Darf ich Klientendaten über WhatsApp schicken?

Die ehrliche Antwort vorweg: Die halbe Branche macht es, und es ist noch selten jemand deswegen belangt worden. Das macht es nicht richtig — und es macht vor allem die Frage nicht überflüssig, was passiert, wenn sich eine Klientin nach dem Ende der Betreuung beschwert.

Was fehlt WhatsApp aus Sicht der DSGVO?

Drei Bausteine, und jeder einzelne ist bei Gesundheitsdaten Pflicht.

Der Auftragsverarbeitungsvertrag. Wer für dich Daten verarbeitet, muss das nach Art. 28 DSGVO auf Grundlage eines Vertrags mit festgelegtem Inhalt tun. Für die private Nutzung des Messengers gibt es einen solchen Vertrag nicht. Was darin stehen muss und bei welchen Werkzeugen du ihn brauchst, steht in Auftragsverarbeitungsvertrag für Personal Trainer.

Der Nachweis der Einwilligung. Art. 7 Abs. 1 verlangt, dass du die Zustimmung belegen kannst. Ein „passt" im Chat ist kein Nachweis für die ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 2 lit. a.

Das Löschkonzept. Ein Chatverlauf endet nie von selbst. Er liegt auf deinem Gerät, auf dem Gerät des Klienten und in mindestens zwei Backups. Wenn in zwei Jahren jemand die Löschung nach Art. 17 verlangt, hast du keine belastbare Möglichkeit, sie durchzuführen — und noch weniger, sie zu belegen.

Schützt die Ende-zu-Ende-Verschlüsselung nicht genug?

Sie schützt genau eine Sache: den Inhalt auf dem Transportweg. Das ist mehr, als viele Alternativen bieten, und trotzdem der kleinere Teil des Problems.

Ein Argument, das oft fällt: „Die Fotos sind ja verschlüsselt." Sie sind es unterwegs. Auf dem Gerät liegen sie in der Kamerarolle, und die synchronisiert sich meist automatisch weiter. Wohin Fortschrittsfotos stattdessen gehören, steht in Fortschrittsfotos rechtssicher speichern.

Warum ist das Adressbuch ein eigenes Problem?

Beim Einrichten gleicht der Messenger dein Telefonbuch ab. Übertragen werden dabei auch die Nummern von Personen, die den Dienst gar nicht nutzen — und die dem nie zugestimmt haben.

Bei rein privater Nutzung greift die Haushaltsausnahme des Art. 2 Abs. 2 lit. c DSGVO. Sobald du geschäftliche Kontakte im selben Adressbuch führst, greift sie nicht mehr. Deutsche Gerichte haben daraus in mehreren Entscheidungen eine Pflicht abgeleitet, die betroffenen Kontakte vorher zu informieren. Praktisch umsetzbar ist das kaum — was die Sache nicht erledigt, sondern nur unbequem macht.

Was lässt sich im Alltag wirklich durchhalten?

Ein vollständiger Verzicht funktioniert selten. Klienten schreiben ohnehin, und wer nur über eine App erreichbar ist, wirkt sperrig. Die Trennlinie, die sich hält:

Die Regel dahinter in einem Satz: Organisation ja, Akte nein.

Der Umstieg gelingt am leichtesten, wenn die Alternative nicht nach Auflage aussieht, sondern nach Fortschritt. Ein Klient, der seinen Plan und seinen Verlauf an einem Ort sieht, fragt von selbst seltener im Chat nach.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Wie der Wechsel abläuft und was er kostet, steht auf der Startseite und in den häufigen Fragen.

Wie sagst du es einem Klienten, der lieber schreibt?

Nicht mit der DSGVO. Der Satz, der funktioniert, ist ein anderer:

„Deine Werte und Bilder gehören nicht in einen Chat, in dem sie zwischen Urlaubsfotos untergehen. In der App findest du sie in drei Sekunden — und ich sehe deinen Verlauf, ohne nachfragen zu müssen."

Das ist kein Vorwand, sondern der eigentliche Grund. Der rechtliche Teil ist die Begründung dafür, dass es nicht verhandelbar ist.

Was tust du mit dem Verlauf, der schon existiert?

Die Regel für die Zukunft ist schnell gezogen. Schwieriger sind die zwei Jahre Chatverlauf, die bereits auf dem Handy liegen — mit Fotos, Gewichten und Krankmeldungen darin.

Ein Löschanspruch nach Art. 17 DSGVO trifft auch diesen Bestand. Und der Auskunftsanspruch nach Art. 15 trifft ihn ebenfalls: Ein Chatverlauf mit einem Klienten ist Teil der Daten, die du über ihn verarbeitest, und muss auf Verlangen herausgegeben werden. Wie dieser Ablauf aussieht, steht in Klient will seine Daten sehen — was jetzt?

Ein gangbarer Weg in vier Schritten:

1. Was du wirklich brauchst, sichern — den Trainingsverlauf, nicht den Plauderteil. Er gehört in das System, in dem die Akte künftig liegt.
2. Fotos aus der Kamerarolle nehmen. Sie sind meist der schwerwiegendste Teil und liegen zusätzlich in der automatischen Cloud-Sicherung.
3. Verlauf je Klient löschen, wenn die Betreuung beendet ist — und zwar auf allen Geräten, nicht nur auf dem Telefon.
4. Festhalten, wann du das getan hast. Ein Satz mit Datum genügt; ohne Nachweis gilt die Löschung im Streitfall als nicht erfolgt.

Bei laufenden Betreuungen lässt sich der Schnitt beim Wechsel machen: neuer Ort ab heute, alter Verlauf innerhalb von 30 Tagen weg. Welche Fristen für welche Datenart gelten, steht in Wie lange darf ich Klientendaten aufbewahren?

Fazit

WhatsApp ist ein hervorragender Kanal für Organisation und ein schlechter Ort für eine Gesundheitsakte. Der Unterschied kostet dich keine Bequemlichkeit, solange du die Trennlinie einmal ziehst und beim Erstgespräch erklärst. Wer sie nicht zieht, sammelt über Jahre einen Verlauf an, den er weder vollständig herausgeben noch vollständig löschen kann — und beides kann verlangt werden. Der Überblick über alle Pflichten steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 19. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.