DSGVO für die Praxis-Website: Checkliste für Ordinationen (2026)
Cookie-Banner, Kontaktformular, Google Fonts, Auftragsverarbeitung: Die wichtigsten Datenschutz-Punkte für Praxis-Websites, praxisnah erklärt und zum Abhaken.
Christian Tölsner
Webdesigner & SEO-Spezialist, Wien
Datenschutz ist für viele Praxen der unangenehmste Teil der eigenen Website. Nicht, weil er kompliziert wäre, sondern weil die Unsicherheit groß ist: Reicht der Banner? Darf das Formular so bleiben? Und was passiert, wenn jemand nachfragt?
Bei Ärztinnen, Therapeuten und Ordinationen kommt ein Punkt dazu, der oft untergeht: Gesundheitsdaten gelten in der DSGVO als besondere Kategorie personenbezogener Daten. Sobald jemand über dein Kontaktformular ein Beschwerdebild schildert, ist das kein gewöhnlicher Website-Kontakt mehr. Genau deshalb lohnt sich der sorgfältige Blick.
WICHTIG
Wichtiger Hinweis: Dieser Artikel ist eine praxisnahe Orientierung aus der Website-Praxis, keine Rechtsberatung. Für die verbindliche Beurteilung deines konkreten Falls sind Rechtsanwältin oder Datenschutzbeauftragte zuständig. Ich sorge für die technische Umsetzung, nicht für die rechtliche Bewertung.
1. Impressum und Datenschutzerklärung
Beides muss von jeder Seite aus erreichbar sein, üblicherweise über den Footer, ohne Umwege und ohne Login. Die Datenschutzerklärung ist kein Textbaustein aus dem Internet, sondern muss beschreiben, was auf deiner Seite tatsächlich passiert: welche Dienste eingebunden sind, welche Daten dabei anfallen und wie lange sie gespeichert werden.
TIPP
Der häufigste Fehler, den ich bei bestehenden Seiten finde: Die Datenschutzerklärung erwähnt Dienste, die gar nicht mehr eingebunden sind, und verschweigt dafür jene, die neu dazugekommen sind. Bei jeder größeren Änderung an der Website gehört sie auf den Prüfstand.
2. Der Cookie-Banner: das häufigste Missverständnis
Ein Banner, der nur informiert („Wir verwenden Cookies, OK"), reicht nicht, sobald Dienste im Spiel sind, die nicht technisch notwendig sind. Analyse- und Marketing-Werkzeuge dürfen erst laden, nachdem die Besucherin aktiv zugestimmt hat.
- Ablehnen muss genauso einfach sein wie Zustimmen. Ein gut sichtbarer „Zustimmen"-Button neben einem versteckten Textlink ist genau das, was regelmäßig beanstandet wird.
- Vorangekreuzte Kästchen zählen nicht als Einwilligung.
- Die Entscheidung muss widerrufbar sein, also braucht es einen Weg, die Einstellungen später wieder zu öffnen.
- Technisch notwendige Cookies (etwa für den Betrieb der Seite) brauchen keine Einwilligung, müssen aber erklärt werden.
Praktischer Nebeneffekt: Je weniger fremde Dienste du überhaupt einbindest, desto einfacher wird der Banner. Auf vielen Praxis-Websites lässt sich die Hälfte der Einbindungen ersatzlos streichen, ohne dass jemand etwas vermisst.
3. Schriften, Karten und Videos von fremden Servern
Wenn deine Seite Schriften, Karten oder Videos direkt von einem fremden Server nachlädt, wird bei jedem Aufruf die IP-Adresse deiner Besucher an diesen Server übertragen, bevor irgendjemand zugestimmt hat. Das ist der Punkt, an dem in den vergangenen Jahren die meisten Abmahnungen und Beschwerden angesetzt haben.
| Element | Problem | Saubere Lösung |
|---|---|---|
| Schriftarten | Verbindung zum Anbieter beim Seitenaufruf | Schriften lokal auf dem eigenen Server einbinden |
| Karte / Anfahrt | Karte lädt sofort mit und überträgt Daten | Statisches Bild oder Karte erst nach Klick laden |
| Videos | Player verbindet sich vor der Einwilligung | Vorschaubild, Video startet erst nach Zustimmung |
| Bewertungs-Widgets | Laufende Verbindung zu Drittanbietern | Bewertungen als Text zitieren oder nach Einwilligung laden |
4. Das Kontaktformular
Hier laufen bei Praxen die sensibelsten Daten zusammen. Vier Punkte, die ich immer prüfe:
- Verschlüsselte Übertragung: Die Seite muss über HTTPS laufen, erkennbar am Schloss im Browser. Ohne SSL gehört kein Formular auf eine Praxis-Website.
- Datensparsamkeit: Frage nur ab, was du wirklich brauchst. Ein Pflichtfeld „Geburtsdatum" für eine simple Terminanfrage ist schwer zu begründen.
- Klarer Hinweis beim Formular, wofür die Daten verwendet werden und wohin sie gehen, mit Link zur Datenschutzerklärung.
- Bitte keine Diagnosen ins Freitextfeld: Ein kurzer Hinweis wie „Bitte schildern Sie hier keine gesundheitlichen Details" schützt beide Seiten und ist schnell ergänzt.
WICHTIG
Prüfe außerdem, wohin die Formular-Mails tatsächlich gehen. Eine Weiterleitung auf ein privates Gratis-Postfach ist für Gesundheitsdaten die falsche Adresse. Und teste den Versand regelmäßig, denn ein stiller Ausfall fällt sonst monatelang nicht auf.
5. Auftragsverarbeitung: der vergessene Vertrag
Wer für dich Daten verarbeitet, braucht eine vertragliche Grundlage. Das betrifft in der Regel den Hosting-Anbieter, oft den Mail-Dienst, manchmal das Terminbuchungssystem und, falls jemand von außen die Website betreut, auch die Agentur.
In der Praxis heißt das: Bei seriösen Anbietern findest du den Vertrag zur Auftragsverarbeitung im Kundenbereich zum Abschließen oder Herunterladen. Abgelegt gehört er zu deiner Datenschutz-Dokumentation, nicht in den Download-Ordner. Ich stelle meinen Kundinnen und Kunden diesen Vertrag standardmäßig zur Verfügung.
Die Kurz-Checkliste
| Punkt | Erledigt, wenn |
|---|---|
| HTTPS aktiv | Schloss-Symbol im Browser, kein Warnhinweis |
| Impressum | aus dem Footer jeder Seite erreichbar |
| Datenschutzerklärung | beschreibt genau die Dienste, die aktuell laufen |
| Cookie-Banner | Ablehnen so einfach wie Zustimmen, Widerruf möglich |
| Schriften | lokal eingebunden, keine Verbindung nach außen |
| Karte / Video | laden erst nach Zustimmung |
| Formular | sparsam, mit Hinweis, Versand getestet |
| Auftragsverarbeitung | Vertrag mit Hoster und Betreuer vorhanden |
Braucht meine Praxis-Website wirklich einen Cookie-Banner?
Nur dann, wenn Dienste eingebunden sind, die nicht technisch notwendig sind, etwa Statistik-, Karten- oder Marketing-Werkzeuge. Eine schlanke Seite ohne solche Einbindungen kommt ohne Einwilligungsbanner aus. Das ist einer der Gründe, warum ich Praxis-Websites bewusst sparsam baue.
Was ist bei Gesundheitsdaten anders?
Gesundheitsdaten zählen zu den besonderen Kategorien personenbezogener Daten und sind entsprechend stärker geschützt. Für die Website bedeutet das vor allem: verschlüsselte Übertragung, sparsame Formulare, ein sicherer Mail-Weg und der klare Hinweis, dass Beschwerden nicht über das Kontaktformular geschildert werden sollen.
Reicht eine Datenschutzerklärung aus einem Generator?
Als Ausgangspunkt oft ja, als fertige Lösung selten. Ein Generator kennt deine Seite nicht. Er weiß nicht, welche Dienste tatsächlich eingebunden sind, wohin die Formular-Mails laufen und welche Systeme in der Ordination im Einsatz sind. Die Anpassung an die reale Situation ist der eigentliche Teil der Arbeit.
Wer haftet, die Praxis oder die Agentur?
Verantwortlich für die Verarbeitung ist grundsätzlich die Praxis als Betreiberin der Website. Die Agentur ist typischerweise Auftragsverarbeiterin und damit über den entsprechenden Vertrag eingebunden. Genau deshalb ist dieser Vertrag kein Papierkram, sondern regelt, wer was tun darf.
Du willst wissen, wo deine bestehende Seite steht? Schreib mir kurz. Ich prüfe die technischen Punkte dieser Checkliste an deiner Website und sage dir, was zu tun ist. Wie eine Praxis-Website darüber hinaus aufgebaut sein sollte, steht in Webdesign für Ärzte: Was eine gute Praxis-Website ausmacht.
Brauchst du Unterstützung?
Ich helfe dir gerne bei der Umsetzung, vom Website-Check bis zur fertigen SEO-Strategie.
Weitere Artikel
Arzt-Website zu langsam? Ladezeit in 7 Schritten optimieren (2026)
Eine langsame Praxis-Website verliert Patienten — und Google-Ranking. So misst du Core Web Vitals und beschleunigst deine Arzt-Website in 7 konkreten Schritten.
Website & SEOBraucht mein kleiner Betrieb in Wien wirklich eine Website?
Tischler, Kosmetikerin, Installateur — braucht dein Betrieb wirklich eine eigene Website? Wann Google Business reicht, was eine einfache Seite kostet und wann sie sich lohnt.