Messenger für Praxis und Kanzlei: worauf Berufsgeheimnisträger achten müssen
Stand:
Arztpraxen, Kanzleien und Steuerberater unterliegen neben der DSGVO der strafbewehrten Schweigepflicht nach § 203 StGB. Ein Messenger für diese Berufe sollte Ende-zu-Ende verschlüsseln, ohne Zugriff auf das private Adressbuch auskommen und von einem Dienstleister betrieben werden, der zur Verschwiegenheit verpflichtet ist.
Warum für Berufsgeheimnisträger strengere Maßstäbe gelten
Für die meisten Betriebe ist der Datenschutz die Messlatte bei der Wahl eines Messengers. Für Ärztinnen und Ärzte, Zahnärzte, Apotheker, Psychologen, Rechtsanwälte, Notare, Steuerberater und Wirtschaftsprüfer kommt eine zweite hinzu: das Berufsgeheimnis. Nach § 203 Abs. 1 StGB macht sich strafbar, wer unbefugt ein fremdes Geheimnis offenbart, das ihm in dieser beruflichen Eigenschaft anvertraut oder sonst bekannt geworden ist.
Ein Messenger, über den Befunde, Mandatsdetails oder Fotos von Unterlagen laufen, wird damit Teil der Frage, ob Geheimnisse ausreichend geschützt sind. Hinzu kommt die DSGVO: Gesundheitsdaten gehören nach Art. 9 Abs. 1 DSGVO zu den besonderen Kategorien personenbezogener Daten, deren Verarbeitung grundsätzlich untersagt und nur unter den Ausnahmen des Absatzes 2 zulässig ist.
Typische Fälle aus dem Alltag zeigen, wie schnell das relevant wird: das Foto eines Laborbefunds, das an die Kollegin geschickt wird, die Frage nach einem Mandanten im Gruppenchat der Kanzlei, die Sprachnachricht mit einer Diagnose an die Vertretung. Jeder dieser Fälle ist schnell erledigt und schwer zurückzuholen, wenn der Dienst nicht passt.
Was die Aufsichtsbehörden von Messengern erwarten
Die Datenschutzkonferenz hat am 29. April 2021 eine Stellungnahme zu Messenger-Diensten im Krankenhausbereich beschlossen. Sie richtet sich an Kliniken, die daraus ableitbaren Vorgaben dienen nach dem Papier aber gleichzeitig als Orientierung für den Einsatz von Messenger-Diensten im niedergelassenen Bereich. Für Arztpraxen ist das Papier damit ein unmittelbarer Maßstab, für Kanzleien zumindest ein guter Anhaltspunkt.
Zu den Muss-Anforderungen gehören unter anderem:
- Ende-zu-Ende-Verschlüsselung der Kommunikation nach dem Stand der Technik,
- eine eigene Anmeldung in der App, die sich von der Gerätesperre unterscheidet,
- ein vom allgemeinen Adressbuch getrennter Kontaktspeicher,
- verschlüsselte Ablage von Nachrichten und Anhängen in einem eigenen Speicherbereich,
- die Möglichkeit, Nachrichten, Dateien und Kontakte gezielt zu löschen,
- Verbindungsdaten nur im erforderlichen Umfang und keine Nutzung für fremde Zwecke wie Werbung,
- nur zugelassene Nutzer über einen geeigneten Registrierungs- oder Authentifizierungsprozess,
- gesicherte Endgeräte mit Zugriffsschutz, aktuellem Betriebssystem und Verwaltung über ein Mobile Device Management oder eine gleich wirksame Maßnahme.
Außerdem verlangt das Papier, die Erforderlichkeit einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu prüfen. Sie ist vorab durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge hat.
Der Dienstleister: Verschwiegenheit muss vertraglich gesichert sein
Wer einen Messenger nicht selbst betreibt, bindet einen Dienstleister ein. Das Strafrecht erlaubt das: Nach § 203 Abs. 3 StGB dürfen Berufsgeheimnisträger fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen Tätigkeit mitwirken, soweit dies für deren Inanspruchnahme erforderlich ist. Die Kehrseite steht in § 203 Abs. 4 StGB: Strafbar macht sich auch der Berufsgeheimnisträger, der nicht dafür Sorge getragen hat, dass eine mitwirkende Person, die ein Geheimnis unbefugt offenbart, zur Geheimhaltung verpflichtet wurde.
Für Rechtsanwälte konkretisiert § 43e BRAO diese Pflicht. Der Dienstleister ist sorgfältig auszuwählen. Der Vertrag bedarf der Textform und muss ihn unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichten, ihn darauf beschränken, sich nur so weit Kenntnis zu verschaffen, wie es für den Auftrag erforderlich ist, und festlegen, ob er weitere Personen hinzuziehen darf. Für andere Berufe enthalten die jeweiligen Berufsgesetze und Berufsordnungen eigene Regeln.
Datenschutzrechtlich ist zusätzlich ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Er legt unter anderem fest, dass der Dienstleister Daten nur auf dokumentierte Weisung verarbeitet und weitere Auftragsverarbeiter nur mit Genehmigung einsetzt.
Organisation: was die Technik nicht für Sie erledigt
Auch ein gut gebauter Messenger löst nicht alle Pflichten. Einige Punkte liegen immer bei der Praxis oder Kanzlei selbst:
- Dienstliche Geräte: Die Anforderungen der Datenschutzkonferenz setzen dienstliche Endgeräte voraus. Private Telefone lassen sich kaum so absichern und verwalten, wie es dort verlangt wird.
- Dokumentation: Der Messenger ersetzt weder Patientenakte noch Handakte. Nach der Stellungnahme muss eine Dokumentation unterbleiben, die teilweise im Messenger erfolgt und in der Patientendokumentation nicht nachvollziehbar ist. Was behandlungs- oder mandatsrelevant ist, gehört in das führende System.
- Kommunikation nach außen: Die Stellungnahme der Datenschutzkonferenz betrachtet ausdrücklich nur die Kommunikation innerhalb der Einrichtung; die Kommunikation mit externen Dritten sowie mit Patientinnen und Patienten ist nach dem Papier nicht erfasst. Wer mit Patienten oder Mandanten per Messenger schreiben will, muss diese Fälle gesondert bewerten, zum Beispiel weil die Gegenseite ein privates Gerät nutzt, das Sie nicht kontrollieren.
- Löschfristen: Legen Sie fest, wie lange Nachrichten im Messenger verbleiben, und nutzen Sie automatische Löschung, wo sie verfügbar ist.
- Einsatzzwecke: Beschreiben Sie, wofür der Messenger genutzt wird, etwa für interne Abstimmung im Team, und wofür nicht, etwa für die Kommunikation mit Patienten oder Mandanten.
- Verzeichnis und Folgenabschätzung: Nehmen Sie den Messenger in das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO auf und dokumentieren Sie die Prüfung nach Art. 35 DSGVO.
Checkliste für die Auswahl
| Frage an den Anbieter | Warum sie wichtig ist |
|---|---|
| Sind Inhalte, Dateien und Sprachnachrichten Ende-zu-Ende-verschlüsselt? | Muss-Anforderung der Datenschutzkonferenz, schützt Geheimnisse auch gegenüber dem Betreiber |
| Braucht die App Zugriff auf das Adressbuch? | Kontakte müssen getrennt vom allgemeinen Adressbuch geführt werden können |
| Welche Metadaten sieht der Betreiber, und wofür nutzt er sie? | Verbindungsdaten nur im erforderlichen Umfang, keine fremden Zwecke |
| Wo stehen die Server? | Die Stellungnahme empfiehlt Dienstleister in Deutschland, der EU oder dem EWR |
| Gibt es einen Vertrag nach Art. 28 DSGVO und eine Verschwiegenheitsverpflichtung? | Datenschutz und § 203 StGB verlangen beides |
| Wer kann Nutzer anlegen und sperren? | Nur zugelassene Nutzer dürfen teilnehmen, Austritte müssen sofort wirken |
| Lassen sich Nachrichten automatisch löschen? | Grundlage für Löschfristen und Datenminimierung |
Wo notefox ansetzt und wo nicht
notefox erfüllt einen Teil dieser Anforderungen technisch: Inhalte, Bilder, Dateien und Sprachnachrichten werden auf dem Gerät verschlüsselt, die App nutzt kein Adressbuch, sondern nur die Mitglieder der eigenen Organisation, jede Organisation ist ein getrennter Mandant, der Admin legt Nutzer an und sperrt sie, und Nachrichten können sich nach einer eingestellten Zeit selbst löschen. Betrieben wird notefox auf Servern in Deutschland. Nicht abgedeckt sind die organisatorischen Punkte: Geräteverwaltung, Folgenabschätzung, Dokumentation im führenden System und die vertragliche Verschwiegenheitsverpflichtung, die Sie mit jedem Dienstleister vereinbaren müssen. Eine Zertifizierung besitzt notefox derzeit nicht. Ob notefox für Ihre Praxis oder Kanzlei passt, klären wir gern im Gespräch über kontakt@hubfox.de.
Häufige Fragen
Dürfen Arztpraxen WhatsApp für Patientendaten nutzen?
Die Datenschutzkonferenz sieht bei geschäftlicher Nutzung von WhatsApp eine Reihe von Problemen, die einen Einsatz im Krankenhaus weitgehend ausschließen, und versteht ihre Anforderungen zugleich als Orientierung für den niedergelassenen Bereich. Für Patientendaten sollten Praxen einen Dienst wählen, der die dort genannten Muss-Anforderungen erfüllt.
Was muss im Vertrag mit einem Messenger-Anbieter stehen?
Datenschutzrechtlich ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Für Berufsgeheimnisträger zusätzlich eine Verpflichtung zur Geheimhaltung; für Rechtsanwälte regelt § 43e BRAO, dass der Vertrag in Textform geschlossen wird und den Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet.
Reicht Ende-zu-Ende-Verschlüsselung allein aus?
Nein. Sie ist eine zentrale Anforderung, ersetzt aber weder gesicherte dienstliche Geräte noch Löschfristen, die Prüfung einer Datenschutz-Folgenabschätzung oder die Dokumentation im führenden System.
Quellen
- § 203 StGB: Verletzung von Privatgeheimnissen
- § 43e BRAO: Inanspruchnahme von Dienstleistungen
- DSK: Technische Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich, Stellungnahme vom 29. April 2021
- BfDI: INFO 1, DSGVO und BDSG, Texte und Erläuterungen (Stand März 2026)
Dieser Ratgeber gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.