Praxis-Website und DSGVO — worauf achten?

Auch hier vorab: Ich schreibe als Entwickler, der Praxis-Webseiten baut — nach bestem Wissen, nicht als Rechtsberatung. Für verbindliche Aussagen zur eigenen Situation sind Anwälte und Datenschutzbeauftragte zuständig.

Warum die Messlatte höher liegt als bei anderen Webseiten

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Das Heikle: Auf einer Praxis-Webseite entstehen solche Daten schneller, als man denkt. Schon die Information, dass eine bestimmte Person Kontakt zu einer Fachpraxis aufgenommen hat, kann Rückschlüsse auf ihre Gesundheit zulassen. Deshalb verdient jede Stelle, an der die Seite Daten erhebt oder an Dritte weiterreicht, besondere Aufmerksamkeit.

Stolperfalle 1: das Kontaktformular

Das Formular ist der Ort, an dem Besucher aktiv Daten eintragen — und erfahrungsgemäß schildern manche dort auch Symptome. Gut gebaut heißt: so wenige Pflichtfelder wie möglich, ein sichtbarer Hinweis, dass das Formular nicht für medizinische Anliegen und Notfälle gedacht ist, durchgehende Verschlüsselung (TLS) und eine klare Regelung, wohin die Nachricht geht und wie lange sie gespeichert bleibt. Spam-Schutz lässt sich übrigens ohne die üblichen Drittanbieter-Captchas lösen — das erspart gleich den nächsten Datenabfluss.

Stolperfalle 2: eingebettete Dienste von Drittanbietern

Die meisten Datenschutz-Probleme auf Praxis-Webseiten entstehen nicht durch das, was die Praxis tut — sondern durch das, was die Technik im Hintergrund nach Hause funkt:

• Schriftarten vom Google-Server: Bereits 2022 hat das Landgericht München I die Einbindung von Google Fonts über Google-Server beanstandet, weil dabei die IP-Adresse der Besucher in die USA übertragen wird. Die Lösung ist simpel: Schriften lokal auf dem eigenen Server ausliefern.
• Karten-Einbindung: Eine eingebettete Google-Map überträgt Besucherdaten schon beim Seitenaufruf. Alternativen: ein statisches Kartenbild mit Link zum Kartendienst oder eine Einbindung, die erst nach Klick und Einwilligung lädt.
• Tracking und Analyse: Werbe-Tracker haben auf einer Praxis-Webseite aus meiner Sicht nichts verloren. Wer wissen will, wie viele Besucher die Seite hat, kann das mit cookielosen, selbst betriebenen Statistiken erreichen — ohne Einwilligungsbanner und ohne Datenweitergabe.
• Videos und Social-Media-Widgets: Auch sie laden beim Aufruf Ressourcen von Drittservern. Wenn überhaupt, dann nur mit Zwei-Klick-Lösung.

Stolperfalle 3: Hosting und Verträge

Zur sauberen Grundlage gehören ein Auftragsverarbeitungsvertrag (AVV) mit dem Hosting-Anbieter, ein Serverstandort, für den sich das Schutzniveau einfach begründen lässt (praktisch: EU, gern Deutschland), und Basis-Härtung des Servers — aktuelle Software, SSL-Zertifikat, automatische Sicherheits-Updates. Und: Die Webseite gehört als eigener Eintrag in das Verzeichnis der Verarbeitungstätigkeiten der Praxis. Das ist schnell erledigt, wird aber oft vergessen, weil die Webseite „nebenher" beauftragt wurde.

Das Prinzip dahinter: Datenvermeidung schlägt Einwilligung

Der rote Faden durch alle Punkte: Jede Einwilligung, jedes Banner und jede Drittanbieter-Klausel wird überflüssig, wenn die Seite die Daten gar nicht erst erhebt oder weitergibt. Eine statisch gebaute Seite mit lokalen Schriften, eigener Statistik und schlankem Formular hat schlicht weniger zu erklären — die Datenschutzerklärung wird kürzer, ehrlicher und belastbarer. So baue ich meine Praxis-Projekte, und so steht es auch in meiner eigenen Datenschutzerklärung.

Welche Angaben darüber hinaus verpflichtend auf die Seite gehören, steht im Beitrag Pflichtangaben für die Arztpraxis-Website; was eine sauber gebaute Seite kosten darf, im Beitrag Was kostet eine Praxis-Homepage?