DSGVO-Checkliste für die Praxis-Website: die 6 Punkte, die wirklich zählen

Die meisten Datenschutz-Probleme auf Praxis-Websites entstehen an immer denselben Stellen. Gute Nachricht: Alle sechs lassen sich prüfen und beheben, ohne dass Sie Jurist werden müssen. Hier ist die Checkliste im Überblick, danach jeder Punkt im Detail.

Ist meine Praxis-Website ohne SSL-Verschlüsselung ein Problem?

Ja, eine Website ohne SSL (erkennbar am fehlenden Schloss-Symbol und an „http" statt „https") verstößt gegen die DSGVO-Pflicht zur sicheren Datenübertragung, sobald auch nur ein Kontaktformular existiert. Artikel 32 DSGVO verlangt angemessene technische Schutzmaßnahmen, und Verschlüsselung ist hier der Mindeststandard.

Der Selbsttest dauert zehn Sekunden: Rufen Sie Ihre Seite bewusst mit http:// auf. Landet der Browser automatisch auf der https://-Version, ist die Weiterleitung korrekt eingerichtet. Wenn nicht, sollte Ihr Webdesigner oder Hoster das zeitnah beheben. Moderne Browser markieren unverschlüsselte Seiten zudem sichtbar als „nicht sicher", was auch Patienten abschreckt.

Muss die Datenschutzerklärung zu meiner echten Technik passen?

Ja, und genau hier liegt der häufigste Fehler: Eine aus einem Generator kopierte Datenschutzerklärung, die nicht beschreibt, was die Website tatsächlich tut, schützt Sie nicht. Sie muss jedes real eingesetzte Werkzeug nennen: Hoster, Kontaktformular, Terminbuchung, Statistik-Tools, eingebettete Karten oder Videos.

Umgekehrt gilt: Steht dort ein Tool, das Sie gar nicht nutzen, wirkt das Dokument ungepflegt und angreifbar. Prüfen Sie deshalb bei jeder technischen Änderung an der Website, ob die Datenschutzerklärung noch stimmt. Für die finale Formulierung empfehle ich einen aktuellen Kanzleitext oder eine juristische Prüfung, das ist keine Stelle zum Improvisieren.

Was muss ich beim Kontaktformular beachten?

Drei Dinge: verschlüsselte Übertragung, eine informierte Einwilligung und so wenige Pflichtfelder wie möglich. Vor dem Absenden sollten Besucher aktiv bestätigen, dass sie die Datenschutzerklärung zur Kenntnis genommen haben, mit direktem Link dorthin.

Besonders wichtig in der Praxis: Gesundheitsdaten sind nach Artikel 9 DSGVO besonders geschützt. Ein Freitextfeld „Beschreiben Sie Ihre Beschwerden" lädt Patienten ein, sensible Daten über ein einfaches Webformular zu schicken. Besser: Das Formular auf Name, Kontaktdaten und Terminwunsch beschränken und medizinische Details dem Telefonat oder Gespräch vorbehalten. Klären Sie außerdem, wo die Formular-Mails landen: idealerweise auf einem Postfach bei einem europäischen Anbieter.

Warum sind Google Maps, YouTube und Google Fonts die klassischen Fallen?

Weil diese Einbettungen beim bloßen Laden der Seite die IP-Adresse jedes Besuchers an US-Server übertragen, ohne dass jemand eingewilligt hat. Das Landgericht München I hat mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) entschieden, dass dynamisch eingebundene Google Fonts ohne Einwilligung gegen die DSGVO verstoßen. Genau solche Fälle waren die Grundlage vieler Abmahnwellen.

Die Lösungen sind zum Glück unkompliziert:

• Schriftarten: lokal auf dem eigenen Server speichern statt von Google laden
• Karten: statisches Bild mit Link zur Route, oder Karte erst nach Klick und Einwilligung laden
• Videos: Zwei-Klick-Lösung, das Video startet erst nach aktiver Zustimmung

Ob Ihre Seite betroffen ist, sieht ein Fachmann im Quellcode innerhalb weniger Minuten.

Brauche ich EU-Hosting für meine Praxis-Website?

EU-Hosting ist nicht in jedem Fall zwingend, macht Ihr Leben aber deutlich einfacher: Liegt die Website auf Servern in der EU, entfällt die komplizierte Frage der Drittlandübermittlung für den Kernbestand Ihrer Seite. Gerade im Gesundheitskontext ist das auch ein Vertrauenssignal an Patienten.

Ich habe mich bei Studio Ameziane deshalb festgelegt: Arzt-Websites, die ich betreue, laufen auf EU-Hosting. So auch der-schlafdoktor.de, die Praxis-Website eines Palliativmediziners und Anästhesisten, bei der Datenschutz und Sichtbarkeit von Anfang an zusammen gedacht wurden. Wenn Sie unsicher sind, wo Ihre Seite liegt: Ihr Hoster steht in der Rechnung, der Serverstandort in dessen Vertragsunterlagen.

Was ist ein AV-Vertrag und mit wem brauche ich ihn?

Ein Auftragsverarbeitungsvertrag (AVV) ist die schriftliche Vereinbarung mit jedem Dienstleister, der personenbezogene Daten für Sie verarbeitet, und er ist Pflicht nach Artikel 28 DSGVO. Für die Praxis-Website betrifft das typischerweise: Hoster, E-Mail-Anbieter, Terminbuchungs-Tool, Newsletter-Dienst und Statistik-Software.

Der Aufwand ist überschaubar: Seriöse Anbieter halten diese Verträge standardisiert bereit, oft genügt ein Klick im Kundenkonto. Entscheidend ist, dass die AVVs tatsächlich abgeschlossen und auffindbar abgelegt sind. Eine einfache Liste (Anbieter, Datum, Ablageort) reicht als Ordnung völlig aus.

Wie bekomme ich das alles geprüft, ohne mich selbst einzuarbeiten?

Am einfachsten, indem jemand mit technischem Blick Ihre Website einmal systematisch gegen diese sechs Punkte prüft und Ihnen sagt, was konkret zu tun ist. Zwei Hinweise zur Einordnung: Diese Checkliste ist Orientierung, keine Rechtsberatung, im Zweifel gehört die finale Freigabe zu einem Anwalt. Und neben der DSGVO gelten für Praxis-Websites auch Impressumspflicht und Heilmittelwerbegesetz, etwa bei Patientenstimmen und Werbeaussagen; beides behandelt der Ratgeber zu den Pflichtangaben für Arzt-Websites.

Bei Studio Ameziane baue und betreue ich Praxis-Websites so, dass Technik und Datenschutzerklärung zusammenpassen, mit EU-Hosting und einer festen Ansprechperson, die Ihre Website wirklich kennt. In der laufenden Betreuung, als Sichtbarkeits-Betreuung ab 590 € im Monat oder als Praxis-Partnerschaft zum individuellen Angebot, halte ich genau diese Punkte dauerhaft aktuell. Wenn Sie wissen möchten, wo Ihre Website heute steht: Schicken Sie mir über mein Formular kurz den Link zu Ihrer Website, ich schaue kostenlos und unverbindlich drauf. Sie erfahren konkret, welche der sechs Punkte bei Ihnen schon passen und welche Priorität haben.