Patientinnen und Patienten schreiben Praxen längst per WhatsApp, und nicht selten antwortet jemand aus dem Team vom privaten Smartphone. Verboten ist Messenger-Kommunikation deshalb nicht - entscheidend ist, über welchen Dienst, auf welchem Gerät und nach welchen Regeln sie läuft. Ein Überblick über die rechtlichen Vorgaben und die Anforderungen an einen zulässigen Praxis-Messenger.

Die Nachricht ist schon da

Die Mobilnummer steht im Google-Profil, und irgendwann kommt die erste WhatsApp-Nachricht: ein Foto vom Hautausschlag, die Frage nach dem Folgerezept, ein Laborbefund als Screenshot. Wer antwortet, tut das meist aus Hilfsbereitschaft - manchmal vom eigenen Handy, weil das Praxistelefon besetzt ist.

Ein gesetzliches Messenger-Verbot für Arztpraxen gibt es nicht. Die Frage ist nicht, ob eine Praxis schriftlich mit Patienten kommunizieren darf, sondern ob der konkrete Dienst und seine Nutzung die Vorgaben für Gesundheitsdaten erfüllen. Bei WhatsApp scheitert das selten an der Verschlüsselung der Inhalte, sondern an fast allem, was darum herum passiert.

Welche Regeln zusammenkommen

Gesundheitsdaten sind besonders geschützt

Nachrichten zwischen Praxis und Patient enthalten fast immer Gesundheitsdaten im Sinne von Art. 9 DSGVO - oft genügt schon die Information, dass jemand mit einer bestimmten Facharztpraxis in Kontakt steht. Die Verarbeitung solcher Daten ist grundsätzlich untersagt, es sei denn, eine Ausnahme greift. Für die Behandlung ist das Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG, sofern die Daten von Personen verarbeitet werden, die einer Geheimhaltungspflicht unterliegen. Daneben kommt die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Betracht.

Die Datenschutzkonferenz (DSK) hält in ihrem Whitepaper zu Messenger-Diensten im Krankenhausbereich fest, dass bei Gesundheitsdaten "erhebliche Risiken" immer anzunehmen sind. Entsprechend hoch liegt die Messlatte für die Sicherheitsmaßnahmen nach Art. 32 DSGVO.

Die Schweigepflicht umfasst auch Nachrichten

§ 9 der (Muster-)Berufsordnung für Ärztinnen und Ärzte (MBO-Ä), die die Landesärztekammern in ihre Berufsordnungen übernehmen, nennt ausdrücklich "schriftliche Mitteilungen der Patientin oder des Patienten" als Teil dessen, worüber zu schweigen ist. Eine WhatsApp-Nachricht mit Symptomschilderung ist also genauso geschützt wie der Befund in der Akte. Strafrechtlich greift § 203 StGB, der neben Ärzten und Zahnärzten alle Heilberufe mit staatlich geregelter Ausbildung erfasst.

Für externe Dienstleister enthält § 203 Abs. 3 StGB eine Öffnung: Geheimnisse dürfen Personen offenbart werden, die an der beruflichen Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist. Die Praxis muss dann aber dafür sorgen, dass der Dienstleister zur Geheimhaltung verpflichtet wurde (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). Ein Messenger-Anbieter, der Inhalte oder Metadaten verarbeitet, ist ein solcher Dienstleister; die Verpflichtung dokumentiert in der Regel der Auftragsverarbeitungsvertrag, der ohnehin schriftlich abzufassen ist (Art. 28 Abs. 9 DSGVO). Mehr dazu im Artikel zur Schweigepflicht bei Videokonsultationen.

Auftragsverarbeitung und Drittlandübermittlung

Verarbeitet ein Anbieter Daten im Auftrag der Praxis, braucht es einen Vertrag nach Art. 28 DSGVO. Was hineingehört, zeigt der Beitrag zum AVV mit Videodienstanbietern - für Messenger gilt das entsprechend.

Hinzu kommt der Datenfluss in Drittländer. WhatsApp stützt Übermittlungen in die USA laut seiner Datenschutzrichtlinie für den Europäischen Wirtschaftsraum auf das EU-US Data Privacy Framework, für das WhatsApp LLC und Meta Platforms zertifiziert sind, sowie auf Standardvertragsklauseln. Der Angemessenheitsbeschluss der EU-Kommission gilt seit Juli 2023. Das Gericht der EU hat eine Klage dagegen im September 2025 abgewiesen, ein Rechtsmittel beim Europäischen Gerichtshof ist anhängig (Stand: September 2026). Die Vorgängerregelungen Safe Harbor und Privacy Shield hat der EuGH für ungültig erklärt.

Dokumentation und Aufbewahrung

Nach § 630f BGB ist die Behandlungsakte in unmittelbarem zeitlichen Zusammenhang mit der Behandlung zu führen, muss alle fachlich wesentlichen Maßnahmen und Ergebnisse enthalten und ist zehn Jahre nach Abschluss der Behandlung aufzubewahren (§ 630f Abs. 3 BGB, § 10 Abs. 3 MBO-Ä). Schickt ein Patient ein Wundfoto und erhält einen Rat zum Verbandswechsel, gehört beides in die Akte. Die DSK formuliert es eindeutig: Eine Dokumentation, die teilweise im Messenger erfolgt und in der Patientendokumentation nicht nachvollziehbar ist, muss unterbleiben. Details dazu im Artikel zu den Dokumentationspflichten.

Wo WhatsApp an Grenzen stößt

Adressbuchabgleich

Laut Datenschutzrichtlinie gleicht WhatsApp regelmäßig das Adressbuch des Geräts ab, sofern der Zugriff erlaubt ist - einschließlich der Nummern von Kontakten, die WhatsApp gar nicht nutzen. Deren Daten werden nach Angaben des Anbieters so verarbeitet, dass sie nicht identifiziert werden können. Auf einem Praxishandy mit Patientenkontakten gehen trotzdem Telefonnummern von Patienten an WhatsApp, auch von Menschen, die nie per Messenger mit der Praxis kommuniziert haben - ohne deren Einwilligung.

Metadaten

WhatsApp verschlüsselt Nachrichteninhalte Ende-zu-Ende, Metadaten schützt das nicht. Laut Datenschutzrichtlinie erfasst WhatsApp unter anderem Zeitstempel von Nachrichten und Anrufen, den Online-Status, Geräte- und Verbindungsinformationen, die IP-Adresse und einen daraus geschätzten ungefähren Standort. Wer wann und wie oft mit einer psychotherapeutischen oder onkologischen Praxis schreibt, ist bereits eine sensible Information. Die DSK verlangt, dass Metadaten nur für eigene Zwecke des Verantwortlichen genutzt werden; eine Nutzung durch den Plattformbetreiber für andere Zwecke hält sie für unzulässig.

WhatsApp Business ändert daran wenig

In den Nutzungsbedingungen der WhatsApp Business App (Fassung vom 23. September 2026) übernimmt WhatsApp die Rolle des Auftragsverarbeiters - allerdings nur für die "Customer Data", also Kontaktdaten der Kunden wie Telefonnummern. Nutzungs-, Log- und Funktionsdaten verarbeitet WhatsApp für eigene Zwecke, darf sie mit anderen Meta-Unternehmen teilen und in die USA sowie weitere Länder übermitteln. In denselben Bedingungen heißt es, WhatsApp sichere nicht zu, dass der Dienst die Anforderungen von Branchen mit erhöhten Vertraulichkeitspflichten wie dem Gesundheitswesen erfüllt. Kontaktabgleich, Metadaten und Speicherung auf dem Smartphone bleiben ohnehin gleich. Die WhatsApp Business Platform, die Schnittstelle für Unternehmenssoftware, ist ein eigenes Produkt mit eigenen Bedingungen und wäre gesondert zu bewerten.

Das private Smartphone

Auf einem privaten Gerät hat die Praxis keine Kontrolle, unabhängig vom Dienst. Zugestellte Nachrichten speichert WhatsApp nach eigenen Angaben nicht auf seinen Servern; sie liegen auf dem Gerät und in dessen Backups, die in iCloud oder Google Drive nur dann Ende-zu-Ende-verschlüsselt sind, wenn diese Option aktiv eingeschaltet wurde. Dazu kommen Nachrichtenvorschauen auf dem Sperrbildschirm, Familienmitglieder mit Entsperr-PIN und Patientenchats, die beim Ausscheiden einer Mitarbeiterin mit ihr gehen.

Die IT-Sicherheitsrichtlinie der KBV nach § 390 SGB V verlangt für Smartphones in Vertragsarztpraxen unter anderem einen komplexen Gerätesperrcode und dass vertrauliche Informationen nicht auf dem Sperrbildschirm erscheinen. Das DSK-Whitepaper sieht zusätzlich eine zentrale Geräteverwaltung (Mobile Device Management) vor.

Andere Messenger und Praxis-Messenger

Dienste wie Signal oder Threema verschlüsseln ebenfalls Ende-zu-Ende. Für den Praxiseinsatz bleiben trotzdem Fragen, die sich nur für das jeweilige Angebot beantworten lassen: Gibt es einen AVV? Laufen die Chats auf privaten Geräten? Können mehrere Teammitglieder dieselbe Unterhaltung bearbeiten? Wie gelangen Inhalte in die Akte? Die Consumer-Versionen sind auf private Kommunikation ausgerichtet.

Praxis-Messenger sind dagegen für die Kommunikation zwischen Praxis und Patient gebaut - als Teil einer Praxissoftware, eines Patientenportals oder als eigener Dienst. Typischerweise schreibt der Patient über ein Konto statt über seine Telefonnummer, die Praxis ist Verantwortliche und der Anbieter Auftragsverarbeiter. Je nach Produkt gehören Rollen im Team und die Übernahme in die Akte zum Funktionsumfang. Bei der Verschlüsselung unterscheiden sich die Angebote deutlich, hier lohnt es sich, genau nachzufragen.

Daneben gibt es in der Telematikinfrastruktur den TI-Messenger der gematik und den Dienst KIM. Wie sich diese von Praxis-Messengern abgrenzen und wer dort mit wem kommuniziert, dazu erscheint in Kürze ein eigener Beitrag.

Warum die Einwilligung nicht alles löst

Ein häufiger Gedanke: Wenn der Patient selbst per WhatsApp schreibt und zustimmt, ist das seine Entscheidung. Strafrechtlich kann eine wirksame Entbindung von der Schweigepflicht die Offenbarung gegenüber dem Anbieter tatsächlich rechtfertigen - wirksam ist sie aber nur, wenn der Patient weiß, welche Daten an wen gehen, einschließlich Metadaten und Übermittlung in die USA. Datenschutzrechtlich bleiben weitere Lücken:

• Sie gilt nur für die eigene Person. Die Telefonnummern anderer Patienten, die per Adressbuchabgleich an WhatsApp gehen, deckt sie nicht.
• Sicherheitsmaßnahmen stehen nicht zur Disposition. Nach einem Beschluss der DSK vom 24. November 2021 beruhen die Maßnahmen nach Art. 32 DSGVO auf objektiven Rechtspflichten, ein Verzicht per Einwilligung ist unzulässig. Nur in dokumentierten Einzelfällen kann die Praxis auf ausdrücklichen, eigeninitiativen Wunsch eines informierten Patienten bestimmte Maßnahmen ihm gegenüber in vertretbarem Umfang nicht anwenden. Die Regeln für Drittlandübermittlungen bleiben davon unberührt.
• Sie macht WhatsApp nicht weisungsgebunden. Nutzungs- und Metadaten verarbeitet WhatsApp weiter in eigener Verantwortung.
• Sie setzt eine echte Wahl voraus. Eine Einwilligung muss freiwillig sein (Art. 4 Nr. 11 DSGVO) und ist jederzeit widerruflich. Ohne alternativen Kanal steht die Freiwilligkeit infrage.
• Sie ändert nichts an der Dokumentation. § 630f BGB gilt unabhängig davon, über welchen Kanal eine Information kam.

Wie eine Einwilligung für digitale Behandlungskanäle aufgebaut sein kann, zeigt der Beitrag zur Einwilligungserklärung für Videokonsultationen.

Transport, Speicherung, Ende-zu-Ende: drei Schutzziele

"Verschlüsselt" steht in fast jeder Produktbeschreibung. Für die Bewertung eines Messengers hilft es, drei Ebenen zu trennen:

• Transportverschlüsselung (TLS) schützt die Nachricht auf dem Weg zwischen Gerät und Server, etwa vor Mitlesern im WLAN oder im Netz des Providers. Auf dem Server liegt sie danach wieder lesbar vor.
• Speicherverschlüsselung schützt die Daten auf dem Server, zum Beispiel wenn Datenträger oder Datenbanksicherungen in falsche Hände geraten. Die Schlüssel verwaltet der Betreiber; wer Zugriff auf das laufende System und die Schlüssel hat, kann entschlüsseln.
• Ende-zu-Ende-Verschlüsselung hält die Schlüssel ausschließlich auf den Endgeräten. Auch der Betreiber und ein Angreifer mit vollem Serverzugriff sehen nur verschlüsselte Daten.

Nur die dritte Ebene schützt vor dem Anbieter selbst. Die DSK formuliert in ihrem Whitepaper von 2019 die Ende-zu-Ende-Verschlüsselung ärztlicher Kommunikation über Messenger als Muss-Anforderung. Das Papier bezieht sich auf Krankenhäuser und soll auch als Orientierung für den niedergelassenen Bereich dienen. Ein Gesetz ist es nicht: Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und schreibt keine bestimmte Technik vor. Welche Maßnahmen angemessen sind, richtet sich nach dem Stand der Technik, nach Art, Umfang und Zweck der Verarbeitung und nach dem Risiko für die Patienten.

WhatsApp zeigt zugleich, dass Ende-zu-Ende-Verschlüsselung allein nicht reicht: Die Inhalte sind geschützt, Kontaktabgleich, Metadaten und Geräteproblem bleiben. In Praxisstrukturen bringt sie außerdem eigene Anforderungen mit: Sollen mehrere Teammitglieder an verschiedenen Arbeitsplätzen dieselbe Unterhaltung bearbeiten, müssen die Schlüssel auf all diese Geräte verteilt und bei Personalwechseln neu geregelt werden. Praxis-Messenger lösen diese Abwägung unterschiedlich. Die Praxis sollte deshalb konkret erfragen, welche der drei Ebenen umgesetzt sind, und ihre Entscheidung in der Risikobewertung festhalten. Die technischen Grundlagen erklärt der Artikel zur Ende-zu-Ende-Verschlüsselung.

Anforderungen an einen zulässigen Messenger-Einsatz

Aus den rechtlichen Vorgaben und den Empfehlungen der Aufsichtsbehörden lässt sich ein Katalog ableiten, an dem sich jede Lösung messen lassen muss:

Neben der Technik braucht es Regeln im Team: wer antwortet, in welchem Zeitrahmen, was sich per Nachricht klären lässt und was einen Termin erfordert. Konkrete Anwendungsfälle und Teamregeln für den Messenger in der Patientenkommunikation behandelt ein eigener Beitrag, der in Kürze erscheint.

Wie MeetOne den Messenger umsetzt

Der MeetOne Messenger ist als Bundle erhältlich und für die asynchrone Kommunikation zwischen Praxis und Patient gebaut. Gemessen an den genannten Anforderungen:

• Identifikation: Patienten schreiben über ihr MeetOne-Konto im Bereich "Nachrichten", nicht über ihre Telefonnummer; einen Adressbuchabgleich gibt es nicht. Künftig sollen Patienten auch ohne eigenes Konto schreiben können: MeetOne arbeitet an einem Zugang, der voraussichtlich über die E-Mail-Adresse dem jeweiligen Patienten zugeordnet und mit einem per SMS verschickten Einmalcode freigeschaltet wird. Pro Patient existiert genau eine fortlaufende Unterhaltung. Anhänge wie Bilder, PDF- oder Word-Dokumente sind bis 25 MB je Datei möglich.
• Benachrichtigung: Über neue Nachrichten informiert eine E-Mail ohne Nachrichteninhalt, gelesen wird im Konto.
• Team: Eine Fallansicht mit den Filtern Alle, Meine und Offene Fälle zeigt, was zu tun ist; der Hinweis "In Bearbeitung durch …" verhindert, dass zwei Personen gleichzeitig antworten. Unterhaltungen lassen sich zeitlich begrenzt sperren.
• Dokumentation: Nachrichten lassen sich direkt in einen Eintrag der Patientenakte in MeetOne umwandeln, Anhänge in das Patientenjournal übernehmen (je nach Tarif). Eine Anbindung an das Praxisverwaltungssystem gibt es nicht; wer die Behandlungsakte im PVS führt, überträgt relevante Inhalte dorthin.
• Technik und Vertrag: Die Übertragung ist TLS-verschlüsselt, Nachrichteninhalte werden zusätzlich verschlüsselt in der Datenbank gespeichert (AES-256-GCM). Die Daten liegen in zertifizierten Rechenzentren in Deutschland bzw. der EU; das primäre ist nach ISO/IEC 27001 und BSI C5:2020 Typ 2 zertifiziert. MeetOne arbeitet als Auftragsverarbeiter auf Basis eines AVV.

Ende-zu-Ende-verschlüsselt ist der Messenger nicht. Die Schlüssel der Speicherverschlüsselung liegen serverseitig; der Schutz gegenüber dem Betreiber beruht auf Vertrag, Zugriffsbeschränkung und zertifiziertem Betrieb, nicht auf Kryptografie. Darin unterscheidet er sich von der MeetOne-Videosprechstunde, bei der Bild, Ton und Chat Ende-zu-Ende-verschlüsselt per Peer-to-Peer übertragen werden. Das schließt den Einsatz nicht automatisch aus. Nach Art. 32 DSGVO zählt das Gesamtpaket der Schutzmaßnahmen: AVV und Verschwiegenheitsverpflichtung, Hosting in Deutschland bzw. der EU, verschlüsselte Speicherung, persönliche Zugänge mit Rollen, dienstliche Geräte und Benachrichtigungen ohne Inhalt. Die Praxis hält in ihrer Risikobewertung fest, warum diese Maßnahmen für ihren Einsatz angemessen sind. Wer sich strikt an der Linie des DSK-Whitepapers orientiert, wird Ende-zu-Ende-Verschlüsselung dagegen voraussetzen. MeetOne arbeitet derzeit an einer Ende-zu-Ende-Verschlüsselung für den Messenger; bis sie verfügbar ist, beruht der Schutz auf den genannten Maßnahmen. Der Messenger ist zudem kein TI-Messenger und nicht für Notfälle gedacht.

Fazit

Messenger-Kommunikation mit Patienten ist in der Arztpraxis zulässig, wenn Dienst, Gerät und Abläufe zu den Anforderungen an Gesundheitsdaten passen. WhatsApp lässt sich - auch in der Business-Variante - wegen Kontaktabgleich, Metadatennutzung und nur teilweiser Auftragsverarbeitung kaum damit in Einklang bringen, und eine Einwilligung ändert daran wenig. Wer einen Praxis-Messenger auswählt, sollte AVV, Serverstandort, Rollen, Dokumentation und die Art der Verschlüsselung konkret prüfen und die Entscheidung dokumentieren.

Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle rechtliche Beratung.