Praxis-Website und DSGVO: was für Heilberufe zusätzlich gilt

Die kurze Antwort: Eine Praxis-Website unterliegt denselben Regeln wie jede andere Firmenseite, plus drei Besonderheiten. Ins Impressum gehören Kammer, Berufsbezeichnung und Berufsordnung. Sobald ein Patient auf der Seite etwas über seinen Zustand eingeben kann, verarbeitest du Gesundheitsdaten, und die stehen unter besonderem Schutz. Und was über die Leistungen der Praxis geschrieben wird, ist zusätzlich Berufsrecht.

Drei Regelwerke

Drei Regelwerke, nicht eins

Der häufigste Denkfehler ist, die Praxis-Website als reines Datenschutz-Thema zu behandeln. Tatsächlich greifen drei Ebenen gleichzeitig ineinander.

Das Digitale-Dienste-Gesetz (DDG) regelt, wer du bist: die Pflichtangaben im Impressum. Die DSGVO regelt, was mit den Daten deiner Besucher passiert. Das Berufsrecht deiner Landeskammer und das Heilmittelwerbegesetz regeln, wie du über deine Leistungen sprechen darfst. Die dritte Ebene fehlt in allgemeinen Website-Checklisten, auch in meiner eigenen für normale Firmen-Websites. Für Heilberufe ist sie oft die heikelste.

Impressum

Was zusätzlich ins Impressum gehört

Die Grundangaben nach § 5 DDG kennst du: Name, Anschrift, Kontakt, gegebenenfalls Registereintrag und Umsatzsteuer-Identifikationsnummer. Für reglementierte Berufe verlangt § 5 Absatz 1 Nummer 5 DDG zusätzlich drei Angaben:

• Die Kammer, der du angehörst.
• Die gesetzliche Berufsbezeichnung und den Staat, in dem sie verliehen wurde.
• Die Bezeichnung der berufsrechtlichen Regelungen und die Angabe, wie sie zugänglich sind.

Der letzte Punkt wird gern verkürzt. Das Gesetz verlangt nicht nur die Bezeichnung der Regelungen, sondern ausdrücklich auch die Angabe, wie sie zugänglich sind. „Berufsordnung der Landesärztekammer“ allein ist also die halbe Angabe, der Link auf die Berufsordnung deiner Kammer die andere Hälfte. Zwei Minuten Arbeit, und trotzdem die Zeile, die ich beim Draufschauen am häufigsten vermisse.

Alle Angaben müssen leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Der Link gehört deshalb in die Fußzeile jeder Seite und nicht nur auf die Startseite.

Gesundheitsdaten

Der eigentliche Knackpunkt: Gesundheitsdaten

Hier unterscheidet sich die Praxis-Website wirklich von der Website eines Handwerksbetriebs. Daten über die Gesundheit einer Person sind nach Artikel 9 DSGVO eine besondere Kategorie personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter engeren Voraussetzungen erlaubt als bei normalen Kontaktdaten.

Und jetzt der Punkt, den man beim Bauen übersieht: Es braucht keine Patientenakte, um in diesen Bereich zu geraten. Es reicht ein Formularfeld. Wer schreibt „Ich hätte gern einen Termin wegen anhaltender Rückenschmerzen“, hat gerade ein Gesundheitsdatum in ein Kontaktformular getippt. Dasselbe gilt für ein Rückruffeld mit der Zeile „Worum geht es?“ und für jede Terminart, die nach Beschwerdebild sortiert ist.

Für die Website heißt das praktisch:

• Frag nur, was du für die Terminvergabe brauchst. Ein Freitextfeld mit der Aufforderung, die Beschwerden zu schildern, holt genau die Daten ins Haus, die du am wenigsten haben willst.
• Beschrifte das Feld ehrlich. Ein Hinweis, dass hier keine Angaben zur Erkrankung nötig sind, senkt die Datenmenge wirksamer als jede Technik.
• Der Transportweg zählt. Verschlüsselte Verbindung ist Mindeststandard, und die Formularnachricht sollte nicht unverschlüsselt in einem privaten Postfach landen.
• Sag in der Datenschutzerklärung konkret, was mit einer Terminanfrage passiert, wer sie liest und wie lange sie liegen bleibt. Textbausteine aus dem Generator beschreiben in der Regel eine normale Firmen-Website.

Terminbuchung

Terminbuchung: der Vertrag, den viele vergessen

Buchungssysteme laufen fast immer bei einem externen Anbieter. Damit verarbeitet dieser Anbieter Daten in deinem Auftrag, und dafür verlangt Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Die Verantwortung bleibt bei der Praxis, auch wenn die Technik jemand anderem gehört.

Der zweite, technische Teil wird noch häufiger übersehen: Wird das Buchungs-Widget direkt in die Seite eingebettet, baut der Browser des Besuchers schon beim Aufruf der Seite eine Verbindung zum Anbieter auf, bevor irgendjemand auf „Termin buchen“ geklickt hat. Sauberer ist es, die Einbettung erst nach einem bewussten Klick zu laden. Das ist kein Datenschutz-Trick, das macht die Seite nebenbei schneller.

Welche Systeme es gibt, was sie kosten und wo die Grenze zwischen Anfrage und echter Direktbuchung verläuft, habe ich im Beitrag über Online-Terminbuchung für Arztpraxen aufgeschrieben, samt meines Einwands, dass die Plattform dir nicht gehört.

Fremde Server

Alles, was von fremden Servern nachlädt

Schriften, Karten, Videos, Bewertungs-Widgets, Chat-Fenster: Jedes dieser Elemente holt beim Seitenaufruf etwas von einem fremden Server und überträgt dabei mindestens die IP-Adresse des Besuchers. Bei einer Praxis-Website ist das heikler als anderswo, weil schon der Besuch einer Seite wie „Kinderwunschbehandlung“ eine Aussage über die Person enthält.

Dazu kommt § 25 TDDDG: Wer Informationen auf dem Endgerät des Besuchers speichert oder darauf zugreift, braucht dafür eine Einwilligung, sofern es nicht technisch unbedingt erforderlich ist. Genau daraus entsteht der Cookie-Banner-Zwang, den niemand will.

Der bequemste Ausweg ist, die Ursache zu beseitigen: Schriften selbst hosten statt vom fremden Netzwerk laden, Karten und Videos erst nach Klick, Statistik nur, wenn sie wirklich gebraucht wird. Wie das Selbst-Hosten von Schriften konkret geht, steht hier. Eine Praxis-Website, die nichts nachlädt, braucht auch kein Banner.

Berufsrecht

Was auf der Seite stehen darf

Die dritte Ebene hat mit Datenschutz nichts zu tun und wird trotzdem im selben Atemzug relevant. Nach § 27 der Musterberufsordnung für Ärztinnen und Ärzte ist sachangemessene Information über die berufliche Tätigkeit erlaubt. Berufswidrig ist Werbung, die anpreisend, irreführend oder vergleichend ist. Maßgeblich ist dabei nicht die Musterberufsordnung selbst, sondern die Berufsordnung der Landeskammer, in der du tätig bist. Andere Heilberufe haben eigene Regelwerke mit ähnlicher Stoßrichtung.

Dazu kommt das Heilmittelwerbegesetz. Ein Beispiel mit klarer Kante: Für operative plastisch-chirurgische Eingriffe verbietet § 11 Absatz 1 Satz 3 Nummer 1 HWG die Werbung mit vergleichenden Darstellungen des Aussehens vor und nach dem Eingriff. Wer eine solche Praxis-Website plant, sollte das wissen, bevor die Bildstrecke gebaut ist und wieder rausfliegt.

Für die Gestaltung bedeutet das weniger, als viele befürchten. Sachlich formulierte Leistungsbeschreibungen, Fotos aus der Praxis, Vorstellung des Teams, Öffnungszeiten und Anfahrt sind unproblematisch. Was auffällt, sind Superlative und Vergleiche: „die modernste Praxis der Region“ ist eine Formulierung, die man sich sparen kann, weil sie ohnehin niemandem etwas sagt.

Fürs Bauen

Was das fürs Bauen heißt

Meine Position dazu ist unspektakulär: Der beste Datenschutz auf einer Praxis-Website ist die Technik, die gar nicht erst drin ist. Keine eingebundenen Schriften von fremden Servern, keine Karte, die beim Laden schon Daten schickt, kein Analytics-Paket, das die Praxis nie auswertet. Was nicht da ist, muss weder erklärt noch abgesichert werden, und es gibt keinen Banner.

Die ehrliche Gegenrechnung: Eine Praxis, die tatsächlich Kampagnen fährt und den Erfolg messen will, braucht Messung. Dann gehört das sauber aufgesetzt und in die Datenschutzerklärung geschrieben. Die meisten Praxen, mit denen ich rede, wollen aber nur, dass Menschen die Öffnungszeiten finden und einen Termin bekommen. Dafür braucht es kein Tracking.

Wie eine Praxis-Website darüber hinaus aussehen und funktionieren sollte, welche Inhalte Patienten wirklich suchen und wie man Vertrauen ohne Klinik-Klischee aufbaut, steht im Beitrag über Webdesign für Ärzte.

Fazit

Die Pflichttexte sind der einfache Teil: Impressum ergänzen, Datenschutzerklärung an die eigene Seite anpassen, fertig. Der Aufwand steckt in den Funktionen. Jedes Formularfeld, jede Einbettung und jedes Widget ist eine Entscheidung darüber, welche Daten überhaupt entstehen. Diese Entscheidungen trifft man am besten beim Bauen und nicht hinterher.

Wenn du eine Praxis-Website planst und wissen willst, wie ich das umsetze: Hier steht, wie ich arbeite.