Datenschutz: Wenn das Foto mehr zeigt als gedacht

Sich und die eigene Arbeit in sozialen Medien zu zeigen, ist auch bei Ärztinnen und Ärzten, Therapeutinnen und Therapeuten und Pflegekräften angekommen. Die Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen sieht dabei zunehmend Verstöße, bei denen Patientendaten im Bild landen, auch ohne böse Absicht. Was Klinikärztinnen und Klinikärzte wissen sollten, bevor sie posten. 

Eine Psychotherapeutin in Nordrhein-Westfalen wollte einen Erfolg feiern. Die Krankenkasse hatte den Therapieantrag einer Patientin genehmigt, also lud sie ein Foto der Bewilligung auf Instagram hoch und zeigte es ihren Followerinnen und Followern. Übersehen hatte sie offenbar, dass auf dem Schreiben der Name der Patientin klar lesbar war.

Der Fall gehört zu mehreren, die die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Bettina Gayk, im März öffentlich gemacht hat. Ein Schönheitschirurg hatte zur Vorbereitung einer Brustvergrößerung Bilder des entblößten Brustbereichs einer Patientin angefertigt, um ihr das mögliche Ergebnis zu zeigen. Einen Tag später erschien eines der Bilder auf dem Instagram-Account seiner Praxis, ohne Wissen und Einwilligung der Frau, als Werbung für die neue Technik. Im Bildausschnitt war ihr Klarname lesbar. Dazu kommen Pflegekräfte, die pflegebedürftige Menschen in Reels und Livestreams vorführten, teils während der Arbeit, teils in den Pausen.

„Der Wunsch nach Selbstdarstellung überschreitet manchmal jegliche Grenze“, so Gayk in einer Pressemeldung. Zugleich betont die Behörde, dass auch ohne böse Absicht schnell ein Verstoß entsteht, so wie im Fall des Chirurgen und der Psychotherapeutin.

Auf Social Media sichtbar sein gehört inzwischen dazu

Sich und die eigene Arbeit im Internet zu zeigen, ist für viele im Gesundheitswesen Teil des Berufs geworden. Die LDI NRW spricht von einem Trend zur Vermarktung der eigenen Leistungen und registriert dabei nach eigenen Angaben zunehmend Datenschutzverstöße mit sensiblen Gesundheitsdaten.

Auch Krankenhäuser selbst sind in sozialen Medien unterwegs, etwa um Fachkräfte zu gewinnen und Öffentlichkeitsarbeit zu machen, wie die BG Kliniken, der Klinikverbund der gesetzlichen Unfallversicherung, in ihren Social-Media-Richtlinien schreiben. Für Ärztinnen und Ärzte gilt dabei, dass sie im Netz auch als Privatpersonen an ihrem Beruf gemessen werden. „You are always a doctor“ heißt der Leitsatz eines australischen Ratgebers, den die Bundesärztekammer in ihrer Handreichung zu sozialen Medien zitiert. Selbst ein vermeintlich anonymes Profil lasse sich über verknüpfte Angaben am Ende zuordnen, so die Mahnung.

Wenn ein Bild zum Datenschutzproblem wird

Gesundheitsdaten gehören nach der Datenschutz-Grundverordnung (DSGVO) zu den besonders geschützten Daten. Daher ist ihre Verarbeitung grundsätzlich untersagt, solange keine der engen Ausnahmen greift. Ein Foto einer Patientin oder eines Patienten fällt unter die Verordnung, sobald die Person erkennbar ist. Wie schnell das geht, zeigen die folgenden Beispiele.

Die LDI NRW weist ausdrücklich darauf hin, dass ein Bild nicht automatisch anonym ist, nur weil es einzelne Körperteile zeigt. Denn markante Körpermerkmale oder die Umgebung auf dem Foto können reichen, damit Verwandte, Freundinnen oder Freunde jemanden wiedererkennen. Dazu passend nennt die Bundesärztekammer in ihrer Handreichung als Beispiel eine angestellte Klinikärztin oder einen angestellten Klinikarzt, die oder der einen tragischen Krankheitsverlauf im Netz schildert, ohne Patientennamen und Krankenhaus zu nennen. Ein Angehöriger stößt bei einer Internetrecherche auf das Profil, weil der Name des Hauses an anderer Stelle in einem ganz anderen Zusammenhang auftaucht, und ordnet den Bericht zu. Die Lehre daraus? Namen und Orte wegzulassen genügt nicht, auch ein Pseudonym reicht oft nicht. Meist müssen zusätzlich Details des Falls verfremdet werden.

Die Rechtsprechung sieht das ähnlich streng. Nach einer Entscheidung des Oberlandesgerichts Düsseldorf von 2010 (Aktenzeichen I-20 U 151/09) genügt es, dass eine Person für einen mehr oder weniger großen Bekanntenkreis erkennbar ist. Als typische Risiken nennen Rechtsratgeber vermeintlich harmlose Porträts, auf denen im Hintergrund Patientenakten oder Röntgenbilder zu sehen sind.

Bleibt die Einwilligung. Musterformulare dafür gibt es, auch für Instagram. Die Landesbeauftragte hält die Einwilligung von Patientinnen und Patienten allerdings nur selten für eine tragfähige Grundlage. Oft fehle wegen des Krankheitsbildes schon die Einwilligungsfähigkeit, und wegen der Abhängigkeit zwischen Behandelten und Behandelnden sei die Freiwilligkeit häufig fraglich.

Und was einmal im Netz steht, lässt sich nicht zurückholen. Die Bundesärztekammer mahnt aus diesem Grund nachdrücklich, nie davon auszugehen, dass sich Veröffentlichtes wieder löschen lässt.

Das Selfie am Arbeitsplatz

Fälle, in denen Beschäftigte in Gesundheitseinrichtungen wegen Fotos und Videos von Patientinnen und Patienten Ärger bekamen, gibt es seit Jahren, und die Folgen fallen sehr unterschiedlich aus.

Das Landesarbeitsgericht Berlin-Brandenburg (Aktenzeichen 17 Sa 2200/13) hatte 2014 über eine Kinderkrankenpflegerin zu entscheiden, die auf ihrem privaten Facebook-Profil Fotos eines Kindes hochgeladen hatte, das sie betreut hatte und das später starb. Sie kommentierte die Bilder und teilte auch den Tod mit. Die Klinik kündigte fristlos. Das Gericht sah eine erhebliche Verletzung der Schweigepflicht, hielt die Kündigung aber für unwirksam. Eine Abmahnung hätte genügt, unter anderem, weil sich weder das Kind noch die Klinik aus den Bildern und Kommentaren erkennen ließen.

Das Landesarbeitsgericht Baden-Württemberg (Aktenzeichen 12 Sa 22/16) bewertete zwei Jahre später einen anderen Fall strenger. Eine Mitarbeiterin der Terminplanung einer Radiologiepraxis hatte das Terminblatt einer Patientin abfotografiert und mit einem Kommentar per WhatsApp an ihre Tochter geschickt. Die Nachricht kursierte weiter, bis sich der Vater der Patientin in der Praxis beschwerte. Das Gericht hielt die fristlose Kündigung für gerechtfertigt. Die Begründung war, dass eine Abmahnung das Vertrauen nicht hätte wiederherstellen können.

Beide Fälle betrafen keine Ärztinnen oder Ärzte. Für sie kommen zusätzlich das ärztliche Berufsrecht und die Ärztekammern ins Spiel.

Abmahnung und Kündigung sind nicht die einzigen Folgen, die drohen. Am oberen Ende der Skala stehen Fälle, in denen aus dem Handyfoto ein Strafverfahren wurde. In Aachen etwa verurteilte ein Gericht 2016 fünf Pflegekräfte der Notaufnahme des Universitätsklinikums, die Selfies und ein Video mit zum Teil hilflosen Patientinnen und Patienten in einer WhatsApp-Gruppe verbreitet hatten, wegen Verletzung des höchstpersönlichen Lebensbereichs zu Bewährungs- und Geldstrafen. Ein Rettungssanitäter aus Zwickau, der über Jahre Selfies mit hilflosen Patientinnen und Patienten an seine damalige Freundin geschickt hatte, wurde 2021 zur Zahlung von 4.500 Euro an einen gemeinnützigen Verein verurteilt. Solche Extreme haben mit dem Alltag der meisten Beschäftigten wenig zu tun, zeigen aber, was aus einem Foto werden kann.

Berufliche Vermarktung

Wer sich oder sein Haus darstellt, bewegt sich auf einem anderen Feld, nämlich dem Werberecht. Die Musterberufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte erlaubt nach der Darstellung der Bundesärztekammer sachliche berufsbezogene Information, untersagt aber anpreisende, irreführende und vergleichende Werbung. Sobald sich Inhalte an Laien richten, spielt außerdem das Heilmittelwerbegesetz eine Rolle.

Wie das im Netz aussehen kann, hat das Oberlandesgericht Frankfurt am Main im November 2025 entschieden (Aktenzeichen 6 U 40/25). Eine Fachärztin für plastische, rekonstruktive und ästhetische Chirurgie hatte auf Instagram in mehreren Stories über die Nasenoperation einer Patientin berichtet. Dabei war die Patientin vor und nach dem Eingriff zu sehen. Das Gericht sah darin verbotene vergleichende Werbung, weil der Eingriff nicht medizinisch notwendig war, und sprach einen Unterlassungsanspruch zu. Das Urteil ist nicht rechtskräftig. Ein Datenschutzurteil ist es zwar nicht, in der Mitteilung des Gerichts geht es allein um das Werberecht. Der Fall zeigt trotzdem, wie sichtbar Patientinnen und Patienten in solchen Beiträgen werden.

Für den Fall, dass sich eine Klinikärztin oder ein Klinikarzt für das ganze Haus darstellt, kommt eine weitere Frage hinzu, nämlich wer für die Klinik sprechen darf. Die BG Kliniken haben das in ihren Richtlinien so geregelt, dass offizielle Stellungnahmen allein der Geschäftsführung vorbehalten sind und nur die Unternehmenskommunikation sie veröffentlicht. Beschäftigte der Klinik sollen klarstellen, dass sie als Privatpersonen sprechen.

Röntgenbilder und Vorträge

Auch außerhalb sozialer Medien gehören Patientenbilder zum Klinikalltag, z. B. in Vorträgen und Fachzeitschriften. Hier sind sie nach Mitteilungen der Arbeitsgemeinschaft der Wissenschaftlichen Medizinischen Fachgesellschaften geradezu an der Tagesordnung. Dabei sind die Risiken dieselben wie im Internet. Geben Röntgen- oder Operationsbilder keinerlei Hinweis auf die Identität, brauchen sie nach den meisten Ratgebern keine Einwilligung. Ist jemand jedoch zu erkennen, muss die Einwilligung schriftlich vorliegen, Zweck und Medien nennen und jederzeit widerrufbar sein.

Neben diesem Sachverhalt gilt es die Frage nach den Bildrechten zu klären. Urheberin oder Urheber eines Röntgenbildes ist in der Regel nicht die Ärztin oder der Arzt, sondern die medizinisch-technische Radiologieassistentin oder der Radiologieassistent, die oder der den Auslöser drückt. Die Nutzungsrechte liegen nach der Darstellung von Anwaltskanzleien häufig beim Krankenhaus, sie gehen dorthin stillschweigend über, außer bei wahlärztlichen Leistungen und in der Privatambulanz. Wer ein Bild aus der Klinik in einen Vortrag oder Fachbeitrag übernimmt, braucht deshalb womöglich auch die Zustimmung des Hauses. Auch die Bilddatei selbst kann Angaben zur Person enthalten, etwa Name oder Untersuchungsdatum in den Metadaten, unsichtbar im Bild, aber auslesbar.

Wer haftet und was Häuser tun können

Für Klinikärztinnen und Klinikärzte gilt die ärztliche Schweigepflicht unmittelbar, und ein Verstoß kann mehrere Ebenen berühren. Strafrechtlich sieht § 203 des Strafgesetzbuchs bis zu einem Jahr Freiheitsstrafe oder Geldstrafe vor, wenn jemand ein Patientengeheimnis unbefugt offenbart. Berufsrechtlich reichen die Möglichkeiten der Ärztekammern von der Mahnung über die Rüge bis zum berufsgerichtlichen Verfahren, in Nordrhein-Westfalen kann beispielsweise eine Rüge mit einem Ordnungsgeld von bis zu 5.000 Euro verbunden werden. Zivilrechtlich können Patientinnen und Patienten Schadensersatz verlangen, arbeitsrechtlich reicht die Spanne, wie die Urteile zeigen, von der Abmahnung bis zur fristlosen Kündigung.

Auch das Haus selbst ist nicht aus dem Spiel. Nach Artikel 82 der DSGVO können Betroffene von der datenschutzrechtlich verantwortlichen Stelle Schadensersatz verlangen. Ein Berliner Rechtsanwalt schreibt in einem Fachbeitrag, nach der Rechtsprechung des Europäischen Gerichtshofs könne sich ein Haus nicht damit entlasten, dass eine Mitarbeiterin oder ein Mitarbeiter den Fehler gemacht habe, eine Bagatellgrenze gebe es demnach nicht. Der Schaden muss aber konkret dargelegt werden, so hat es das Kammergericht Berlin 2023 formuliert (Aktenzeichen 28 U 5/23), der bloße Kontrollverlust über die eigenen Daten genügt demnach nicht. Dazu kommen Bußgelder der Aufsichtsbehörden, die nach Angaben der LDI NRW auch bei fahrlässigen Verstößen möglich sind. Wie sich die Verantwortung zwischen der Ärztin oder dem Arzt und dem Haus im Einzelfall verteilt, lässt sich pauschal nicht sagen.

Was Häuser tun können, ist überschaubar und bisher vor allem eine Empfehlung. Eine Pflicht zu Social-Media-Richtlinien gibt es nicht, sie sollten aber aus Gründen des Datenschutzes und der Compliance dringend erwogen werden. Die BG Kliniken haben solche Richtlinien. Darin steht, dass personenbezogene Daten in sozialen Netzwerken nichts verloren haben, auch nicht auf privaten Geräten, und dass Unterlagen zu dienstlichen Belangen nicht über externe Plattformen ausgetauscht werden dürfen, ausdrücklich auch nicht mit anonymisierten Patientendaten. Beim Fotografieren mahnen sie, auf den Bildhintergrund zu achten. Arbeitsrechtlich lässt sich ein Fotografierverbot nach der Darstellung von Juristen im Arbeitsvertrag, in einer Betriebsvereinbarung oder per Richtlinie festlegen, ein Verstoß rechtfertigt dann mindestens eine Abmahnung. Wie viele Kliniken solche Regeln tatsächlich haben, ist nicht bekannt.