Beim Thema Datenschutz gibt es zwei Lager. Das eine hält alles für unmöglich und traut sich deshalb an kein Formular. Das andere hat vor Jahren eine Datenschutzerklärung eingebaut und seitdem nicht mehr hingesehen. Beides ist unnötig, denn die tatsächlichen Anforderungen an eine Praxis-Website sind überschaubar und lassen sich abarbeiten.
Ein Hinweis vorweg: Dieser Beitrag ordnet ein, er ersetzt keine Rechtsberatung. Für Ihren Einzelfall bleibt Ihr Datenschutzbeauftragter oder ein Fachanwalt zuständig.
Warum bei Praxen strengere Regeln gelten
Sobald es um Gesundheit geht, greift Artikel 9 DSGVO, der besondere Kategorien personenbezogener Daten regelt. Das betrifft nicht nur Diagnosen. Schon die Information, dass eine bestimmte Person Termine in einer orthopädischen Praxis anfragt, ist ein Gesundheitsdatum. Deshalb reicht das, was für eine normale Firmenwebsite genügt, hier nicht.
Die Punkte, die immer gelten
- Verschlüsselte Verbindung. HTTPS auf allen Seiten, ohne Ausnahme, und automatische Weiterleitung von der unverschlüsselten Fassung.
- Impressum und Datenschutzerklärung. Von jeder Unterseite in einem Klick erreichbar. Bei Heilberufen gehören zusätzliche Angaben ins Impressum, unter anderem Kammer, Berufsbezeichnung samt Verleihungsstaat und die zuständige Aufsichtsbehörde.
- Datenschutzerklärung, die zur Seite passt. Eine Mustererklärung, in der Dienste stehen, die Sie gar nicht nutzen, ist ebenso falsch wie eine, in der Ihr Kontaktformular fehlt.
- Keine Datenübertragung ohne Grundlage. Alles, was beim Aufruf der Seite automatisch Daten an Dritte sendet, braucht eine Rechtsgrundlage, bei den meisten Diensten also eine vorherige Einwilligung.
Die drei häufigsten Stolperfallen
Schriften von fremden Servern. Werden Schriftarten beim Seitenaufruf von einem externen Anbieter nachgeladen, geht die IP-Adresse des Besuchers dorthin, ohne dass er gefragt wurde. Das war Gegenstand zahlreicher Abmahnwellen. Die Lösung ist simpel: Schriften lokal einbinden.
Karten und Videos. Eine eingebettete Karte oder ein eingebettetes Video lädt in der Regel sofort Daten zum Anbieter. Ohne vorherige Einwilligung ist das nicht zulässig. Praktikabel ist eine Vorschau, die erst auf Klick lädt, oder schlicht ein Link statt einer Einbettung.
Formulare per E-Mail. Viele Kontaktformulare schicken den Inhalt als unverschlüsselte E-Mail weiter. Bei Gesundheitsdaten ist das der kritischste Punkt überhaupt, denn E-Mail ist auf dem Transportweg nicht durchgehend geschützt. Anfragen sollten verschlüsselt entgegengenommen und gesichert abgelegt werden.
Cookies und Einwilligung
Ein Banner ist kein Selbstzweck. Wenn Ihre Seite nichts lädt, was eine Einwilligung braucht, brauchen Sie auch kein Banner. Wenn sie es tut, muss das Banner echte Wahlfreiheit bieten: Ablehnen muss genauso leicht sein wie Zustimmen, und vor der Entscheidung darf nichts geladen werden.
Der elegantere Weg ist, die Seite so zu bauen, dass sie ohne einwilligungspflichtige Dienste auskommt. Dann entfällt das Banner, die Seite wird schneller, und ein ganzes Risikofeld verschwindet.
Löschen und Aufbewahren
Für jede Anfrage, die über die Website hereinkommt, muss klar sein, wie lange sie liegt und wer sie löscht. Das gilt auch für die Kopie im Postfach. Ein Satz in der Datenschutzerklärung ist die eine Hälfte, die tatsächliche Löschroutine im Alltag die andere.
Ihre Prüfliste in zehn Minuten
- Ist HTTPS überall aktiv und erzwungen?
- Sind Impressum und Datenschutz von jeder Seite erreichbar?
- Enthält das Impressum Kammer, Berufsbezeichnung und Aufsichtsbehörde?
- Werden Schriften lokal geladen?
- Lädt eine Karte oder ein Video ungefragt?
- Wohin geht der Inhalt Ihres Kontaktformulars, und ist der Weg verschlüsselt?
- Steht in der Datenschutzerklärung wirklich das, was Ihre Seite tut?
- Gibt es eine gelebte Löschfrist für Anfragen?
Diese Übersicht ist eine Orientierung und keine Rechtsberatung. Im Zweifel prüfen Sie Ihren Einzelfall mit Ihrem Datenschutzbeauftragten oder einem Fachanwalt.
Häufige Fragen
Braucht meine Praxis-Website ein Cookie-Banner?
Nur wenn Sie Dienste einsetzen, die eine Einwilligung brauchen. Eine Seite ohne externe Einbindungen und ohne Tracking kommt ohne Banner aus.
Darf ich Google Maps auf der Praxis-Website einbinden?
Nicht ohne vorherige Einwilligung, weil beim Laden Daten an den Anbieter gehen. Üblich ist eine Vorschau, die erst auf Klick lädt, oder ein einfacher Link zur Route.
Ist ein Kontaktformular datenschutzrechtlich zulässig?
Ja, wenn die Übertragung verschlüsselt ist, der Zweck erkennbar ist und die Daten nicht ungeschützt per E-Mail weiterwandern. Bei Gesundheitsdaten gelten die erhöhten Anforderungen aus Artikel 9 DSGVO.
