DSGVO auf der Praxiswebseite: wo Praxen wirklich haften

Warum für Praxen ein anderer Maßstab gilt

Die DSGVO unterscheidet zwischen gewöhnlichen personenbezogenen Daten und besonderen Kategorien nach Artikel 9 — dazu gehören Gesundheitsdaten. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit Ausnahmen, nicht umgekehrt.

Der entscheidende Punkt für Ihre Webseite: Ein Gesundheitsdatum entsteht nicht erst bei einer Diagnose. Es genügt, dass sich aus dem Zusammenhang ein Rückschluss auf den Gesundheitszustand ziehen lässt. Wer in ein Formular auf der Seite einer Kieferorthopädie „Beratung zu Zahnfehlstellung“ schreibt, hat ein Gesundheitsdatum übermittelt — auch ohne Befund.

Dazu kommt die ärztliche Schweigepflicht nach § 203 StGB. Sie gilt neben der DSGVO und ist strafbewehrt. Ein Datenschutzverstoß in einer Praxis ist deshalb regelmäßig zugleich ein berufsrechtliches Problem.

Die fünf Stellen, an denen es schiefgeht

1. Das Kontaktformular

Der häufigste Fehler überhaupt: ein Freitextfeld ohne Hinweis, was hineingehört. Patienten schreiben dort ihre Beschwerden hinein, und die Nachricht läuft anschließend unverschlüsselt über einen Formulardienst, häufig mit Serverstandort außerhalb der EU.

• Erheben Sie nur, was Sie brauchen — Name, Rückrufwunsch, Erreichbarkeit. Datenminimierung ist kein Ratschlag, sondern Artikel 5.
• Schreiben Sie ausdrücklich dazu, dass keine Angaben zu Beschwerden oder Befunden in das Formular gehören und der Fall telefonisch besprochen wird.
• Prüfen Sie, wo die Daten landen. Für jeden beteiligten Dienstleister brauchen Sie einen Auftragsverarbeitungsvertrag nach Artikel 28.
• Verschlüsselte Übertragung ist Pflicht, nicht Kür — und für sensible Inhalte ist ein gewöhnliches Webformular ohnehin der falsche Weg.

2. Cookies und Statistik

Analyse- und Werbedienste dürfen erst nach ausdrücklicher Einwilligung geladen werden — § 25 Absatz 1 TDDDG. Ein Banner, das nur informiert, oder eines, in dem „Alle akzeptieren“ groß und „Ablehnen“ versteckt ist, erfüllt das nicht.

• Vor der Entscheidung wird nichts geladen, das nicht technisch notwendig ist.
• Ablehnen muss genauso einfach sein wie Zustimmen — gleiche Ebene, gleiche Gestaltung.
• Der Widerruf muss jederzeit möglich sein (Artikel 7 Absatz 3), üblicherweise über einen Punkt im Fußbereich.
• Wird widerrufen, müssen die gesetzten Cookies auch tatsächlich gelöscht werden.

3. Eingebundene Dienste

Schriftarten, Kartenausschnitte, Videos, Buchungsfenster: Jede eingebundene Ressource überträgt beim Laden die IP-Adresse des Besuchers an den Anbieter. Das ist die klassische Stolperstelle, weil es unsichtbar passiert.

Schriften gehören auf den eigenen Server, Karten und Videos werden erst nach einem Klick geladen. Das ist technisch einfach und beseitigt einen ganzen Abmahnungsgrund.

4. Die Terminbuchung

Ein Buchungssystem verarbeitet Namen, Kontaktdaten und — sobald Behandlungsarten auswählbar sind — Gesundheitsdaten. Prüfen Sie drei Dinge: Serverstandort, Auftragsverarbeitungsvertrag und ob das Fenster erst auf Klick lädt. Ein Buchungsfenster, das beim Seitenaufruf automatisch startet, überträgt Daten ohne jeden Anlass.

5. Die Datenschutzerklärung

Sie muss die tatsächlich eingesetzten Dienste benennen — mit Anbieter, Zweck, Rechtsgrundlage, Speicherdauer und Drittlandbezug. Eine Vorlage aus dem Netz beschreibt eine andere Webseite als Ihre.

Der häufigste Befund bei Prüfungen ist deshalb nicht eine fehlende Erklärung, sondern eine, die nicht zur Seite passt: Sie nennt Dienste, die gar nicht eingebunden sind — und verschweigt die, die es sind.

Was viele Praxen übersehen

• Das Verarbeitungsverzeichnis nach Artikel 30. Praxen sind faktisch immer dazu verpflichtet, weil sie Gesundheitsdaten verarbeiten — die Ausnahme für kleine Unternehmen greift hier nicht.
• Der Datenschutzbeauftragte. Sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung befasst sind, ist er Pflicht. Bei umfangreicher Verarbeitung von Gesundheitsdaten kann die Pflicht auch früher greifen.
• Auskunftsersuchen. Patienten können verlangen zu erfahren, welche Daten Sie über sie gespeichert haben — mit einer Frist von einem Monat. Wer dann erst anfängt zu suchen, wird die Frist reißen.
• Meldepflicht bei Pannen. Eine Datenpanne ist binnen 72 Stunden der Aufsichtsbehörde zu melden. Bei Gesundheitsdaten sind zusätzlich die Betroffenen zu informieren.
• Fotos von Team und Patienten. Für jede erkennbare Person auf der Webseite braucht es eine Einwilligung, die widerrufbar ist — auch für die Kollegin, die längst gekündigt hat.

Was tatsächlich passiert, wenn etwas schiefgeht

Der Bußgeldrahmen der DSGVO reicht bei Verstößen gegen Artikel 9 bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Diese Zahlen sind für eine Praxis unrealistisch — der praktische Ärger sieht anders aus:

• Abmahnungen durch Wettbewerber und spezialisierte Vereine, meist wegen eingebundener Schriften, fehlerhafter Cookie-Banner oder unvollständiger Erklärungen.
• Beschwerden bei der Aufsichtsbehörde — oft durch ehemalige Mitarbeitende oder unzufriedene Patienten. Die Behörde fragt schriftlich nach, und die Antwort muss belastbar sein.
• Schadenersatzforderungen einzelner Betroffener nach Artikel 82. Die Beträge sind gering, die Zahl der Verfahren steigt.
• Der Reputationsschaden, der bei einer Arztpraxis schwerer wiegt als das Bußgeld. Vertrauen ist Ihr eigentliches Kapital.

Was Sie heute prüfen können

• Öffnen Sie Ihre Seite in einem privaten Fenster und schauen Sie, ob vor jeder Entscheidung schon etwas geladen wird — Schriften, Karten, Statistik.
• Lesen Sie Ihr Kontaktformular mit den Augen eines Patienten: Lädt es dazu ein, Beschwerden hineinzuschreiben?
• Vergleichen Sie Ihre Datenschutzerklärung mit dem, was tatsächlich eingebunden ist. Steht dort ein Dienst, den Sie nicht nutzen — oder fehlt einer, den Sie nutzen?
• Prüfen Sie, ob Sie für jeden Dienstleister einen Auftragsverarbeitungsvertrag vorliegen haben.
• Klicken Sie im Fußbereich auf „Cookie-Einstellungen“: Lässt sich die Einwilligung widerrufen — und verschwinden die Cookies danach?

Bei einem Neubau kostet all das kaum Aufwand, weil es von Anfang an mitgedacht wird. Teuer wird es nur als Nachrüstung — und richtig teuer erst, wenn jemand von außen darauf aufmerksam macht. Wie sich das mit den Vorgaben des Heilmittelwerbegesetzes und der gesetzlichen Barrierefreiheit verbindet, gehört in dieselbe Betrachtung: Es sind drei Regelwerke, aber eine Webseite.