Wer als Ärztin, Arzt oder Therapeut eine Praxiswebsite betreibt, verarbeitet personenbezogene Daten – schon mit dem ersten Klick. Eine IP-Adresse, ein Kontaktformular, ein Buchungssystem, ein eingebettetes Google-Bewertungs-Widget: All das fällt unter die DSGVO. Und die ist im medizinischen Bereich besonders streng, weil Gesundheitsdaten zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO zählen.
Das Problem: Viele Praxen haben eine Datenschutzerklärung, die irgendwann mal von einem Generator erstellt wurde – und seit Jahren nicht mehr angepasst wurde. Das ist nicht nur juristisch riskant, sondern auch ein Vertrauensproblem. Patientinnen und Patienten erkennen sehr genau, ob eine Praxis sorgfältig mit ihren Daten umgeht oder nicht.
Dieser Artikel zeigt Ihnen konkret, was Sie als Ärztin, Arzt oder Therapeut in Deutschland beim Datenschutz auf Ihrer Praxiswebsite beachten müssen – und wo die typischen Stolperfallen lauern. Er ist Teil meiner ausführlichen Übersicht zum Thema Online-Vertrauen für Arztpraxen.
Warum Datenschutz auf der Praxiswebsite ein doppelter Hebel ist
Datenschutz wird oft als reines Pflichtthema wahrgenommen – ein juristisches Übel, das man hinter sich bringen muss. In Wahrheit ist saubere Datenschutz-Praxis aber eines der stärksten Vertrauenssignale, die Sie online setzen können.
Patientinnen und Patienten, die das Gefühl haben, ihre Daten seien bei einer Praxis sicher aufgehoben, nutzen eher die Online-Terminbuchung, füllen eher ein Kontaktformular aus oder abonnieren einen Newsletter. Wer Datenschutz transparent kommuniziert, baut Vertrauen auf, das weit über die juristische Pflicht hinausgeht.
Gleichzeitig sind Datenschutz-Verstöße ein erhebliches Risiko. Die Bußgelder reichen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – und auch wenn solche Höchststrafen für Praxen unrealistisch sind, kommen Abmahnungen und Schadensersatzforderungen wegen mangelhafter Datenschutzerklärungen, fehlerhafter Cookie-Banner oder extern geladener Schriften vor. Der Reputationsschaden ist oft größer als das Bußgeld selbst.
Datenschutz ist also kein Nebenthema. Er ist Teil Ihrer Marketingstrategie für die Arztpraxis – und ein direkter Vertrauenshebel.
Die rechtlichen Grundlagen im Überblick
Bevor wir konkret werden, kurz die wichtigsten Rechtsgrundlagen, die für Ihre Praxiswebsite gelten:
DSGVO (EU-Datenschutz-Grundverordnung): Seit 25. Mai 2018 anwendbar. Regelt grundsätzlich, wie personenbezogene Daten verarbeitet werden dürfen. Besonders relevant für Sie: Art. 6 (Rechtsgrundlagen), Art. 9 (besondere Kategorien wie Gesundheitsdaten), Art. 13 (Informationspflichten) und Art. 32 (technische und organisatorische Maßnahmen).
BDSG (Bundesdatenschutzgesetz): Ergänzt die DSGVO auf nationaler Ebene. Enthält unter anderem ergänzende Regeln zur Verarbeitung von Gesundheitsdaten (§ 22 BDSG) und zum Datenschutzbeauftragten: Eine Praxis muss ihn nach § 38 BDSG in der Regel benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – für die meisten Einzelpraxen ist das nicht der Fall.
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz): Seit Dezember 2021 in Kraft, bis Mai 2024 unter dem Namen TTDSG. Regelt in § 25 Cookies und vergleichbare Technologien – die Grundlage für die Cookie-Banner-Pflicht.
§ 203 StGB (Schweigepflicht): Strafrechtlich verankert. Sie gilt für Ärzte, Zahnärzte, Psychotherapeuten und andere Heilberufe mit staatlich geregelter Ausbildung, etwa Physiotherapeuten. Wer Berufsgeheimnisse unbefugt offenbart, riskiert Geldstrafe oder Freiheitsstrafe bis zu einem Jahr.
Berufsordnungen der Kammern: Für Ärzte gilt die Berufsordnung der Landesärztekammer, für Zahnärzte die der Landeszahnärztekammer, für Psychotherapeuten die der Landespsychotherapeutenkammer. Sie konkretisieren Schweigepflicht und Patientendatenschutz auf standesrechtlicher Ebene. Heilpraktiker und Physiotherapeuten haben keine Kammer und keine verbindliche Berufsordnung.
Diese Regelwerke greifen ineinander. Ein Verstoß auf einer Ebene kann gleichzeitig Bußgelder, Abmahnungen, berufsrechtliche Konsequenzen und strafrechtliche Folgen nach sich ziehen.
Die Datenschutzerklärung als Herzstück
Jede Praxiswebsite braucht eine Datenschutzerklärung – das ist Pflicht nach Art. 13 DSGVO. Aber: Eine Standardvorlage aus dem Internet reicht nicht. Sie muss auf Ihre konkrete Praxis und auf die tatsächlich eingesetzten Tools zugeschnitten sein.
Was Ihre Datenschutzerklärung enthalten muss
Verantwortlicher und Datenschutzbeauftragter: Wer ist für die Datenverarbeitung verantwortlich? Wer ist der oder die Datenschutzbeauftragte (sofern benannt)? Mit Adresse und Kontaktmöglichkeit.
Zwecke der Datenverarbeitung: Wofür werden welche Daten verarbeitet? Konkret: Kontaktformular, Online-Terminbuchung, Newsletter, Analytics, Maps, Schriften und alle weiteren Tools.
Rechtsgrundlagen: Auf welcher Basis verarbeiten Sie Daten? Einwilligung (Art. 6 Abs. 1 lit. a), Vertragserfüllung (lit. b), berechtigtes Interesse (lit. f) – jeder Verarbeitungsschritt braucht eine klare Grundlage. Bei Gesundheitsdaten kommt zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO hinzu.
Speicherdauer: Wie lange werden die Daten aufbewahrt? Nach welchen Kriterien?
Empfänger der Daten: Wer bekommt die Daten? Hosting-Anbieter, Buchungssystem, Newsletter-Tool, Analytics-Anbieter? Auch Übermittlungen in Drittländer (USA!) müssen aufgeführt sein.
Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Beschwerde bei der Aufsichtsbehörde.
Cookie- und Tracking-Hinweise: Welche Cookies werden gesetzt? Welche sind technisch notwendig, welche optional?
Die häufigsten Fehler
Aus der Praxisarbeit sehe ich immer wieder dieselben Schwachstellen:
Veraltete Datenschutzerklärung. Datenschutzgeneratoren werden ständig aktualisiert – wer einmal eine Erklärung erstellt und dann nie wieder anschaut, hat nach 1–2 Jahren oft erhebliche Lücken.
Tools ohne Erwähnung. Google Maps, Google Fonts, YouTube-Videos, ein Newsletter-Tool, ein Buchungssystem – diese Tools werden oft eingebunden, ohne dass die Datenschutzerklärung sie nennt. Das ist eine der häufigsten Lücken.
Keine Differenzierung nach Datenkategorien. Patientendaten sind besondere Daten nach Art. 9 DSGVO und brauchen eine zusätzliche Ausnahme nach Art. 9 Abs. 2 DSGVO – auf der Website ist das meist die ausdrückliche Einwilligung. Wer das nicht differenziert, verstößt gegen die Informationspflichten.
Fehlerhafte Drittland-Übermittlungen. Wer Google Analytics oder ähnliche US-Tools nutzt, muss die Datenübermittlung in die USA korrekt abbilden. Nach dem Schrems-II-Urteil 2020 war das lange ein Minenfeld. Seit Juli 2023 gilt mit dem EU-U.S. Data Privacy Framework ein Angemessenheitsbeschluss für zertifizierte US-Unternehmen, den das Gericht der EU im September 2025 bestätigt hat – viele Datenschutzerklärungen sind hier veraltet.
Konkreter Tipp: Lassen Sie Ihre Datenschutzerklärung mindestens einmal jährlich aktualisieren – idealerweise von einem zertifizierten Datenschutzbeauftragten oder einem Fachanwalt. Wie diese Pflichtelemente in eine professionelle Praxiswebsite integriert werden, ist auch Teil der zwölf Elemente einer guten Praxiswebsite.
Cookie-Banner: Was wirklich erlaubt ist
Das Cookie-Banner ist eines der häufigsten Streitthemen überhaupt. Seit dem TTDSG (heute TDDDG) und mehreren Urteilen des EuGH und BGH gelten klare Regeln – die viele Praxen trotzdem ignorieren.
Die Pflicht zur echten Wahl
Jedes Cookie-Banner muss eine echte Wahl ermöglichen:
- Annehmen und Ablehnen müssen gleichwertig prominent sein
- Kein „Nudging“ durch Farbgebung oder Größe
- Keine voreingestellten Häkchen für optionale Cookies
- Zustimmung muss aktiv erfolgen – Schweigen oder Weiterscrollen reicht nicht
- Widerruf der Einwilligung muss genauso einfach sein wie die Erteilung
Praktisch heißt das: Der „Alles akzeptieren“-Button und der „Alles ablehnen“-Button sollten auf derselben Ebene stehen und visuell gleichberechtigt sein. Das VG Hannover hat 2025 entschieden, dass eine Einwilligung unwirksam ist, wenn das Banner auf der ersten Ebene nur „Alle akzeptieren“ anbietet und das Ablehnen erst auf einer zweiten Ebene möglich ist (Urteil vom 19.03.2025, Az. 10 A 5385/22). Ein grüner, fetter „Akzeptieren“-Button und ein grauer, kleiner „Ablehnen“-Link riskieren ebenfalls eine unwirksame Einwilligung.
Welche Cookies brauchen eine Einwilligung?
Nicht alle Cookies brauchen eine aktive Einwilligung:
| Cookie-Typ | Einwilligung nötig? |
|---|---|
| Technisch notwendige Cookies (Session, Login) | Nein |
| Cookies für Sicherheit und Lastverteilung | Nein |
| Analytics-Cookies (Google Analytics, Matomo) | Ja |
| Marketing-Cookies (Facebook Pixel, Google Ads) | Ja |
| YouTube-Embeds, Google Maps mit Tracking | Ja |
| Schriften-Einbindung (Google Fonts) | Ja, wenn von extern geladen |
Die Faustregel: Sobald ein Cookie für Statistik, Marketing oder Tracking gesetzt wird, brauchen Sie die Einwilligung. Technisch notwendige Cookies (z. B. ein Login-Session-Cookie) sind ohne Einwilligung erlaubt.
Empfohlene Cookie-Tools für Praxiswebsites
Für die meisten Praxen reicht eine schlanke, datenschutzfreundliche Lösung. Bewährt haben sich:
- Borlabs Cookie (für WordPress)
- Cookiebot (plattformübergreifend)
- Usercentrics (Enterprise-Lösung)
- Native Squarespace-Lösung (eingebautes Cookie-Banner für Squarespace-Sites)
Bei Squarespace-Sites kann die hauseigene Cookie-Lösung für deutsche Praxen ausreichen – sofern Sie sie korrekt konfigurieren, das Ablehnen gleichwertig anbieten und keine zusätzlichen Tracking-Tools über Code-Injection einbauen.
Kontaktformulare und Patientendaten
Kontaktformulare sind ein Dauerklassiker im Praxismarketing – und gleichzeitig ein Datenschutz-Brennpunkt. Patientinnen und Patienten schicken oft Gesundheitsinformationen über Formulare, ohne sich der Konsequenzen bewusst zu sein.
Wie Sie Kontaktformulare richtig aufsetzen
Minimales Datenfeld-Prinzip. Fragen Sie nur nach den Daten, die Sie wirklich brauchen. Name, Telefon oder E-Mail, kurze Nachricht – mehr ist meist nicht nötig. Jedes zusätzliche Pflichtfeld senkt die Conversion-Rate und erhöht das Datenschutzrisiko.
Klarer Hinweis zu Gesundheitsdaten. Direkt am Formular sollte stehen:
„Bitte senden Sie keine sensiblen Gesundheitsdaten über dieses Formular. Für vertrauliche Anliegen rufen Sie uns bitte an: [Telefonnummer].“
Dieser Hinweis schützt sowohl Ihre Patientinnen und Patienten als auch Sie. Wenn jemand trotzdem Gesundheitsdaten schickt, haben Sie den Hinweis dokumentiert.
Einwilligungs-Checkbox. Gerade weil über Formulare oft Gesundheitsdaten eingehen, empfiehlt sich vor dem Absenden eine aktive Zustimmung, dass die Daten verarbeitet werden dürfen. Ein Beispieltext:
„Ich willige ein, dass meine Angaben zur Beantwortung meiner Anfrage gespeichert und verarbeitet werden. Hinweis zum Datenschutz: [Link zur Datenschutzerklärung].“
Diese Checkbox darf nicht vorausgewählt sein – eine Einwilligung per vorangekreuztem Kästchen ist nach der Rechtsprechung des EuGH unwirksam.
Verschlüsselte Übertragung. Die Website muss SSL-verschlüsselt sein (HTTPS). Ohne SSL keine moderne Website mehr – und eine unverschlüsselte Übertragung von Formulardaten verstößt gegen die Sicherheitspflichten aus Art. 32 DSGVO.
Sichere Speicherung. Eingehende Anfragen müssen sicher gespeichert oder unmittelbar gelöscht werden. Wer Anfragen in einem Standard-E-Mail-Postfach sammelt, sollte mindestens auf E-Mail-Verschlüsselung achten.
Was Sie bei Gesundheitsdaten beachten müssen
Wenn eine Patientin oder ein Patient trotz Hinweis sensible Daten schickt (z. B. „Ich habe Rückenschmerzen seit drei Monaten“), verarbeiten Sie besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Dann gilt:
- Die Daten dürfen nur für den Zweck der Anfragebeantwortung genutzt werden
- Speicherung nur so lange wie nötig (meist bis zur Erledigung der Anfrage + Aufbewahrungsfristen)
- Keine Weitergabe an Dritte ohne ausdrückliche Einwilligung
- Bei Übernahme in eine Patientenakte greift zusätzlich die Schweigepflicht
Online-Terminbuchung: Doctolib, jameda, samedi
Online-Terminbuchung ist eines der beliebtesten Tools auf Praxiswebsites – und einer der häufigsten Datenschutz-Stolpersteine. Wer Doctolib, jameda, samedi oder ähnliche Anbieter einbindet, übermittelt Patientendaten an einen Drittanbieter.
Was rechtlich zu beachten ist
Auftragsverarbeitungsvertrag (AVV). Sie brauchen mit jedem Anbieter einen AVV nach Art. 28 DSGVO. Die großen Anbieter stellen diese Verträge bereit – Sie müssen sie aber aktiv abschließen.
Datenschutzerklärung anpassen. In Ihrer Datenschutzerklärung muss der Buchungsanbieter explizit genannt sein, mit Beschreibung der Datenverarbeitung.
Einbindung auf der Website. Vermeiden Sie iframe-Einbindungen, die schon vor der Cookie-Einwilligung Daten an den Anbieter senden. Eine bessere Lösung ist die Verlinkung mit Hinweis: „Sie werden zu unserem Buchungspartner Doctolib weitergeleitet, der eigene Datenschutzbestimmungen anwendet.“
Server-Standort prüfen. Doctolib speichert die Daten nach eigenen Angaben in Rechenzentren in Deutschland und Frankreich – das ist ein Vorteil. Andere Anbieter speichern teilweise in den USA, was zusätzliche Anforderungen mit sich bringt (Standardvertragsklauseln, ergänzende Maßnahmen).
Empfehlung für die Praxis
Für die meisten Praxen ist Doctolib eine naheliegende Wahl, weil der Anbieter:
- als Auftragsverarbeiter der Praxis arbeitet
- Daten in der EU speichert
- einen AVV vorsieht
- eine eigene Datenschutzerklärung mitbringt
Wenn Sie sich für ein anderes System entscheiden, prüfen Sie diese Punkte vor der Einrichtung – nicht erst, wenn die Abmahnung kommt.
Newsletter und Patientenmarketing
Newsletter sind ein wertvolles Werkzeug für die Patientenbindung – aber datenschutzrechtlich heikel. Die wichtigsten Punkte:
Double-Opt-In ist Standard. Nach der Anmeldung sollte die Person eine Bestätigungs-E-Mail erhalten und den enthaltenen Link aktivieren. Gesetzlich ist das Verfahren nicht ausdrücklich vorgeschrieben, aber praktisch unverzichtbar: Sie müssen die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO), und ohne Bestätigung gelingt das kaum.
Werbe-E-Mails brauchen eine ausdrückliche Einwilligung. § 7 Abs. 2 Nr. 2 UWG schreibt das vor. Sie dürfen Patientinnen und Patienten nicht einfach zu Ihrem Newsletter anmelden, weil sie schon einmal in Ihrer Praxis waren: Die Ausnahme für Bestandskunden in § 7 Abs. 3 UWG setzt unter anderem einen Hinweis auf das Widerspruchsrecht schon bei der Erhebung der Adresse voraus – und die Schweigepflicht setzt zusätzliche Grenzen.
Abmeldung muss einfach sein. Jede Newsletter-Mail muss einen funktionierenden Abmelde-Link enthalten. Eine versteckte oder schwer auffindbare Abmeldung ist abmahnfähig.
Datenschutzfreundliche Tools. CleverReach, Brevo (früher Sendinblue) und Rapidmail haben Server in der EU. Mailchimp speichert in den USA und bringt zusätzliche Datenschutzfragen mit sich.
Analytics und Tracking auf der Praxiswebsite
Das Tracking-Thema wird oft unterschätzt – und ist gleichzeitig eines der häufigsten Datenschutz-Themen auf Praxiswebsites. Drei Szenarien:
Szenario 1: Sie nutzen Google Analytics
Google Analytics ist nach DSGVO grundsätzlich erlaubt – aber nur mit aktiver Einwilligung (Cookie-Banner mit echter Wahl) und korrekter Konfiguration:
- Datenfreigabe mit anderen Google-Diensten und Google-Signale deaktiviert (IP-Adressen speichert Google Analytics 4 für Nutzer in der EU nach eigenen Angaben nicht; die frühere IP-Anonymisierung entfällt)
- Auftragsverarbeitungsbedingungen von Google akzeptiert
- Datenschutzerklärung enthält Google Analytics ausdrücklich
Falls Sie diese Punkte nicht alle umgesetzt haben, ist die Einbindung problematisch.
Szenario 2: Sie nutzen eine datenschutzfreundlichere Alternative
Matomo (selbst gehostet) ist die DSGVO-freundlichste Lösung – die Daten bleiben auf Ihrem Server, kein Drittland-Transfer. Auch Plausible und Fathom Analytics sind datenschutzfreundliche Alternativen.
Plausible arbeitet ohne Cookies, Matomo lässt sich cookielos konfigurieren. Dann ist eine Cookie-Einwilligung nach § 25 TDDDG oft nicht nötig – in der Datenschutzerklärung muss das Tool trotzdem stehen.
Szenario 3: Sie nutzen gar kein Tracking
Auch das ist eine valide Option – besonders für kleine Praxen mit überschaubarem Online-Marketing. Ohne Tracking fallen keine Nutzungsdaten an, die geschützt werden müssten. Das vereinfacht die Datenschutzerklärung erheblich.
Embeds: Google Maps, YouTube, Schriften
Eingebettete Inhalte sind die unsichtbarsten Datenschutz-Risiken auf Praxiswebsites. Sobald die Seite lädt, werden Daten an externe Server geschickt – oft ohne dass die Nutzerin oder der Nutzer es merkt.
Google Maps. Die Standard-Einbindung übermittelt Daten an Google. Lösung: 2-Klick-Lösung (Karte erscheint erst nach Bestätigung) oder ein statisches Kartenbild mit Link. Auch Alternativen wie OpenStreetMap laden Daten von fremden Servern und gehören in die Datenschutzerklärung.
YouTube-Videos. Die normale Einbindung lädt sofort Daten an YouTube. Lösung: „Erweiterter Datenschutzmodus“ (youtube-nocookie.com) und 2-Klick-Lösung.
Google Fonts. Viele Schriften werden standardmäßig von Google-Servern geladen. Das LG München I hat einem Website-Besucher deshalb 100 € Schadensersatz zugesprochen, weil seine IP-Adresse ohne Einwilligung an Google übermittelt wurde (Urteil vom 20.01.2022, Az. 3 O 17493/20). Lösung: Schriften lokal hosten – das ist auch schneller.
Social-Media-Buttons. Echte Social-Plugins von Facebook, X (ehemals Twitter) etc. übermitteln sofort Daten. Lösung: Statische Icons mit Link statt aktiver Plugins.
Der Aufwand für eine korrekte Einbindung ist überschaubar – aber die Auswirkung auf Vertrauen und Rechtssicherheit ist erheblich.
Was Sie heute konkret tun sollten
Wenn Sie aus diesem Artikel nur drei Dinge mitnehmen wollen, dann diese:
Erstens: Lassen Sie Ihre Datenschutzerklärung von einem Profi prüfen. Eine veraltete oder unvollständige Erklärung ist ein typisches Abmahnrisiko.
Zweitens: Optimieren Sie Ihr Cookie-Banner. „Akzeptieren“ und „Ablehnen“ müssen gleichwertig sein – sonst riskieren Sie eine unwirksame Einwilligung.
Drittens: Prüfen Sie alle externen Einbindungen. Google Maps, YouTube, Schriften, Buchungssysteme, Analytics – jedes externe Tool ist ein potenzielles Datenschutz-Thema.
Weiterlesen: Wie sich Datenschutz, Praxiswebsite, Google-Profil und Bewertungen zu einem konsistenten Vertrauensbild verbinden, zeigt der ausführliche Übersichtsartikel Online Vertrauen als Arzt oder Therapeut in Deutschland aufbauen.
Datenschutz ist nicht das Lieblingsthema vieler Praxen. Aber er ist eines der wenigen Themen, bei denen sich gute Arbeit doppelt auszahlt: rechtlich abgesichert und gleichzeitig vertrauensbildend. Eine aktuelle, anwaltlich geprüfte Datenschutzerklärung samt Cookie-Banner erstellen wir mit „ort datenschutz“ und bauen sie fertig in Ihre Website ein: 200 € einmalig, zuzüglich 100 € pro Jahr Nutzungsgebühr. Wenn Sie wissen wollen, wo Ihre Praxiswebsite aktuell steht, prüfen wir das im Rahmen eines Praxiswebsite-Checks konkret durch. Oder vereinbaren Sie gern ein kostenloses Erstgespräch mit Holger Ort.
Quellen
- Datenschutz-Grundverordnung (EU) 2016/679 – EUR-Lex
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
- § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
- § 7 UWG – Unzumutbare Belästigungen
- § 203 StGB – Verletzung von Privatgeheimnissen
- Bundesärztekammer: (Muster-)Berufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte (MBO-Ä)
- Bundeszahnärztekammer: Musterberufsordnung, § 21
- Bundespsychotherapeutenkammer: Muster-Berufsordnung, § 23 Abs. 3
- Durchführungsbeschluss (EU) 2023/1795 zum EU-U.S. Data Privacy Framework – EUR-Lex
- LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20 (Google Fonts) – Zusammenfassung der Bergischen IHK
- VG Hannover, Urteil vom 19.03.2025, Az. 10 A 5385/22 (Cookie-Banner) – Pressemitteilung der Landesbeauftragten für den Datenschutz Niedersachsen
- Google: Daten und Datenschutz in der EU (Google Analytics)
- Doctolib: Datensicherheit (FAQ)
Die agentur ort ist eine Marketingagentur und keine Rechtsanwaltskanzlei. Dieser Beitrag gibt einen allgemeinen Überblick über die Rechtslage und ersetzt keine Rechtsberatung.