StartseiteRatgeber
WhatsApp in der Zahnarztpraxis
WhatsApp ist schnell und bequem. Bei Patientendaten braucht Ihre Praxis trotzdem klare Regeln und sichere Alternativen.
Ein Patient schickt am Sonntagabend das Foto einer abgebrochenen Krone. Am Montagmorgen antwortet eine Mitarbeiterin auf ihrem privaten Telefon. So schnell ist WhatsApp Teil der Behandlung, obwohl niemand den Kanal dafür eingerichtet hat.
Für Gesundheitsdaten ist das problematisch. Wir erklären, worauf Praxen achten müssen und welche Alternativen sich im Alltag eignen.
Warum WhatsApp in der Praxis problematisch ist
Schon die Nachricht „Die Schiene drückt noch" enthält Gesundheitsdaten. Sie fallen unter Artikel 9 der Datenschutz-Grundverordnung. Ihre Verarbeitung ist grundsätzlich untersagt und nur in den dort geregelten Ausnahmefällen zulässig. Für die Behandlung kann eine Ausnahme greifen. Damit ist aber noch nicht geklärt, ob WhatsApp der richtige Übertragungsweg ist.
Zahnärztinnen und Zahnärzte unterliegen außerdem der Schweigepflicht nach § 203 Strafgesetzbuch. Verantwortlich für die Verarbeitung bleibt die Praxis, auch wenn der Messenger auf einem privaten Gerät läuft.
Vier Punkte, die Sie prüfen sollten
- 01Adressbuch
- Nach Angaben des Landesbeauftragten für den Datenschutz Niedersachsen übermittelt WhatsApp Adressbuchdaten, ohne dass alle dort gespeicherten Personen eingewilligt haben. Das betrifft neben Patienten auch Labore, Kollegen, Lieferanten und private Kontakte. Die Einwilligung eines Patienten löst dieses Problem daher nicht.
- 02Metadaten
- Die Nachrichteninhalte sind Ende zu Ende verschlüsselt. Trotzdem fallen Angaben darüber an, wer wann und wie oft mit wem kommuniziert. Nach Darstellung der Kassenärztlichen Vereinigung Bayerns werden diese Metadaten weiterhin in den USA verarbeitet. Bei einer Zahnarztpraxis kann bereits die Kontaktbeziehung etwas über die Gesundheit einer Person verraten.
- 03Verantwortung
- Wenn ein Patient wissen möchte, auf welcher Grundlage seine Daten verarbeitet wurden, muss die Praxis Auskunft geben. Der Messenger-Anbieter nimmt Ihnen diese Verantwortung nicht ab.
- 04Löschung
- Der Landesbeauftragte für den Datenschutz Niedersachsen weist darauf hin, dass Verantwortliche die Löschung bei WhatsApp im Fall eines Widerrufs nicht durchsetzen können. Auch deshalb reicht eine Einwilligung allein nicht aus.
Die Bewertung der Aufsichtsbehörden
Der Landesbeauftragte für den Datenschutz Niedersachsen hält WhatsApp in Praxen aus mehreren Gründen für unzulässig. Die Kassenärztliche Vereinigung Bayerns fasst die Behördenposition etwas vorsichtiger zusammen: Ein datenschutzkonformer Einsatz sei wegen der Verarbeitung von Metadaten in den USA und der Übermittlung von Adressdaten in der Regel nicht möglich. Das Bayerische Landesamt für Datenschutzaufsicht empfiehlt alternative Messenger-Dienste.
Das sind Behördenauffassungen, keine gerichtlichen Entscheidungen. Für die Praxis sind sie trotzdem relevant, weil dieselben Behörden Beschwerden und Datenschutzverstöße prüfen.
Was im Praxisalltag leicht übersehen wird
WhatsApp wird genutzt, weil es schnell funktioniert. Eine Regel im QM-Handbuch hilft daher nur, wenn das Team zugleich einen praktikablen Ersatz bekommt.
Ein Verfahren kann konkrete Folgen haben. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit verhängte ein Bußgeld gegen die Inhaberin einer Arztpraxis. In dem Fall wurden unter anderem Patientendokumente fotografiert und per WhatsApp versendet. Der Fall stammt aus einer Arztpraxis; auf Zahnarztpraxen übertragbar ist der Ablauf, nicht die Höhe des Bußgelds.
Behandlungsrelevante Informationen gehören außerdem in die Patientenakte und müssen zeitnah dokumentiert werden. Bleibt ein Befund auf einem privaten Telefon, fehlt er beim nächsten Termin möglicherweise in der Akte.
Beim Ausscheiden von Mitarbeitenden verlangt die IT-Sicherheitsrichtlinie, bekannte Zugangsdaten zu ändern oder zu vernichten und erneut auf die fortdauernde Verschwiegenheitspflicht hinzuweisen. Für vertragszahnärztliche Praxen ist diese Richtlinie nach § 390 SGB V verbindlich. Sie verlangt unter anderem, App-Zugriffe zu beschränken und für mittlere Praxen die Nutzung mobiler Geräte sowie die darüber erlaubte Datenübertragung verbindlich zu regeln. Auf privaten Geräten lässt sich das kaum zuverlässig umsetzen.
Ihr Ansprechpartner: Lukasz Lepiocha
Lukasz ist DEKRA-zertifizierter Datenschutzauditor und bei neuen Anfragen Ihr erster Ansprechpartner. Auch wenn eine E-Mail falsch verschickt wurde, ein Datenträger fehlt oder Post von der Aufsichtsbehörde kommt, erreichen Sie uns direkt.
Praktische Alternativen
Terminerinnerungen
Dafür ist kein Messenger nötig. Der Landesbeauftragte für den Datenschutz Niedersachsen hält Erinnerungen für zulässig, wenn Patienten vorher über die Datennutzung informiert wurden und nicht widersprochen haben. Der Behandlungsanlass gehört nicht in eine unverschlüsselte SMS oder E-Mail. Eine Einladung zur Prophylaxe ist Werbung und erfordert bei elektronischer Post grundsätzlich eine vorherige ausdrückliche Einwilligung. Mehr dazu steht unter Online-Terminbuchung und Praxiswebsite.
Unverschlüsselte E-Mail
Nach dem Hinweis des Bayerischen Landesamts für Datenschutzaufsicht sollte sie nur genutzt werden, wenn der Patient schriftlich eingewilligt hat und die Praxis zugleich eine verschlüsselte Kommunikation anbietet.
Kollegen, Labore und Krankenkassen
KIM ist ein E-Mail-Dienst innerhalb der Telematikinfrastruktur. Er arbeitet im geschlossenen Netz, verschlüsselt Nachrichten Ende zu Ende und schützt sie mit einer Signatur vor Veränderungen. Briefpost, Telefax und gewöhnliche E-Mail gewährleisten die Sicherheit medizinischer Daten auf dem Transportweg nicht in gleicher Weise.
TI-Messenger
Der von der gematik entwickelte Standard nutzt das Matrix-Protokoll und ist für die Kommunikation zwischen Gesundheitsberufen vorgesehen. Patienten sind in der aktuellen Ausbaustufe noch nicht eingebunden. Für den Patientenchat ist er deshalb derzeit kein Ersatz.
Wenn WhatsApp vorerst im Einsatz bleibt
Dann sollten Sie den Kanal zumindest eindeutig regeln: Nutzen Sie ein reines Dienstgerät ohne Praxisadressbuch? Sind App-Zugriffe eingeschränkt? Welche Inhalte sind ausgeschlossen? Ist der Messenger im Verzeichnis der Verarbeitungstätigkeiten erfasst? Und wer bearbeitet Auskunfts- oder Löschanfragen zu den Chatdaten? Diese Schritte gelten nur bis zur Ablösung und ersetzen keine zulässige Lösung.
Wenn diese Fragen offen sind, ist der Kanal nicht ausreichend geregelt. Grundlagen dazu finden Sie unter Patientendaten in der Zahnarztpraxis und Datenschutz in der Zahnarztpraxis.
Ratgeber für Zahnarztpraxen
Verständliche Antworten auf die Datenschutzfragen, die uns in Zahnarztpraxen regelmäßig begegnen.
Datenschutz in der Zahnarztpraxis
Ein verständlicher Überblick über die Datenschutzthemen, die im Praxisalltag wirklich eine Rolle spielen.
Weiterlesen02Künstliche Intelligenz in der Zahnarztpraxis
Viele Praxen nutzen bereits KI. Wir erklären, welche Pflichten daraus entstehen und was Sie dokumentieren sollten.
Weiterlesen03Praxissoftware und Datenschutz
Wer darf auf welche Daten zugreifen? Was muss im Vertrag stehen? Und was passiert bei einem Softwarewechsel?
Weiterlesen04Telematikinfrastruktur und Datenschutz
Wir ordnen die Vorgaben zur Telematikinfrastruktur ein und zeigen, was davon für Zahnarztpraxen gilt.
Weiterlesen05Online-Terminbuchung und Praxiswebsite
Schon beim ersten Seitenaufruf können Daten an externe Dienste fließen. Wir zeigen, wo Sie genau hinsehen sollten.
Weiterlesen06Patientendaten in der Zahnarztpraxis
Patientenakten, Röntgenbilder und Abrechnungsunterlagen haben unterschiedliche Fristen. Ihr Löschkonzept muss sie auseinanderhalten.
WeiterlesenWas im kostenlosen Check passiert
Im Check prüfen wir, welche Messenger Ihr Team nutzt und wie die Kommunikation sicher geregelt werden kann.
In 45 Minuten sprechen wir über die wichtigsten Abläufe Ihrer Praxis: Anmeldung, Dokumentation, Kommunikation, Software und Abrechnung. Anschließend erhalten Sie unsere Einschätzung schriftlich.
Der Check ist kostenlos und unverbindlich. Danach wissen Sie, welche Punkte Sie selbst erledigen können und wobei Unterstützung sinnvoll wäre.
- Keine Vorbereitung nötig
- Schriftliche Zusammenfassung
- Persönlicher Ansprechpartner