Praxiswebsite und Datenschutz: so wird sie abmahnsicher
Google Fonts, Karten, Terminbuchung, Formulare: die typischen Fehler und wie wir sie beim Bau vermeiden. Ohne Panik, ohne Cookie-Banner-Wildwuchs.
Darstellung einer Datenschutz-Prüfliste für eine Praxiswebsite mit erfüllten Punkten.
Warum Datenschutz bei Praxiswebsites kein Papierthema ist
Eine Zahnarztpraxis verarbeitet Gesundheitsdaten, also die sensibelste Datenkategorie, die die Datenschutzgrundverordnung kennt. Das gilt auch für die Website, sobald ein Patient dort einen Termin anfragt, einen Anamnesebogen ausfüllt oder auch nur die Seite zur Angstbehandlung aufruft. Diese Seite erklärt, wo die tatsächlichen Risiken liegen, welche Abmahnwellen es gegeben hat und wie wir Websites bauen, damit Sie ruhig schlafen können.
Wir sind keine Anwälte und ersetzen keine Rechtsberatung. Wir bauen seit vielen Jahren Websites und haben gesehen, welche technischen Fehler zu Ärger führen. Die gute Nachricht: Fast alle lassen sich beim Bau vermeiden, ohne dass die Website dadurch schlechter wird. Meist wird sie sogar schneller.
Sechs Stellen, an denen Praxiswebsites Daten verlieren
Die meisten Praxisinhaber wissen nicht, welche Dienste ihre Website im Hintergrund lädt. Das ist kein Vorwurf, die alte Agentur hat es oft auch nicht gewusst.
- Google Fonts
Schriften, die vom Google-Server geladen werden, übertragen bei jedem Seitenaufruf die IP-Adresse des Besuchers in die USA. Ab 2022 gab es dazu eine Abmahnwelle mit zehntausenden Schreiben. Die Lösung ist simpel: Schriften auf dem eigenen Server ablegen.
- Eingebettete Karten
Google Maps im Iframe lädt beim Aufruf Daten von Google, ohne dass der Besucher gefragt wurde. Eine statische Karte oder ein Link, der erst auf Klick öffnet, löst das.
- Terminbuchung im Iframe
Doctolib, Dr. Flex und andere Systeme lassen sich direkt einbetten. Dann lädt Ihre Website beim Aufruf Code vom Anbieter. Ohne vorherige Einwilligung ist das heikel, mit einem Klick-Vorschalter nicht.
- Tracking ohne Einwilligung
Google Analytics, Facebook-Pixel, Hotjar oder ein Chat-Widget, das schon lädt, bevor jemand zugestimmt hat. Viele Cookie-Banner blocken das nicht wirklich, sondern zeigen nur einen Hinweis.
- Formulare ohne Verschlüsselung
Ein Anfrageformular, das Daten unverschlüsselt an eine E-Mail-Adresse schickt, oder eine Website ohne HTTPS. Bei Gesundheitsdaten ist das nicht nur ein Datenschutzproblem, sondern schlicht fahrlässig.
- Videos und Social-Media-Einbettungen
YouTube-Videos, Instagram-Feeds oder Bewertungswidgets laden Skripte von Drittanbietern. Jede dieser Einbettungen braucht entweder eine Einwilligung oder eine datensparsame Alternative.
Was eine abmahnsichere Praxiswebsite technisch ausmacht
Abmahnsicher heißt bei uns: Wir halten die geltenden Standards ein und lassen nichts auf der Website, was ohne Einwilligung Daten an Dritte schickt. Eine Garantie, dass niemand jemals eine Abmahnung verschickt, kann niemand geben, weil Abmahner auch unberechtigt abmahnen. Aber wir sorgen dafür, dass so ein Schreiben ins Leere läuft.
Technik
- Schriften, Skripte und Bilder ausschließlich vom eigenen Server
- Hosting in Deutschland mit Vertrag zur Auftragsverarbeitung
- HTTPS mit aktueller Verschlüsselung auf allen Seiten
- Kein Tracking, kein Cookie-Banner, keine Drittanbieter-Skripte im Standard
- Formulare mit Verschlüsselung, Spamschutz ohne externe Dienste und ohne unnötige Speicherung
Inhalte und Einbindungen
- Terminbuchung per Button oder mit Klick-Vorschalter statt direkter Einbettung
- Anfahrt als statische Karte oder Link zu Google Maps
- Videos erst nach Klick, mit Hinweis auf den Anbieter
- Datenschutzerklärung, die zur tatsächlichen Technik passt, nicht zu einem Generator-Standard
- Impressum mit allen Pflichtangaben für Zahnärzte, inklusive Kammer, Aufsicht und Berufsbezeichnung
Wenn Sie Tracking wünschen, etwa um zu sehen, welche Seiten Patienten lesen, bauen wir es mit einem Banner ein, der die Skripte tatsächlich erst nach Zustimmung lädt. Wir sagen Ihnen aber auch, dass die meisten Praxen die Daten nie auswerten und der Banner mehr Patienten stört als er nützt. Eine Auswertung über die Google Search Console kommt ohne Cookies aus und reicht in der Regel.
Was ins Impressum einer Zahnarztpraxis gehört
Zahnärzte haben als Angehörige eines reglementierten Berufs mehr Pflichtangaben als ein Onlineshop. Fehlt etwas, ist das ein beliebter Abmahngrund, weil es sich ohne Aufwand prüfen lässt. Wir fragen die Angaben strukturiert ab und legen das Impressum an, die inhaltliche Richtigkeit bestätigen Sie.
Für die Datenschutzerklärung gilt dasselbe Prinzip. Wir beschreiben genau die Verarbeitungen, die Ihre Website tatsächlich durchführt. Ein Generator-Text, der vorsorglich zwanzig Dienste auflistet, die gar nicht eingebunden sind, ist nicht besser, sondern schlechter, weil er Verarbeitungen behauptet, die nicht stattfinden.
Typische Pflichtangaben
- Name, Praxisanschrift, Kontaktdaten
- Gesetzliche Berufsbezeichnung und Staat der Verleihung
- Zuständige Zahnärztekammer und Kassenzahnärztliche Vereinigung
- Berufsrechtliche Regelungen mit Fundstelle
- Umsatzsteuer-Identifikationsnummer, falls vorhanden
- Verantwortliche Person für den Inhalt
- Bei MVZ und Gesellschaften: Rechtsform, Register, Vertretung
Online-Anamnese, Rezeptanfrage, Rückruf: wann es besonders ernst wird
Ein Kontaktformular mit Name und E-Mail ist Alltag. Ein Anamnesebogen mit Vorerkrankungen, Medikamenten und Allergien ist etwas anderes. Hier greift Artikel 9 der Datenschutzgrundverordnung, der für Gesundheitsdaten eine ausdrückliche Einwilligung oder eine andere klare Rechtsgrundlage verlangt.
Praktisch heißt das: Solche Formulare gehören nicht in ein einfaches Kontaktformular, das per E-Mail an die Praxis geht. Sie brauchen Verschlüsselung auf dem Transportweg und bei der Ablage, eine Einwilligung, die der Patient aktiv erteilt, eine klare Information, wer die Daten liest und wie lange sie gespeichert werden, und einen Weg, die Daten zu löschen. Spezialisierte Anbieter für digitale Anamnese haben das gelöst, und die Website bindet sie an, statt es selbst zu erfinden.
Wie Terminlösungen und Praxissoftware sauber eingebunden werden, beschreiben wir unter Online-Terminbuchung für Praxen. Wer ohnehin eine neue Website plant, sollte Datenschutz und Barrierefreiheit gemeinsam angehen, beide betreffen dieselben Bausteine: Formulare, Einbettungen, Struktur.
Sie wissen nicht, welche Dienste Ihre aktuelle Website lädt? Schicken Sie uns die Adresse. Wir prüfen Schriften, Einbettungen, Tracking und Formulare und sagen Ihnen in verständlicher Sprache, wo es hakt.
Website auf Datenschutz prüfen lassenNachbessern oder neu bauen
Bei einer bestehenden Website lassen sich manche Punkte nachbessern: Schriften lokal einbinden, die Karte gegen einen Link tauschen, den Banner reparieren. Ob sich das lohnt, hängt vom Alter und vom System ab. Eine Website auf einem WordPress ohne Updates seit 2019 hat meist mehr Baustellen als nur den Datenschutz, und dann ist ein Neuaufbau der Praxiswebsite der ehrlichere Weg. Wir sagen Ihnen nach der Prüfung, welcher Weg günstiger ist, auch wenn es die Nachbesserung ist.
Was eine neue Website kostet, steht offen unter Kosten einer Praxiswebsite. Und wie Sie mit dem Heilmittelwerbegesetz umgehen, das neben dem Datenschutz die zweite rechtliche Baustelle für Praxiswebsites ist, erklären wir unter Heilmittelwerbegesetz und Praxiswebsite.
Häufige Fragen zum Datenschutz
Brauchen wir auf der Praxiswebsite einen Cookie-Banner?
Nur wenn die Website Cookies oder ähnliche Techniken einsetzt, die nicht technisch notwendig sind, etwa Google Analytics, Facebook-Pixel oder eingebettete YouTube-Videos. Eine Website ohne Tracking, mit lokal geladenen Schriften und einem Terminbutton statt eines eingebetteten Widgets kommt ohne Banner aus. Das ist für Patienten angenehmer und für Sie sicherer, weil ein fehlerhaft gebauter Banner selbst ein Abmahngrund sein kann.
Ist Doctolib auf der Website ein Datenschutzproblem?
Nicht Doctolib an sich, sondern die Art der Einbindung. Ein Link oder Button, der Patienten zu Doctolib führt, überträgt beim Aufruf Ihrer Website keine Daten an Doctolib. Ein direkt eingebettetes Buchungsfenster lädt beim Seitenaufruf Inhalte vom Doctolib-Server und braucht dafür eine Einwilligung. Wir bauen die Einbettung so, dass sie erst nach einem Klick des Patienten lädt.
Was ist mit Google Maps für die Anfahrt?
Eine eingebettete Karte lädt beim Seitenaufruf Daten von Google, inklusive IP-Adresse des Besuchers. Ohne Einwilligung ist das problematisch. Die saubere Lösung ist eine statische Abbildung der Umgebung oder ein Link zu Google Maps, der sich erst auf Klick öffnet. Beides erfüllt den Zweck, Patienten den Weg zu zeigen.
Müssen wir die Datenschutzerklärung anwaltlich prüfen lassen?
Wir erstellen die Datenschutzerklärung passend zur Technik der Website, also zu genau den Diensten, die tatsächlich eingebunden sind. Rechtsberatung dürfen und wollen wir nicht leisten. Eine Prüfung durch einen Anwalt oder Ihren Datenschutzbeauftragten ist deshalb sinnvoll, vor allem wenn Ihre Praxis besondere Verfahren wie Online-Anamnese oder Videosprechstunde nutzt.
Was passiert bei einer Abmahnung wegen der Website?
Ruhe bewahren, Fristen notieren, nichts unterschreiben und den Anwalt einschalten. Viele Abmahnungen der letzten Jahre, etwa wegen Google Fonts, waren rechtlich angreifbar. Parallel prüfen wir die Website technisch und beheben die Ursache, damit die Sache nicht wiederholt vorkommt.
Brauchen Zahnärzte einen Datenschutzbeauftragten?
Das hängt von der Zahl der Personen ab, die regelmäßig mit personenbezogenen Daten arbeiten, und von der Art der Verarbeitung. Für die Website allein ist meist keiner nötig, für die Praxis insgesamt kann es anders aussehen. Das klärt am besten Ihre Zahnärztekammer oder ein Anwalt, nicht Ihre Webagentur.
Eine Website, die keine Angriffsfläche bietet
Schicken Sie uns die Adresse Ihrer Website oder beschreiben Sie Ihr Vorhaben. Sie bekommen eine ehrliche Einschätzung, was nachgebessert werden muss und was sauber ist.
Jetzt Website prüfen lassenUnverbindlich und ohne Vorabkosten. Sie erhalten eine persönliche Rückmeldung.