DSGVO für Gesundheitsberufe: der Website-Leitfaden
DSGVO und Website für Gesundheitsberufe: Datenschutzerklärung, Einwilligungen, Kontaktformular und sensible Daten. Was du wirklich brauchst, um konform zu sein.
Wenn du eine Website hast und im Gesundheitsbereich arbeitest — Psychologin, Physiotherapeut, Ärztin, Ernährungsberater — ist die DSGVO für Gesundheitsberufe kein bürokratisches Detail. Sie ist eine konkrete Pflicht, die jedes Kontaktformular betrifft, jedes Feld, in das ein Patient Angaben zu seiner Gesundheit einträgt. Sie zu ignorieren setzt dich Bußgeldern der Datenschutzaufsicht aus und untergräbt — wichtiger noch — das Vertrauen der Patienten, die dir sensible Daten anvertrauen.
In diesem Leitfaden sehen wir, was du wirklich auf der Website brauchst, ohne Vereinfachungen und ohne unnötige Panik.
Warum Gesundheitsdaten besonders geschützt sind
Die EU-Verordnung 2016/679 (DSGVO) stuft Gesundheitsdaten als „besondere Kategorien personenbezogener Daten“ ein, die stärker geschützt sind als gewöhnliche Daten. Die Aufsichtsbehörden in Europa haben eigene Leitlinien für den Gesundheitsbereich erlassen, 2024–2025 bekräftigt und aktualisiert.
Praktisch heißt das: Wenn ein Patient in dein Formular schreibt „ich leide unter Panikattacken“ oder „ich brauche Reha nach einer Knie-OP“, teilt er Gesundheitsdaten. Diese Daten brauchen eine besondere Rechtsgrundlage (in der Regel die ausdrückliche Einwilligung) und höhere Sicherheitsmaßnahmen als gewöhnliche Daten.
Das häufigste Problem auf Websites von Gesundheitsberufen ist nicht die fehlende Datenschutzerklärung — es ist, dass die vorhandene eine generische Kopie aus dem Internet ist, nicht an die Realität der Praxis angepasst. Auch das können Aufsichtsbehörden ahnden.
Was die Datenschutzerklärung enthalten muss
Eine Datenschutzerklärung ist kein Standardtext. Sie muss präzise beschreiben:
Wer der Verantwortliche ist. Name, Praxisanschrift, direkte Kontaktdaten. Hast du eine Datenschutzbeauftragte benannt, gehört sie ebenfalls hinein — für die meisten Einzelpraxen ist das aber nicht verpflichtend.
Welche Daten du erhebst und zu welchem Zweck. Das Kontaktformular erhebt Name, E-Mail, Anliegen — und das Anliegen kann Gesundheitsdaten enthalten. Der Zweck ist die Bearbeitung der Terminanfrage. Das muss ausdrücklich dastehen.
Wie lange du die Daten speicherst. Kontaktformulardaten braucht niemand für immer. Eine praktische Regel: Daten von Personen, die keine Patienten werden, innerhalb von 30–60 Tagen löschen. Patientendaten folgen den Fristen des Gesundheitsrechts.
Ob du Daten an Dritte übermittelst. Nutzt du ein E-Mail-Marketing-System? Ein CRM? Eine Terminsoftware? Jedes Werkzeug, das Patientendaten erhält, ist ein „Auftragsverarbeiter“ und gehört benannt.
Für Deutschland kommt außerdem die Impressumspflicht nach dem Digitale-Dienste-Gesetz hinzu — sie ist von der Datenschutzerklärung getrennt und ersetzt sie nicht.
Das Kontaktformular: der kritische Punkt
Am Kontaktformular scheitern die meisten Websites im Gesundheitsbereich. Das brauchst du:
Eine eigene Einwilligungs-Checkbox für Gesundheitsdaten. Die allgemeine Zustimmung zur Datenschutzerklärung reicht nicht. Bevor jemand Angaben zu seiner Gesundheit sendet, muss er eine ausdrückliche, informierte, getrennte Einwilligung geben können. Der Text muss klar sein: „Ich willige in die Verarbeitung der Gesundheitsdaten ein, die ich in dieser Nachricht angebe, zum Zweck der Bearbeitung meiner Terminanfrage.“
Keine unnötigen Pflichtfelder. Wenn du für eine Terminanfrage keine Versicherungsnummer brauchst, frag sie nicht ab. Der Grundsatz der Datenminimierung verlangt, nur zu erheben, was strikt notwendig ist.
HTTPS. Die Website darf nur über HTTPS erreichbar sein. Ein Kontaktformular über HTTP überträgt die Daten im Klartext — ein technischer Grundverstoß, den die Aufsicht als schwerwiegend einstuft.
Cookie-Banner und Einstellungen
Seit 2022 gelten in Europa strenge Leitlinien zu Cookies. Der Banner darf nicht allein den „Alle akzeptieren“-Button hervorheben: Er muss dem Nutzer die reale Möglichkeit geben, nicht notwendige Cookies genauso leicht abzulehnen wie anzunehmen.
Für Websites von Gesundheitsberufen, die Google Analytics oder Tracking-Pixel (etwa Facebook Ads) nutzen, ist die Pflicht zur vorherigen Einwilligung noch strenger — Verhaltens-Tracking auf einer Gesundheits-Website gilt als sensibel.
Die praktische Lösung: eine zertifizierte Consent-Management-Plattform (CMP) nutzen. Iubenda, Cookiebot, Usercentrics: Es gibt Lösungen zu überschaubaren Monatskosten, die einen konformen Banner automatisch verwalten.
Was ich oft sehe: ein kostenloses WordPress-Cookie-Plugin installieren, das einen Banner zeigt, aber keine Einwilligungen protokolliert und nicht zwischen technischen und Profiling-Cookies unterscheidet. Für einen flüchtigen Blick reicht das — eine Prüfung übersteht es nicht.
Was Konformität kostet (und was passiert, wenn du es lässt)
Die Website einer Gesundheitsfachkraft DSGVO-konform zu machen erfordert: eine individuelle Datenschutzerklärung, einen korrekten Cookie-Hinweis, eine CMP für die Einwilligungen und ein Kontaktformular mit ausdrücklicher Einwilligung für Gesundheitsdaten. Das sind keine riesigen Arbeiten — es sind Arbeiten, die einmal richtig gemacht gehören.
Es zu lassen kostet mehr. Die Aufsichtsbehörden können Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen. Bei Einzelpraxen fallen sie verhältnismäßig aus, aber auch 5.000–15.000 Euro für einen mittelschweren Verstoß sind eine Summe, die wehtut.
Der Mehrwert ist auch kommunikativ: Eine Website, die Daten transparent behandelt, wirkt professionell. Für Patienten, die gleich Heikles über ihre Gesundheit teilen, ist das Wissen, dass die Fachkraft Datenschutz ernst nimmt, ein Vertrauenssignal.
FAQ
Muss ich als einzelne Gesundheitsfachkraft eine Datenschutzbeauftragte benennen? In der Regel nicht. Die Pflicht greift bei Einrichtungen, die Daten in großem Umfang verarbeiten; in Deutschland zusätzlich abhängig von der Zahl der Personen, die ständig mit der Verarbeitung befasst sind. Trotzdem ist es gute Praxis, jemanden für Datenschutzfragen zu haben — auch extern.
Reicht eine aus dem Internet heruntergeladene Datenschutzerklärung? Nein. Aufsichtsbehörden haben Websites mit generischen, nicht an die tatsächliche Verarbeitung angepassten Erklärungen abgemahnt. Die Erklärung muss die Daten beschreiben, die deine Website erhebt, die konkreten Zwecke, die realen Speicherfristen und etwaige Auftragsverarbeiter. Eine universell gültige Vorlage gibt es nicht.
Muss ich jedes Mal um Einwilligung bitten, wenn ein Patient schreibt? Die Einwilligung für Gesundheitsdaten wird beim ersten Kontakt über eine ausdrückliche Checkbox eingeholt. Sie muss nicht bei jeder weiteren Nachricht innerhalb desselben Behandlungsverhältnisses wiederholt werden. Zu erneuern ist sie, wenn sich der Zweck ändert oder eine lange Zeit ohne Kontakt vergeht.
Ist Google Analytics auf einer Gesundheits-Website DSGVO-konform? Mit korrekter vorheriger Einwilligung ja. Ohne Einwilligung nein. Am sichersten ist Google Analytics 4 mit IP-Anonymisierung, aktiviert erst nach ausdrücklicher Einwilligung über den Cookie-Banner — oder datenschutzfreundliche Alternativen wie Plausible oder Fathom.
Alle Websites für Gesundheitsberufe, die ich baue, enthalten eine individuelle Datenschutzerklärung, einen konformen Cookie-Hinweis und ein Kontaktformular mit korrekten DSGVO-Einwilligungen — nicht als Extra, sondern als Standard im Paket. Wenn du klären willst, was in deinem Fall nötig ist, buche ein kostenloses Gespräch.