DSGVO-konforme Website für Arztpraxen: Checkliste 2026

Warum Praxis-Websites besonders sensibel sind

Auf kaum einer anderen Website bewegen sich Besucher so vertrauensvoll wie auf der einer Arzt- oder Zahnarztpraxis. Wer ein Kontaktformular ausfüllt, schreibt nicht selten Sätze wie „Ich habe seit Wochen starke Schmerzen" oder „Ich benötige ein Rezept für mein Antidepressivum" — und damit bereits Gesundheitsdaten. Diese gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und genießen den höchsten Schutz, den das Datenschutzrecht kennt.

Das heißt: Was für eine Handwerker-Website höchstens peinlich wäre, kann für eine Praxis schnell gravierend werden. Fehlt die SSL-Verschlüsselung, laufen Formularinhalte ungeschützt durchs Netz. Fehlt der Auftragsverarbeitungsvertrag mit dem Hoster, verarbeitet ein Dritter Patientendaten ohne Rechtsgrundlage. Und Aufsichtsbehörden sowie Wettbewerber prüfen Praxis-Websites zunehmend systematisch.

Die gute Nachricht: Mit einem strukturierten Vorgehen ist eine DSGVO-konforme Praxis-Website gut machbar. Dieser Artikel führt Sie durch alle relevanten Bausteine — von Hosting bis Bewertungsportal — und endet mit einer kompakten Checkliste zum Abhaken. Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Die allgemeinen Grundlagen einer datenschutzkonformen Website haben wir in unserem Artikel DSGVO-konforme Website erstellen – Checkliste 2026 zusammengefasst.

1. Hosting: Standort Deutschland und AV-Vertrag

Alles beginnt beim Webhoster. Sobald auf Ihrer Website Formulare, Login-Bereiche oder Server-Logs personenbezogene Daten verarbeiten — und das ist praktisch immer der Fall —, ist der Hoster Ihr Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Konkret bedeutet das:

• Serverstandort Deutschland (mindestens EU): Hosting bei US-Anbietern ohne geeignete Garantien ist nach dem Schrems-II-Urteil hochriskant. Deutsche Rechenzentren mit ISO-27001-Zertifizierung sind die sichere Wahl.
• Auftragsverarbeitungsvertrag (AVV/AV-Vertrag): Seriöse deutsche Hoster stellen den Vertrag im Kundenbereich zum Download bereit. Prüfen Sie, ob er unterschriftsreif vorliegt — und legen Sie ihn zu Ihren Datenschutz-Unterlagen.
• Server-Logs minimieren: Zugriffslogs enthalten IP-Adressen, also personenbezogene Daten. Klären Sie mit dem Hoster Löschfristen und ob IP-Anonymisierung möglich ist.

Wenn wir für Praxen Websites umsetzen — etwa im Rahmen unseres Webdesigns für Praxen in Schleswig-Holstein — ist Hosting auf deutschen Servern mit AV-Vertrag fester Bestandteil jedes Projekts.

2. Kontaktformulare: Sicher und datensparsam

Das Kontaktformular ist der größte heikle Punkt jeder Praxis-Website — denn hier können jederzeit Gesundheitsdaten eintrudeln, ohne dass Sie es verhindern können. Vier Regeln machen den Unterschied:

• SSL/TLS ohne Ausnahme: Formulardaten müssen verschlüsselt übertragen werden. Eine Praxis-Website ohne gültiges SSL-Zertifikat ist 2026 nicht mehr vertretbar — technisch wie rechtlich.
• Felder auf das Nötigste beschränken: Name, Rückrufnummer, Anliegen — mehr braucht es für den Erstkontakt nicht. Jedes zusätzliche Pflichtfeld (Geburtsdatum, Versicherungsnummer, Diagnosen) erhöht Ihr Risiko.
• Hinweis direkt am Formular: Verlinken Sie die Datenschutzerklärung unmittelbar über dem Absende-Button und weisen Sie darauf hin, dass sensible Gesundheitsinformationen besser telefonisch geklärt werden.
• Versandweg absichern: Formularinhalte, die per unverschlüsselter E-Mail beim Praxis-Postfach landen, sind ein klassisches Einfallstor. Besser: Transportverschlüsselung erzwingen oder die Daten nur auf dem Server vorhalten und per E-Mail lediglich benachrichtigen.

3. Online-Terminierung: Anbieterauswahl mit Augenmaß

Online-Terminbuchung ist der Wunsch Nummer eins vieler Patienten — und datenschutzrechtlich der anspruchsvollste Baustein. Denn der Dienstleister verarbeitet Namen, Kontaktdaten und oft auch Behandlungsanlässe: wieder Gesundheitsdaten, wieder ein Auftragsverarbeiter, wieder ein Pflicht-AV-Vertrag.

Bei der Auswahl eines Anbieters sollten Sie prüfen:

• Steht ein AV-Vertrag nach Art. 28 DSGVO zur Verfügung — und verarbeitet der Anbieter Daten ausschließlich auf Servern in Deutschland oder der EU?
• Wird das Tool eingebettet (iFrame) oder verlinkt? Ein iFrame überträgt beim bloßen Seitenaufruf bereits die IP-Adresse Ihrer Besucher an den Anbieter — dafür brauchen Sie eine Einwilligung oder eine saubere rechtliche Bewertung.
• Gibt es ein Zertifikat oder ein Datenschutz-Audit (z. B. nach ISO 27001)? Gerade im Gesundheitsumfeld haben sich Anbieter etabliert, die speziell auf Heilberufe zugeschnitten sind.

Praxis-Tipp: Fragen Sie in Ihrem Terminbuchungs-Tool bewusst nur ab, was für die Terminvergabe nötig ist. Die Auswahl konkreter Beschwerdebilder („Psychotherapie", „HIV-Test") erzeugt besonders sensible Datensätze — oft reicht eine allgemeine Kategorie plus Freitext-Hinweis „Details gern persönlich".

4. Tracking & Cookies: Consent ist Pflicht

Wer das Surfverhalten von Patienten auf der Praxis-Website analysiert, berührt ein besonders empfindliches Terrain. Die gängige Praxis „Google Analytics einfach einbinden" ist für Heilberufe ungeeignet: Ohne vorherige, aktive Einwilligung dürfen keine Analyse-Cookies gesetzt werden — und mit US-Übertragung bleibt selbst das rechtlich wackelig.

Unsere Empfehlung für Praxen:

• Datenschutzfreundliche Analyse: Tools wie Matomo (selbst gehostet) oder cookielose Lösungen kommen häufig ganz ohne Einwilligung aus und liefern trotzdem die wichtigen Kennzahlen: Woher kommen Patienten, welche Leistungsseiten werden gelesen?
• Cookie-Banner mit echter Wahl: Ein „OK"-Button ohne Ablehnen-Möglichkeit ist keine Einwilligung. Ablehnen muss genauso einfach sein wie Zustimmen, und nicht-essenzielle Cookies dürfen erst nach Opt-in laden.
• Einwilligung dokumentieren: Ihr Consent-Tool sollte nachweisen können, wer wann was zugestimmt hat — das verlangt die Nachweispflicht der DSGVO.

5. Google Fonts & Co. lokal einbinden

Ein Klassiker unter den Abmahnfallen: Schriften, Karten oder JavaScript-Bibliotheken, die beim Seitenaufruf von US-CDNs geladen werden. Dabei wandert die IP-Adresse Ihrer Besucher automatisch an den Anbieter — ohne deren Wissen und ohne Einwilligung. Das Landgericht München I hat genau das bei Google Fonts 2022 als DSGVO-Verstoß gewertet.

Die Lösung ist technisch simpel: Schriften lokal auf dem eigenen Server hosten und Kartenmaterial (Google Maps, OpenStreetMap) erst nach aktiver Zustimmung laden — etwa über eine Zwei-Klick-Lösung mit Vorschaubild. Für eine Praxis, die ohnehin Vertrauen als zentrale Währung hat, sollte hier null Risiko eingegangen werden. Das gilt übrigens auch für reCAPTCHA und eingebettete YouTube-Videos.

6. Datenschutzerklärung & Impressum für Heilberufe

Die Datenschutzerklärung einer Praxis muss alle tatsächlich eingesetzten Verarbeitungen benennen: Hosting, Kontaktformular, Online-Terminierung, Analyse-Tools, eingebettete Inhalte. Ein generischer Textbaustein von 2019, der das neue Buchungstool nicht erwähnt, ist schlicht falsch — und damit angreifbar. Planen Sie die Erklärung als lebendes Dokument: Jedes neue Tool auf der Website bedeutet eine Aktualisierung.

Beim Impressum gelten für Heilberufe zusätzliche Pflichtangaben, die über § 5 DDG (vormals TMG) hinausgehen:

• Angabe der zuständigen Kammer (z. B. Ärztekammer Schleswig-Holstein, Zahnärztekammer Hamburg) und der Kassenärztlichen Vereinigung
• Bezeichnung der Berufsordnung samt Fundstelle (Link oder Hinweis auf Kammer-Website)
• Die gesetzliche Berufsbezeichnung und der Staat, in dem sie verliehen wurde (z. B. „Zahnarzt, verliehen in der Bundesrepublik Deutschland")
• Bei Gemeinschaftspraxen: Angaben für alle Berufsangehörigen, nicht nur den Praxisinhaber

Wie solche Anforderungen in der Praxis aussehen, zeigen unsere Projekte für Praxis-Websites in Hamburg — dort sind Kammer-Angaben und vollständige Impressen selbstverständlicher Standard.

7. Bewertungsportale & Social Media

Jameda, Google-Bewertungen, Facebook-Button: Alle Einbindungen externer Plattformen, die beim Seitenaufruf Daten an Dritte übertragen, brauchen eine Einwilligung oder sollten besser nur als schlichter Textlink erfolgen. Ein „Gefällt mir"-Button ohne Zwei-Klick-Lösung ist dabei die schlechteste Variante — er meldet jeden Website-Besuch an Meta, noch bevor jemand klickt.

Bei Bewertungsportalen kommt ein praxisspezifischer Punkt hinzu: Antworten Sie auf Bewertungen niemals mit Details zum Behandlungsverhältnis. Schon die Bestätigung, dass jemand Patient war, verletzt die Schweigepflicht. Verlinken Sie Bewertungsprofile neutral, und verzichten Sie auf Widgets, die Bewertungen live auf Ihre Website ziehen — sie laden beim Aufruf Daten vom Portal nach.

Die kompakte DSGVO-Checkliste für Ihre Praxis-Website