Gesundheitsdaten

Gesundheitsdaten sind nach Art. 4 Nr. 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen und etwas über ihren Gesundheitszustand verraten, etwa Diagnosen, Vorerkrankungen, Befunde oder ein Pflegegrad. Sie gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO: Ihre Verarbeitung ist grundsätzlich untersagt und nur in eng geregelten Ausnahmen zulässig, zum Beispiel mit ausdrücklicher Einwilligung.

Was sind Gesundheitsdaten?

Gesundheitsdaten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen und etwas über ihren Gesundheitszustand verraten. So definiert es Art. 4 Nr. 15 DSGVO. Ausdrücklich eingeschlossen sind Daten, die bei der Erbringung von Gesundheitsdienstleistungen entstehen, also beim Arzt, in der Klinik oder in der Pflege.

Erwägungsgrund 35 der DSGVO fasst den Begriff weit. Er umfasst den früheren, den aktuellen und den künftigen Gesundheitszustand. Dazu gehören unter anderem:

• Krankheiten und Vorerkrankungen: Diagnosen, Behinderungen, Krankheitsrisiken und Behandlungen.
• Untersuchungsergebnisse: Befunde, Laborwerte und Ergebnisse aus Proben.
• Daten aus der Anmeldung zur Behandlung: etwa eine Nummer, die eine Person für gesundheitliche Zwecke eindeutig identifiziert.

Woher die Information stammt, spielt keine Rolle. Ein Arztbrief fällt genauso darunter wie der Satz eines Kunden im Chat, er sei letztes Jahr wegen Rückenschmerzen in Behandlung gewesen.

Warum sind Gesundheitsdaten besonders geschützt?

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten. Art. 9 Abs. 1 DSGVO untersagt ihre Verarbeitung grundsätzlich, genau wie bei genetischen und biometrischen Daten, religiösen Überzeugungen oder der sexuellen Orientierung. Die DSGVO stuft diese Daten als besonders sensibel ein, weil ihre Verarbeitung erhebliche Risiken für die Rechte der Betroffenen mit sich bringen kann. Ein Befund, der in falsche Hände gerät, kann einem Menschen lange nachhängen, im Job oder beim nächsten Versicherungsantrag.

Art. 9 Abs. 2 nennt die Ausnahmen vom Verbot. Eine davon ist die ausdrückliche Einwilligung der betroffenen Person für festgelegte Zwecke (lit. a). Eine andere betrifft Vorsorge, Diagnostik, Versorgung und Behandlung durch Fachpersonal, das einem Berufsgeheimnis unterliegt (lit. h in Verbindung mit Abs. 3). Für die Gesundheitsfragen im Antrag holen Versicherer deshalb in der Regel eine ausdrückliche Einwilligung ein, meist zusammen mit einer Schweigepflichtentbindung.

Wer Gesundheitsdaten verarbeitet, braucht außerdem einen Schutz, der zum höheren Risiko passt. Das betrifft die technischen und organisatorischen Maßnahmen ebenso wie jeden Dienstleister, der Daten im Auftrag verarbeitet und dafür einen Auftragsverarbeitungsvertrag braucht.

Welche Gesundheitsdaten fallen in der Versicherung an?

In der Versicherung entstehen Gesundheitsdaten vor allem an zwei Stellen: bei den Gesundheitsfragen im Antrag und im Leistungsfall. Typische Beispiele:

• Berufsunfähigkeitsversicherung (BU): Vorerkrankungen, Behandlungen und Therapien der letzten Jahre, auch psychische Erkrankungen. Im Leistungsfall kommen Arztberichte und Gutachten dazu.
• Private Krankenversicherung (PKV): Fragen zu Behandlungen, Medikamenten und dem Zustand der Zähne. Später enthält fast jede eingereichte Arztrechnung eine Diagnose.
• Risikolebensversicherung: Fragen zu Vorerkrankungen und Krankenhausaufenthalten, je nach Versicherungssumme auch eine ärztliche Untersuchung.
• Unfallversicherung: im Schadenfall Arztberichte, der Verlauf der Behandlung und der Grad der Invalidität.

Für Makler heißt das: Gesundheitsangaben laufen oft über ihr Büro, bevor sie beim Versicherer ankommen. Und Kunden schicken sie manchmal ungefragt, etwa mit der Frage, ob ein Bandscheibenvorfall die BU gefährdet. Wie Maklerbüros ihre Kundenkommunikation sonst organisieren, zeigt unser Leitfaden zu Kundenkommunikation und Datenschutz im Maklerbüro, die Funktionen dazu die Branchenseite für Versicherungen.

Welche Gesundheitsdaten fallen in Pflege und Arztpraxis an?

In der Pflege zählt schon der Pflegegrad zu den Gesundheitsdaten, denn er verrät, wie stark ein Mensch eingeschränkt ist. Dazu kommen Pflegegutachten, Medikationspläne, die Wunddokumentation und Berichte aus dem Krankenhaus.

In der Arztpraxis sind es Befunde, Laborwerte, Atteste, Arbeitsunfähigkeitsbescheinigungen und Überweisungen. Laut Erwägungsgrund 35 gehören sogar Daten aus der Anmeldung zur Behandlung dazu. Eine Erinnerung an den Termin in der Onkologie sagt also schon etwas über die Gesundheit aus. Halten Sie Erinnerungen deshalb so neutral wie möglich: Datum, Uhrzeit und Ort, ohne Fachrichtung, Anlass oder Befund.

Darf man Gesundheitsdaten per WhatsApp abfragen?

Wir raten davon ab, auch wenn die DSGVO keinen bestimmten Kanal verbietet. Für jede Verarbeitung von Gesundheitsdaten braucht es eine der Ausnahmen aus Art. 9 Abs. 2 und einen Schutz, der zum Risiko passt. Dazu kommen die Regeln von Meta.

Die WhatsApp Business Messaging Policy von Meta (Stand 23. September 2026) enthält dazu zwei Vorgaben:

• Gesundheitsinformationen: Unternehmen sollen WhatsApp nicht für Telemedizin nutzen und keine gesundheitsbezogenen Informationen senden oder anfragen, wenn geltende Vorschriften verbieten, solche Informationen an Systeme zu geben, die keine erhöhten Anforderungen für Gesundheitsdaten erfüllen.
• Sensible Kennungen: Unternehmen sollen vollständige Zahlungskartennummern, Kontonummern, Ausweisnummern und andere sensible Kennungen weder selbst teilen noch Kunden bitten, sie zu teilen.

Für den Alltag empfehlen wir deshalb eine einfache Regel: Gesundheitsangaben werden nicht im Chat erfragt. Welche Pflichten beim Messaging allgemein gelten, fasst unser DSGVO-Leitfaden für Business Messaging zusammen. Ob und wie Ihr Büro, Ihr Pflegedienst oder Ihre Praxis Gesundheitsdaten verarbeitet, klären Sie mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Wie trennt man Gesundheitsangaben vom Chat?

Die Regel ist organisatorisch, nicht technisch. Der Chat regelt den Weg, nicht den Inhalt:

• In den Chat gehören: Terminvorschläge, Rückrufwünsche, Erinnerungen an fehlende Unterlagen und Statusmeldungen ohne Details.
• Nicht in den Chat gehören: Gesundheitsfragen, Diagnosen, Befunde, Fotos von Attesten sowie vollständige Karten-, Konto- und Ausweisnummern.
• Stattdessen: das Gespräch im Termin oder am Telefon, Unterlagen über einen gesicherten Upload oder ein Kundenportal.

Schreibt ein Kunde trotzdem Gesundheitsangaben in den Chat, gehen Sie inhaltlich nicht darauf ein. Eine kurze Antwort genügt, etwa: Danke für Ihre Nachricht. Ihre Gesundheitsfragen besprechen wir lieber persönlich. Passt Ihnen Donnerstag um 10 Uhr für ein Telefonat? Wie Ihr Team mit solchen Nachrichten umgeht, legen Sie am besten vorab mit Ihrem Datenschutzbeauftragten fest.

Wichtig: Ein Opt-in für WhatsApp-Nachrichten regelt den Kontakt über den Kanal. Eine ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 2 lit. a ist es nicht.

Beispiel aus dem Maklerbüro

Ein Maklerbüro in Münster beantwortet Kundenanfragen auch über WhatsApp. Eine Kundin, 34, schreibt am Abend, sie möchte eine BU abschließen und habe vor zwei Jahren eine Therapie wegen Burn-out gemacht. Das Team antwortet am nächsten Morgen, geht auf die Therapie nicht ein und schlägt ein Telefonat vor.

Am Telefon gehen Makler und Kundin die Gesundheitsfragen gemeinsam durch. Den Bericht der Therapeutin lädt die Kundin über einen gesicherten Upload-Link hoch. Im Chat steht danach nur, was organisatorisch nötig war: Termin, Erinnerung, Bestätigung. In SendSeven hält das Team in einer internen Notiz fest, dass die Gesundheitsfragen telefonisch besprochen wurden, nicht die Angaben selbst.

Hinweis: Dieser Glossareintrag dient der Orientierung und ist keine Rechtsberatung.