Messenger-Dienste gehören im Praxisalltag vieler Patienten zum täglichen Kommunikationsverhalten. Der Wunsch, Termine oder kurze Rückfragen per WhatsApp zu klären, ist daher nachvollziehbar. Aus rechtlicher Sicht ist der Einsatz von WhatsApp – selbst in der Business-Variante – jedoch mit erheblichen Risiken behaftet. Dieser Artikel fasst die wesentlichen rechtlichen, aufsichtsbehördlichen und technischen Probleme zusammen und stellt normkonforme Alternativen vor, die den Vorgaben der Datenschutzkonferenz (DSK) und der gematik entsprechen.
Rechtliche Grundlagen und mögliche Sanktionen
Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Ihre Verarbeitung ist grundsätzlich verboten und nur in engen Ausnahmefällen zulässig. Darüber hinaus gilt für Ärztinnen und Zahnärzte die strafbewehrte Schweigepflicht nach § 203 Abs. 1 Nr. 1 StGB. Verstöße können zu einer Höchststrafe von einem Jahr Freiheitsstrafe führen ( Quelle S2 ). Bei Verstößen gegen Art. 9 DSGVO kann ein Bußgeldrahmen von bis zu 20 Millionen Euro angewendet werden ( Quelle S3 ). Damit ist klar, dass ein unsicherer Kommunikationskanal nicht nur datenschutzrechtliche, sondern auch strafrechtliche Konsequenzen nach sich ziehen kann.
Technische Risiken von WhatsApp Business
WhatsApp Business löst nicht die Kernprobleme des Datenschutzes im medizinischen Kontext. Der automatische Adressbuch-Upload überträgt sämtliche Kontakte des Praxisgeräts an Server von Meta in den USA. Dies entspricht einem uneingeschränkten Zugriff auf das Telefon-Adressbuch, was nach den Vorgaben der Aufsichtsbehörden nicht zulässig ist. Zusätzlich werden Metadaten (z. B. Zeitstempel, Kommunikationspartner) verarbeitet und können zu Profiling-Mechanismen führen. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO fehlt, sodass die Praxis keine vertragliche Kontrolle über die Datenverarbeitung bei Meta hat.
Auflagen der Datenschutzkonferenz (DSK) für Messenger im Gesundheitswesen
Die DSK hat in ihrem Whitepaper zu technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich verbindliche Mindestkriterien definiert, die analog auf den niedergelassenen Sektor übertragen werden ( Quelle S4 ). Die Muss-Kriterien umfassen:
- Abgeschlossenen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- Vollständige Unterbindung von Metadaten-Profilings.
- Strikte physische oder logische Trennung des Chat-Speichers vom regulären Telefon-Adressbuch.
- Keine Weitergabe von Daten an Drittländer ohne angemessene Garantien.
WhatsApp erfüllt diese Kriterien nach aktueller behördlicher Einschätzung nicht.
Der TI-Messenger (TIM) – ein gesetzeskonformer Branchenstandard
Die gematik hat mit dem TI-Messenger (TIM) einen interoperablen Messenger-Dienst innerhalb der Telematikinfrastruktur (TI) etabliert. TIM basiert auf dem quelloffenen Matrix-Standard und wird federiert betrieben, wodurch herstellerübergreifende Interoperabilität gewährleistet ist. Seit April 2024 wurden die ersten Zulassungen für den TI-Messenger (TI-M Pro) erteilt ( Quelle S5 ). Die Datenverarbeitung erfolgt ausschließlich innerhalb der hochsicheren TI, ohne Zugriff auf lokale Adressbücher und ohne Weitergabe von Verkehrsdaten an Drittstaaten. Damit erfüllt TIM sämtliche DSK-Muss-Kriterien.
Praxisrealität: Nutzung sicherer TI-Dienste
Laut dem KBV-PraxisBarometer Digitalisierung 2025 nutzen bereits 61 % der befragten Praxen den sicheren TI-Dienst KIM (Kommunikation im Medizinwesen). Der elektronische Arztbrief (eArztbrief) wird von 87 % der Praxen eingesetzt ( Quelle S1 ). Diese Zahlen belegen, dass die Etablierung geschützter Fachkommunikationswege im ambulanten Sektor bereits Realität ist und die Bereitschaft zur Nutzung von zertifizierten TI-Lösungen stark wächst.
Praktische Gegenüberstellung: WhatsApp Business vs. TI-Messenger (TIM)
- Datenverarbeitung: WhatsApp überträgt Daten an US-Server; TIM verarbeitet ausschließlich innerhalb der deutschen TI.
- Adressbuch-Zugriff: WhatsApp synchronisiert das komplette Mobil-Adressbuch; TIM arbeitet ohne lokalen Adressbuch-Abgleich.
- Metadaten-Profiling: WhatsApp ermöglicht umfangreiche Metadaten-Auswertung; TIM verhindert Metadaten-Profiling durch technische Isolation.
- AV-Vertrag: Kein AVV mit Meta; TIM ist durch die gematik zertifiziert und beinhaltet einen verbindlichen AVV.
- Rechtslage: WhatsApp Business ist nicht konform zu Art. 32 DSGVO und § 203 StGB; TIM erfüllt die Anforderungen der DSK und ist damit rechtssicher.
Häufig gestellte Fragen (FAQ)
Reicht es aus, wenn der Patient die WhatsApp-Konversation von sich aus beginnt?
Nein. Eine konkludente Kontaktaufnahme ersetzt keine rechtswirksame, informierte Einwilligung nach Art. 7 DSGVO, da Patienten die bei Meta stattfindende Metadatenverarbeitung und die Weiterleitung an Server außerhalb der EU nicht vollumfänglich erfassen können.
Dürfen Terminbestätigungen per unverschlüsselter SMS versendet werden?
Klassische SMS erfüllen die technischen Anforderungen des Art. 32 DSGVO nicht, da ihnen eine Ende-zu-Ende-Verschlüsselung fehlt. Sie sind höchstens für neutrale Erinnerungen zulässig, sofern der Praxisname keine Rückschlüsse auf sensible Fachdisziplinen zulässt und der Patient dem Erhalt schriftlich zugestimmt hat.
Was unterscheidet den TI-Messenger grundlegend von WhatsApp Business?
TIM basiert auf dem föderierten Matrix-Standard, wird von der gematik zertifiziert und verarbeitet Daten ausschließlich in der Telematikinfrastruktur – ohne Zugriff auf lokale Adressbücher und ohne kommerzielle Auswertung von Verkehrsdaten.
Weitere Gegenüberstellungen: Risiken und Aufwand
- Patientenseitige Barrieren: Alternativen wie Threema oder Signal haben in der Allgemeinbevölkerung deutlich geringere Installationszahlen als WhatsApp, was zu Frustration führen kann, wenn die Praxis WhatsApp ablehnt.
- Technischer und personeller Aufwand: Die Containerisierung von Messenger-Apps mittels Mobile-Device-Management (MDM) erfordert kontinuierliche Administration durch externe IT-Dienstleister, was insbesondere in zahnärztlichen Einzelpraxen finanzielle und personelle Ressourcen bindet.
Praxisempfehlung für Zahnarztpraxen
Aus den dargestellten rechtlichen und technischen Analysen ergibt sich ein klares Fazit: Die Nutzung von WhatsApp – auch in der Business-Variante – ist für die Patientenkommunikation in Zahnarztpraxen nicht zulässig. Stattdessen sollten Praxen auf datenschutzkonforme Messenger-Lösungen setzen, die eine Ende-zu-Ende-Verschlüsselung ohne Metadaten-Auswertung bieten (z. B. Signal, Threema) und, noch besser, den TI-Messenger (TIM) nutzen, der bereits von der gematik zertifiziert ist und sämtliche DSK-Muss-Kriterien erfüllt. Die Kombination aus KIM-Integration und TIM ermöglicht eine sichere, interoperable und gesetzeskonforme Kommunikation, die sowohl den Patientenwunsch nach digitaler Erreichbarkeit als auch die strengen regulatorischen Vorgaben berücksichtigt.
Fazit
Der Einsatz von WhatsApp in der Zahnarztpraxis birgt erhebliche datenschutzrechtliche und strafrechtliche Risiken, die durch fehlende AV-Verträge, Adressbuch-Uploads und Metadaten-Profiling entstehen. Die Datenschutzkonferenz hat klare technische Mindestanforderungen definiert, die WhatsApp nicht erfüllt. Der TI-Messenger (TIM) stellt dagegen eine gesetzeskonforme, technisch sichere Alternative dar, die bereits von der gematik zertifiziert ist und von einer wachsenden Zahl von Praxen über KIM und eArztbrief genutzt wird. Zahnarztpraxen sollten daher unverzüglich von WhatsApp weg und hin zu zertifizierten TI-Lösungen wechseln, um Sanktionen zu vermeiden und die Patientenkommunikation rechtssicher zu gestalten.
