Pflegedienst-Tourenplanung per WhatsApp: Warum das DSGVO-Bußgeld vorprogrammiert ist — und wie es richtig geht

Inhalt in Kürze

• Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO — die Übermittlung von Klienten-Adressen, Diagnosen und Pflegestufen per WhatsApp oder SMS auf Privat-Handys ist datenschutzrechtlich hochriskant.
• WhatsApp hat keinen AVV mit Meta für den Business-Einsatz in Deutschland — damit fehlt die Rechtsgrundlage nach Art. 28 DSGVO.
• Aufsichtsbehörden ziehen seit 2024 durch und verhängen bei Verstößen Bußgelder im vier- bis fünfstelligen Bereich, zuletzt mehrfach gegen Pflegeeinrichtungen.
• Die saubere Lösung heißt branchenspezifische Pflege-Software mit mobiler App (MediFox DAN, Connext Vivendi, .snap ambulant) plus geschäftliche Smartphones und Mobile-Device-Management.

06:30 Uhr, Pflegedienst in Schleswig-Holstein: Die Frühschicht hört die WhatsApp-Sprachnachricht der PDL ab. „Frau Meier, 82, Dekubitus Grad 2, 9 Uhr, insulinpflichtig, Schlüssel liegt unter der Matte." Gleichzeitig entsteht hier ein DSGVO-Bußgeld-Risiko im fünfstelligen Bereich. Niemand in diesem Pflegedienst weiß das.

Wir sehen diese Konstellation bei fast jedem ambulanten Pflegedienst, den wir beraten — und es ist eines der kritischsten Datenschutzprobleme der Branche.

Warum Tourenplanung per WhatsApp ein DSGVO-Problem ist

Die Rechtslage ist nicht grau, sondern eindeutig. Vier Regelungen greifen parallel:

1. Art. 9 DSGVO — besondere Kategorien. Gesundheitsdaten, Pflegestufen, Diagnosen, Medikation sind nicht „normale" personenbezogene Daten. Ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO grundsätzlich verboten und nur unter den engen Ausnahmen des Abs. 2 erlaubt — etwa Einwilligung, Pflegevertrag oder Berufsgeheimnisse. Dazu gehört: technische und organisatorische Maßnahmen, die dem erhöhten Schutzbedarf entsprechen.

2. Art. 28 DSGVO — fehlender AVV. Wer WhatsApp geschäftlich nutzt, überträgt Metadaten an Meta Platforms. Nach Aussage der Datenschutz Agentur ist das „in der derzeitigen Ausgestaltung des Dienstes unzulässig" im Gesundheitswesen. Einen Auftragsverarbeitungsvertrag mit Meta, der den Anforderungen für besondere Kategorien genügt, gibt es nicht.

3. Art. 32 DSGVO — TOMs. Private Handys ohne Trennung zwischen privater und dienstlicher Nutzung, ohne Gerätesperre-Pflicht, ohne Remote-Wipe bei Verlust erfüllen die geforderten technisch-organisatorischen Maßnahmen nicht.

4. § 203 StGB — Schweigepflicht. Pflegekräfte unterliegen der beruflichen Schweigepflicht. Die Weitergabe an einen Drittanbieter (Meta) ohne Einwilligung ist strafrechtlich relevant.

Was Aufsichtsbehörden 2024 und 2025 konkret gemacht haben

Laut Tätigkeitsbericht der Aufsichtsbehörden sind die Beschwerdezahlen 2024 auf Rekordhöhe. Die Fälle aus der Pflegebranche betreffen fast immer dasselbe Muster: Messenger-Nutzung mit Gesundheitsdaten, fehlende Verfahrensverzeichnisse, fehlende AV-Verträge mit Software-Dienstleistern.

Die WhatsApp-Muttergesellschaft Meta wurde von der irischen Aufsichtsbehörde bereits 2021 zu 225 Millionen Euro Bußgeld verurteilt — wegen genau der Transparenz- und Datenweitergabe-Verstöße, die Pflegedienste auf Verbraucherseite nicht erkennen können.

Prüfliste der Behörden: Das schauen die Prüfer konkret an

Fehlt auch nur ein AVV — etwa mit dem Messenger, über den die Tour verteilt wird — ist der Verstoß bereits dokumentiert. Die Behörde muss keinen Schaden nachweisen. Die Verletzung der Pflicht reicht.

WhatsApp vs. DSGVO-konforme Pflege-Apps — der Vergleich

Konkret: .snap ambulant der euregon AG nutzt für die Routenberechnung HERE WeGo mit EU-Hosting, sodass Tour-Daten Deutschland nicht verlassen. Connext Vivendi und MediFox DAN bieten vergleichbare Module für Tourenplan, Leistungserfassung und Pflegedokumentation.

Aus der Praxis

Viele Pflegedienst-Inhaber denken: Wir sind doch zu klein, die Behörde prüft uns nie. Das ist heute nicht mehr so. Gerade kleine Dienste mit 20 bis 60 Mitarbeitern sind die typischen Fälle, die wir aus Bußgeldbescheiden kennen. Wer jetzt noch per WhatsApp tourt, riskiert ein Aha-Erlebnis der teuren Sorte.

Nils OehmichenDatenschutzberater bei frag.hugo

4 Phasen: So migrieren Sie von WhatsApp zu DSGVO-konformer Tourenplanung

1. IST-Aufnahme (Woche 1). Welche Mitarbeiter haben welche Geräte? Welche Apps werden für welche Daten benutzt? Sprachnachrichten, Fotos, Gruppenchats — alles erfassen. Ein Geräte- und App-Inventar ist die Grundlage für das Verzeichnis von Verarbeitungstätigkeiten.
2. Sofort-Maßnahmen (Woche 2). Handy-Richtlinie ausrollen: keine Klartext-Adressen, keine Diagnosen, keine Schlüsselcodes über WhatsApp. Bestehende Chatverläufe löschen. Pflegekräfte schriftlich informieren. Das allein reduziert das Risiko spürbar, bevor die technische Lösung steht.
3. Lösung auswählen (Woche 3–4). Pflegesoftware mit mobiler App (MediFox, Vivendi, .snap) oder — für sehr kleine Dienste — DSGVO-Messenger wie Threema Work oder Wire. Angebote einholen, AV-Verträge vorab prüfen, EU-Hosting als Ausschlusskriterium setzen.
4. Hardware, MDM und Schulung (Woche 5–8). Geschäftliche Smartphones pro Pflegekraft, zentral verwaltet mit Mobile Device Management. Gerätesperre, Verschlüsselung, Remote-Wipe. Schulung aller Mitarbeiter durch den DSB, Nachweis dokumentieren.

Zwischenlösung bei BYOD — wenn geschäftliche Handys zu teuer sind

Nicht jeder Pflegedienst kann sofort 40 Firmen-Smartphones kaufen. Für diese Übergangszeit gibt es pragmatische Ansätze:

Takeaway

Ihr nächster Schritt

Mehr zu unserer branchenspezifischen DSB-Leistung: Hugo DSB — externer Datenschutzbeauftragter. Autor dieses Beitrags: Nils Oehmichen, TÜV-zertifizierter Datenschutzberater und Geschäftsführer von frag.hugo.

Häufige Fragen (FAQ)

Ist WhatsApp Business DSGVO-konform?

Nein. Auch WhatsApp Business überträgt Metadaten an Meta Platforms, ohne dass ein den DSGVO-Anforderungen genügender Auftragsverarbeitungsvertrag existiert. Für besondere Kategorien personenbezogener Daten wie Gesundheitsdaten ist der Dienst damit nicht zulässig.

Was kostet eine DSGVO-konforme Pflege-Software mit mobiler App?

Die Preise beginnen bei etwa 15 bis 30 Euro pro Pflegekraft und Monat für cloudbasierte Lösungen (z. B. .snap ambulant, MediFox DAN). Einmalige Implementierungskosten liegen bei kleinen Diensten zwischen 2.000 und 8.000 Euro, abhängig von Mitarbeiterzahl und Schnittstellen zu Abrechnungssystemen.

Können wir vorerst mit privaten Handys weitermachen, wenn wir nur allgemeine Infos verschicken?

Kurz: Nein, sobald ein Klientenname fällt oder eine Adresse mit Pflegekontext genannt wird, sind Sie im Bereich besonderer Kategorien nach Art. 9 DSGVO. Die einzige vertretbare Zwischenlösung sind Container-Apps oder MDM-geschützte Bereiche auf dem Privatgerät, flankiert von einer BYOD-Vereinbarung.

Muss jeder Pflegedienst einen Datenschutzbeauftragten haben?

Nach § 38 BDSG ist ein DSB Pflicht, sobald mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind. Für Pflegedienste gilt zusätzlich die Ausnahme: Werden besondere Kategorien (Gesundheitsdaten) als Kernaktivität verarbeitet, ist der DSB nach Art. 37 Abs. 1 lit. c DSGVO unabhängig von der Mitarbeiterzahl verpflichtend.

Was droht bei einem Datenleck — etwa verlorenes Handy mit Chatverlauf?

Zwei Pflichten sofort: Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO) und ggf. Benachrichtigung der betroffenen Klienten (Art. 34). Danach wird geprüft, ob ein Bußgeld fällig ist. Bei Verstoß gegen Art. 32 (TOMs) sind Bußgelder bis 10 Mio. Euro oder 2 % des Jahresumsatzes möglich, bei Verstoß gegen Art. 9 bis 20 Mio. Euro oder 4 %.

Dürfen wir Schlüsselcodes oder Zugangsinformationen per Messenger schicken?

Auf keinen Fall über WhatsApp oder SMS. Schlüsselcodes und Zutrittsdaten gehören in die Pflegesoftware mit rollenbasiertem Zugriff und Audit-Trail — nicht in einen Gruppenchat, der bei Verlust des Geräts im Klartext lesbar ist. Bei einem Einbruch ist der Dienst sonst mitverantwortlich.