„Kann jemand mor­gen Früh­dienst über­neh­men?“ – „Frau M. ist noch krank­ge­schrie­ben.“ – „Der neue Medi­ka­ti­ons­plan ist da – ich schick ihn mal in die Grup­pe.“

Sol­che Nach­rich­ten sind in vie­len Apo­the­ken, Arzt­pra­xen, Pfle­ge­hei­men oder the­ra­peu­ti­schen Ein­rich­tun­gen All­tag – geschrie­ben in pri­va­ten Whats­App-Grup­pen auf nicht geschütz­ten Smart­phones. Was kol­le­gi­al, schnell und prak­tisch erscheint, ist jedoch aus Sicht des Daten­schut­zes im Gesund­heits­we­sen sowie der beruf­li­chen Schwei­ge­pflicht nach § 203 StGB ein hoch­pro­ble­ma­ti­sches und poten­zi­ell straf­ba­res Ver­hal­ten.

Daten­schutz und Schwei­ge­pflicht im Gesund­heits­we­sen

Im Gesund­heits­be­reich gel­ten nicht nur die Vor­schrif­ten der Daten­schutz-Grund­ver­ord­nung (DSGVO), son­dern auch spe­zi­el­le berufs­recht­li­che Ver­pflich­tun­gen – ins­be­son­de­re:

  • die ärzt­li­che, phar­ma­zeu­ti­sche und pfle­ge­ri­sche Schwei­ge­pflicht gemäß § 203 Straf­ge­setz­buch (StGB),
  • die Berufs­ord­nun­gen der jewei­li­gen Lan­des­ärz­te- und Lan­des­apo­the­ker­kam­mern.

203 StGB – Schwei­ge­pflicht mit Straf­an­dro­hung

  •  203 StGB schützt das beson­ders hohe Ver­trau­en zwi­schen Patient:innen und medi­zi­ni­schem Fach­per­so­nal. Er ver­pflich­tet u. a. Ärz­tin­nen und Ärz­te, Apotheker:innen, Pfle­ge­kräf­te sowie deren Mit­ar­bei­ten­de zur abso­lu­ten Ver­trau­lich­keit über alle beruf­lich erlang­ten Infor­ma­tio­nen.

Ein Ver­stoß – etwa durch die unge­si­cher­te Wei­ter­ga­be sen­si­bler Daten via Whats­App – kann eine Straf­bar­keitbegrün­den. Die Höchst­stra­fe: bis zu ein Jahr Frei­heits­stra­fe oder Geld­stra­fe.

Schon schein­bar harm­lo­se Infor­ma­tio­nen wie „Kol­le­gin X ist krank“ oder „Pati­ent Y war heu­te auf­fäl­lig ver­wirrt“ unter­lie­gen die­sem Schutz und dür­fen nicht unver­schlüs­selt und nicht über pri­va­te Mes­sen­ger wie Whats­App geteilt wer­den.

Berufs­ord­nun­gen: Ver­schwie­gen­heit als Berufs­pflicht

Auch die Berufs­ord­nun­gen der Lan­des­ärz­te­kam­mern (§ 9 BO-Ärz­te) und der Apo­the­ker­kam­mern (§ 4 BO-Apo­the­ker) schrei­ben den ver­trau­li­chen und daten­schutz­kon­for­men Umgang mit Pati­en­ten­da­ten vor – inklu­si­ve:

  • Schutz der Pri­vat­sphä­re,
  • siche­re Kom­mu­ni­ka­ti­on,
  • Ver­mei­dung unge­eig­ne­ter Tools (wie Whats­App).

Whats­App erfüllt die­se Anfor­de­run­gen nicht. Die Nut­zung zu beruf­li­chen Zwe­cken kann daher berufs­recht­li­che Kon­se­quen­zen haben – bis hin zu Dis­zi­pli­nar­maß­nah­men oder dem Ent­zug der Berufs­zu­las­sung.

Daten­schutz bei Whats­App und pri­va­ten Gerä­ten (BYOD = Bring Your Own Device)

Zugriffs­schutz

Pri­va­te Smart­phones sind häu­fig:

  • nicht ver­schlüs­selt,
  • nicht aus­rei­chend pass­wort­ge­schützt,
  • nicht zen­tral ver­wal­tet.

Ergeb­nis: Drit­te Per­so­nen (z. B. Fami­li­en­an­ge­hö­ri­ge) könn­ten auf dienst­li­che Chat­ver­läu­fe zugrei­fen – ein kla­rer Ver­stoß gegen Art. 32 DSGVO sowie die Schwei­ge­pflicht.

Unzu­rei­chen­de Ver­schlüs­se­lung bei Whats­App

Trotz Ende-zu-Ende-Ver­schlüs­se­lung ist Whats­App nicht DSGVO-kon­form im Gesund­heits­be­reich, da:

  • kein Auf­trags­ver­ar­bei­tungs­ver­trag mit Meta (Whats­App) besteht (Ver­stoß gegen Art. 28 DSGVO),
  • kei­ne Pro­to­kol­lie­rung oder Zugriffs­kon­trol­le mög­lich ist,
  • auto­ma­ti­sche Back­ups (z. B. iCloud, Goog­le Dri­ve) unver­schlüs­selt erfol­gen kön­nen.

BYOD: Bring Your Own Dis­as­ter?

Die dienst­li­che Nut­zung pri­va­ter End­ge­rä­te ohne ein struk­tu­rier­tes BYOD-Kon­zept führt zu:

  • feh­len­der Tren­nung zwi­schen pri­va­ten und dienst­li­chen Daten,
  • kei­ner Mög­lich­keit zur Fern­lö­schung,
  • erhöh­tem Risi­ko für Daten­pan­nen (z. B. bei Gerä­te­ver­lust oder Fehl­ver­sand).

Ver­ant­wort­lich für die siche­re Ver­ar­bei­tung bleibt immer der Arbeit­ge­ber – auch bei pri­va­ten Gerä­ten!

Die Ver­ant­wor­tung für Daten­schutz und Ver­schwie­gen­heit bleibt trotz­dem beim Arbeit­ge­ber!

Risi­ken: Daten­schutz­ver­stö­ße, Buß­gel­der, Straf­tat

Wer Whats­App zur dienst­li­chen Kom­mu­ni­ka­ti­on im Gesund­heits­we­sen nutzt, ohne tech­ni­sche und recht­li­che Absi­che­rung, ver­stößt poten­zi­ell gegen:

  • die DSGVO (Art. 5, 6, 9, 32),
  • die beruf­li­che Schwei­ge­pflicht nach § 203 StGB,
  • die Berufs­ord­nun­gen der Heil­be­ru­fe­kam­mern.

Mög­li­che Kon­se­quen­zen:

  • Buß­gel­der gemäß Art. 83 DSGVO,
  • Mel­dung an die Daten­schutz­auf­sicht (Art. 33 DSGVO),
  • Scha­dens­er­satz­for­de­run­gen gemäß Art. 82 DSGVO,
  • dis­zi­pli­na­ri­sche und straf­recht­li­che Sank­tio­nen.
Hand­lungs­emp­feh­lun­gen für Pra­xen, Apo­the­ken & Pfle­ge­ein­rich­tun­gen
  1. Whats­App-Ver­bot für dienst­li­che Kom­mu­ni­ka­ti­on
  • Kla­re Rege­lung per Dienst­an­wei­sung oder Daten­schutz­richt­li­nie.
  • Ggf. in Arbeits­ver­trä­gen oder Com­pli­ance-Vor­ga­ben ver­an­kern.
  1. DSGVO-kon­for­me Mes­sen­ger ein­füh­ren

Emp­foh­le­ne Mes­sen­ger-Alter­na­ti­ven zu Whats­App im Gesund­heits­we­sen:

  • Three­ma Work (sicher, unter­neh­mens­ori­en­tiert)
  • Signal (mit MDM-Lösun­gen ein­setz­bar)
  • Ele­ment (Matrix) (Open Source, DSGVO-kon­form)
  • Sii­lo (spe­zi­ell für medi­zi­ni­sches Per­so­nal)
  • Micro­soft Teams (Health­ca­re Edi­ti­on)

Die­se Tools bie­ten:

  • siche­re Ende-zu-Ende-Ver­schlüs­se­lung,
  • Nut­zer­ver­wal­tung & Pro­to­kol­lie­rung,
  • Zugriffs­schutz & Kon­trol­le.
  1. BYOD nur mit Kon­zept
  • Idea­ler­wei­se: dienst­li­che Gerä­te mit MDM (Mobi­le Device Manage­ment).
  • Alter­na­tiv: BYOD nur mit doku­men­tier­tem Sicher­heits­kon­zept, App-Con­tai­ner, Zugriffs­kon­trol­len.
  1. Daten­schutz-Schu­lun­gen
  • Pflicht­schu­lun­gen zur DSGVO, § 203 StGB und zur berufs­recht­li­chen Schwei­ge­pflicht.
  • Bewusst­sein schaf­fen: Pati­en­ten­schutz beginnt mit Daten­schutz.
Fazit: Whats­App im Gesund­heits­we­sen? Lie­ber nicht.

Whats­App ist im medi­zi­ni­schen Bereich nicht zuläs­sig – weder für die Über­ga­be von Infor­ma­tio­nen noch für Team­kom­mu­ni­ka­ti­on, solan­ge es um per­so­nen­be­zo­ge­ne oder gar gesund­heits­be­zo­ge­ne Daten geht.

Wer im Gesund­heits­we­sen Ver­ant­wor­tung trägt, soll­te:

  • die beruf­li­che Schwei­ge­pflicht ernst neh­men,
  • daten­schutz­kon­for­me Mes­sen­ger imple­men­tie­ren,
  • Mit­ar­bei­ten­de schu­len und schüt­zen.

Denn Daten­schutz ist kein Hin­der­nis – er ist Teil einer ver­trau­ens­vol­len Pati­en­ten­ver­sor­gung.