Art. 9 DSGVO: Was beim digitalen Unterschreiben von Einwilligung und Aufklärung gilt

Eine "DSGVO-konforme Unterschrift" im Sinn eines Gütesiegels gibt es nicht. Art. 9 DSGVO kennt weder eine Liste zugelassener Signaturtools noch ein Zertifikat, das ein Anbieter erwerben könnte. Wer Gesundheitsdaten unterschreiben lässt, braucht stattdessen einen Ablauf, der in die eigene Datenschutzorganisation passt: eine wirksame Unterschrift, Schutz für die Gesundheitsdaten auf dem Formular und einen Vertrag mit jedem, der sie speichert.

Der Kern steht in Art. 9 Abs. 1: Die Verarbeitung von Gesundheitsdaten ist untersagt, solange keine Ausnahme aus Abs. 2 greift. Für die Behandlung selbst trägt in der Praxis meist lit. h (Versorgung und Behandlung unter Berufsgeheimnis nach Abs. 3), in Deutschland ergänzt durch § 22 Abs. 1 Nr. 1 lit. b BDSG. Die ausdrückliche Einwilligung nach lit. a kommt dort ins Spiel, wo die Verarbeitung über die Behandlung hinausgeht, etwa bei Terminerinnerungen per E-Mail oder der Weitergabe an Dritte. Das überrascht viele: Die Unterschrift unter dem Aufnahmebogen ist oft gar nicht die Rechtsgrundlage.

Wozu dient sie dann? Als Nachweis. Behandelnde müssen beweisen, dass sie aufgeklärt und eine Einwilligung eingeholt haben (§ 630h Abs. 2 BGB), und ein unterzeichneter Bogen ist das übliche Beweismittel.

Die Frage zerfällt also in zwei:

• Ist die Unterschrift wirksam? Das ist Vertrags- und Beweisrecht (eIDAS, BGB).
• Sind die Gesundheitsdaten auf dem Formular geschützt? Das sind Art. 9, 28 und 32 DSGVO und der Vertrag mit dem Anbieter.

Ein Anbieter kann bei beidem helfen. Er kann Ihnen die Verantwortung nicht abnehmen, und wer eine "DSGVO-konforme Unterschrift ab Werk" verspricht, verkauft ein Etikett. Ob Art. 9 Ihre Formulare überhaupt trifft, hängt von Ihrer Rolle ab, also beginnen Sie dort. Unsere Seite zum Unterschreiben im Gesundheitswesen listet die Dokumente, die Praxen am häufigsten verschicken. Das US-Gegenstück heißt HIPAA; dazu mehr im letzten Drittel.

Art. 9 DSGVO trifft jeden, der Gesundheitsdaten verarbeitet, und die Rollen sind in Art. 4 DSGVO klarer, als viele denken. Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung: die Praxis, die Klinik, die Apotheke. Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen, und dazu zählt auch ein Signaturdienst, der unterschriebene Patientenformulare speichert.

Anders als im US-Recht gibt es keine Schwelle, die Sie unterhalb von Art. 9 hält. Ein Heilpraktiker, ein Coach mit Gesundheitsfragebogen und ein Fitnessstudio mit Anamnese verarbeiten Gesundheitsdaten genauso wie ein Krankenhaus. Bei Ärzten, Apothekern und anderen Heilberufen kommt die Schweigepflicht nach § 203 StGB hinzu, und die gilt auch dann, wenn ein externer Dienstleister mitwirkt (dazu unten mehr).

Finden Sie Ihre Zeile, bevor Sie Anbieter vergleichen. Sie entscheidet, ob ein AVV Pflicht ist (fast immer), ob zusätzlich § 203 StGB greift und wie streng Ihre eigene Anbieterprüfung ausfallen muss.

In Praxen heißt ein ganzer Papierstapel "die Formulare". Nur ein Teil davon hat eine gesetzliche Grundlage für die Unterschrift.

Auch die digitale Patientenaufklärung ändert nichts daran, dass die Aufklärung selbst nach § 630e Abs. 2 BGB mündlich erfolgen muss; ergänzend dürfen Unterlagen in Textform dienen, und Abschriften von allem, was der Patient unterzeichnet, sind ihm auszuhändigen. Die Einwilligung in die Behandlung ist nach § 630d BGB an keine Form gebunden und jederzeit formlos widerruflich. Das Gesetz verlangt hier also keine Unterschrift. Sie ist Ihr Beweis, denn nach § 630h Abs. 2 BGB müssen Sie Aufklärung und Einwilligung nachweisen.

Datenschutzrechtlich zählt dagegen der Wortlaut: Die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a muss ihre Zwecke benennen.

Art. 9 DSGVO verbietet und erlaubt, aber es beschreibt keinen Signaturdienst. Die technischen Anforderungen stehen in Art. 32 DSGVO. Sie gelten nicht der Unterschrift, sondern dem System, das die Gesundheitsdaten hält, und ein unterschriebener Anamnesebogen macht Ihr Signaturkonto zu so einem System.

Das Gesetz nennt Beispielmaßnahmen: Pseudonymisierung und Verschlüsselung (lit. a), die dauerhafte Sicherung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (lit. b), die rasche Wiederherstellung nach einem Zwischenfall (lit. c) und ein Verfahren zur regelmäßigen Überprüfung (lit. d). Für Gesundheitsdaten legt § 22 Abs. 2 BDSG nach: angemessene und spezifische Maßnahmen, darunter Protokollierung, Zugangsbeschränkung und Verschlüsselung.

Verschlüsselung ist ein Beispiel, kein Selbstzweck, aber sie zahlt sich aus, wenn etwas schiefgeht. Hat der Verantwortliche die Daten für Unbefugte unzugänglich gemacht, etwa durch Verschlüsselung, entfällt nach Art. 34 Abs. 3 lit. a die Benachrichtigung der Betroffenen. Die Meldung an die Aufsichtsbehörde nach Art. 33 prüfen Sie getrennt.

Wie sicher der Unterzeichner sein muss, entscheiden Sie

Die DSGVO sagt nicht, wie sicher Sie sein müssen, dass der Unterzeichner der Patient ist. Das ist eine Risikoentscheidung, formularweise. Ein Link an die hinterlegte E-Mail-Adresse genügt für die Kenntnisnahme einer Datenschutzinformation. Eine Einwilligung, die Unterlagen an einen Anwalt oder Arbeitgeber freigibt, verdient mehr, etwa einen separat zugestellten Zugangscode oder eine Ausweisprüfung. Halten Sie die Entscheidung schriftlich fest.

Der Prüfpfad ist ein Beweismittel, keine Dekoration

Behauptet ein Patient, er habe nie unterschrieben, legen Sie den Prüfpfad vor: wer das Formular gesendet hat, wann es geöffnet und unterzeichnet wurde und ob sich die Datei danach verändert hat. Auch die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Sie Ihr Vorgehen belegen können, und § 630f Abs. 1 BGB fordert, dass Änderungen in einer elektronischen Behandlungsakte erkennbar bleiben. Unser Leitfaden zu dem, was ein Prüfpfad bei der E-Signatur festhält, geht ihn Feld für Feld durch. Sorgen Sie dafür, dass Sie ihn exportieren können. Ein Protokoll, das Sie nur in der App des Anbieters lesen können, verlieren Sie mit dem Vertrag.

Speichert ein Signaturdienst unterschriebene Patientenformulare, ist er Ihr Auftragsverarbeiter im Sinn von Art. 4 Nr. 8 DSGVO, und Art. 28 verlangt dann einen Vertrag. Das gilt auch, wenn der Dienst Dateien nur hält und nie hineinsieht: Entscheidend ist, dass er Gesundheitsdaten in Ihrem Auftrag verarbeitet.

Ärzte und andere Berufsgeheimnisträger haben ein zusätzliches Problem, das es im US-Recht so nicht gibt. Nach § 203 Abs. 3 StGB dürfen sie fremde Geheimnisse an "sonstige mitwirkende Personen", also auch an externe IT-Dienstleister, nur offenbaren, soweit das für deren Tätigkeit erforderlich ist. Nach Abs. 4 wird außerdem bestraft, wer nicht dafür sorgt, dass eine solche Person zur Geheimhaltung verpflichtet ist, wenn sie danach ein Geheimnis unbefugt offenbart. Der AVV allein deckt das nicht immer ab; die Verpflichtungserklärung gehört dazu.

Ein fehlender Vertrag ist ein Verstoß gegen Art. 28 und kann mit einem Bußgeld von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a). Der Anbieter steht für seine eigenen Pflichten ein, aber der fehlende Vertrag bleibt Ihr Versäumnis als Verantwortlicher. Ohne AVV kein digitales Patientenformular.

Was in den Vertrag gehört, regelt Art. 28 Abs. 3 DSGVO. Unter anderem muss der Auftragsverarbeiter:

1. 1.
   Daten nur auf Ihre dokumentierte Weisung verarbeiten.
2. 2.
   Alle Personen, die Zugang haben, zur Vertraulichkeit verpflichten.
3. 3.
   Die Sicherheitsmaßnahmen nach Art. 32 ergreifen.
4. 4.
   Weitere Auftragsverarbeiter nur mit Ihrer Genehmigung einsetzen und ihnen dieselben Pflichten auferlegen.
5. 5.
   Sie bei Auskunft, Berichtigung und Löschung für Betroffene unterstützen.
6. 6.
   Nach Vertragsende alle Daten löschen oder zurückgeben.
7. 7.
   Nachweise liefern und Überprüfungen zulassen, auch Inspektionen.

Die Standardvertragsklauseln der EU-Kommission für Verantwortliche und Auftragsverarbeiter (Durchführungsbeschluss (EU) 2021/915) sind ein brauchbarer Maßstab. Ein AVV von zwei Absätzen, der nichts davon erwähnt, erfüllt seinen Zweck nicht.

Diese drei stehen auf fast jeder Auswahlliste. Wir haben am 14. Oktober 2026 gelesen, was jeder auf der eigenen Website zum US-Gesundheitsrecht HIPAA und zum dortigen Auftragsverarbeitungsvertrag (Business Associate Agreement, BAA) sagt. Das ist keine DSGVO-Aussage, zeigt aber, wie offen ein Anbieter seine Vertragsbedingungen macht. Tarife ändern sich; prüfen Sie erneut, bevor Sie unterschreiben.

• Adobe Acrobat Sign. Das Help Center sagt, dass Sie über Acrobat Sign keine geschützten Gesundheitsdaten (PHI) verarbeiten dürfen, bevor das BAA abgeschlossen ist, dass die HIPAA-Eignung nur mit einem Enterprise- oder Business-Abonnement besteht und dass nicht jedes Konto sie erhält.
• Dropbox Sign. Das Help Center sagt, dass HIPAA-Compliance für Kunden mit einem jährlichen Standard- oder Premium-Tarif unterstützt wird, die ein unterschriebenes BAA haben und einen Mindestvertragswert erreichen.
• Das Trust Center von DocuSign nennt HIPAA unter den Vorschriften, die DocuSign einhält, neben 21 CFR Part 11 und Sarbanes-Oxley. Die Übersichtsseite nennt weder einen Tarif noch ein BAA-Verfahren; fragen Sie Ihren DocuSign-Ansprechpartner nach den Bedingungen für Ihren Tarif.

Fairerweise: Adobe und Dropbox nennen ihre BAA-Bedingungen öffentlich, und das macht die Vertragsarbeit planbar. Bei beiden hängt das BAA an kostenpflichtigen Business-Tarifen; ein kostenloser Tarif liefert die Signatur oft ohne den Vertrag. Das europäische Gegenstück zum BAA ist der AVV nach Art. 28 DSGVO. Fordern Sie ihn bei jedem Anbieter schriftlich an.

Ob eine DocuSign-Unterschrift im Streitfall trägt, ist eine eigene Beweisfrage: Hält eine DocuSign-Unterschrift vor Gericht?

Die Wirksamkeit ist die leichte Hälfte. Nach Art. 25 Abs. 1 eIDAS darf einer elektronischen Signatur die Rechtswirkung nicht allein deshalb abgesprochen werden, weil sie elektronisch ist. Das BGB verlangt die qualifizierte elektronische Signatur nur dort, wo sie die gesetzliche Schriftform ersetzen soll (§ 126a BGB). Für Aufklärungsbögen, Einwilligungen und den AVV genügt deshalb eine einfache oder fortgeschrittene Signatur, und Formulare zur Unterschrift zu versenden ist in Praxen Routine. Ausnahme sind Verordnungen wie das E-Rezept: Sie laufen über die Telematikinfrastruktur, nicht über einen allgemeinen Signaturdienst.

Bei Patientenunterlagen läuft die Uhr länger als bei den meisten Verträgen. Nach § 630f Abs. 3 BGB bewahren Behandelnde die Behandlungsakte zehn Jahre nach Abschluss der Behandlung auf, soweit nicht andere Vorschriften längere Fristen vorsehen. In die Akte gehören laut Abs. 2 ausdrücklich die Einwilligungen und Aufklärungen, also auch Ihre unterschriebenen Bögen samt Prüfpfad. Fehlt die Dokumentation einer wesentlichen Maßnahme, wird nach § 630h Abs. 3 vermutet, dass sie nicht stattgefunden hat. Wie sich solche Fristen im US-Recht übereinanderlegen, zeigt unsere Übersicht zu den Aufbewahrungsfristen für Dokumente in den USA.

Den Ausstieg vergessen die meisten. Nach Art. 28 Abs. 3 lit. g DSGVO löscht oder gibt der Auftragsverarbeiter die Daten am Vertragsende zurück. Gut für den Datenschutz, lästig für Sie: Die unterschriebenen Originale und ihre Prüfpfade müssen das Abonnement überleben. Exportieren Sie nach Plan und nicht in der letzten Woche eines Vertrags, den Sie schon gekündigt haben. Ein vierteljährlicher Export kostet einen Nachmittag, sein Fehlen kann einen sehr schlechten Monat kosten.

Sie sollen uns mit Kenntnis der Grenzen wählen und nicht erst im Audit auf sie stoßen. Das bringt Chaindoc in einen Ablauf mit Gesundheitsdaten mit, ungefähr in der Reihenfolge, in der ein Prüfer fragt:

• Zertifizierung. Chaindoc hält ISO 27001 für das Informationssicherheits-Managementsystem und ISO 9001 für das Qualitätsmanagement. Das ISO-27001-Audit ist unser einziges externes Audit.
• Übertragung. Dokumente und Signaturlinks laufen über TLS.
• Verschlüsselung, ehrlich gesagt. Es gibt keine Ende-zu-Ende-Verschlüsselung. Unsere Server lesen Dateien, um sie zu konvertieren, zu scannen und zu signieren; verschlüsselt sind die privaten Signaturschlüssel, mit AES-256. Verlangt Ihre Risikoanalyse eine Zero-Knowledge-Ablage, ist Chaindoc nicht das passende Werkzeug.
• Zugriff nach Rolle: Rollen für jedes Teammitglied halten Anamnesebögen beim Empfang und Rechnungen in der Buchhaltung.
• Prüfung des Unterzeichners. Ein optionaler Schritt zur Identitätsprüfung für Formulare, die ihn brauchen, nie ein Pflichtteil des Signierens.
• Reihenfolge der Unterschriften. Eine normale Anfrage lädt alle Unterzeichner gleichzeitig ein; eine feste Reihenfolge gibt es über Freigabewege im Business-Tarif.
• Auf der Blockchain, und nur das. Wenn Sie ein Dokument veröffentlichen, wird der Fingerabdruck dieser Version auf einer Blockchain festgehalten. Schließt ein Unterzeichner ab, wird sein Nachweis festgehalten. Die Datei, ihr Inhalt und die Identitäten der Unterzeichner bleiben außerhalb der Kette, und die Kette enthält keinen Eintrag darüber, wer ein Dokument angesehen hat.

Was wir nicht tun: Chaindoc "DSGVO-konform" nennen. Kein Werkzeug kann das sein, und ob und wie Art. 9 und 28 Ihre Nutzung betreffen, hängt von Ihrer Rolle ab. Sind Sie Verantwortlicher, klären Sie den AVV, die Verpflichtung zur Geheimhaltung und Fragen wie Speicherort und Unterauftragsverarbeiter schriftlich mit uns, bevor Patientendaten hochgeladen werden, wie bei jedem Anbieter. Eine Gewohnheit, die überall hilft: Benennen Sie Dokumente nach Formulartyp, nicht nach Patient.

Art. 9 DSGVO gilt in der ganzen EU, und wie eIDAS und DSGVO Signaturen behandeln, zeigt unser Beitrag zu eIDAS, DSGVO und NIST bei der digitalen Signatur. Wer außerhalb Deutschlands arbeitet oder dort Patienten hat, begegnet anderen Regeln, die dasselbe Ziel verfolgen.

USA. HIPAA ist Bundesrecht und trifft nur "covered entities" (Krankenversicherungen, Clearingstellen und Leistungserbringer, die Abrechnungen elektronisch übermitteln) sowie deren "business associates". Eine Zertifizierung für Software gibt es nicht; die zuständige Behörde zertifiziert keine Produkte. Das BAA entspricht dem AVV, und geschützte Gesundheitsdaten heißen dort PHI. Die HHS-Hinweise zu HIPAA und Cloud Computing erklären, warum selbst ein Dienst, der nur verschlüsselte Daten hält, Business Associate sein kann. Wer hierzulande nach "hipaa" sucht, fragt oft, ob das auch bei uns gilt: Nein, bei uns gelten Art. 9 und 28 DSGVO.

Brasilien. Die LGPD stuft Gesundheitsdaten als sensibel ein (Art. 5 II). Art. 11 erlaubt die Verarbeitung mit spezifischer, hervorgehobener Einwilligung oder zum Schutz der Gesundheit durch Gesundheitsfachkräfte. Eine harte Grenze: Elektronische Verschreibungen kontrollierter Arzneimittel und ärztliche Atteste brauchen eine qualifizierte Signatur nach ICP-Brasil (Lei 14.063/2020, Art. 13).

Mexiko. Die NOM-004-SSA3-2012 legt fest, was eine Einwilligungserklärung enthalten muss, darunter Namen und Unterschriften von Patient, Arzt und zwei Zeugen. Die NOM-024-SSA3-2012 regelt die Systeme für elektronische Gesundheitsakten selbst, und Gesundheitsdaten gelten im mexikanischen Bundesdatenschutzgesetz als sensibel.

Gehen Sie das durch, bevor der erste Patient einen Link bekommt.

1. 1.
   Klären Sie Ihre Rolle: Verantwortlicher oder Auftragsverarbeiter, und ob § 203 StGB für Sie gilt. Halten Sie sie mit Begründung fest.
2. 2.
   Listen Sie jedes Formular auf, das Sie verschicken, mit der Norm hinter der Unterschrift, anhand der Tabelle oben.
3. 3.
   Nehmen Sie den Signaturdienst in Ihr Verzeichnis der Verarbeitungstätigkeiten auf, wie jedes System mit Gesundheitsdaten.
4. 4.
   Lassen Sie AVV und Verpflichtungserklärung für genau den Tarif gegenzeichnen, den Sie nutzen. Erst dann laden Sie echte Daten hoch.
5. 5.
   Geben Sie jeder Person ein eigenes Konto mit der engsten Rolle, die funktioniert.
6. 6.
   Wählen Sie pro Formular eine Prüfung des Unterzeichners: einen E-Mail-Link für Kenntnisnahmen, etwas Stärkeres für Einwilligungen mit Weitergabe.
7. 7.
   Sorgen Sie dafür, dass Patienten automatisch eine Abschrift dessen erhalten, was sie unterschreiben.
8. 8.
   Planen Sie Exporte der unterschriebenen Formulare und Prüfpfade und bewahren Sie sie mindestens zehn Jahre nach Abschluss der Behandlung auf.

Diese acht Schritte sind es, was ein Ablauf nach Art. 9 DSGVO in der Praxis bedeutet, egal, welchen Anbieter Sie wählen. Überspringen Sie Schritt 4, rettet Sie kein Marketingversprechen.