Chat oder WhatsApp für Praxistermine: DSGVO-konform bleiben auf Messaging-Kanälen

WhatsApp ist, ohne dass es jemand offiziell entschieden hätte, zur inoffiziellen Rezeption vieler Praxen in Rumänien geworden. Der Patient schreibt „Ich hätte gerne einen Termin bei der Dermatologie, ich habe ein Problem mit…“ und plötzlich landen Gesundheitsdaten auf dem Telefon der Rezeption. Es ist schnell, bequem, und die Patienten mögen es. Das Problem taucht auf, wenn Ihnen klar wird, dass diese Nachrichten in den Augen der DSGVO eine besondere Kategorie personenbezogener Daten sind – die sensibelste überhaupt.

Die gute Nachricht: Sie müssen nicht auf Messaging verzichten, um konform zu sein. Sie müssen nur wissen, was Sie über diesen Kanal empfangen dürfen, was Sie davon fernhalten sollten und wie Sie die Abläufe organisieren, damit eine entwischte Nachricht nicht zum Problem wird. Dieser Artikel zeigt Ihnen genau das, in praktischen Begriffen, ohne Juristendeutsch.

Warum eine WhatsApp-Nachricht mit Symptomen nicht „nur eine Nachricht“ ist

In der DSGVO gehören Gesundheitsdaten zu den „besonderen Kategorien“ (Art. 9). Das bedeutet, sie genießen strengeren Schutz als ein Name oder eine gewöhnliche Telefonnummer. Sobald der Patient schreibt, was ihm wehtut, welches Medikament er braucht oder welche Diagnose er hat, ist Ihre Praxis zum Verantwortlichen für medizinische Daten geworden – unabhängig davon, dass die Nachricht unaufgefordert kam.

Was das konkret bedeutet:

• Sie brauchen eine klare Rechtsgrundlage für die Verarbeitung;
• Sie sind dafür verantwortlich, wie die Daten aufbewahrt werden, wer sie sieht und wie lange;
• Die Verantwortung liegt bei Ihnen als Verantwortlicher, nicht bei der Messaging-App.

WhatsApp verschlüsselt die Konversation während der Übertragung, aber das entbindet Sie von nichts. Die Verschlüsselung schützt die Nachricht auf dem Weg; die DSGVO fragt, was mit ihr passiert, nachdem sie auf dem Telefon der Rezeption angekommen ist.

Gewöhnliches WhatsApp vs. WhatsApp Business vs. Formular auf der Website

Nicht alle Varianten sind aus Sicht der Konformität gleich.

• Gewöhnliches WhatsApp (das private Konto der Rezeption): am riskantesten. Die Daten vermischen sich mit dem Privatleben der Angestellten, werden in der Galerie gespeichert und verschwinden mit dem Telefon, wenn die Person die Praxis verlässt.
• WhatsApp Business: etwas besser (dedizierte Nummer, getrennte Nachrichten, Schnellantworten), aber im Kern immer noch ein privates Konto. WhatsApp/Meta verarbeitet Metadaten, und Ihre Kontrolle über die Speicherung bleibt begrenzt.
• Sicheres Formular auf der eigenen Website: hier haben Sie echte Kontrolle. Die Daten kommen verschlüsselt auf Ihrer Infrastruktur an, mit explizit angekreuzter Einwilligung und Aufbewahrungsregeln, die Sie selbst festlegen.

Die ehrliche Realität: Patienten werden weiterhin auf WhatsApp schreiben. Die Lösung ist nicht, den Kanal zu verbieten, sondern ihn für den „ersten Kontakt“ zu nutzen und den sensiblen Teil auf einen Kanal zu verlagern, den Sie kontrollieren.

Die goldene Regel: Der Messaging-Kanal ist für die Terminvereinbarung da, nicht für die Diagnose

Der einfachste Weg, sauber zu bleiben, ist, WhatsApp wie einen Terminkalender zu behandeln, nicht wie eine Patientenakte. Auf dem Kanal ist nur das strikt Notwendige erlaubt, um einen Termin festzulegen: Name, gewünschte Leistung, Datum und Uhrzeit.

Wie Sie das täglich umsetzen:

• Bereiten Sie eine Standard-Begrüßungsnachricht vor, die nur die Termindaten abfragt und den Patienten einlädt, das Problem in der Praxis oder im sicheren Formular zu beschreiben;
• wenn jemand anfängt, Symptome zu beschreiben, antworten Sie höflich, dass „medizinische Details bei der Konsultation besprochen werden“, und leiten Sie um;
• fragen Sie im Chat niemals nach der Personenkennnummer, Fotos von Befunden oder der Krankengeschichte.

So befinden sich auf dem Kanal keine sensiblen Daten, selbst wenn das Telefon verloren geht oder jemand über die Schulter schaut – nur eine Terminliste. Das senkt das Risiko enorm, ohne zusätzliche Bürokratie.

Konkrete Schritte, um schon morgen konform zu sein

Sie brauchen kein dreimonatiges Projekt. Ein paar Maßnahmen machen den größten Teil des Unterschieds aus:

• Dediziertes Telefon und Konto für die Praxis, mit PIN-Code und biometrischer Sperre – niemals das private Konto einer Angestellten.
• Löschrichtlinie: Nachrichten mit jeglichen Gesundheitsdetails werden gelöscht, sobald der Termin in Ihrem eigenen System eingetragen ist.
• Kurzer Informationstext, gesendet beim ersten Kontakt: wer Sie sind, was Sie mit den Daten tun, die Aufforderung, keine medizinischen Details im Chat zu senden.
• Minimale Schulung der Rezeption: was abgefragt wird, was abgelehnt wird, wie umgeleitet wird.
• Ein einfaches Verzeichnis der Verarbeitungstätigkeiten und, falls Sie mit großen Mengen sensibler Daten arbeiten, prüfen Sie, ob Sie einen Datenschutzbeauftragten benötigen.

Dokumentieren Sie diese Regeln auf einer Seite. Kommt irgendwann eine Nachfrage von einem Patienten oder eine Prüfung, zählt es enorm, eine schriftliche Vorgehensweise vorweisen zu können.

Wie eine eigene Website hilft – und wie wir bei MPO arbeiten

Eine Website mit sicherem Terminformular löst genau den Teil, den WhatsApp nicht abdecken kann: explizit angekreuzte Einwilligung, verschlüsselte Daten, die direkt bei Ihnen ankommen, Felder, die so gestaltet sind, dass sie nicht mehr abfragen als nötig, und eine Datenschutzseite, die klar erklärt, was mit den Informationen geschieht. WhatsApp bleibt für „Hallo, ich möchte einen Termin“, und der Rest läuft über einen Kanal, den Sie kontrollieren.

Bei MPO Web Studio bauen wir solche Websites für Praxen, remote, im ganzen Land. Wir bereiten Ihnen im Voraus eine Demo-Version vor – Sie sehen sie, bevor Sie überhaupt etwas bezahlen –, mit einem für medizinische Daten konzipierten Terminformular und transparenten Preisen, ohne Überraschungen.

Wenn Sie sehen möchten, wie das für Ihre Praxis aussehen würde, schreiben Sie uns eine Nachricht auf WhatsApp, und wir bereiten Ihnen eine Demo vor. Ohne Verpflichtung, ohne Druck.