Was ist der Unterschied zwischen WhatsApp-App und Business Platform?
Die normale WhatsApp-Anwendung ist ein Verbraucherprodukt. Sie greift auf das Adressbuch des Geräts zu, und der Betrieb hat keine vertragliche Grundlage gegenüber Meta für eine Verarbeitung im eigenen Auftrag. Genau daran scheitern die meisten Prüfungen.
Die WhatsApp Business Platform (die WhatsApp Business API) ist ein anderer Zugang: Es gibt einen Vertrag, kein Zugriff auf das private Adressbuch, und die Verarbeitung lässt sich in einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regeln. Beides wird umgangssprachlich „WhatsApp“ genannt und ist datenschutzrechtlich nicht dasselbe.
Welcher Einwand gegen WhatsApp in Praxen bleibt bestehen?
Der stärkste Einwand betrifft die Löschung. Selbst wenn eine Einwilligung aller Beteiligten vorläge, könnte die verantwortliche Stelle bei einem Widerruf die Daten bei WhatsApp praktisch nicht löschen lassen. Ein Recht, das sich nicht durchsetzen lässt, ist datenschutzrechtlich ein ernstes Problem.
Hinzu kommt: Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, und Ärztinnen und Ärzte unterliegen zusätzlich der Schweigepflicht nach § 203 StGB. Deshalb raten Landesärztekammern und Aufsichtsbehörden von der Nutzung des Consumer-WhatsApp für Patientenkommunikation ab. Das ist keine Formalie, sondern die Ausgangslage.
Wo genau verläuft die Grenze zwischen Terminlogistik und Gesundheitsdaten?
Terminlogistik bedeutet: Name, Kontaktnummer, gewünschte Uhrzeit, allenfalls die Art des Termins in neutraler Form. Gesundheitsdaten entstehen, sobald aus der Nachricht ein Rückschluss auf Diagnose, Beschwerden oder Behandlung möglich wird.
Diese Grenze ist in der Praxis dünner, als sie klingt. „Termin zur Nachsorge nach der Operation“ ist bereits ein Gesundheitsdatum. Wer WhatsApp für Terminvergabe einsetzt, muss den Kanal deshalb aktiv frei von Inhalten halten und darf ihn nicht zum Beratungskanal werden lassen.
Elily ist auf Terminlogistik ausgelegt: antworten, Verfügbarkeiten prüfen, buchen, verschieben, absagen und an Menschen übergeben. Sie ist kein Kanal für Befunde, Diagnosen oder medizinische Beratung, und inhaltliche Fragen sollen an die Praxis übergeben werden.
Welche Pflichten bleiben bei der Praxis?
Die Verantwortlichkeit bleibt vollständig bei der Praxis — sie lässt sich nicht an einen Dienstleister abgeben. Konkret bedeutet das mindestens: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Dienstleister, der Zugriff auf Patientendaten haben kann; Information der Patientinnen und Patienten nach Art. 13 DSGVO darüber, dass ein Dienstleister eingebunden ist; ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten; und eine Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
Die Datenschutzkonferenz hat 2025 zur Online-Terminvergabe in Arztpraxen außerdem festgehalten, dass eine alternative Buchungsmöglichkeit bestehen bleiben muss. Wer nicht über den digitalen Kanal buchen will oder kann, muss weiterhin einen Termin bekommen — telefonisch oder vor Ort.
Diese Punkte sind mit Ihrer oder Ihrem Datenschutzbeauftragten zu klären, bevor ein Kanal für Patientenkommunikation geöffnet wird.
Was heißt das für Salons, Studios und Fitnessbetriebe?
Dort ist die Lage deutlich einfacher, weil keine Gesundheitsdaten im Sinne von Art. 9 DSGVO verarbeitet werden und keine ärztliche Schweigepflicht besteht. Es bleiben die allgemeinen Pflichten: Auftragsverarbeitungsvertrag, Information nach Art. 13, Verzeichnis von Verarbeitungstätigkeiten und Datensparsamkeit.
Kosmetik-, Podologie- oder Physiotherapiebetriebe liegen dazwischen und sollten im Zweifel wie eine Praxis behandelt werden, sobald Behandlungsanlässe im Chat sichtbar werden könnten.
