DSGVO-konforme Website für die Ordination

Die Website ist für viele Ordinationen der erste Kontaktpunkt mit Patient:innen – oft noch vor dem ersten Anruf. Sobald dort personenbezogene Daten verarbeitet werden, gelten die Anforderungen der Datenschutz-Grundverordnung (DSGVO), und bei einer Arztpraxis sind diese Anforderungen strenger als bei den meisten anderen Websites. Der Grund ist einfach: Es geht regelmäßig um Gesundheitsdaten. Dieser Beitrag ordnet die wichtigsten Themen für Ordinationen in Österreich ein. Er ersetzt keine individuelle Rechtsberatung, sondern soll Ihnen helfen, die richtigen Fragen zu stellen und typische Fehler zu vermeiden.

Warum Gesundheitsdaten eine Sonderrolle spielen

Ordinationen verarbeiten regelmäßig sensible Informationen. Schon eine Terminanfrage, ein Rückrufwunsch mit persönlichen Angaben oder ein Kontaktformular kann Gesundheitsdaten berühren. Die DSGVO stuft Daten über die Gesundheit in Artikel 9 der Verordnung (EU) 2016/679 ausdrücklich als besondere Kategorie personenbezogener Daten ein. Für diese Kategorie gilt ein grundsätzliches Verarbeitungsverbot mit eng gefassten Ausnahmen.

Praktisch heißt das: Was auf einer gewöhnlichen Unternehmensseite unproblematisch wäre, kann auf einer Praxis-Website heikel sein. Ein Freitextfeld im Kontaktformular etwa lädt Patient:innen dazu ein, sehr persönliche Angaben zu ihrem Gesundheitszustand zu hinterlassen – und schon liegen besonders schützenswerte Daten in Ihrem Postfach. Ein sorgfältiger Umgang nützt hier beiden Seiten: den Patient:innen und der Praxis. Datenschutz ist damit nicht nur eine rechtliche Pflicht, sondern ein sichtbares Signal, dass Sie mit anvertrauten Informationen verantwortungsvoll umgehen.

Rechtliche Grundlagen im Überblick

Für eine Praxis-Website sind vor allem drei Bausteine relevant. Erstens eine Datenschutzerklärung, die verständlich, aktuell und auf die tatsächlich eingesetzten Dienste bezogen ist. Zweitens ein vollständiges und korrektes Impressum. Drittens eine klare Rechtsgrundlage für jede einzelne Datenverarbeitung.

Welche Angaben eine Datenschutzerklärung konkret enthalten muss, fasst die Wirtschaftskammer in ihrer Checkliste zu den Informationspflichten nach DSGVO und TKG zusammen. Wichtig ist, dass die Erklärung kein einmal erstelltes Standarddokument bleibt: Sie muss zu den Diensten passen, die Sie heute einsetzen – nicht zu denen von vor drei Jahren. Verstöße gegen Informationspflichten sind kein Randthema, sie können empfindlich sanktioniert werden. Eine jährliche Durchsicht, ob die Erklärung noch zu Ihrer Website passt, ist deshalb gut investierte Zeit.

Cookies und echte Einwilligung

Werden Cookies oder vergleichbare Technologien eingesetzt, die nicht technisch notwendig sind, ist in der Regel eine vorherige Einwilligung erforderlich. Die österreichische Datenschutzbehörde stellt in ihren FAQ zum Thema Cookies und Datenschutz klar, dass nicht notwendige Cookies erst nach einer aktiven Einwilligung gesetzt werden dürfen.

Für die Praxis bedeutet das drei Dinge. Ein Cookie-Banner sollte eine echte Wahl bieten – Zustimmung und Ablehnung gleichwertig und gleich leicht erreichbar. Nicht notwendige Dienste dürfen erst laden, nachdem eingewilligt wurde, nicht schon beim Seitenaufruf. Und die getroffene Entscheidung sollte dokumentiert und jederzeit widerrufbar sein. Ein bloßes Weitersurfen oder ein vorausgewähltes Kästchen gilt nicht als wirksame Einwilligung. Reine Design-Elemente ohne Tracking benötigen dagegen keine Zustimmung – entscheidend ist immer der tatsächliche Datenfluss, nicht die Optik.

Kontaktformulare und Terminanfragen

Formulare sind der häufigste Schwachpunkt einer Praxis-Website. Sinnvoll ist es, nur die Daten abzufragen, die wirklich benötigt werden (Datenminimierung), die Übertragung durchgehend zu verschlüsseln (HTTPS) und Patient:innen aktiv davon abzuraten, sehr persönliche Gesundheitsangaben in ein Freitextfeld zu schreiben. Ebenso wichtig ist, verständlich zu erklären, was mit den Angaben passiert und wie lange sie gespeichert werden. Eine kurze, klare Zeile direkt unter dem Formular wirkt hier oft mehr als ein langer Absatz in der Datenschutzerklärung.

Wer die Terminvergabe digitalisieren möchte, sollte den Datenschutz von Anfang an mitdenken, statt ihn später nachzurüsten. Worauf es dabei konkret ankommt, erläutern wir ausführlich im Beitrag zur Online-Terminbuchung für die Arztpraxis.

Hosting, externe Dienste und Auftragsverarbeitung

Wo eine Website gehostet wird und welche externen Dienste eingebunden sind, ist datenschutzrechtlich bedeutsam. Immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – der Hosting-Anbieter, ein Terminbuchungstool, ein Newsletter-Dienst –, ist in der Regel ein Auftragsverarbeitungsvertrag notwendig. Die Wirtschaftskammer erläutert die Rollenverteilung in ihrer Übersicht zu Verantwortlichem und Auftragsverarbeiter.

Besondere Sorgfalt ist bei Diensten geboten, die Daten in Drittländer übermitteln. Und ein oft übersehener Punkt: Eingebettete Inhalte wie Kartendienste, Videos oder extern geladene Schriftarten können unbemerkt Daten an Dritte übertragen, noch bevor jemand ein Formular ausfüllt. Ein Überblick, welche externen Verbindungen Ihre Seite tatsächlich aufbaut, ist deshalb der beste Ausgangspunkt für jede Aufräumaktion.

Typische Stolpersteine

In der Praxis wiederholen sich einige Fehler. Schriftarten oder Karten, die direkt von externen Servern geladen werden, übertragen IP-Adressen ohne Einwilligung. Statistik- oder Marketing-Tools starten häufig schon beim Seitenaufruf statt erst nach Zustimmung. Und veraltete Datenschutzerklärungen passen nicht mehr zu den tatsächlich eingesetzten Diensten. Jeder dieser Punkte ist für sich genommen leicht zu beheben – gemeinsam entscheiden sie darüber, ob Ihre Seite belastbar ist. Wer lokal gefunden werden möchte, profitiert zusätzlich von einer sauberen Basis, wie wir sie im Beitrag zum lokalen SEO für Ordinationen beschreiben.

Fazit

Eine datenschutzkonforme Praxis-Website entsteht nicht durch ein einzelnes Cookie-Banner, sondern durch das Zusammenspiel von sauberer Technik, transparenter Kommunikation und geprüften Verträgen. Wer Datenschutz von Beginn an mitdenkt, schafft Vertrauen bei Patient:innen und erspart sich spätere Nachbesserungen. Datenschutz ist dabei nur ein Baustein einer tragfähigen Website – wie er mit Sichtbarkeit und Struktur zusammenspielt, ordnen wir im Beitrag warum eine moderne Praxis-Website mehr schafft als reine Werbeanzeigen ein.

Wenn Sie wissen möchten, wo Ihre bestehende Seite in Sachen Datenschutz und Technik steht, können Sie unseren kostenlosen Website-Check nutzen.