Personenbezogene Daten auf WhatsApp für Kliniken: worauf bei Patientennachrichten zu achten ist

Telefonnummer, Name und die Nachricht selbst sind personenbezogene Daten. „Mein Zahn tut weh“ oder „ich möchte meine Nase machen lassen“ ist eine Gesundheitsinformation, die das Gesetz als besondere Kategorie behandelt. Ein unscheinbarer Chat trägt also eine der sensibelsten Datensammlungen der Klinik.

Verantwortlich ist die Klinik. Die Software, die das Gespräch führt, und die Anbieter darunter sind Auftragsverarbeiter; die Verantwortung ändert sich nicht damit, wer im Namen der Klinik spricht.

Das Gesetz verlangt, dass Patienten informiert werden, bevor Daten erhoben werden. In einem Gespräch gibt es dafür nur einen Ort: die erste Antwort. Deshalb ist die erste Antwort von MedorAI festgelegt: eine Begrüßung im Namen der Klinik, ein Link „wie Ihre personenbezogenen Daten verarbeitet werden“ und eine Frage. Die Klinik kann ihre eigene Begrüßung schreiben, aber die Informationszeile lässt sich nicht entfernen.

Diese Zeile ist keine Einwilligungsanfrage. Die Daten eines Patienten, der einen Termin vereinbaren will, werden zur Anbahnung des Vertrags verarbeitet; der Patient wird nie gebeten, „ich stimme zu“ zu sagen, und in keiner Sprache wird eine Einwilligungsformel verwendet.

Für einen Termin reichen drei Dinge: Name, Behandlung, Uhrzeit. Die Telefonnummer kommt mit der Nachricht und wird nie abgefragt. Ausweisnummer, Krankengeschichte, Versicherungsdaten und Geburtsdatum werden nie erfragt; teilt ein Patient sie von sich aus mit, überlässt MedorAI das Thema dem Arzt.

Ein Behandlungsname ist eine Gesundheitsinformation. MedorAI schreibt ihn nur mit Zustimmung des Patienten in die Terminnotiz, und die Zustimmung selbst wird festgehalten: Zeitpunkt, Kanal, Version des Einwilligungstexts. Der Nachrichtentext wird nicht gespeichert. Lehnt der Patient ab, wird die Behandlung besprochen, aber nicht in den Termin geschrieben.

Das Gespräch ist nicht dauerhaft. Wenn es schließt, werden die Nachrichteninhalte gelöscht; ein 24 Stunden stilles Gespräch schließt von selbst. Der Termindatensatz wird 30 Tage nach dem Termin gelöscht. In langfristigen Aufzeichnungen bleibt die Nummer des Patienten nur als nicht umkehrbarer Hashwert; so wird ein wiederkehrender Patient erkannt, ohne dass die Nummer gelesen wird.

Ein Patient kann die Löschung seiner Daten verlangen, auch innerhalb des Gesprächs. Verlässt die Klinik den Dienst, werden alle Daten der Klinik gelöscht.

Antworten werden bei einem KI-Anbieter erzeugt, und dieser Anbieter kann im Ausland sitzen. Das Paket, das an das Modell geht, enthält weder den Namen noch die Nummer des Patienten: Der Name wird durch einen Platzhalter ersetzt und nach der Antwort wieder eingesetzt. Rechtsgrundlage ist der Standardvertrag nach Artikel 9 des Gesetzes; Einzelheiten stehen in der Datenschutzinformation.

Eine Klinik kann diese Übermittlung in ihre eigene Information aufnehmen. Welche Anbieter in welchem Land sitzen, zählt die Information von MedoraLab namentlich auf; eine Klinik kann daraus zitieren.

Keine Screenshots teilen: Sobald das Bild eines Patientengesprächs die Klinik verlässt, ist es außer Kontrolle. Nicht vom privaten Telefon mit Patienten schreiben; aus dem Panel schreiben. Im Panel steht an jeder Sprechblase, wer geschrieben hat, sodass es später keinen Streit darüber gibt, wer was gesagt hat.

Das Support-Team kann im Panel der Klinik weder Name noch Nummer noch Nachrichten des Patienten sehen; es sieht nur Einstellungen und Zahlen. Jede Aktion im Support-Modus wird im Panel der Klinik aufgezeichnet.

Er gibt keine Garantie für Rechtskonformität. Jede Klinik hat ihre eigene Information, ihre eigenen Meldepflichten und ihren eigenen Berater; dieser Artikel erklärt, wie die Nachrichtenebene aufgebaut ist, den Rest beurteilt der Berater der Klinik.