Datenschutz in der Pflege

So einfach, sicher und alltagstauglich wie möglich.

WhatsApp und Rezeptfotos im Sanitätshaus: Kundenkommunikation rechtssicher gestalten

27.06.2026 von Dominic

„Ich schicke Ihnen das Rezept schnell per WhatsApp“: Für Kunden ist das der bequemste Weg, für das Sanitätshaus ein ungeregeltes Datenschutzrisiko. Täglich treffen Rezeptfotos, Fragen zur Versorgung und manchmal sogar Fotos von Beinen, Wunden oder Narben auf den geschäftlichen oder privaten WhatsApp-Account, und kaum ein Betrieb hat dafür Regeln. Ein bloßes Verbot hilft nicht weiter, denn die Kunden hören nicht auf zu schicken. Dieser Beitrag erklärt, warum WhatsApp für Gesundheitsdaten der falsche Kanal ist, wie Sie mit ungefragt eingehenden Rezeptfotos richtig umgehen, was mit WhatsApp überhaupt vertretbar bleibt und welche sicheren Alternativen sich in der Praxis bewährt haben, inklusive Übergangslösung für morgen früh.

Warum WhatsApp im Sanitätshaus ein Problem ist

Ein Rezeptfoto ist kein harmloser Schnappschuss: Es enthält Name, Diagnose, Verordnung und verordnenden Arzt, also Gesundheitsdaten nach Art. 9 DSGVO, die dem höchsten Schutzniveau unterliegen. Genau für diese Daten ist die Standard-Nutzung von WhatsApp im Unternehmenskontext aus mehreren Gründen nicht tragfähig. Die Inhalte sind zwar Ende-zu-Ende-verschlüsselt, aber der Dienst verarbeitet umfangreiche Metadaten, wer wann mit wem kommuniziert, und gleicht das Adressbuch des Geräts ab: Wer Kundennummern im Telefonbuch speichert, übermittelt damit laufend Kontaktdaten Dritter an den Anbieter, ohne deren Einwilligung. Für die normale WhatsApp-Nutzung existiert zudem kein Vertrag zur Auftragsverarbeitung, und die Datenverarbeitung findet bei einem US-Konzern statt. Die deutschen Aufsichtsbehörden bewerten den Einsatz für Gesundheitsdaten deshalb seit Jahren als unzulässig, und im Sanitätshaus ist praktisch jede inhaltliche Kundenkommunikation gesundheitsbezogen. Welche Grundpflichten für Sanitätshäuser insgesamt gelten, lesen Sie in unserem Grundlagenbeitrag zum Datenschutz im Sanitätshaus.

Der Praxisfall: Wenn Kunden ungefragt Rezepte schicken

Die häufigste Konstellation ist nicht der aktive WhatsApp-Service, sondern der Kunde, der von sich aus schickt. Dafür kann das Sanitätshaus nichts, verantwortlich wird es trotzdem in dem Moment, in dem es die Nachricht geschäftlich weiterverarbeitet. Richtig ist ein dreistufiger Standardprozess. Erstens: Die Information wird gesichert, das Rezept wird unverzüglich in die Branchensoftware beziehungsweise den regulären Auftragsprozess übernommen, denn die Versorgung soll ja stattfinden. Zweitens: Der Chat wird bereinigt, Foto und Verlauf werden nach Übernahme gelöscht, damit keine Schatten-Datenbank aus Gesundheitsdaten im Messenger entsteht. Drittens: Der Kunde wird freundlich umgelenkt, mit einer hinterlegten Standardantwort: Vielen Dank, wir haben Ihr Rezept aufgenommen; für künftige Rezepte und Rückfragen nutzen Sie bitte unseren sicheren Upload unter [Adresse] oder rufen Sie uns an, denn WhatsApp ist für Gesundheitsdaten nicht geeignet.

Zwei Dinge dürfen dabei nicht passieren: Es wird im Chat keine inhaltliche Beratung geführt, keine Rückfrage zur Diagnose, keine Produktempfehlung zum Krankheitsbild, und es wird niemals aktiv um Gesundheitsdaten per WhatsApp gebeten. Der Unterschied zwischen dulden und anbieten ist datenschutzrechtlich entscheidend: Was der Kunde unaufgefordert schickt, ist beherrschbar; was das Sanitätshaus als Kanal bewirbt, ist seine Entscheidung und seine Verantwortung.

Was mit WhatsApp vertretbar bleibt und was nicht

  • Gesundheitsdatenfreie Nachrichten: Vertretbar gestaltbar sind reine Organisationsnachrichten ohne jeden Gesundheitsbezug, etwa „Ihre Bestellung ist abholbereit“ oder eine Terminerinnerung, ohne Produktnennung, ohne Diagnose, ohne Versorgungsdetails. Voraussetzungen: ausdrückliches Opt-in des Kunden, transparente Datenschutzinformation und die Disziplin, die Grenze wirklich einzuhalten; „Ihre Kompressionsstrümpfe Klasse 2 sind da“ ist bereits ein Gesundheitsdatum.
  • WhatsApp Business API statt App: Wer den Kanal ernsthaft nutzen will, kommt an der Business-Plattform über einen professionellen Anbieter nicht vorbei: mit Vertrag zur Auftragsverarbeitung, EU-Hosting des Anbieters und vor allem ohne Adressbuch-Abgleich. Das reduziert die Probleme erheblich, löst sie aber nicht vollständig; für Gesundheitsdaten bleibt auch dieser Weg ungeeignet und sollte auf Organisatorisches beschränkt werden. Wie die Verträge mit solchen Dienstleistern aussehen müssen, erklärt unser Beitrag zur Auftragsverarbeitung im Sanitätshaus.
  • Technische Mindestabsicherung: Wenn ein WhatsApp-Zugang betrieben wird, dann auf einem dedizierten Dienstgerät mit leerem beziehungsweise kundenfreiem Adressbuch und deaktiviertem Kontaktzugriff, nie auf den Privathandys der Mitarbeiter. Für das Team gilt dieselbe Regel wie in der Pflege: keine Kunden- oder Versorgungsdaten in privaten Messenger-Gruppen; die Grundsatzfragen dazu beantwortet auch unser Datenschutz-FAQ für die Pflege.

Die besseren Kanäle: Sichere Alternativen für Rezept und Beratung

Die nachhaltige Lösung ist ein eigener, sicherer Eingangskanal, der dem Kunden genauso wenig Mühe macht wie WhatsApp. Bewährt hat sich ein verschlüsseltes Rezept-Upload-Formular auf der eigenen Website: Foto aufnehmen, hochladen, fertig, serverseitig verschlüsselt, direkt in den Auftragsprozess, mit Eingangsbestätigung. Viele Branchensoftware-Anbieter bringen dafür Kundenportale oder App-Module mit, die zusätzlich Statusabfragen und Dokumentenaustausch erlauben; hier ist der AV-Vertrag mit dem Anbieter ohnehin Pflicht. Für die Dialogkommunikation kommen datenschutzkonforme Messenger mit EU-Hosting in Betracht, für die Kommunikation mit Ärzten und Pflegediensten perspektivisch KIM über die Telematikinfrastruktur, wie in unserem Beitrag zu E-Rezept und TI im Sanitätshaus beschrieben. Und die klassischen Wege bleiben gültig: Telefon, persönliche Abgabe, Post. Entscheidend ist, dass der sichere Kanal sichtbar beworben wird, auf Website, Rechnung, Ladentheke und in der Standardantwort des Messengers, denn Kunden nutzen den Weg, der ihnen gezeigt wird.

Der Fahrplan: In vier Schritten zur geregelten Kundenkommunikation

  • 1. Bestandsaufnahme: Welche Nummern empfangen heute Kundennachrichten, auch inoffiziell auf Privatgeräten? Welche Inhalte kommen herein, wo werden sie gespeichert? Ohne dieses Bild bleibt jede Regel Theorie.
  • 2. Kanalentscheidung: Ein sicherer Eingangskanal für Rezepte und Gesundheitsfragen (Upload oder Portal) plus gegebenenfalls ein gesundheitsdatenfreier Benachrichtigungskanal mit Opt-in. Alles andere wird abgeschaltet oder auf die Standardantwort reduziert.
  • 3. Team-Regeln:Eine kurze Kommunikationsrichtlinie legt fest: keine Beratung im Messenger, Übernahme-und-Löschen-Prozess für eingehende Rezeptfotos, Privathandys tabu, Standardantwort hinterlegt. Eine halbe Stunde Schulung mit den echten Fällen genügt meist.
  • 4. Transparenz: Datenschutzhinweise und gegebenenfalls Einwilligungen werden angepasst: Welche Kanäle bietet das Haus an, was passiert mit eingehenden Nachrichten, wie lange wird gespeichert? Das gehört auch in das Verzeichnis der Verarbeitungstätigkeiten.

Wann externe Unterstützung sinnvoll ist

Die WhatsApp-Frage ist typischerweise der Moment, in dem Sanitätshäuser merken, dass Kundenkommunikation, Verträge und Technik zusammenhängen: Upload-Formular, Portal-Anbieter, Business-API-Provider und Messenger-Alternative brauchen jeweils die passende vertragliche und technische Absicherung. Ein externer Datenschutzbeauftragter mit Branchenerfahrung bewertet die Optionen für Ihre Größe und Software-Landschaft, liefert Kommunikationsrichtlinie, Standardantworten und Datenschutzhinweise als Muster und prüft die Verträge der Anbieter. zweiplus übernimmt das für Einrichtungen im Gesundheitswesen, TÜV-zertifiziert, von der kostenfreien Schutzbedarfsfeststellung bis zum laufenden Datenschutzmanagement. Für KMU besteht zudem die Möglichkeit, Beratungsleistungen über das Förderprogramm der BAFA bezuschussen zu lassen. Ob eine Förderung in Frage kommt, klären wir im Erstgespräch.

Fazit: Den Kunden den bequemen Weg bauen, nur eben den sicheren

Kunden werden weiter Rezepte per Messenger schicken, die Frage ist nur, was das Sanitätshaus daraus macht. Die Antwort ist kein Verbotsschild, sondern ein Prozess: eingehende Nachrichten übernehmen, bereinigen und freundlich umlenken, einen sicheren Upload-Kanal anbieten und sichtbar bewerben, WhatsApp höchstens für gesundheitsdatenfreie Organisationsnachrichten mit Opt-in nutzen und das Team mit klaren Regeln ausstatten. Damit wird aus dem täglichen Graubereich ein Wettbewerbsvorteil: Das Haus, das den einfachen und sicheren Weg anbietet, wirkt professioneller als das, das Rezeptfotos im Privat-Chat sammelt. Wer den Umbau strukturiert angehen möchte, findet in zweiplus einen Partner mit nachgewiesener Branchenerfahrung. Nehmen Sie Kontakt auf und lassen Sie Ihre Kundenkommunikation unverbindlich prüfen.

FAQs – Häufig gestellte Fragen zu WhatsApp und Rezeptfotos im Sanitätshaus

Ein ausdrückliches gesetzliches Verbot gibt es nicht, aber für Gesundheitsdaten ist die Standard-Nutzung nach Einschätzung der Aufsichtsbehörden nicht DSGVO-konform: Metadatenverarbeitung, Adressbuch-Abgleich, fehlender AV-Vertrag und US-Datenverarbeitung sprechen dagegen. Für rein organisatorische Nachrichten ohne Gesundheitsbezug lässt sich mit Business-API, Opt-in und Dienstgerät eine vertretbare Lösung gestalten.

Ja, die Versorgung darf stattfinden. Richtig ist der Dreischritt: Rezept unverzüglich in den regulären Auftragsprozess übernehmen, Foto und Chatverlauf danach löschen und den Kunden mit einer Standardantwort auf den sicheren Kanal umlenken. Inhaltliche Beratung im Chat findet nicht statt.

Nein. Die Verschlüsselung schützt nur die Inhalte auf dem Transportweg. Problematisch bleiben die Metadaten, der Abgleich des Telefonbuchs mit Kontaktdaten Dritter, der fehlende Auftragsverarbeitungsvertrag für die Standardnutzung und die Speicherung der Gesundheitsdaten im Chat selbst, auf einem dafür nicht verwalteten Gerät.

Die Business-Plattform über einen professionellen Anbieter ermöglicht einen AV-Vertrag, EU-Hosting des Anbieters und den Verzicht auf den Adressbuch-Abgleich, das ist deutlich besser als die normale App. Für Gesundheitsdaten bleibt der Kanal trotzdem ungeeignet; sinnvoll ist er für Terminerinnerungen und Abholbenachrichtigungen ohne Gesundheitsbezug mit Opt-in.

Ja, wenn der Kunde eingewilligt hat und die Nachricht keinerlei Gesundheitsbezug enthält: keine Produktnennung, keine Diagnose, keine Versorgungsdetails. „Ihre Kompressionsstrümpfe sind da“ überschreitet die Grenze bereits, „Ihre Bestellung ist abholbereit“ nicht.

Nein. Kundenkommunikation gehört nicht auf Privatgeräte: kein AV-Vertrag, kein Zugriff des Hauses auf die Daten, Adressbuch-Abgleich mit Kundenkontakten und keine Löschkontrolle. Wenn überhaupt, läuft ein Messenger-Zugang über ein dediziertes Dienstgerät ohne Kundenkontakte im Adressbuch.

Ein verschlüsseltes Upload-Formular auf der eigenen Website, das Kundenportal oder App-Modul der Branchensoftware mit AV-Vertrag, datenschutzkonforme Messenger mit EU-Hosting sowie die klassischen Wege Telefon, persönliche Abgabe und Post. Entscheidend ist, den sicheren Kanal aktiv zu bewerben, damit er für Kunden genauso bequem erreichbar ist wie WhatsApp.

Für aktiv angebotene Messenger-Benachrichtigungen ja: ein dokumentiertes Opt-in plus transparente Datenschutzinformation. Für die Verarbeitung eines ungefragt eingesandten Rezepts im Versorgungsprozess genügt die Vertragsanbahnung beziehungsweise Versorgung als Rechtsgrundlage; die Umlenkung auf den sicheren Kanal gehört trotzdem zum Pflichtprogramm.

Ein Rezeptfoto oder Versorgungsdetail an den falschen Chat ist eine Datenschutzverletzung: prüfen, dokumentieren und bei Risiko für die betroffene Person innerhalb von 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO). Genau solche Vorfälle sind der Grund, die Kanäle vorher zu ordnen statt hinterher zu melden.

Spätestens wenn ein Upload-Portal, eine Business-API-Lösung oder ein Messenger-Wechsel ansteht oder wenn heute niemand weiß, auf welchen Geräten Kundennachrichten eingehen. Ein externer Datenschutzbeauftragter bewertet die Optionen, liefert Richtlinie, Standardantworten und Datenschutzhinweise und prüft die Anbieterverträge.

Über uns

Unsere Kerntätigkeit ist die Bestellung als externe Datenschutzbeauftragte für kleine und mittelständische Unternehmen, kommunale Dienstleister und Gemeinden bis hin zur wirtschaftsprüfungspflichtigen Unternehmen.