WhatsApp und Messenger in der Arztpraxis: Warum sie gegen die DSGVO verstoßen und welche Alternativen bleiben

Ist WhatsApp in der Arztpraxis erlaubt?

Nein, für die Patientenkommunikation ist WhatsApp nicht zulässig. Der Messenger überträgt Metadaten und das komplette Adressbuch an Meta-Server, und für Gesundheitsdaten nach Art. 9 DSGVO lässt sich mit Meta kein Auftragsverarbeitungsvertrag schließen. Damit fehlt die Rechtsgrundlage. Mehrere Datenschutzbehörden stufen die geschäftliche Nutzung als rechtswidrig ein.

WhatsApp ist bequem, schnell und jeder hat es auf dem Handy. Genau das macht den dienstlichen Einsatz in der Praxis so verlockend: Terminbestätigung per Chat, kurz ein Foto vom Rezept, eine Rückfrage der Patientin am Wochenende. Das Problem ist, dass die Bequemlichkeit auf Kosten von Daten geht, die zu den am strengsten geschützten überhaupt gehören.

Denn schon die bloße Tatsache, dass jemand mit einer bestimmten Facharztpraxis in Kontakt steht, etwa einer onkologischen, psychiatrischen oder suchtmedizinischen Praxis, lässt Rückschlüsse auf den Gesundheitszustand zu. Damit ist bereits die Kontaktbeziehung selbst ein Gesundheitsdatum im Sinne von Art. 9 DSGVO, nicht erst der Inhalt der Nachricht.

Warum WhatsApp gegen die DSGVO verstößt

WhatsApp scheitert an drei Punkten gleichzeitig: Es überträgt Metadaten und das Adressbuch an Meta in den USA, es lässt keinen Auftragsverarbeitungsvertrag für Gesundheitsdaten zu, und die Daten unterliegen US-Zugriffsrechten. Jeder dieser Punkte allein reicht, um die Verarbeitung von Patientendaten unzulässig zu machen.

Der erste Punkt ist das Adressbuch. Wer WhatsApp den Zugriff auf die Kontakte erlaubt, überträgt die gespeicherten Telefonnummern und Namen an die Server von Meta. Auf einem Praxishandy sind das Patientennummern. Diese Personen haben der Übertragung nie zugestimmt und wurden nie darüber informiert. Damit verarbeitet die Praxis fremde Daten ohne jede Rechtsgrundlage, und zwar automatisch im Hintergrund, ohne dass eine einzige Nachricht verschickt wurde.

Der zweite Punkt sind die Metadaten. Auch wenn die Nachrichteninhalte Ende-zu-Ende verschlüsselt sind, erfasst Meta, wer wann mit wem kommuniziert. Bei einer Arztpraxis verrät genau das die sensible Information: die Verbindung zwischen einem konkreten Patienten und einem konkreten Arzt. Diese Metadaten fallen ebenfalls unter die ärztliche Schweigepflicht.

Der dritte Punkt ist der fehlende Vertrag. Für die Verarbeitung von Gesundheitsdaten braucht die Praxis einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit jedem Dienstleister, der die Daten berührt. Meta bietet für WhatsApp keinen AVV an, der Gesundheitsdaten abdeckt. Ohne AVV ist der Einsatz per Definition unzulässig, unabhängig von allem anderen. Was ein AVV leisten muss, steht im Beitrag zum Auftragsverarbeitungsvertrag.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 9 (besondere Kategorien personenbezogener Daten), Art. 28 (Auftragsverarbeitung) und Art. 83 (Bußgelder).

Dass Datenschutzbehörden das nicht nur theoretisch sehen, zeigt ein Blick auf die Aufsichtspraxis. Die Landesbeauftragte für den Datenschutz Niedersachsen hält die geschäftliche Nutzung von WhatsApp bei Anwendbarkeit der DSGVO ausdrücklich für rechtswidrig. Und die irische Datenschutzbehörde, die für Meta in der EU zuständig ist, verhängte im September 2021 ein Bußgeld von 225 Millionen Euro gegen WhatsApp, unter anderem wegen intransparenter Datenweitergabe innerhalb des Meta-Konzerns.

Quelle: netzpolitik.org: 225 Millionen Euro Bußgeld gegen WhatsApp (DPC, September 2021)Die irische Datenschutzbehörde (DPC) verhängte 225 Millionen Euro gegen WhatsApp wegen Verstößen gegen Transparenz- und Informationspflichten nach Art. 12 ff. DSGVO.

Schweigepflicht und § 203 StGB: die zweite Baustelle

Neben dem Datenschutz gibt es eine zweite, oft übersehene Ebene: die ärztliche Schweigepflicht. Ein Bruch nach § 203 StGB kann mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe geahndet werden. Und dieser Bruch kann bereits vorliegen, bevor überhaupt eine Nachricht mit medizinischem Inhalt verschickt wurde.

Der Grund ist wieder das Adressbuch. Wenn WhatsApp auf einem Gerät installiert wird, auf dem Patientenkontakte gespeichert sind, gleicht die App diese Kontakte mit den Servern von Meta ab. Damit offenbart die Praxis Informationen, die der Schweigepflicht unterliegen, gegenüber einem Dritten, nämlich Meta. Das kann strafrechtlich relevant sein, unabhängig davon, ob je ein Befund verschickt wurde.

Für die Praxis heißt das: Es geht nicht nur um die Frage, was man über WhatsApp schreibt, sondern schon darum, ob WhatsApp überhaupt auf Geräten läuft, die Patientenkontakte enthalten. Ein privat auf dem Diensthandy installierter Messenger ist damit kein rein privates Thema mehr.

Warum die Einwilligung des Patienten nicht rettet

Ein verbreiteter Irrtum lautet: Wenn der Patient es ausdrücklich so will, ist WhatsApp erlaubt. Das stimmt nicht. Eine Einwilligung heilt die Grundprobleme nicht, weil sie an den falschen Stellen ansetzt. Sie kann weder die intransparente Datenverarbeitung bei Meta legitimieren noch den fehlenden Auftragsverarbeitungsvertrag ersetzen noch die Rechte unbeteiligter Dritter aushebeln.

Erstens setzt eine wirksame Einwilligung voraus, dass der Patient versteht, worin er einwilligt. Genau das ist bei WhatsApp nicht gegeben, weil die Datenverarbeitung von Meta für Außenstehende nicht durchschaubar ist. Eine Einwilligung in etwas Unüberschaubares ist nicht informiert und damit nicht wirksam.

Zweitens betrifft die automatische Adressbuchübertragung Dritte. Selbst wenn ein Patient zustimmt, haben die anderen Personen im Adressbuch das nicht getan. Deren Rechte kann der einwilligende Patient nicht abtreten.

Drittens ist die Einwilligung ohnehin nur einer von mehreren Bausteinen. Der fehlende AVV bleibt ein eigenständiger Verstoß, den keine noch so ausführliche Einwilligungserklärung ausgleicht.

Was WhatsApp Business und andere Messenger daran ändern

Wenig bis nichts. WhatsApp Business gehört zu Meta und arbeitet nach denselben Grundregeln, ein AVV für Gesundheitsdaten ist auch hier nicht abschließbar. Und andere gängige Messenger wie Telegram oder der Facebook Messenger lösen das Problem ebenfalls nicht, weil auch bei ihnen Anbieter, Serverstandort oder Vertragslage nicht zu Gesundheitsdaten passen.

WhatsApp Business richtet sich an Unternehmen und bietet Komfortfunktionen wie automatische Antworten oder Kataloge. An der datenschutzrechtlichen Kernfrage ändert das nichts: Metadaten und Adressbuch werden weiterhin verarbeitet, die Daten unterliegen weiterhin US-Zugriffsrechten, und einen AVV für Gesundheitsdaten gibt es nicht. Die Datenschutzbehörden haben das ausdrücklich bestätigt.

Auch der oft empfohlene Wechsel zu einem anderen bekannten Messenger ist keine Lösung, solange der Dienst nicht speziell für das Gesundheitswesen konzipiert ist. Entscheidend sind nicht die Bekanntheit oder die Ende-zu-Ende-Verschlüsselung allein, sondern die vollständige Kette: EU-Hosting, keine Datenweitergabe an Dritte, ein belastbarer AVV und keine ungefragte Adressbuchübertragung.

Welche sicheren Alternativen bleiben

Es gibt für praktisch jeden Anwendungsfall einen zulässigen Weg. Für die Kommunikation zwischen Leistungserbringern sind KIM und der TI-Messenger etabliert. Für den Kontakt mit Patienten kommen ein verschlüsseltes Patientenportal, ein DSGVO-konformer Praxis-Messenger mit EU-Hosting und AVV sowie perspektivisch der TI-Messenger über die ePA- und Kassen-Apps infrage. Das Telefon bleibt für Rückfragen ohnehin jederzeit zulässig.

Der wichtigste Kanal für die Kommunikation mit anderen Praxen, Laboren und Kliniken ist KIM (Kommunikation im Medizinwesen), der sichere E-Mail-Dienst der Telematikinfrastruktur. KIM ist für formelle Dokumente wie Arztbriefe, Befunde oder eAU gedacht. Die Einrichtung haben wir im Beitrag KIM in der Arztpraxis einrichten beschrieben.

Für die schnelle, weniger formelle Kommunikation zwischen Leistungserbringern kommt der TI-Messenger (TI-M) hinzu. Er ist von der gematik spezifiziert, Ende-zu-Ende-verschlüsselt und interoperabel, so wie E-Mail zwischen verschiedenen Anbietern funktioniert. Für Patientinnen und Patienten wird der TI-Messenger schrittweise über die Kassen- und ePA-Apps nutzbar, sodass ein sicherer Chat mit der Praxis auch auf Patientenseite ohne WhatsApp möglich wird.

Für die reine Kommunikation mit Patienten, etwa Terminerinnerungen, Rezeptanfragen oder das Versenden von Unterlagen, ist ein verschlüsseltes Patientenportal oder ein spezialisierter Praxis-Messenger die praktikable Wahl. Wichtig sind dabei die harten Kriterien: Serverstandort in der EU, keine Weitergabe an Dritte, ein belastbarer Auftragsverarbeitungsvertrag und idealerweise ein C5-Testat des BSI oder eine ISO-27001-Zertifizierung.

Quelle: gematik Fachportalgematik Fachportal: Spezifikationen zu KIM (Kommunikation im Medizinwesen) und zum TI-Messenger (TI-M) als sichere Kommunikationsdienste der Telematikinfrastruktur.

WhatsApp sauber aus der Praxis entfernen

Wer WhatsApp bisher dienstlich genutzt hat, sollte nicht nur die App löschen, sondern den Umstieg strukturiert angehen. Sonst bleiben Patientenkontakte in der Cloud, das Team weicht auf Privathandys aus, und die Patienten schreiben weiter, weil niemand ihnen einen anderen Weg genannt hat. Die folgenden Schritte bringen Ordnung in den Wechsel.

1. 1
   Ist-Zustand aufnehmen
   Klären Sie, auf welchen Geräten WhatsApp läuft und ob dort Patientenkontakte gespeichert sind. Erfassen Sie, wofür der Messenger bisher genutzt wurde: Termine, Rezepte, Rückfragen, Kollegenaustausch. Nur was Sie kennen, können Sie ersetzen.
2. 2
   Ersatzkanäle festlegen
   Ordnen Sie jedem Anwendungsfall einen zulässigen Kanal zu: KIM und TI-Messenger für den Austausch mit Praxen und Laboren, Patientenportal oder Praxis-Messenger für den Patientenkontakt, Telefon für Rückrufe. So bleibt keine Lücke, in die WhatsApp zurückkehrt.
3. 3
   Geräte bereinigen
   Deinstallieren Sie WhatsApp von allen dienstlichen Geräten mit Patientenkontakten und widerrufen Sie in den Kontoeinstellungen den Adressbuchzugriff. Trennen Sie dienstliche und private Nutzung sauber und halten Sie das in einer kurzen Geräterichtlinie fest.
4. 4
   Patienten informieren
   Weisen Sie am Empfang, auf der Website und in der Telefonansage darauf hin, dass die Praxis aus Datenschutzgründen nicht über WhatsApp kommuniziert, und nennen Sie den sicheren Weg. Ein vorbereiteter Antworttext für eingehende WhatsApp-Nachrichten hilft dem Team.
5. 5
   Dokumentieren
   Nehmen Sie die neuen Kommunikationskanäle ins Verzeichnis der Verarbeitungstätigkeiten auf, schließen Sie die nötigen AVV ab und halten Sie die Geräteregel in den technisch-organisatorischen Maßnahmen fest. So ist der Umstieg bei einer Prüfung belegbar.

Was sichere Kommunikation kostet

Die Kosten für den Umstieg sind überschaubar und stehen in keinem Verhältnis zum vermiedenen Risiko. Vieles ist bereits vorhanden: KIM gehört zur TI-Grundausstattung, der TI-Messenger baut darauf auf. Für den Patientenkontakt kommt je nach Lösung ein Portal oder ein Praxis-Messenger hinzu. Die folgenden Werte sind grobe Orientierung, keine Angebote.

Dem gegenüber steht das Risiko: Bußgelder nach Art. 83 DSGVO bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes bilden den abstrakten Rahmen. Praktisch relevanter sind Beschwerden, behördliche Prüfungen und Schadensersatzforderungen, dazu die strafrechtliche Dimension der Schweigepflicht nach § 203 StGB. Die 225 Millionen Euro, die gegen WhatsApp selbst verhängt wurden, zeigen, dass die Behörden bei Meta genau hinsehen. Der saubere Umstieg ist dagegen ein einmaliger, planbarer Aufwand.

Wie ITCC Ihre Praxis dabei unterstützt

ITCC ist externe IT-Abteilung für medizinische Einrichtungen in der Region Pfalz/Rhein-Neckar und Rhein-Main. Wir sind keine Anwaltskanzlei und ersetzen keine Rechtsberatung, aber wir setzen die sichere Kommunikation technisch und organisatorisch um, damit WhatsApp erst gar nicht mehr gebraucht wird.

Konkret nehmen wir auf, wofür in Ihrer Praxis heute WhatsApp oder andere Messenger genutzt werden, richten die zulässigen Kanäle ein, von KIM über den TI-Messenger bis zu einem passenden Patientenportal, und bereinigen die Geräte. Wir liefern eine einfache Geräterichtlinie, schließen die nötigen Auftragsverarbeitungsverträge und dokumentieren die neuen Kanäle so, dass sie in Ihr Verarbeitungsverzeichnis und Ihre TOMs passen.

Wenn Sie wissen wollen, wie Ihre Praxis heute kommuniziert und was sich davon sauber ablösen lässt, schreiben Sie uns unter info@itcc.de oder rufen Sie an. Sie bekommen eine ehrliche Einschätzung und eine konkrete Liste, ohne langes Erstgespräch ohne Ergebnis.