Ist es strafbar, WhatsApp zwischen Arzt und Patient zu nutzen? – Schweigepflicht, DSGVO & sichere Alternativen

Ein Foto vom Hautbefund, eine Terminverschiebung per Sprachnachricht oder ein Laborergebnis „schnell übers Handy“: WhatsApp gehört für viele Menschen selbstverständlich zum Alltag und wird deshalb auch als Kommunikationsweg mit der Arztpraxis erwartet. Für die Praxis ist dieser Austausch jedoch mit besonderen rechtlichen Anforderungen verbunden. Denn sobald Gesundheitsdaten über einen Messenger verarbeitet werden, treffen Schweigepflicht und Datenschutzrecht auf die technischen Gegebenheiten des Dienstes.

Die Nutzung von WhatsApp für die Kommunikation zwischen Arzt und Patient kann unter bestimmten Umständen strafrechtlich relevant sein und ist aus datenschutzrechtlicher Sicht nicht ohne Weiteres zulässig. Entscheidend sind dabei unter anderem die Art der übermittelten Informationen, die Einwilligung des Patienten und die konkrete Verarbeitung der Daten durch den Dienst. Welche rechtlichen Anforderungen gelten und welche Kommunikationswege stattdessen infrage kommen, zeigen die folgenden Abschnitte.

Die ärztliche Schweigepflicht ergibt sich aus dem Berufsrecht und wird durch § 203 StGB strafrechtlich geschützt. Danach macht sich unter anderem strafbar, wer unbefugt ein fremdes Geheimnis offenbart, das ihm in seiner beruflichen Eigenschaft anvertraut oder sonst bekannt geworden ist. Geschützt sind nicht nur Diagnosen und Befunde, sondern grundsätzlich sämtliche Tatsachen, die im Zusammenhang mit dem Behandlungsverhältnis bekannt werden. Dazu kann bereits die Information gehören, dass eine Person eine bestimmte Arztpraxis aufsucht. Die Schweigepflicht besteht grundsätzlich auch nach dem Tod des Patienten fort.

Die Vorgaben betreffen nicht ausschließlich Ärzte. Auch andere Berufsgruppen, die dem Schutz des § 203 StGB unterliegen, sowie berufsmäßig tätige Gehilfen wie Medizinische Fachangestellte müssen die Vertraulichkeit wahren. Eine Offenbarung ist grundsätzlich nur zulässig, wenn hierfür eine gesetzliche Befugnis besteht oder der Patient wirksam eingewilligt hat.

Für die Kommunikation per Messenger ist deshalb entscheidend, ob geschützte Informationen unbefugt an Dritte gelangen können. Genau hier stellt sich bei WhatsApp eine besondere Frage: Nicht nur der konkrete Nachrichteninhalt ist relevant, sondern auch, welche Daten bei der Nutzung des Dienstes verarbeitet und an welche Stellen sie übermittelt werden.

Das zentrale Problem liegt im Umgang mit den Kontaktdaten des Adressbuchs. Bei der Nutzung von WhatsApp kann die App auf die im Gerät gespeicherten Kontakte zugreifen und diese mit den Servern des Anbieters abgleichen. Befinden sich darunter Patientenkontakte, kann dadurch gegenüber einem Dritten erkennbar werden, dass bestimmte Personen mit einer Arztpraxis oder einem Praxismitarbeiter in Verbindung stehen. Gerade diese Information kann bereits dem Schutz der Schweigepflicht unterliegen. Nach verbreiteter juristischer Auffassung kann deshalb bereits die Nutzung der App auf einem Gerät mit entsprechenden Kontakten problematisch sein; bei der Übermittlung konkreter Gesundheitsinformationen verschärft sich die Situation zusätzlich.

Eine Einwilligung des einzelnen Patienten beseitigt dieses Problem nicht vollständig. Sie kann sich grundsätzlich nur auf die eigene Kommunikation und die eigenen Daten beziehen. Für andere im Adressbuch gespeicherte Personen liegt damit keine entsprechende Zustimmung vor. Auch die Ende-zu-Ende-Verschlüsselung der Nachrichten ändert daran nichts: Sie schützt zwar den Inhalt der Kommunikation während der Übertragung, verhindert aber nicht, dass im Zusammenhang mit der Nutzung weitere Daten wie Kontaktdaten verarbeitet werden können.

Für die Praxis bedeutet das: Auch wenn eine konkrete Strafverfolgung an weitere Voraussetzungen geknüpft sein kann, bleibt die Schweigepflicht bestehen. Ein Verstoß kann daher unabhängig von einer strafrechtlichen Verfolgung berufsrechtliche oder zivilrechtliche Folgen haben.

Wer die Patientenkommunikation digital organisieren möchte, benötigt geeignete Anwendungen, die sich in die bestehenden Praxisabläufe einfügen. Die Praxissoftware medatixx unterstützt unter anderem bei der Patientenverwaltung, medizinischen Dokumentation, Terminplanung und Abrechnung. Für die digitale Kommunikation mit Patienten stehen innerhalb der Software ebenfalls entsprechende Add-ons zur Verfügung, darunter die Praxis-Patienten-Kommunikation sowie das Online-Terminmanagement und die Videosprechstunde.

Darüber hinaus bietet medatixx die Anbindung an die Telematikinfrastruktur als TI as a Service. Über die TI stehen verschiedene digitale Anwendungen des Gesundheitswesens zur Verfügung, darunter KIM für den sicheren elektronischen Austausch zwischen den beteiligten Akteuren.

Neben dem Strafrecht steht das Datenschutzrecht, und hier gilt das Zwei-Schranken-Prinzip: Neben der Schweigepflicht sind bei der Kommunikation über Messenger die Vorgaben der DSGVO zu beachten. Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten und dürfen grundsätzlich nur unter den Voraussetzungen der DSGVO verarbeitet werden. Für eine Arztpraxis bedeutet das unter anderem, dass sie die Rechtsgrundlage der Verarbeitung bestimmen, die betroffenen Personen angemessen informieren und geeignete technische und organisatorische Maßnahmen zum Schutz der Daten gewährleisten muss.

Bei WhatsApp stellt sich dabei die Frage, welche Daten im Rahmen der Nutzung verarbeitet werden und inwieweit die Praxis diese Verarbeitung kontrollieren kann. Dazu gehört auch der Umgang mit den im Adressbuch gespeicherten Kontaktdaten. Befinden sich dort Informationen zu Patienten, kann deren Verarbeitung datenschutzrechtlich relevant sein, obwohl diese Personen selbst gar nicht mit WhatsApp kommunizieren. Eine Einwilligung des einzelnen Patienten in die Kommunikation über WhatsApp beantwortet daher nicht automatisch alle datenschutzrechtlichen Fragen.

Auch WhatsApp Business schafft nicht automatisch eine datenschutzrechtlich zulässige Lösung. Die geschäftliche Variante richtet sich zwar ausdrücklich an Unternehmen, entscheidend bleiben jedoch die konkreten Bedingungen der Datenverarbeitung und die Frage, ob die Praxis ihre datenschutzrechtlichen Pflichten gegenüber den Patienten erfüllen kann. Bei einem Verstoß kommen insbesondere aufsichtsbehördliche Maßnahmen und Bußgelder nach Art. 83 DSGVO sowie mögliche Schadensersatzansprüche nach Art. 82 DSGVO in Betracht.

Für Arztpraxen reicht es deshalb nicht aus, allein auf die Verschwiegenheit des behandelnden Arztes oder die Verschlüsselung der Nachrichten zu vertrauen. Entscheidend ist vielmehr, ob der gesamte Kommunikationsweg den Anforderungen des Datenschutzrechts entspricht.

Auf WhatsApp zu verzichten bedeutet nicht, dass digitale Kommunikation mit Patienten ausgeschlossen ist.

Je nach Anliegen stehen unterschiedliche etablierte Kommunikationswege zur Verfügung:

Videosprechstunde: Für die ärztliche Behandlung per Video können zertifizierte Videodienstanbieter eingesetzt werden, die die dafür geltenden Anforderungen erfüllen.

• Online-Terminvergabe und Patientenportale: Termine lassen sich digital vereinbaren und verwalten. Patientenportale können darüber hinaus strukturierte Anfragen und weitere Funktionen für den Austausch zwischen Praxis und Patient bereitstellen.
• TI-Messenger: Der TI-Messenger ist als sicherer Kurznachrichtendienst für das Gesundheitswesen konzipiert und ermöglicht eine digitale Kommunikation zwischen den Beteiligten im Gesundheitswesen.
• KIM: Die Kommunikation im Medizinwesen (KIM) dient dem sicheren elektronischen Austausch zwischen medizinischen Einrichtungen und weiteren berechtigten Teilnehmern, beispielsweise für eArztbriefe oder Befunde.
• Telefon und Brief: Für viele Anliegen bleiben auch klassische Kommunikationswege geeignet. Bei besonders sensiblen Informationen kann insbesondere das persönliche Gespräch eine wichtige Rolle spielen.

Welcher Kommunikationsweg geeignet ist, hängt vom jeweiligen Zweck und den dabei verarbeiteten Informationen ab. Für die Praxis ist daher entscheidend, für jeden Anwendungsfall einen dafür geeigneten und rechtlich abgesicherten Kanal festzulegen.