DSGVO bei Patienten-Kommunikation per WhatsApp

Patientendaten gehören zu den sensibelsten Informationen überhaupt. Wer als Arztpraxis WhatsApp zur Kommunikation einsetzen möchte, muss besondere Sorgfalt walten lassen. Die gute Nachricht: Mit den richtigen Maßnahmen ist eine datenschutzkonforme Nutzung möglich.

Besonderer Schutz für Gesundheitsdaten

Die DSGVO stuft Gesundheitsdaten als besondere Kategorie personenbezogener Daten ein (Art. 9 DSGVO). Ihre Verarbeitung ist grundsätzlich untersagt und nur unter bestimmten Ausnahmen zulässig. Für die Praxis-Kommunikation per WhatsApp bedeutet das erhöhte Anforderungen an Technik und Organisation.

Zusätzlich zur DSGVO gelten für Arztpraxen die ärztliche Schweigepflicht (§ 203 StGB) und das Patientendatenschutzgesetz. Diese Regelungen schränken den Kreis der zulässigen Kommunikationswege ein.

WhatsApp Business API als Voraussetzung

Die private WhatsApp-App oder die einfache WhatsApp Business App sind für die Patienten-Kommunikation nicht geeignet. Nur die WhatsApp Business API bietet die notwendigen technischen Grundlagen:

• Kein Adressbuch-Upload: Die API greift nicht auf Kontakte des Endgeräts zu
• Ende-zu-Ende-Verschlüsselung: Nachrichten sind während der Übertragung geschützt
• Serverstandort: Über zertifizierte Anbieter kann die Verarbeitung auf deutschen Servern sichergestellt werden
• Audit-Fähigkeit: Alle Kommunikationsvorgänge sind nachvollziehbar dokumentiert

Einwilligung richtig einholen

Patienten müssen der WhatsApp-Kommunikation ausdrücklich zustimmen. Die Einwilligung muss über die allgemeine Datenschutzerklärung hinausgehen und speziell die Messenger-Nutzung abdecken:

• Welche Daten werden über WhatsApp ausgetauscht?
• Zu welchem Zweck erfolgt die Kommunikation?
• Wie können Patienten die Einwilligung widerrufen?
• Welche Alternative steht zur Verfügung (Telefon, Post)?

Die Einwilligung sollte schriftlich oder digital dokumentiert und in der Patientenakte vermerkt werden.

Was über WhatsApp kommuniziert werden darf

Grundregel: So wenig medizinische Details wie möglich. Geeignet sind:

• Terminerinnerungen und -bestätigungen
• Information zur Rezeptbereitstellung
• Allgemeine Praxisinformationen
• Rückruf-Vereinbarungen

Nicht über WhatsApp kommuniziert werden sollten:

• Diagnosen und Befunde
• Detaillierte Behandlungsinformationen
• Laboreberichte
• Psychotherapeutische Inhalte

Für medizinische Inhalte bleibt das persönliche Gespräch, der Arztbrief oder die Telematikinfrastruktur der richtige Kanal.

Technische und organisatorische Maßnahmen

Neben der richtigen Plattformwahl sind weitere Maßnahmen erforderlich:

• Zugriffskontrolle: Nur berechtigtes Personal darf auf WhatsApp-Nachrichten zugreifen
• Löschkonzept: Chatverläufe müssen nach einem definierten Zeitraum gelöscht werden
• Auftragsverarbeitungsvertrag: Mit dem technischen Dienstleister nach Art. 28 DSGVO
• Datenschutz-Folgenabschätzung: Bei der Einführung sollte eine Risikoanalyse durchgeführt werden

Fazit

WhatsApp in der Arztpraxis ist machbar, erfordert aber mehr Sorgfalt als in anderen Branchen. Wer die technischen Voraussetzungen schafft, Einwilligungen korrekt einholt und die Kommunikation auf geeignete Inhalte beschränkt, kann den Kanal rechtssicher nutzen.