Fax nach § 25 KDG-DVO in der Praxis – Ein Leitfaden mit Mustervorlagen für kirchliche Einrichtungen

30. Juli 2026

Dieser Artikel ist als Disskussionsbeitrag zu verstehen und ersetzt keine fundierte Rechtsberatung in Einzelfall.

Mit der Einführung des § 25 KDG-DVO hat der kirchliche Gesetzgeber den Versand personenbezogener Daten per Fax grundsätzlich untersagt. Die rechtlichen Hintergründe und die Voraussetzungen möglicher Ausnahmen haben wir bereits in unserem Beitrag „Fax trotz § 25 KDG-DVO – Wann sind Ausnahmen noch zulässig?“ ausführlich dargestellt.

Die Reaktionen vieler kirchlicher Einrichtungen ähneln sich jedoch: Das Fax soll zwar grundsätzlich nicht mehr genutzt werden, in der täglichen Praxis lässt sich darauf aber häufig noch nicht vollständig verzichten. Arztpraxen, Krankenhäuser, Behörden, Gerichte oder Sozialleistungsträger bestehen teilweise weiterhin auf einer Kommunikation per Fax oder bieten jedenfalls keine kurzfristig nutzbaren Alternativen an. Verantwortliche stehen deshalb vor der Herausforderung, den gesetzlichen Anforderungen des § 25 KDG-DVO gerecht zu werden, ohne gleichzeitig ihre Arbeitsfähigkeit zu verlieren.

Der bloße Hinweis, Faxübertragungen künftig zu unterlassen, hilft in dieser Situation nicht weiter. Erforderlich ist vielmehr ein strukturiertes Verfahren, das den Faxverkehr auf das unvermeidbare Maß reduziert, jede Ausnahme nachvollziehbar dokumentiert und gleichzeitig den schrittweisen Umstieg auf datenschutzgerechte Kommunikationswege organisiert.

Dieser Beitrag stellt hierfür einen praxiserprobten Lösungsansatz vor. Er orientiert sich unter anderem an Überlegungen, die bereits in einzelnen kirchlichen Einrichtungen umgesetzt werden, entwickelt diese jedoch zu einem vollständigen Datenschutzkonzept weiter. Ziel ist nicht, das Fax dauerhaft zu legitimieren, sondern Verantwortlichen einen nachvollziehbaren und dokumentierten Weg für die Übergangszeit aufzuzeigen.

Warum Einrichtungen jetzt handeln sollten

Viele Verantwortliche dürften derzeit davon ausgehen, dass es ausreicht, den Mitarbeitenden mitzuteilen, dass personenbezogene Daten künftig möglichst nicht mehr per Fax versandt werden sollen. Eine solche allgemeine Anweisung greift jedoch zu kurz.

§ 25 KDG-DVO verlangt nicht lediglich einen bewussteren Umgang mit dem Faxgerät. Vielmehr ist die Entscheidung für dieses Kommunikationsmittel selbst rechtfertigungsbedürftig. Daraus ergeben sich für Verantwortliche mehrere organisatorische Pflichten.

Zunächst muss überhaupt bekannt sein, an welchen Stellen der Einrichtung noch gefaxt wird. In vielen Organisationen existieren mehrere Faxgeräte oder Faxserver, deren Nutzung im Laufe der Jahre gewachsen ist. Häufig ist weder dokumentiert, welche Bereiche noch Fax verwenden noch mit welchen Gegenstellen regelmäßig kommuniziert wird.

Ebenso wenig genügt es, lediglich auf die Eigenverantwortung der Mitarbeitenden zu vertrauen. Vielmehr muss die Einrichtung nachvollziehbar dokumentieren können,

welche Kommunikationsvorgänge weiterhin per Fax erfolgen,
weshalb hierfür keine datenschutzgerechte Alternative zur Verfügung steht,
welche Risiken bestehen,
welche Schutzmaßnahmen getroffen wurden und
wann erneut überprüft wird, ob der Faxversand noch erforderlich ist.

Gerade diese Dokumentation dürfte künftig einen wesentlichen Bestandteil der Rechenschaftspflicht darstellen.

Der Zehn-Punkte-Plan für die praktische Umsetzung

Die Erfahrungen aus Datenschutzprüfungen zeigen, dass sich rechtliche Anforderungen am besten durch standardisierte Prozesse umsetzen lassen. Für den Umgang mit dem Fax empfiehlt sich daher ein klar strukturierter Maßnahmenplan.

1. Sämtliche Faxkommunikation erfassen

Der erste Schritt besteht darin, Transparenz herzustellen.

Viele Einrichtungen wissen nicht einmal, welche Bereiche noch regelmäßig Fax nutzen. Deshalb sollte zunächst jede Organisationseinheit mitteilen,

welche Faxgeräte oder Faxserver vorhanden sind,
welche Gegenstellen regelmäßig angeschrieben werden,
welche Arten personenbezogener Daten übertragen werden und
aus welchem Grund hierfür bislang Fax verwendet wird.

Erst wenn diese Informationen vorliegen, lässt sich beurteilen, in welchen Bereichen überhaupt Handlungsbedarf besteht.

Praxistipp

Erfassen Sie nicht einzelne Faxsendungen, sondern zunächst sämtliche Kommunikationsbeziehungen. Häufig zeigt sich bereits dabei, dass zahlreiche Empfänger längst auf verschlüsselte E-Mail oder andere sichere Verfahren umgestellt haben.

2. Alle Faxempfänger systematisch überprüfen

Im zweiten Schritt sollte jede Gegenstelle einzeln betrachtet werden.

Für jeden regelmäßigen Faxempfänger sollte insbesondere geprüft werden,

ob inzwischen sichere Kommunikationswege bestehen,
ob bereits verschlüsselte E-Mail genutzt wird,
ob KIM, EGVP, beA oder andere Portallösungen verfügbar sind,
ob lediglich organisatorische Gewohnheiten einer Umstellung entgegenstehen,
oder ob tatsächlich keine praktikable Alternative existiert.

In vielen Fällen wird sich zeigen, dass der Faxversand lediglich aus Tradition fortgeführt wurde.

3. Die Empfänger kategorisieren

Nicht jede Gegenstelle verursacht dasselbe Risiko.

Es empfiehlt sich deshalb, sämtliche Empfänger nach ihrer Bedeutung und dem jeweiligen Risiko einzuordnen.

Beispielsweise:

Kategorie	Beispiele	Handlungsbedarf
A	Krankenhäuser mit geschütztem Faxbereich	mittelfristig umstellen
B	Arztpraxen	Alternativen prüfen
C	Behörden	Kommunikationswege abstimmen
D	Gerichte	gesetzliche Besonderheiten prüfen
E	Sonstige Empfänger	möglichst kurzfristig umstellen

Dadurch entsteht erstmals ein vollständiger Überblick über den noch vorhandenen Faxverkehr.

4. Prioritäten festlegen

Nicht jede Faxverbindung muss gleichzeitig abgeschafft werden.

Sinnvoll ist vielmehr eine Priorisierung.

Zunächst sollten diejenigen Kommunikationsbeziehungen beendet werden,

bei denen bereits sichere Alternativen existieren,
bei denen besonders schutzbedürftige Daten verarbeitet werden,
oder bei denen die Gegenstelle ohnehin elektronische Kommunikationswege anbietet.

Erst anschließend sollten die verbleibenden Ausnahmefälle betrachtet werden.

5. Ein formelles Ausnahmeverfahren einführen

Hier liegt aus meiner Sicht der entscheidende Unterschied zwischen einer bloßen Dienstanweisung und einem funktionierenden Datenschutzmanagement.

Jede Faxübermittlung, die auch künftig erfolgen soll, sollte auf einer dokumentierten Ausnahmeentscheidung beruhen.

Hierzu empfiehlt sich ein standardisiertes Verfahren, bei dem insbesondere folgende Fragen beantwortet werden:

Welche Daten sollen übermittelt werden?
Warum ist die Übermittlung erforderlich?
Warum steht keine datenschutzgerechte Alternative zur Verfügung?
Welche Risiken bestehen?
Welche Schutzmaßnahmen werden getroffen?
Bis wann gilt die Ausnahme?
Wann erfolgt die nächste Überprüfung?

Welche Dokumente jede Einrichtung jetzt einführen sollte

Die Einführung eines generellen Faxverbots allein genügt regelmäßig nicht, um den Anforderungen des § 25 KDG-DVO gerecht zu werden. Meist läßt sich das nicht durchhalten. Verantwortliche müssen vielmehr nachweisen können, dass sie den verbleibenden Faxverkehr systematisch steuern, dokumentieren und regelmäßig überprüfen.

Hierzu empfiehlt sich die Einführung mehrerer aufeinander abgestimmter Dokumente. Sie bilden gemeinsam ein Datenschutzmanagementsystem für den verbliebenen Faxverkehr. Der Vorteil liegt darin, dass jede Ausnahme nachvollziehbar begründet wird und jederzeit erkennbar ist, welche Maßnahmen bereits zur Ablösung des Faxverkehrs eingeleitet wurden.

Die nachfolgenden Muster können selbstverständlich an die jeweiligen organisatorischen Gegebenheiten angepasst werden. Sie zeigen jedoch, wie sich die Anforderungen des § 25 KDG-DVO in der Praxis rechtssicher umsetzen lassen.

Muster 1 – Das Faxregister

Warum ein Faxregister sinnvoll ist

Das Verzeichnis der Verarbeitungstätigkeiten nach § 31 KDG beantwortet nicht die Frage, wo innerhalb der Einrichtung tatsächlich noch Fax eingesetzt wird. Ebenso wenig dokumentiert es, welche Empfänger betroffen sind oder weshalb eine Ausnahme vom grundsätzlichen Faxverbot besteht.

Ein eigenständiges Faxregister schafft diese Transparenz.

Es dient insbesondere dazu,

sämtliche noch bestehenden Faxkommunikationsbeziehungen zu erfassen,
den Umfang des verbleibenden Faxverkehrs sichtbar zu machen,
die regelmäßige Überprüfung zu erleichtern und
gegenüber der Datenschutzaufsicht nachweisen zu können, dass die Einrichtung den Faxverkehr aktiv reduziert.

Ein Faxregister sollte sich deshalb nicht auf einzelne Faxsendungen beschränken. Vielmehr empfiehlt sich die Erfassung sämtlicher Kommunikationsbeziehungen, bei denen Fax derzeit noch eingesetzt wird.

Das Faxregister sollte mindestens folgende Angaben enthalten

Feld	Erläuterung
Organisationseinheit	Wer nutzt das Fax?
Gegenstelle	Arzt, Krankenhaus, Behörde usw.
Ansprechpartner	verantwortlicher Ansprechpartner
Zweck der Übermittlung	Warum wird gefaxt?
Datenkategorien	Gesundheitsdaten, Sozialdaten usw.
Alternative geprüft	Ja / Nein
Warum keine Alternative?	Begründung
Ausnahme genehmigt am	Datum
Befristung	Ablaufdatum
nächste Überprüfung	Wiedervorlage

Gerade die beiden letzten Spalten sorgen dafür, dass Ausnahmegenehmigungen nicht unbegrenzt fortgelten, sondern regelmäßig überprüft werden.

Muster 2 – Der Antrag auf Ausnahmegenehmigung

Warum eine Einzelfallentscheidung erforderlich ist

Eine pauschale Genehmigung sämtlicher Faxübermittlungen würde dem Regelungszweck des § 25 KDG-DVO kaum gerecht werden, wie ich bereits dargestellt habe. Sinnvoller ist deshalb ein standardisiertes Antragsverfahren.

Dadurch wird sichergestellt, dass jede Organisationseinheit vor einer Faxübermittlung dieselben Fragen beantworten muss.

Der Antrag sollte insbesondere dokumentieren,

weshalb Fax überhaupt erforderlich ist,
welche Alternativen geprüft wurden,
weshalb diese ausscheiden,
welche Risiken bestehen und
welche Schutzmaßnahmen vorgesehen sind.

Die eigentliche Genehmigungsentscheidung sollte anschließend durch die hierfür verantwortliche Stelle (z. B. Vorstand, Geschäftsführung oder Datenschutzkoordinator) erfolgen.

Der Vorteil besteht darin, dass die Entscheidung nachvollziehbar dokumentiert wird und später jederzeit überprüft werden kann.

Muster 3 – Die „Vereinbarung“ mit der Gegenstelle

Warum dieses Dokument besonders wichtig ist

Gerade dieser Punkt bereitet vielen Einrichtungen derzeit die größten Schwierigkeiten.

Häufig besteht Unsicherheit darüber,

wo das Faxgerät des Empfängers steht,
wer Zugriff auf eingehende Dokumente hat,
ob Fax-to-Mail genutzt wird oder
ob organisatorische Schutzmaßnahmen überhaupt vorhanden sind.

Der Verantwortliche kann diese Risiken regelmäßig nicht selbst beurteilen. Deshalb empfiehlt sich eine schriftliche Vereinbarung oder – aus meiner Sicht noch besser – eine Selbstauskunft der Gegenstelle. Diese dient nicht dazu, die eigene Verantwortung auf den Empfänger zu verlagern. Verantwortlicher bleibt weiterhin die absendende Einrichtung. Die Erklärung verbessert jedoch die eigene Risikobewertung und dokumentiert, dass die Empfangssituation vorab geprüft wurde.

Folgende Punkte sollten mindestens abgefragt werden:

Standort des Faxgeräts
Nutzung eines Faxservers oder Fax-to-Mail-Dienstes
Zugriff ausschließlich durch berechtigte Personen
sofortige Entnahme eingehender Faxe
Verfahren bei Fehlfaxen
Meldung von Datenschutzvorfällen
Ansprechpartner für Rückfragen
Mitteilungspflicht bei organisatorischen Änderungen

Eine solche Erklärung sollte regelmäßig – etwa jährlich – überprüft und bei Änderungen aktualisiert werden.

Muster 4 – Die Risikoanalyse

Das Herzstück jeder Ausnahmeentscheidung

Die wohl wichtigste Unterlage dürfte eine standardisierte Risikoanalyse sein. Gerade hier unterscheiden sich viele Einrichtungen.

Während die eine Einrichtung lediglich prüft, ob das Fax funktioniert, sollte tatsächlich bewertet werden,

welche Daten übermittelt werden,
welche Schäden bei einer Offenlegung entstehen können,
welche Risiken beim Empfänger bestehen und
ob diese Risiken durch organisatorische Maßnahmen ausreichend reduziert werden können.

Dabei empfiehlt sich ein Ampelsystem.

Beispiel

Grün

gewöhnliche personenbezogene Daten
bekannte Gegenstelle
sichere Empfangssituation
keine praktikable Alternative vorhanden

Gelb

Gesundheitsdaten
Faxserver unbekannt
organisatorische Risiken vorhanden

Rot

besonders sensible Daten
unbekannte Empfangssituation
keine Absicherung
alternative Kommunikationswege vorhanden

Spätestens bei einer roten Bewertung sollte grundsätzlich auf einen anderen Übermittlungsweg ausgewichen werden.

Muster 5 – Die interne Faxrichtlinie

Mehr als ein bloßes Faxverbot

Viele Einrichtungen werden zunächst eine Dienstanweisung erlassen, wonach personenbezogene Daten grundsätzlich nicht mehr per Fax übermittelt werden dürfen. Dieser Schritt ist richtig, genügt für sich genommen jedoch regelmäßig nicht.

Eine moderne Faxrichtlinie sollte vielmehr den gesamten Lebenszyklus einer Faxübermittlung regeln.

Hierzu gehören insbesondere:

Verantwortlichkeiten
Genehmigungsverfahren
Ausnahmevoraussetzungen
Risikoanalyse
Dokumentation
Durchführung der Faxübermittlung
Verhalten bei Fehlfaxen
Meldung von Datenschutzverletzungen
regelmäßige Überprüfung
Maßnahmen zur schrittweisen Ablösung des Faxverkehrs

In der einen oder anderen Form wird eine solche Faxrichtlinie als erste Reaktion auf § 25 KDG-DVO bereit existieren. Diese Ansätze sollten jedoch um eine strukturierte Risikoanalyse, ein Faxregister und eine systematische Überprüfung der Gegenstellen ergänzt werden, sofern diese Punkte fehlen.

Muster 6 – Die Checkliste vor jeder Faxübermittlung

Auch bei bestehenden Ausnahmegenehmigungen sollte vor jeder Faxübermittlung nochmals kurz geprüft werden, ob sämtliche Voraussetzungen erfüllt sind.

Hierfür genügt häufig bereits eine einseitige Checkliste.

Vor jeder Faxübermittlung sollte insbesondere kontrolliert werden:

✓ Ist die Faxübermittlung weiterhin erforderlich?

✓ Wurde geprüft, ob inzwischen ein sichererer Übermittlungsweg zur Verfügung steht?

✓ Ist die Faxnummer aktuell?

✓ Wurde der Empfänger vorab informiert?

✓ Ist sichergestellt, dass der Empfänger das Fax unmittelbar entgegennimmt?

✓ Enthält das Dokument nur die tatsächlich erforderlichen personenbezogenen Daten?

✓ Wurde der erfolgreiche Empfang bestätigt?

Eine solche Checkliste reduziert nicht nur das Fehlerrisiko, sondern sensibilisiert die Mitarbeitenden bei jeder einzelnen Faxübermittlung erneut für die datenschutzrechtlichen Besonderheiten.

Muster 7 – Entscheidungsmatrix

Zum Abschluss empfiehlt sich eine einfache Entscheidungshilfe.

Nicht jeder Mitarbeitende wird den Wortlaut des § 25 KDG-DVO oder die hierzu entwickelten Ausnahmen sicher anwenden können. Ein übersichtliches Flussdiagramm kann deshalb den Entscheidungsprozess erheblich vereinfachen.

Der Entscheidungsweg sollte sich auf wenige Fragen beschränken:

Enthält das Dokument personenbezogene Daten?
Steht ein datenschutzgerechter Übermittlungsweg zur Verfügung?
Besteht eine dokumentierte Ausnahme?
Liegt eine aktuelle Risikoanalyse vor?
Wurden sämtliche organisatorischen Maßnahmen eingehalten?

Nur wenn sämtliche Fragen bejaht werden können, sollte eine Faxübermittlung überhaupt noch erfolgen.

Fazit

§ 25 KDG-DVO verfolgt das Ziel, den Versand personenbezogener Daten per Fax schrittweise zu beenden. In der Praxis wird dies jedoch vielfach nur als Übergangsprozess gelingen. Gerade Einrichtungen im Gesundheits- und Sozialwesen sind häufig auf Kommunikationspartner angewiesen, die sichere elektronische Verfahren noch nicht oder nicht flächendeckend nutzen.

Entscheidend ist deshalb weniger, ob heute noch einzelne Faxübermittlungen stattfinden, sondern wie mit diesen Ausnahmefällen umgegangen wird. Einrichtungen sollten den verbleibenden Faxverkehr weder ignorieren noch pauschal untersagen, sondern durch ein strukturiertes Verfahren steuern. Ein Faxregister, dokumentierte Ausnahmeentscheidungen, standardisierte Risikoanalysen, klare Dienstanweisungen und schriftlich dokumentierte Informationen zur Empfangssituation der Gegenstellen schaffen Transparenz und erleichtern den Nachweis, dass der Faxversand tatsächlich auf das unvermeidbare Maß reduziert wurde.

Als Kanzlei mit ausgewiesener Expertise in Datenschutz, IT‑Compliance und regulatorischer Begleitung von KI‑Projekten unterstützen wir Sie praxisnah bei der Klassifizierung Ihrer Systeme, der Durchführung von DPIAs und Risikoanalysen, der Ausgestaltung von AV‑Verträgen und Betriebsvereinbarungen sowie bei der Vorbereitung auf Melde‑, Informations‑ und Dokumentationspflichten nach DSGVO und KI‑VO; sprechen Sie uns an, damit wir gemeinsam eine rechtssichere und operationell umsetzbare KI‑Governance für Ihr Unternehmen entwickeln.