WhatsApp in der Praxis: Ist das erlaubt? DSGVO & Schweigepflicht

WhatsApp ist bequem, weit verbreitet und bei Patienten beliebt. Viele Praxisinhaber fragen sich deshalb: Darf ich es für Terminerinnerungen, Rückfragen oder Angebote nutzen? Die kurze Antwort: Nein. Für die Kommunikation mit Patienten ist WhatsApp in der Consumer-Version aus Sicht von DSGVO und Berufsrecht nicht erlaubt. Auch die Business-Variante ist umstritten. Dieser Beitrag erklärt die Probleme und zeigt, welche Alternativen rechtlich sauber funktionieren.

Wichtig: Dieser Beitrag ersetzt keine Rechtsberatung. Lassen Sie Ihren konkreten Fall von einem Anwalt prüfen.

Das Kernproblem: Daten fließen an Meta

WhatsApp gehört zu Meta (früher Facebook). Sobald die App auf dem Praxis-Handy installiert ist, greift sie auf das Adressbuch zu. Sie gleicht alle gespeicherten Telefonnummern mit den Servern von Meta ab. Das betrifft nicht nur Patienten, die WhatsApp nutzen, sondern alle Kontakte – auch solche, die nie eingewilligt haben.

Diese Weitergabe von Kontaktdaten an einen Dritten ist ohne Rechtsgrundlage nicht zulässig.

Hinzu kommt: Metadaten (wer wann mit wem kommuniziert) fallen beim Anbieter an, auch wenn die Inhalte verschlüsselt sind. Die Tatsache, dass eine Person Kontakt zu einer Praxis für ästhetische Medizin hat, ist bereits eine Information mit Gesundheitsbezug. Sie fällt unter die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Für diese gelten strengere Anforderungen.

Auftragsverarbeitung: Der fehlende Vertrag

Wenn eine Praxis einen Dienstleister einsetzt, der personenbezogene Daten in ihrem Auftrag verarbeitet, braucht sie einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) nach Art. 28 DSGVO. Für die Consumer-Version von WhatsApp gibt es einen solchen Vertrag nicht.

Die Praxis kann damit die Pflichten, die ihr die DSGVO auferlegt, nicht erfüllen. Sie kann nicht kontrollieren:

• wo Daten gespeichert werden
• wer Zugriff hat
• wie lange sie aufbewahrt werden

Die WhatsApp Business Platform (die API-Variante, die über Drittanbieter angebunden wird) bietet vertragliche Grundlagen. Ob diese für eine Praxis mit Schweigepflicht ausreichen, wird von Datenschutzaufsichtsbehörden und Kammern unterschiedlich bewertet. Wer diesen Weg prüft, sollte den Vertrag, den Serverstandort und die Frage der Drittlandübermittlung von einem Anwalt oder dem Datenschutzbeauftragten bewerten lassen.

Was ein AV-Vertrag grundsätzlich enthalten muss, beschreibt der Beitrag zum AV-Vertrag für Praxis-Software.

Schweigepflicht nach § 203 StGB

Für Ärzte, Zahnärzte und ihre Mitarbeiter kommt eine zweite Ebene hinzu: Die ärztliche Schweigepflicht ist strafbewehrt. Nach § 203 StGB macht sich strafbar, wer ein fremdes Geheimnis, das ihm als Arzt anvertraut wurde, unbefugt offenbart.

Seit der Reform von 2017 dürfen Dienstleister einbezogen werden. Aber nur, wenn:

• sie zur Geheimhaltung verpflichtet werden
• die Einbeziehung erforderlich ist

Übertragen auf WhatsApp: Die Praxis kann den Anbieter nicht zur Geheimhaltung verpflichten. Die Nutzung ist nicht erforderlich, weil Alternativen existieren. Schon die Information, dass eine bestimmte Person Patient der Praxis ist, kann ein geschütztes Geheimnis sein.

Für Kosmetikinstitute ohne ärztliche Leitung gilt § 203 StGB nicht direkt. Die DSGVO-Anforderungen bleiben aber bestehen.

Den Gesetzestext finden Sie unter gesetze-im-internet.de.

Einwilligung: Notwendig, aber nicht ausreichend

Viele Praxen gehen davon aus, dass eine Einwilligung des Patienten alle Probleme löst. Das ist nur teilweise richtig.

Eine wirksame Einwilligung nach Art. 7 DSGVO muss sein:

• freiwillig
• informiert
• eindeutig
• jederzeit widerrufbar

Für Gesundheitsdaten nach Art. 9 muss sie ausdrücklich erfolgen.

Selbst eine wirksame Einwilligung hat drei Grenzen:

1. Sie deckt nur die Daten des einwilligenden Patienten, nicht die Adressbuchdaten anderer Personen.
2. Sie ändert nichts an der fehlenden Auftragsverarbeitung und der fehlenden Kontrolle über den Anbieter.
3. Sie kann die Schweigepflicht nicht aufheben, wenn der Dienstleister nicht zur Geheimhaltung verpflichtet werden kann.

Die Einwilligung ist also eine Voraussetzung. Aber sie macht die Nutzung nicht automatisch zulässig.

Mach den Selbsttest: Ist Ihr Kanal rechtssicher?

Prüfen Sie Ihren aktuellen Kommunikationskanal mit diesen vier Fragen:

• Gibt es einen Auftragsverarbeitungsvertrag mit dem Anbieter?
• Stehen die Server in der EU (oder gibt es einen Angemessenheitsbeschluss)?
• Hat der Patient aktiv und informiert eingewilligt?
• Kann der Anbieter zur Geheimhaltung verpflichtet werden (bei ärztlicher Schweigepflicht)?

Wenn Sie auch nur eine Frage mit „Nein" beantworten, ist der Kanal rechtlich problematisch.

Was Praxen realistisch tun können

Die folgende Übersicht zeigt gängige Kanäle für die Patientenkommunikation im Vergleich.

Die entscheidende Frage lautet: Wer ist der Anbieter, gibt es einen AV-Vertrag, wo stehen die Server, und hat der Patient aktiv eingewilligt? Wenn alle vier Punkte klar sind, ist der Kanal in der Regel nutzbar. Bei WhatsApp Consumer ist keiner der vier Punkte erfüllt.

Die Alternative: Push-Nachrichten mit Einwilligung

Für die typischen Anliegen einer Selbstzahler-Praxis sind Push-Nachrichten in einer eigenen Patienten-App die sauberste Lösung. Typische Anliegen sind:

• Terminerinnerung
• Hinweis auf fällige Auffrischung
• Angebote
• Punktestand

So funktioniert es: Der Patient meldet sich am Tresen an, erlaubt Push-Nachrichten aktiv in der App und kann die Erlaubnis jederzeit zurücknehmen. Der App-Anbieter ist Auftragsverarbeiter mit AV-Vertrag, im Idealfall ein deutscher Anbieter.

Der praktische Vorteil: Die Nachricht erscheint auf dem Sperrbildschirm des Patienten, ähnlich wie eine WhatsApp-Nachricht. Aber im Branding der Praxis und ohne dass Daten an einen Werbekonzern fließen. Behandlungsdaten bleiben in der Praxissoftware. Die App verwaltet Termine, Punkte, Guthaben und Angebote.

Welche Inhalte in Push-Nachrichten wirken und was erlaubt ist, beschreibt der Beitrag zu Push-Nachrichten an Patienten.

Für Rückfragen mit medizinischem Inhalt (Nachsorge, Beschwerden) bleibt das Telefon oder ein spezialisierter Messenger mit AV-Vertrag der richtige Weg. Eine Patienten-App ersetzt den ärztlichen Kontakt nicht, sie entlastet ihn.

Wenn WhatsApp bereits im Einsatz ist

Viele Praxen nutzen WhatsApp bereits, weil Patienten danach fragen. Ein Ausstieg sollte geordnet erfolgen:

1. Inventur: Welche Nummern, welche Inhalte, welche Geräte?
2. Alternative aufsetzen: Patienten-App oder Messenger mit AV-Vertrag, Einwilligungen einholen.
3. Patienten informieren: Sachlicher Hinweis, dass die Praxis aus Datenschutzgründen den Kanal wechselt, mit Anleitung.
4. Übergangsfrist: Bestehende Chats nur noch mit Verweis auf den neuen Kanal beantworten.
5. Löschung: Chats und App vom Praxis-Handy entfernen, Adressbuch bereinigen, Vorgang dokumentieren.

Patienten reagieren auf diesen Wechsel in der Regel verständnisvoll, wenn er erklärt wird. Ein Hinweis auf die eigene App der Praxis, in der sie zusätzlich Punkte sammeln und Termine buchen können, macht den Wechsel zu einem Vorteil.

Grundlagen zum Datenschutz bei Patienten-Apps finden Sie im Beitrag zu DSGVO und Patienten-App.

Was passiert, wenn Sie nichts ändern

Wenn Sie WhatsApp weiter für Patientenkommunikation nutzen, riskieren Sie:

• Bußgelder durch Datenschutzaufsichtsbehörden (bis zu 20 Mio. € oder 4 % des Jahresumsatzes nach Art. 83 DSGVO)
• Strafverfahren wegen Verletzung der Schweigepflicht nach § 203 StGB (Geldstrafe oder Freiheitsstrafe bis zu einem Jahr)
• Abmahnungen durch Wettbewerber oder Patientenrechtsorganisationen
• Vertrauensverlust bei Patienten, wenn ein Vorfall bekannt wird

Die Wahrscheinlichkeit steigt mit jedem Monat, in dem Aufsichtsbehörden und Kammern ihre Kontrollen verschärfen. Jeder Tag mit WhatsApp ist ein vermeidbares Risiko.

Fazit

WhatsApp in der Praxis scheitert an vier Punkten: fehlende Auftragsverarbeitung, Datenweitergabe an Meta, Grenzen der Einwilligung und Schweigepflicht nach § 203 StGB. Die Business-Plattform verbessert die Vertragslage, bleibt aber prüfungsbedürftig. Wer Patienten direkt erreichen will, ist mit Push-Nachrichten in einer eigenen App auf der sicheren Seite – sofern Einwilligung, AV-Vertrag und Anbieter stimmen.

Lassen Sie Ihre konkrete Lösung von Ihrem Anwalt oder Ihrer Kammer prüfen. lumelle ist ein deutscher Anbieter mit AV-Vertrag, Push-Nachrichten nur nach aktiver Einwilligung und einer App im Branding Ihrer Praxis. Wenn Sie sehen möchten, wie das für Ihre Praxis aussieht, vereinbaren Sie ein kurzes Gespräch – in 15 Minuten steht die App fertig eingerichtet bereit.