern gegen Mitlesen; ohne Verschlüsselung kein Versand | immer – Mindestmaßnahme, bei normalem Risiko ausreichend |
| Qualifizierte Transportverschlüsselung | zusätzlich gegen Angreifer, die in den Netzverkehr eingreifen: Der empfangende Server wird verlässlich authentifiziert, etwa über DNSSEC und DANE | bei hohem Risiko regelmäßig |
| Ende-zu-Ende-Verschlüsselung (S/MIME, OpenPGP) | den Inhalt auch bei der Zwischenspeicherung auf den beteiligten Servern | bei hohem Risiko regelmäßig |
| Nur zulässige Empfänger | dass beim Empfänger nur Personen die Nachricht zur Kenntnis nehmen, denen gegenüber das erlaubt ist | immer; bei hohem Risiko insbesondere durch Ende-zu-Ende-Verschlüsselung mit individueller Adressierung |
Zusammenfassung der Abschnitte 2, 4.2 und 5 der Orientierungshilfe (Stand 16.06.2021). Ob normales oder hohes Risiko vorliegt, schätzen Sie als Verantwortliche selbst ein.
Mit Patientinnen und Patienten ist Ende-zu-Ende-Verschlüsselung schwer umzusetzen, denn dafür bräuchten sie ein S/MIME-Zertifikat oder einen OpenPGP-Schlüssel, deren Echtheit die Praxis vor dem Versand prüfen muss. Ein anderer Ansatz ist, den Anhang schon vor dem Versand zu verschlüsseln: Den Schutz von Inhalten, die vorab nach dem Stand der Technik so verschlüsselt wurden, dass nur der Empfänger sie entschlüsseln kann, behandelt die Orientierungshilfe nicht weiter. Absender, Betreff und der Text der E-Mail bleiben dabei unverschlüsselt – für sie gilt weiter die Transportverschlüsselung.
Einwilligung: warum sie die Verschlüsselung nicht ersetzt
Naheliegend wäre, sich den unverschlüsselten Versand einfach genehmigen zu lassen. Die Aufsichtsbehörden sehen das enger.
Mit Beschluss vom 24. November 2021 hat die Datenschutzkonferenz festgehalten: Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO beruhen auf objektiven Rechtspflichten, die nicht zur Disposition der Beteiligten stehen. Ein Verzicht auf diese Maßnahmen oder eine Absenkung des Standards auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a DSGVO ist nicht zulässig.
Der Beschluss lässt eine enge Ausnahme zu: Unter Beachtung des Selbstbestimmungsrechts der betroffenen Person und der Rechte weiterer Betroffener kann es in zu dokumentierenden Einzelfällen möglich sein, dass der Verantwortliche auf ausdrücklichen, eigeninitiativen Wunsch der informierten Person bestimmte Maßnahmen ihr gegenüber in vertretbarem Umfang nicht anwendet. Die Regeln für Übermittlungen in Drittländer (Kapitel V DSGVO) bleiben unberührt. Beschlossen wurde das gegen die Stimme Sachsens.
Was der Beschluss verlangt
- ein ausdrücklicher Wunsch, der von der Person selbst ausgeht
- eine informierte Person – sie kennt die Risiken des gewählten Wegs
- ein dokumentierter Einzelfall, keine Regel für alle
- ein vertretbarer Umfang des Verzichts
- Rücksicht auf weitere Betroffene, deren Daten ebenfalls in der Nachricht stehen – etwa ein behandeltes Kind
Was danach nicht genügt
- eine Einwilligung – auch eine vorformulierte – als Ersatz für die Schutzmaßnahmen
- ein pauschaler Standard für alle Patientinnen und Patienten
- ein Wunsch, der nicht von der Person selbst ausgeht – der Beschluss spricht von „eigeninitiativ“
- ein Verzicht ohne Dokumentation
Auch Kammern äußern sich zurückhaltend. Ein Beitrag im Magazin der Zahnärztekammer Nordrhein zum Versand von Röntgenunterlagen und Rechnungen per E-Mail verweist auf die technischen und organisatorischen Maßnahmen nach dem Stand der Technik und nennt dafür Verschlüsselungsverfahren. Beim Verzicht auf Verschlüsselung auf Wunsch des Patienten mahnt er zur Vorsicht, weil Art. 32 DSGVO einen solchen Verzicht grundsätzlich nicht vorsehe, und empfiehlt, das Passwort idealerweise telefonisch durchzugeben. Für Zahnarztpraxen lohnt deshalb auch ein Blick in die Hinweise der eigenen Kammer.
Ein dokumentierter Wunsch betrifft nur Maßnahmen gegenüber dieser Person – nicht gegenüber weiteren Betroffenen, deren Daten in der Nachricht stehen. Ob Sie davon Gebrauch machen, legen Sie am besten mit Ihrer oder Ihrem Datenschutzbeauftragten fest.
Versandwege im Vergleich: Papier, E-Mail, Portal, Zahlungslink
Welcher Weg passt, hängt von Ihrer Risikoeinschätzung ab und vom Aufwand, den Sie und Ihre Patienten tragen können. Die Übersicht ersetzt keine Prüfung im Einzelfall.
| Weg | Schutz des Inhalts | Aufwand | Worauf achten |
|---|---|---|---|
| Übergabe am Empfang (Ausdruck) | kein Übertragungsweg | gering; die Person muss vor Ort sein | zum Einreichen per App fotografiert oder scannt die Patientin die Rechnung selbst |
| Brief per Post | Inhalt verschlossen im Umschlag | Porto und Laufzeit; bei GOÄ-Rechnungen darf das Porto nicht berechnet werden (§ 10 Abs. 3 GOÄ) | Anschrift aktuell halten, Fensterumschlag richtig bestücken |
| E-Mail mit PDF, nur Transportverschlüsselung | nur auf dem Weg zwischen den Servern, nicht auf den beteiligten Servern | gering | bei hohem Risiko laut DSK regelmäßig nicht ausreichend; Verzicht nur im dokumentierten Einzelfall auf eigenen Wunsch |
| E-Mail mit verschlüsseltem Anhang, Passwort auf anderem Weg | Inhalt des Anhangs; Absender und Betreff bleiben lesbar | mittel: Passwort vereinbaren und getrennt übermitteln, etwa telefonisch | Verfahren nach dem Stand der Technik und starkes Passwort – mit IT und Datenschutzbeauftragten klären |
| Ende-zu-Ende-verschlüsselte E-Mail (S/MIME, OpenPGP) | Inhalt auch auf den beteiligten Servern | hoch: Die Person braucht Zertifikat oder Schlüssel | laut DSK der durchgreifendste Schutz des Inhalts |
| Patientenportal mit Anmeldung | Abruf über eine gesicherte Verbindung | Portal und Zugang nötig | die DSK-Orientierungshilfe nennt ein Webportal als möglichen anderen Kommunikationsweg |
| Nur ein Zahlungslink | je nach Bezahlseite; datensparsam ohne Leistungen | gering | ersetzt die Rechnung nicht – zur Fälligkeit siehe Pflichtangaben der Privatrechnung |
Allgemeine Übersicht auf Grundlage der DSK-Orientierungshilfe E-Mail und der genannten Vorschriften; keine Rechtsberatung.
Zum Zahlungslink: Für die GOÄ bestimmt § 12 Abs. 1, dass die Vergütung fällig wird, wenn dem Zahlungspflichtigen eine der Verordnung entsprechende Rechnung erteilt worden ist. Ein Link zu einer Bezahlseite ist keine solche Rechnung, und für Versicherung oder Beihilfe braucht die Patientin in der Regel ohnehin die Rechnung mit den Leistungen. Als Ergänzung passt ein Zahlungslink, etwa nach der Übergabe am Empfang – mehr dazu im Ratgeber Rechnung per QR-Code bezahlen.
Praktische Schutzmaßnahmen, wenn Sie Rechnungen per E-Mail versenden
Diese Punkte ersetzen keine Verschlüsselung, wo sie nötig ist. Sie verringern aber typische Fehler im Alltag: falsche Adresse, zu viel Inhalt, fehlende Dokumentation.
- Adresse bestätigen lassen: schriftlich oder am Empfang vorgelesen; beim Eintragen noch einmal vergleichen – ein Tippfehler schickt die Rechnung an Fremde.
- Nur an die Person selbst: keine gemeinsamen Familien- oder Arbeitsplatzpostfächer ohne ausdrückliche Absprache.
- Wunsch dokumentieren: wer, wann, welche Adresse, welcher Weg, dass über die Risiken informiert wurde und wie die Person den Wunsch zurücknehmen kann.
- Neutraler Betreff und Absendername: Rechnungsnummer statt Leistung, keine Diagnose, möglichst keine Fachrichtung.
- Nichts Medizinisches in den E-Mail-Text: Die Einzelheiten stehen nur in der Rechnung.
- Einzeln versenden: keine Sammel-E-Mails, keine Kopie an Dritte.
- Transportverschlüsselung erzwingen: mit IT oder E-Mail-Dienst klären, dass nichts unverschlüsselt zugestellt wird.
- Dienstleister prüfen: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und – als Berufsgeheimnisträger – Sorge tragen, dass mitwirkende Dienstleister zur Geheimhaltung verpflichtet sind (§ 203 Abs. 4 StGB).
- Papier immer anbieten: Wer keine E-Mail möchte, bekommt die Rechnung ausgedruckt oder per Brief.
Den Versandweg mit der oder dem Datenschutzbeauftragten festlegen
Ob E-Mail, verschlüsselter Anhang oder Papier: Die Entscheidung gehört zu Ihrer Risikoeinschätzung als Verantwortliche. Ein fester Ablauf verhindert, dass am Empfang jeden Tag neu entschieden wird.
- Risiko einschätzen
Welche Angaben stehen auf Ihren Rechnungen, was verrät der Praxisname, wie sensibel sind die Leistungen Ihrer Fachrichtung? Ein Berufsgeheimnis kann nach der DSK-Orientierungshilfe ein Indiz für ein hohes Risiko sein.
- Standardweg festlegen
Zum Beispiel Papier als Regel und ein verschlüsselter Anhang für alle, die eine digitale Rechnung möchten. E-Mail ohne weitergehende Verschlüsselung nur, wenn Ihre Risikoeinschätzung das trägt, oder im dokumentierten Einzelfall.
- Ausnahmen regeln
Wie wird ein eigener Wunsch aufgenommen, über Risiken informiert, dokumentiert und wieder zurückgenommen?
- Dienstleister prüfen
Auftragsverarbeitungsvertrag, Verpflichtung zur Verschwiegenheit, eingesetzter E-Mail-Dienst – und ob Daten in ein Drittland gelangen können; Kapitel V DSGVO bleibt auch bei einem Verzicht unberührt.
- Team einweisen und festhalten
Empfang und Abrechnung kennen den Ablauf; die Entscheidung steht in Ihrer Datenschutzdokumentation.
Haben Sie keine Datenschutzbeauftragte und keinen Datenschutzbeauftragten, holen Sie sich für diese Entscheidung datenschutzrechtlichen Rat. Wie lange Sie Rechnungen und die Dokumentation aufbewahren, lesen Sie unter Aufbewahrungsfristen für Rechnungen.
So versendet VXPay – transparent
VXPay ist ein Programm für Privatrechnungen, keine Patientenakte. Damit Sie es in Ihre Abwägung einbeziehen können, hier die Fakten zum Versand – ohne Zusage, dass der E-Mail-Versand in Ihrem Fall zulässig ist.
Wie VXPay Rechnungen zustellt
- Per E-Mail direkt aus VXPay: Die E-Mail enthält standardmäßig kein PDF, sondern den Link „Rechnung als PDF herunterladen“ – das PDF lädt die Patientin über einen persönlichen Link (HTTPS, ohne zusätzliches Passwort) bei VXPay herunter, ebenso auf der Bezahlseite, auch nach der Zahlung. Absender ist „‹Praxisname› über VXPay“ mit Logo und Farbe Ihrer Praxis; Antworten gehen an die hinterlegte E-Mail-Adresse Ihrer Praxis.
- Belege, die Sie der Rechnung als Anlage beifügen – etwa die Rechnung des Dentallabors oder einen Auslagenbeleg –, stehen als eigene Links in derselben E-Mail und auf der Bezahlseite; der Text der E-Mail nennt ihre Art. Mahnungen und Zahlungslinks enthalten den Link zur Rechnung, keine Belege. Dateianhänge hat keine dieser E-Mails – es sei denn, Ihre Praxis stellt „Link + PDF-Anhang“ ein: Dann hängen Rechnung, Stornorechnung bzw. Gutschrift und – bis zur Größengrenze – die Belege zusätzlich an, an Mahnungen das Mahnschreiben und die Rechnung; Zahlungslinks verweisen nur auf die Rechnung und bleiben ohne Anhang.
- Der Betreff nennt Rechnungsnummer und Praxisnamen, der Text Rechnungsnummer, Betrag und Zahlungsziel. Nutzen Sie VXPay Payments, kommen der Knopf „Jetzt bezahlen“ mit dem offenen Betrag und ein QR-Code dazu. Die Leistungen stehen nur im PDF.
- Ob eine Rechnung per E-Mail geht, entscheiden Sie beim Erstellen: Der Versand ist ein Häkchen, das vorausgewählt ist, sobald eine Adresse hinterlegt ist – Sie können es abwählen. Beim Import aus dem Praxisprogramm wählen Sie den Weg für alle Rechnungen eines Durchgangs; vorausgewählt ist „Erstellen und versenden“. Drucken geht jederzeit, auch nach dem Versand.
- Einen Hinweis wie „Rechnung nur auf Papier“ legen Sie beim Patienten als rot markierten Patientenhinweis an; er erscheint im Rechnungsassistenten als Warnung.
Was VXPay beim E-Mail-Versand nicht tut
- keine Ende-zu-Ende-Verschlüsselung (S/MIME, OpenPGP) und kein zusätzliches Passwort für den Abruf des PDFs – wer den Link kennt, kann es herunterladen
- keine Zusage einer obligatorischen Transportverschlüsselung bis zum Postfach der Patientin – ob die Zustellung ohne Verschlüsselung abgebrochen wird, hängt vom eingesetzten E-Mail-Dienst und seiner Einstellung ab
- kein frei wählbarer Betreff und keine eigene Absenderdomain Ihrer Praxis – der Praxisname steht in Absender und Betreff
- keine Prüfung, ob eine Patientin den E-Mail-Versand selbst gewünscht hat
Wichtig für Ihren Ablauf: Eine an der Rechnung hinterlegte E-Mail-Adresse nutzt VXPay nicht nur beim Erstellen. Haben Sie das Mahnwesen eingeschaltet, gehen Mahnungen aus Stufen mit dem Versandweg E-Mail – automatisch oder über „Jetzt mahnen“ – mit Zahlungslink und Link zur Rechnung als PDF an diese Adresse, bei „Link + PDF-Anhang“ zusätzlich mit Mahnschreiben und Rechnung als PDF-Anhang – auch dann, wenn Sie die Rechnung selbst gedruckt oder per Post verschickt haben. Wiederkehrende Rechnungen aus Vorlagen können automatisch per E-Mail gehen, und nach einer Onlinezahlung über VXPay Payments folgt eine Zahlungsbestätigung. Soll für einen Patienten nichts per E-Mail gehen, hinterlegen Sie weder in den Patientendaten noch an der Rechnung oder Vorlage eine E-Mail-Adresse. Achten Sie dabei auf das Praxisprogramm: Beim Import einer PADneXt- oder PAD-Datei übernimmt VXPay eine dort gespeicherte E-Mail-Adresse automatisch, ebenso der tomedo-Button (Beta) in die neue Rechnung und in vorhandene Patientendaten ohne Adresse. Prüfen Sie beim Import die Adressen in der Vorschau. Sollen einzelne Rechnungen nicht per E-Mail gehen, wählen Sie nicht „Erstellen und versenden“, sondern legen Sie sie als Entwürfe an und entfernen Sie die Adresse vor dem Erstellen. In einer CSV-Datei lassen Sie die Spalte „email“ leer. Verlangt Ihre Risikoeinschätzung Ende-zu-Ende-Verschlüsselung oder einen verschlüsselten Anhang, ist der E-Mail-Versand aus VXPay dafür nicht der passende Weg – dann Papier oder Brief. Brauchen Sie für Ihre Dokumentation einen Nachweis zur Transportverschlüsselung, fragen Sie ihn vor der Nutzung beim Betreiber von VXPay an.
Datensparsam, wo es geht
VXPay führt keine Patientenakte, und beim Import aus dem Praxisprogramm übernimmt VXPay keine Diagnosen. Leistungsbezeichnungen und Freitexte auf der Rechnung können trotzdem Gesundheitsdaten sein. Steht eine Diagnose auf der Rechnung – etwa weil eine Versicherung sie für die Erstattung verlangt –, steht sie auch im PDF, das die Patientin über den Link in der E-Mail abruft; das gilt auch für das optionale Feld „Diagnose“, das VXPay nie automatisch füllt. Hängen Sie nur Belege an, die zur Rechnung gehören – Befunde oder Laborberichte sind dafür nicht vorgesehen; den Inhalt eines Belegs prüft VXPay nicht.
Nutzen Sie VXPay Payments, führt der Zahlungslink auf eine Bezahlseite mit Praxisname und Logo, Rechnungsnummer, offenem Betrag und Zahlungsziel – ohne Leistungen, ohne Diagnosen, ohne Anlagen und ohne vollständige Anschrift; gegebenenfalls mit der Ärztin oder dem Arzt aus dem Absender und bei einer Mahnung mit der Mahngebühr. Der Link ist ein zufälliges Kennzeichen ohne Rückschluss auf die Person. Die Bezahlseite ersetzt die Rechnung nicht.
Wer die Rechnung am Empfang erhält, kann dort direkt bezahlen: Mit VXPay Payments öffnet „Patient ist vor Ort – direkt bezahlen“ nach dem Erstellen den Kassenmodus mit QR-Code für das eigene Smartphone.
Das E-Mail-Versandprotokoll von VXPay speichert keine Inhalte und nur maskierte Empfängeradressen; die Einträge werden nach 90 Tagen gelöscht.
Ihre Praxis bleibt Verantwortliche für die Daten ihrer Rechnungsempfänger; VXPay verarbeitet sie als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO, den Sie bei der Praxiseinrichtung elektronisch schließen. Den Vertrag können Sie vorab unter „AVV“ in der Fußzeile lesen. Soweit Ihre Praxis Berufsgeheimnisträger ist, verpflichtet sich VXPay darin als mitwirkende Person im Sinne von § 203 StGB zur Verschwiegenheit und verpflichtet auch Beschäftigte und Unterauftragnehmer.
Welcher E-Mail-Versanddienst die Nachrichten von VXPay zustellt, nennt die Datenschutzerklärung (Link „Datenschutz“ in der Fußzeile). Lassen Sie auch diesen Punkt von Ihrer oder Ihrem Datenschutzbeauftragten prüfen, einschließlich der Frage, ob Daten in ein Drittland gelangen können.
Per Post: Auf Wunsch übergibt VXPay Rechnungen an einen Briefdienstleister der Plattform, der druckt, kuvertiert und frankiert – einzeln oder automatisch für jede Rechnung. Das kostet je Brief, ab 1,20 € brutto für einen einseitigen Brief. Mehr dazu unter Briefversand.
Keine Grundgebühr, keine Vertragslaufzeit, keine Kreditkarte bei der Registrierung. Rechnungen erstellen, per E-Mail senden und automatisch mahnen ist kostenlos. Zahlungsgebühren fallen nur bei einer erfolgreichen Zahlung über VXPay Payments (online und per Überweisung auf die persönliche Zahlungs-IBAN) an: die Plattformgebühr von VXPay (1,5 % + 0,29 € zzgl. 19 % USt) und die Transaktionsgebühr der Zahlungsabwicklung; die Plattformgebühr ist nicht erstattungsfähig. Optional und kostenpflichtig: das Zusatzpaket Praxis Pro, Briefversand je Brief, der Einrichtungsservice. Alle Kosten: Preise.
Quellen
- DSK: Orientierungshilfe „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“ (PDF) (öffnet in neuem Tab) – vom 27.05.2021, Stand 16.06.2021
- DSK: Beschluss zur Nichtanwendung technischer und organisatorischer Maßnahmen auf ausdrücklichen Wunsch (PDF) (öffnet in neuem Tab) – vom 24.11.2021
- DSK: Übersicht der Orientierungshilfen (öffnet in neuem Tab) – aktuelle Fassungen
- Datenschutz-Grundverordnung (EUR-Lex) (öffnet in neuem Tab) – Art. 4 Nr. 15, Art. 9, Art. 28, Art. 32, Erwägungsgrund 35
- § 203 StGB – Verletzung von Privatgeheimnissen (öffnet in neuem Tab)
- § 10 GOÄ – Ersatz von Auslagen (öffnet in neuem Tab) – Abs. 3, Versandkosten der Arztrechnung
- § 12 GOÄ – Fälligkeit und Abrechnung der Vergütung; Rechnung (öffnet in neuem Tab)
- Zahnärztekammer Nordrhein: Versenden von Röntgenunterlagen und Rechnungen an Patienten via E-Mail (öffnet in neuem Tab) – Beitrag von Katharina Beckmann und Thomas Hennig, ohne Datumsangabe
Stand der Angaben: 08.10.2026. Diese Seite informiert allgemein und ersetzt keine Rechts- oder Steuerberatung; maßgeblich sind die verlinkten Vorschriften in ihrer jeweils geltenden Fassung.
Fragen und Antworten
Darf ich Rechnungen per E-Mail an Patienten schicken?
Die Datenschutzaufsichtsbehörden schließen E-Mail nicht aus, verlangen aber Schutzmaßnahmen nach dem Risiko – mindestens eine obligatorische Transportverschlüsselung. Bei hohem Risiko verlangt die Orientierungshilfe der Datenschutzkonferenz regelmäßig Ende-zu-Ende-Verschlüsselung und qualifizierte Transportverschlüsselung; ein Berufsgeheimnis kann ein Indiz für ein hohes Risiko sein. Lässt sich das nicht erfüllen, ist ein anderer Weg zu wählen – oder, nur auf ausdrücklichen, eigenen Wunsch der informierten Person, ein dokumentierter Einzelfall.
Reicht eine Einwilligung des Patienten für unverschlüsselte E-Mails?
Nach dem Beschluss der Datenschutzkonferenz vom 24. November 2021 nicht: Die Schutzmaßnahmen nach Art. 32 DSGVO beruhen auf objektiven Rechtspflichten, ein Verzicht oder eine Absenkung auf Grundlage einer Einwilligung ist nicht zulässig. Möglich sein kann nur, im dokumentierten Einzelfall auf ausdrücklichen, eigeninitiativen Wunsch der informierten Person bestimmte Maßnahmen ihr gegenüber in vertretbarem Umfang nicht anzuwenden.
Ist ein passwortgeschütztes PDF ausreichend?
Es kann den Inhalt des Anhangs schützen, wenn die Verschlüsselung dem Stand der Technik entspricht und nur die Empfängerin das Passwort kennt. Das Passwort gehört nicht in dieselbe E-Mail; ein Beitrag im Magazin der Zahnärztekammer Nordrhein empfiehlt, es idealerweise telefonisch durchzugeben. Absender und Betreff bleiben lesbar. Ob Ihr Verfahren genügt, klären Sie mit Ihrer oder Ihrem Datenschutzbeauftragten.
Was darf im Betreff und im Text der E-Mail stehen?
So wenig wie nötig, zum Beispiel „Ihre Rechnung“ mit Rechnungsnummer – keine Leistungen, keine Diagnose, möglichst keine Fachrichtung. Nach der Orientierungshilfe der Datenschutzkonferenz sind auch die Umstände der Kommunikation geschützt, soweit sich daraus etwas über Personen ableiten lässt – etwa aus Absender und Betreff. Die Einzelheiten stehen in der Rechnung selbst.
Genügt es, nur einen Zahlungslink zu schicken?
Als Ersatz für die Rechnung nicht. Nach § 12 Abs. 1 GOÄ wird die Vergütung fällig, wenn dem Zahlungspflichtigen eine der Verordnung entsprechende Rechnung erteilt worden ist, und für Versicherung oder Beihilfe braucht die Patientin in der Regel die Rechnung mit den Leistungen. Ein Zahlungslink ist eine Ergänzung, etwa nach der Übergabe auf Papier.
Verschlüsselt VXPay die Rechnungs-E-Mail?
Nicht Ende-zu-Ende: Die Rechnungs-E-Mail aus VXPay enthält kein PDF, sondern einen persönlichen Link, über den die Patientin das PDF über eine HTTPS-Verbindung bei VXPay herunterlädt – ohne zusätzliches Passwort: Wer den Link kennt, kann das PDF abrufen. Absender, Betreff und Text der E-Mail (Praxisname, Rechnungsnummer, Betrag) sind nicht Ende-zu-Ende-verschlüsselt. Dass die Zustellung ohne Transportverschlüsselung abgebrochen wird, sagt VXPay hier nicht zu – das hängt vom eingesetzten E-Mail-Dienst und seiner Einstellung ab. Ob eine Rechnung per E-Mail geht, entscheiden Sie beim Erstellen; drucken können Sie jede Rechnung, auf Wunsch geht sie per Post. Welcher Weg passt, legen Sie mit Ihrer oder Ihrem Datenschutzbeauftragten fest.
Wer ist verantwortlich, wenn VXPay die E-Mail versendet?
Ihre Praxis bleibt Verantwortliche für die Daten ihrer Rechnungsempfänger. VXPay verarbeitet sie als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO, den Sie bei der Praxiseinrichtung schließen; den Text finden Sie unter „AVV“ in der Fußzeile. Ob und wie Sie per E-Mail versenden, entscheidet Ihre Praxis.
Weniger Aufwand mit offenen Rechnungen
Registrierung, Rechnungen und Mahnwesen sind bei VXPay kostenlos – ohne Grundgebühr und ohne Vertragslaufzeit. Gebühren für Zahlungen fallen nur an, wenn eine Zahlung über VXPay Payments (online und per Überweisung auf die persönliche Zahlungs-IBAN) erfolgreich ist: die Plattformgebühr von VXPay (1,5 % + 0,29 € zzgl. 19 % USt) und die Transaktionsgebühr der Zahlungsabwicklung; beide werden automatisch einbehalten. Kostenpflichtig und optional: Zusatzpaket Praxis Pro, Briefversand je Brief, Einrichtungsservice.