Datenschutzerklärung der Arztpraxis: Was auf die Website gehört – und was Patienten unterschreiben müssen.

Eine Arztpraxis hat mit Datenschutz-Informationen an zwei Stellen zu tun. Die Datenschutzerklärung der Website richtet sich an alle, die die Website besuchen. Die Patienteninformation zum Datenschutz richtet sich an Patientinnen und Patienten und erklärt, was mit ihren Behandlungsdaten geschieht. Beide beruhen auf Art. 13 DSGVO, beide sind Pflicht – aber sie beschreiben völlig verschiedene Vorgänge. Wer eine Vorlage für das eine nimmt und sie für das andere verwendet, hat am Ende zwei fehlerhafte Dokumente.

Was jede Datenschutzinformation enthalten muss

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) fasst die Pflichtinhalte nach Art. 13 DSGVO für Heilberufe so zusammen: wer verantwortlich ist, wie ein Datenschutzbeauftragter erreichbar ist (falls die Praxis einen hat), zu welchen Zwecken Daten verarbeitet werden, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte die Betroffenen haben – einschließlich des Rechts, sich bei einer Aufsichtsbehörde zu beschweren.

Die Datenschutzerklärung der Website

Sie muss beschreiben, was die Website tatsächlich tut – nicht, was eine Vorlage für möglich hält. Typische Abschnitte für eine Praxis-Website:

• Hosting und Server-Logfiles. Jeder Aufruf der Seite erzeugt technische Daten beim Hoster. Mit dem Hoster wird ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.
• Kontaktformular. Welche Felder es gibt, wozu die Angaben dienen, wie lange sie gespeichert werden. Unser Rat: Fragen Sie im Formular keine Gesundheitsdaten ab. Name, Kontakt und Anliegen genügen – alles Medizinische gehört ins Gespräch.
• Cookies und Statistik. Nur technisch notwendige Cookies kommen ohne Einwilligung aus. Analyse- und Marketing-Werkzeuge brauchen eine vorherige Einwilligung über ein Cookie-Banner.
• Externe Dienste. Jede Einbindung von außen – Schriften, Karten, Videos, Buchungs-Widgets – überträgt beim Laden Daten, mindestens die IP-Adresse, an den Anbieter.
• Online-Terminbuchung, falls vorhanden. Die Datenschutzkonferenz hat im Juni 2025 klargestellt, dass ein externer Terminanbieter als Auftragsverarbeiter tätig sein kann und dann nur die für den Termin nötigen Daten verarbeiten darf: Name, Geburtsdatum, behandelnde Ärztin oder behandelnder Arzt, Art des Termins und eine Kontaktmöglichkeit.

Der teuerste Klassiker: Google Fonts

Das Landgericht München I hat am 20. Januar 2022 (Az. 3 O 17493/20) einen Websitebetreiber zu 100 Euro Schadensersatz verurteilt, weil seine Seite Schriften direkt von Google-Servern lud und dabei die IP-Adresse eines Besuchers ohne Einwilligung an Google übertrug. Danach rollte eine Welle von Forderungsschreiben durchs Land; die IHK Bergisches Land hielt sie für auffällig systematisch und vermutete Rechtsmissbrauch. Die Lösung ist trotzdem simpel: Schriften lokal auf dem eigenen Server einbinden. Dann fließt nichts ab, und der Absatz in der Datenschutzerklärung entfällt.

Die Patienteninformation in der Praxis

Hier geht es um die Behandlungsdaten. Das ULD stellt zwei Dinge klar, die in vielen Praxen anders gehandhabt werden:

• Patienten müssen nicht unterschreiben. Wörtlich: „Es ist nicht erforderlich, dass die Patienten mit ihrer Unterschrift quittieren, dass sie die Informationen erhalten haben.“ Ein Aushang oder ein Informationsblatt genügt.
• Für die Behandlung selbst braucht es keine Einwilligung. Die Daten, die zur Begründung, Durchführung und Beendigung des Behandlungsvertrags notwendig sind, dürfen verarbeitet werden. Eine schriftliche Einwilligung braucht es erst für Zusatzleistungen – das ULD nennt als Beispiel ein Recall-System, das Patienten an Termine erinnert.

Wer Patienten dennoch ein Formular zur Unterschrift vorlegt, sollte genau trennen: Information (keine Unterschrift nötig) und Einwilligung für Zusatzleistungen (Unterschrift sinnvoll).

Drei Fragen, bevor Sie eine Vorlage verwenden

1. Stimmt jeder Abschnitt mit der Website überein? Ein Absatz über Google Analytics, obwohl die Seite gar keine Statistik nutzt, ist genauso falsch wie ein fehlender Absatz über ein Buchungs-Widget.
2. Gibt es Verträge zur Auftragsverarbeitung mit Hoster, Terminanbieter und allen anderen Dienstleistern?
3. Wer aktualisiert das Dokument, wenn ein neues Werkzeug dazukommt? Die Datenschutzerklärung ist kein einmaliger Text, sondern eine Beschreibung des aktuellen Zustands.

Dieser Beitrag ist eine Orientierung und keine Rechtsberatung. Bei konkreten Fragen helfen Ihre Ärztekammer oder die Datenschutzaufsicht Ihres Bundeslandes.

Wie FIB Consulting vorgeht

Wir bauen Praxis-Websites mit möglichst wenigen Drittanbietern: Schriften lokal, kein Tracking ohne Einwilligung, Formulare ohne Gesundheitsdaten. Je weniger die Website nach außen überträgt, desto kürzer und ehrlicher wird die Datenschutzerklärung. Mehr zu unseren Websites und IT-Lösungen für Ärzte – oder nehmen Sie Kontakt auf.

Quellen

Art. 13 und Art. 28 DSGVO · Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Datenschutz in Heilberufspraxen · LG München I, Urteil vom 20. Januar 2022, Az. 3 O 17493/20 (nach IHK Bergisches Land) · Datenschutzkonferenz, Positionspapier zu Terminverwaltungsunternehmen, Beschluss vom 16. Juni 2025.