In diesem Ratgeber
Wann gilt Datenschutz auch in einer geschlossenen Gruppe?
Die Ausnahme für persönliche oder familiäre Tätigkeiten ist eng begrenzt. Eine tatsächlich private Verabredung unter befreundeten Kolleginnen kann darunterfallen. Werden dagegen Dienstpläne, Patiententhemen oder betriebliche Aufgaben organisiert, lässt sich diese Ausnahme nicht allein mit einer geschlossenen Mitgliederliste begründen. Auch eine kleine Gruppe kann beruflichen Zwecken dienen.
Für die Praxisorganisation empfiehlt sich eine sichtbare Trennung: ein freigegebener Kanal für betriebliche Aufgaben und eine davon unabhängige private Kommunikation. Entscheidend ist außerdem, wer eine Information für seine Aufgabe wirklich benötigt. Die Zugehörigkeit zum Team ist keine allgemeine Berechtigung, sämtliche Personaldaten oder Behandlungsinformationen zu erhalten.
Dienstplanung braucht meist keine Diagnose
| Situation | Praktische Regel |
|---|---|
| Kurzfristiger Personalausfall | Verfügbarkeit und Vertretung nur dem erforderlichen Empfängerkreis mitteilen. Diagnosen gehören nicht in die allgemeine Dienstplanung. |
| Krankmeldung einer Mitarbeiterin | Einen vertraulichen Meldeweg zur zuständigen Person festlegen. Medizinische Einzelheiten nicht im gesamten Team verteilen. |
| Rückfrage zu einer Behandlung | Nur berechtigte Beteiligte und einen dafür geprüften Kanal nutzen. Benötigte Informationen auf den konkreten Fall begrenzen. |
| Foto eines Befunds | Vor dem Versand Inhalt, Empfänger, Gerätespeicherung und Übernahme in die Behandlungsdokumentation prüfen. |
| Geburtstagsfeier | Private Organisation nicht mit Patienten- oder Personalunterlagen vermischen. |
Gesundheitsinformationen über Beschäftigte sind ebenso schutzbedürftig wie andere Gesundheitsdaten. Wer einen Kollegen selbst behandelt hat oder Einblick in seine Befunde hatte, darf daraus kein Gesprächsthema für den Dienstchat machen. Zusätzlich zu den Datenschutzanforderungen ist gegebenenfalls die berufliche Schweigepflicht nach § 203 StGB zu beachten.
Praxisfall: Kollegendiagnosen im Teamchat
Eine Ärztin teilte in einer WhatsApp-Gruppe Diagnosen und Laborwerte eines erkrankten Kollegen mit sieben weiteren Gruppenmitgliedern. Das Arbeitsgericht Siegburg verurteilte sie zur Unterlassung und zu 1.000 Euro immateriellem Schadensersatz. Die Entscheidung vom 22. Mai 2026, Aktenzeichen 1 Ca 1741/25, ist unter anderem in RDV 5/2026, Seite 274, veröffentlicht.
In der Gruppe wurden auch Dienste, Vertretungen und Krankmeldungen abgestimmt. Die Haushaltsausnahme griff im entschiedenen Fall nicht. Die im Urteil genannten rund 30 Prozent arbeitsbezogenen Inhalte sind kein gesetzlicher Grenzwert. Artikel 2 Absatz 2 Buchstabe c DSGVO verlangt eine ausschließlich persönliche oder familiäre Tätigkeit; eine kleinere dienstliche Quote ist deshalb keine automatische Freigabe.
Für diese eigenmächtige Offenlegung außerhalb der dienstlich erforderlichen Aufgaben behandelte das Gericht die Ärztin selbst als Verantwortliche. Das bedeutet weder, dass jeder Fehler Beschäftigte persönlich zu Verantwortlichen macht, noch dass Arbeitgeber pauschal entlastet sind. Die eigene Organisation muss weiterhin geeignete Zugriffsregeln, Kommunikationswege und Schulungen sicherstellen.
Eine verschlüsselte App allein löst nicht alle Fragen
Die Datenschutzkonferenz hat technische Anforderungen für Messenger in Krankenhäusern veröffentlicht, die auch Orientierung für niedergelassene Einrichtungen bieten. Das Papier betrachtet vor allem interne Kommunikation auf dienstlichen Geräten. Es ist keine pauschale Freigabe für private Smartphones, externe Gruppen oder jeden einzelnen Anbieter.
Diese Punkte gehören in Ihre Auswahlentscheidung
- Kontakte: Werden Telefonbücher übertragen oder lassen sich dienstliche Kontakte getrennt verwalten?
- Speicherorte: Wo liegen Nachrichten, Anhänge und Sicherungen, und welche weiteren Dienste erhalten Daten?
- Zugriffe: Gibt es persönliche Konten, geeignete Anmeldung und eine zentrale Verwaltung der Berechtigungen?
- Vertraulichkeit: Wie sind Übertragung und gespeicherte Inhalte geschützt, und wer kann sie entschlüsseln?
- Löschung: Können Konten, Nachrichten und Gerätezugänge gezielt beendet werden?
- Verträge: Welche Rolle hat der Anbieter, und welche Vereinbarungen sind für den konkreten Betrieb erforderlich?
Die Prüfung bezieht sich auf das konkrete Produkt, seine Einstellungen und den vorgesehenen Einsatz. Weder der Markenname noch ein Hinweis auf Ende-zu-Ende-Verschlüsselung beantworten sämtliche Fragen. Für Patientendaten sollte die Praxis nur ausdrücklich geprüfte Verfahren zulassen.
Sechs Regeln, die Ihr Team sofort anwenden kann
- Für jeden freigegebenen Kanal Zweck, erlaubte Inhalte und zuständige Person benennen.
- Teilnehmende vor dem Hinzufügen prüfen; ausgeschiedene Beschäftigte zeitnah entfernen.
- Keine privaten Konten oder Geräte stillschweigend zum notwendigen Arbeitsmittel machen. Dienstliche Erreichbarkeit und Alternativen ausdrücklich regeln.
- Automatische Ablage von Bildern in privaten Fotogalerien und ungeprüfte private Cloud-Sicherungen vermeiden.
- Behandlungsrelevante Entscheidungen in der vorgesehenen Patientenakte dokumentieren. Der Chat ersetzt diese Dokumentation nicht.
- Den Meldeweg für Fehlversand, verlorene Geräte und versehentlich geteilte Inhalte gut sichtbar hinterlegen.
Eine kurze Einweisung mit zwei konkreten Beispielen hilft mehr als eine unübersichtliche Verbotsliste. Lassen Sie das Team etwa entscheiden, welche Angaben für eine Dienstvertretung nötig sind und wie eine medizinische Rückfrage an die richtige Person gelangt.
Was tun, wenn sensible Daten bereits im Chat stehen?
Begrenzen Sie zunächst die weitere Verbreitung und informieren Sie intern die zuständige Person. Halten Sie fest, welche Angaben an welche Empfänger gingen und wann dies bemerkt wurde. Eine Löschfunktion beweist nicht, dass niemand Inhalte gelesen, gespeichert oder weitergeleitet hat.
Anschließend werden Schutzmaßnahmen, das Risiko für die betroffenen Menschen und mögliche Informations- oder Meldepflichten geprüft. Dabei sollte der Vorfall nur im notwendigen Kreis bearbeitet werden. Nach der Klärung gehört die Ursache in die Verbesserung des Ablaufs: etwa falsche Gruppenwahl, zu breite Berechtigungen oder fehlende Schulung.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
- DSK: Technische Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich (öffnet in neuem Tab)29.04.2021
- DSGVO: insbesondere Art. 2, 4, 5, 9, 25, 32 und 82 – amtliche Wiedergabe des BMF (öffnet in neuem Tab)
- § 26 BDSG: Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses (öffnet in neuem Tab)
- § 203 StGB: Verletzung von Privatgeheimnissen (öffnet in neuem Tab)
- LfD Niedersachsen: Meldung von Datenschutzverstößen (öffnet in neuem Tab)
- ArbG Siegburg, Urteil vom 22.05.2026 – 1 Ca 1741/25: amtliche NRWE-Fundstelle (öffnet in neuem Tab)22.05.2026; ergänzende Veröffentlichung: RDV 5/2026, S. 274–277
- RDV 5/2026, S. 274–277: Keine Haushaltsausnahme für die kollegiale WhatsApp-Chatgruppe (öffnet in neuem Tab)21.10.2026
- EDSA: Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern, insbesondere Rn. 19 (öffnet in neuem Tab)Version 2.1 vom 20.09.2022
- EuGH, C-300/21: Voraussetzungen des Schadensersatzes nach Artikel 82 DSGVO (öffnet in neuem Tab)04.05.2023
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.