Push, E-Mail und WhatsApp sind für eine Ästhetikklinik die direktesten Wege zur Patientin. Sie sind gleichzeitig die am strengsten regulierten. Wer hier sauber arbeitet, kann ohne schlechtes Gefühl kommunizieren. Wer es nicht tut, riskiert eine Abmahnung von der Konkurrenz, lange bevor sich eine Aufsichtsbehörde meldet. Dieser Beitrag beschreibt, was im Klinikalltag tatsächlich zu tun ist.
Zwei Regelwerke, nicht eines
Der häufigste Denkfehler in Kliniken lautet: „Wir haben eine Datenschutzerklärung, also sind wir sicher.“ Tatsächlich greifen bei jeder Werbenachricht zwei getrennte Regelwerke gleichzeitig.
Die DSGVO beantwortet die Frage, ob Sie die Daten überhaupt verarbeiten dürfen. Das Wettbewerbsrecht, in Deutschland vor allem § 7 UWG, beantwortet die Frage, ob Sie damit werben dürfen. Beide Antworten müssen Ja lauten. In Österreich übernimmt § 174 TKG 2021 diese Rolle, in der Schweiz Art. 3 lit. o UWG neben dem revidierten Datenschutzgesetz.
Praktisch relevant ist das, weil der teure Ärger meistens nicht von der Behörde kommt, sondern von einem Mitbewerber oder einem Abmahnverein, der eine Werbe-E-Mail ohne nachweisbare Einwilligung erhalten hat. Und weil Behandlungsdaten in der Ästhetik Gesundheitsdaten im Sinne von Art. 9 DSGVO sind, also besonders geschützte Daten mit höheren Anforderungen.
Was als Werbung gilt und was nicht
Nicht jede Nachricht braucht eine Werbeeinwilligung. Was Sie zur Erfüllung des Behandlungsvertrags verschicken, dürfen Sie auf Art. 6 Abs. 1 lit. b DSGVO stützen:
- Terminbestätigung und Terminerinnerung
- Absage oder Verschiebung eines Termins
- Vorbereitungs- und Nachsorgehinweise zur gebuchten Behandlung
- Rechnungen, Zahlungserinnerungen, Ratenpläne
Werbung ist dagegen alles, was auf einen weiteren Umsatz zielt: Angebote, Rabatte, Newsletter, Geburtstagsaktionen, der Hinweis auf eine neue Behandlung, die Einladung zum Treueprogramm. Auch die Bitte um eine Google-Bewertung und die klassische Zufriedenheitsbefragung werden in der deutschen Rechtsprechung der Werbung zugerechnet. Das überrascht viele Klinikinhaberinnen, ist aber die sicherere Annahme.
Der teuerste Fehler im Alltag ist die Mischnachricht. „Ihr Termin am Dienstag um 14 Uhr. Übrigens: diesen Monat 20 % auf alle Hyaluron-Behandlungen.“ Damit haben Sie aus einer zulässigen Serviceinformation eine Werbenachricht gemacht, für die Ihnen die Einwilligung fehlt. Die Regel dagegen ist banal und wirkt sofort: eine Nachricht, ein Zweck.
Einwilligung: die vier Punkte, an denen es scheitert
Die meisten Kliniken haben irgendeine Form von Einwilligung. Was fehlt, ist eine, die einer Prüfung standhält. Vier Anforderungen entscheiden darüber.
1. Freiwillig
Ein Termin darf nicht davon abhängen, dass die Patientin den Newsletter abonniert. Diese Kopplung macht die Einwilligung angreifbar. Ein Rabatt für die Anmeldung ist zulässig, ein Zwang nicht.
2. Informiert
Die Patientin muss vor dem Häkchen wissen, wer schreibt, über welche Kanäle, mit welchen Inhalten, wie oft ungefähr und wie sie das wieder abstellt. Ein Satz reicht, wenn er konkret ist. „Marketing“ als einziges Stichwort reicht nicht.
3. Bestimmt und getrennt
Push, E-Mail und WhatsApp sind drei Kanäle, nicht einer. Wer alles hinter ein Häkchen packt, hat für keinen der drei eine belastbare Einwilligung. Trennen Sie zusätzlich nach Zweck, mindestens in Terminservice und Angebote.
4. Aktiv erteilt
Ein vorangekreuztes Kästchen ist seit dem Planet49-Urteil des Europäischen Gerichtshofs keine wirksame Einwilligung. Ebenso wenig eine Opt-out-Formulierung im Kleingedruckten. Es braucht eine bewusste Handlung.
Dazu kommt der Widerruf. Nach Art. 7 Abs. 3 DSGVO muss er so einfach sein wie die Erteilung. Wenn die Anmeldung zwei Klicks braucht und die Abmeldung einen Anruf während der Öffnungszeiten, stimmt etwas nicht.
Und ein Punkt, den viele übersehen: Sobald Ihre Nachricht die Behandlung benennt, verarbeiten Sie ein Gesundheitsdatum. „Ihre Botox-Auffrischung“ ist etwas anderes als „Ihr Termin“. Neutral formulierte Nachrichten senken Ihr Risiko, ohne dass die Patientin etwas vermisst.
Double-Opt-in richtig umsetzen
Double-Opt-in ist in Deutschland der etablierte Weg, eine E-Mail-Einwilligung nachweisbar zu machen. Der Ablauf ist kurz: Formular ausfüllen, Bestätigungsmail erhalten, Link klicken, fertig. Wichtig ist, was Sie dabei speichern.
- Zeitstempel der Anmeldung und Zeitstempel der Bestätigung
- IP-Adresse oder Geräte-Kennung, über die die Anmeldung kam
- Den Kanal und den Zweck, für die eingewilligt wurde
- Den genauen Wortlaut des Formulars, in der Version, die zu diesem Zeitpunkt online war
Der letzte Punkt ist der, an dem Kliniken regelmäßig scheitern. Der Einwilligungstext wird im Lauf der Jahre dreimal überarbeitet, die alten Fassungen werden überschrieben, und im Streitfall können Sie nicht mehr zeigen, worin eine Patientin 2023 eingewilligt hat. Versionieren Sie den Text und speichern Sie die Versionsnummer beim Datensatz.
Die Bestätigungsmail selbst darf keine Werbung enthalten. Kein Angebot, kein Rabattcode, kein „Schon gesehen?“. Sie enthält den Bestätigungslink und sonst nichts Verkäuferisches.
Papierformulare am Empfang sind zulässig, gehören aber gescannt und mit Datum an den Patientendatensatz. Ein Aktenordner, in dem niemand innerhalb einer Woche das richtige Blatt findet, ist kein Nachweis.
Zur Bestandskundenausnahme in § 7 Abs. 3 UWG: Sie erlaubt Werbung per E-Mail an bestehende Kundinnen ohne vorherige Einwilligung, aber nur unter engen Bedingungen. Die Adresse muss im Zusammenhang mit einer bezahlten Leistung erhoben worden sein, es darf nur für eigene ähnliche Leistungen geworben werden, auf das Widerspruchsrecht muss bei der Erhebung und in jeder einzelnen Nachricht hingewiesen werden, und es darf kein Widerspruch vorliegen. Sie gilt nur für E-Mail, nicht für WhatsApp, SMS oder Telefon. Wer sich darauf stützt, sollte die vier Bedingungen wörtlich abhaken können.
Push: der unterschätzte Sonderfall
Bei Push denken viele, der Systemdialog von iOS oder Android sei die Einwilligung. Ist er nicht. Er erlaubt technisch die Zustellung. Er sagt nichts darüber, welche Inhalte die Patientin erwartet.
Sauber ist eine zweistufige Lösung. Erst ein eigener Hinweis in der App, der erklärt, wofür Sie Push nutzen wollen, mit getrennten Schaltern für Terminservice und Angebote. Dann der Systemdialog. Diese Reihenfolge ist nebenbei auch die, die die höchste Zustimmungsrate bringt, weil die Patientin weiß, worauf sie sich einlässt.
Drei Dinge werden im Betrieb regelmäßig vergessen:
- Der Sperrbildschirm ist öffentlich. Eine Push-Nachricht ist für jeden lesbar, der neben der Patientin sitzt. „Ihr Termin morgen um 10:30 Uhr“ ist unproblematisch. „Ihre Lippenunterspritzung morgen“ ist es nicht.
- Der Push-Token ist ein personenbezogenes Datum. Er gehört in Ihr Löschkonzept und muss verschwinden, wenn die App deinstalliert wird oder der Token ungültig wird.
- Die Zustellung läuft über Apple und Google. Damit haben Sie eine Auftragsverarbeitung und einen möglichen Drittlandbezug im Spiel, auch wenn Sie den Anbieter selbst nie sehen.
Der Widerruf muss in der App liegen, nicht in einer E-Mail an die Rezeption. Ein Schalter in den Einstellungen, sofort wirksam.
WhatsApp: der heikelste Kanal
WhatsApp wird gelesen, das ist unbestritten. Rechtlich ist es der anspruchsvollste der drei Kanäle, und zwar aus einem Grund, den viele Kliniken nicht auf dem Schirm haben.
Die kostenlose WhatsApp Business App greift auf das Adressbuch des Geräts zu, auf dem sie läuft. Wenn auf dem Klinik-Handy die Nummern Ihrer Patientinnen gespeichert sind, geben Sie damit Kontaktdaten von Menschen weiter, die dem nie zugestimmt haben, und zwar auch von Patientinnen, die WhatsApp gar nicht nutzen. Deutsche Aufsichtsbehörden sehen diese Konstellation seit Jahren kritisch, und für eine Klinik ist sie kaum sauber zu lösen.
Der gangbare Weg führt über die WhatsApp Business Platform, also die API, betrieben über einen Anbieter, mit dem Sie einen Auftragsverarbeitungsvertrag schließen. Dabei gilt:
- Eine eigene Nummer für die Klinik, kein privates Mitarbeitertelefon
- Keine Synchronisation eines Adressbuchs
- Opt-in der Patientin vor der ersten Nachricht, dokumentiert wie jede andere Einwilligung
- Außerhalb des 24-Stunden-Fensters nach der letzten Patientinnenantwort sind nur vorab genehmigte Vorlagen zulässig, was die Plattformregeln von Meta so vorgeben
- Eine automatisierte Abmeldung, etwa über das Stichwort STOPP, die im System landet und nicht als Notiz am Empfang
Inhaltlich gilt hier die strengste Zurückhaltung. WhatsApp läuft oft auf einem Familientelefon. Keine Diagnosen, keine Behandlungsnamen, keine Vorher-Nachher-Bilder, keine Rechnungsdetails.
Dokumentation, die im Ernstfall zählt
Art. 5 Abs. 2 DSGVO verlangt, dass Sie die Einhaltung nicht nur schaffen, sondern auch nachweisen können. Diese Rechenschaftspflicht ist der Punkt, an dem sich gut geführte von schlecht geführten Kliniken unterscheidet. Fünf Dokumente reichen für den Anfang weit.
- Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, mit einem eigenen Eintrag je Kanal: Zweck, Rechtsgrundlage, Empfänger, Löschfrist.
- Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit jedem Dienstleister, der Patientendaten sieht. Das sind mehr, als Sie denken: Terminsoftware, App-Anbieter, E-Mail-Tool, WhatsApp-Provider, Cloud-Backup, Bewertungsdienst.
- Eine Übersicht der Drittlandtransfers nach Art. 44 ff. DSGVO. Push läuft über Apple und Google, viele E-Mail-Werkzeuge sitzen in den USA. Prüfen Sie, ob sich der Anbieter auf das EU-US Data Privacy Framework stützt, und halten Sie sonst Standardvertragsklauseln bereit.
- Datenschutzhinweise nach Art. 13 DSGVO am Erhebungspunkt, also direkt am Formular, nicht nur irgendwo im Impressumsbereich.
- Ein Löschkonzept, das für jede Datenart eine Frist nennt und benennt, wer sie ausführt.
Dazu eine organisatorische Entscheidung, die nichts kostet: eine Person im Team ist für Einwilligungen zuständig. Nicht „das Marketing“ und nicht „die Rezeption“, sondern ein Name.
Aufbewahren und löschen
Löschfristen sind der Teil, den fast jede Klinik vor sich herschiebt, weil Löschen sich wie Verlust anfühlt. Es ist aber der Teil mit dem besten Aufwand-Nutzen-Verhältnis, denn Daten, die Sie nicht mehr haben, können auch nicht abhandenkommen.
- Behandlungsdokumentation: § 630f BGB sieht zehn Jahre nach Abschluss der Behandlung vor, soweit nicht berufs- oder strahlenschutzrechtliche Vorgaben eine längere Frist verlangen.
- Einwilligungsnachweise: Es gibt keine gesetzlich fixierte Frist. Praktikabel ist, den Nachweis so lange aufzubewahren, wie Sie sich auf die Einwilligung stützen, und danach noch die allgemeine dreijährige Verjährungsfrist, damit Sie sich im Streitfall verteidigen können.
- Widerrufe: Der Widerruf selbst muss dokumentiert bleiben. Die Werbedaten müssen weg. Wichtig ist eine echte Sperrliste. Wer widerrufene Kontakte einfach löscht, importiert sie beim nächsten Datenabgleich fröhlich wieder ein, und dann wird es teuer.
- Kampagnendaten: Öffnungs- und Klickprotokolle brauchen ebenfalls eine Frist. Wenige Monate reichen für die Auswertung völlig.
Und der Fall, der in der Ästhetik am häufigsten vorkommt: die Patientin, die vor Jahren einmal da war, nie öffnet, nie reagiert. Entweder Sie sprechen sie einmal sauber an und sie meldet sich neu an, oder sie gehört gelöscht. Eine Liste, die zu einem Drittel aus Karteileichen besteht, schadet Ihrer Zustellbarkeit genauso wie Ihrer Compliance.
Der Check für den Klinikalltag
Wenn Sie nur eine Stunde investieren wollen, arbeiten Sie diese sieben Punkte ab.
- Hat jede Werbenachricht der letzten zwölf Monate eine dokumentierte Einwilligung mit Zeitstempel?
- Sind Push, E-Mail und WhatsApp getrennt einwilligbar und getrennt abbestellbar?
- Enthält keine Terminerinnerung ein Angebot?
- Steht in keiner Nachricht der Name einer Behandlung, wo der Termin allein genügt?
- Liegt für jedes Werkzeug, das Patientendaten sieht, ein AVV vor?
- Gibt es eine Sperrliste für Widerrufe, die bei jedem Import greift?
- Weiß eine namentlich benannte Person, wo die Einwilligungsnachweise liegen?
Wer diese sieben Fragen mit Ja beantwortet, hat den größten Teil des Risikos aus der Kommunikation genommen, ohne einen einzigen Kanal aufzugeben.
Ein technischer Hinweis am Rande: Vieles davon lässt sich nicht per Excel-Liste lösen, sondern gehört in das System, das die Nachrichten auch versendet. Worauf Sie bei der Auswahl achten sollten: Einwilligungen sollten pro Kanal und pro Zweck getrennt hinterlegt werden, mit Zeitstempel und der Version des Formulars, dem zugestimmt wurde. Und der Widerruf sollte für die Patientin genauso einfach sein wie die Zustimmung. Prüfen Sie das bei jedem Anbieter konkret nach, statt es vorauszusetzen.
Häufige Fragen
Brauche ich für eine reine Terminerinnerung eine Einwilligung?
In der Regel nicht, solange sie sich auf den gebuchten Termin bezieht und keine Werbung enthält. Sie stützt sich dann auf die Erfüllung des Behandlungsvertrags. Sobald ein Angebot mitreist, kippt die Einordnung.
Reicht eine Unterschrift auf dem Anamnesebogen als Marketing-Einwilligung?
Nur wenn dort ein eigener, klar getrennter Abschnitt steht, der Kanäle und Zwecke benennt und aktiv angekreuzt wird. Eine pauschale Unterschrift am Ende eines mehrseitigen Bogens deckt Werbung nicht ab.
Dürfen wir WhatsApp überhaupt nutzen?
Ja, aber praktisch nur über die WhatsApp Business Platform mit Auftragsverarbeitungsvertrag, ohne Adressbuchsynchronisation und mit dokumentiertem Opt-in. Die kostenlose Business App auf dem Klinikhandy ist der problematische Weg.
Wie lange darf ich eine E-Mail-Adresse für Werbung behalten?
Solange die Einwilligung trägt und Sie sie tatsächlich nutzen. Eine Adresse, die seit Jahren nicht reagiert, sollten Sie reaktivieren oder löschen. Den Nachweis der Einwilligung bewahren Sie darüber hinaus noch für die allgemeine Verjährungsfrist auf.
Was passiert bei einem Widerruf?
Die Werbung stoppt sofort, der Kontakt kommt auf eine Sperrliste, und der Widerruf selbst wird dokumentiert. Termin- und Abrechnungskommunikation bleibt davon unberührt, weil sie auf einer anderen Rechtsgrundlage steht.