DSGVO 2026 in der Arztpraxis: Die 7 wichtigsten Punkte für Ihre Website

DSGVO als Vertrauensfaktor für Ihre Praxis-Website

Die Website einer Arztpraxis ist heute weit mehr als eine digitale Visitenkarte. Sie ist Kontaktpunkt, Informationsquelle und oft der erste Berührungspunkt für Patient:innen. Damit gehen rechtliche Anforderungen einher, die weit über das Impressum hinausreichen. Dieser Leitfaden zeigt die 7 wichtigsten DSGVO-Punkte, die jede Praxis-Website 2026 erfüllen sollte.

1. Impressum und Datenschutzerklärung

Impressum und Datenschutzerklärung sind gesetzlich vorgeschrieben und müssen von jeder Unterseite aus erreichbar sein (z. B. über die Fußzeile).

Typische Fehler:

• Das Impressum ist nur auf der Startseite verlinkt.
• Die Datenschutzerklärung ist veraltet oder unvollständig.
• Angaben zum Verantwortlichen fehlen oder sind fehlerhaft.

Die Datenschutzerklärung muss alle eingesetzten Dienste und Tools benennen, unter anderem:

• Kontaktformulare
• Online-Terminbuchungssysteme
• Analysedienste (z. B. Matomo, Google Analytics – falls zulässig eingesetzt)
• Eingebettete Karten (z. B. Google Maps, OpenStreetMap)
• Eingebettete Videos (z. B. YouTube, Vimeo)
• Newsletter-Tools

Wichtig sind außerdem klare Angaben zu:

• Verantwortlicher Stelle (Praxisinhaber:in)
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden/erforderlich)
• Rechtsgrundlagen der Verarbeitung
• Speicherdauer bzw. Kriterien für die Festlegung der Dauer
• Betroffenenrechten (Auskunft, Löschung, Widerspruch etc.)

2. Kontaktformulare: Verschlüsselung und Einwilligung

Kontaktformulare verarbeiten personenbezogene Daten – häufig auch gesundheitsbezogene Informationen. Daher gelten erhöhte Anforderungen:

• SSL-Verschlüsselung (HTTPS) ist Pflicht. Formulare ohne HTTPS sind ein erhebliches Risiko.
• Die Einwilligung zur Datenverarbeitung muss aktiv eingeholt werden (kein vorausgewähltes Häkchen).
• Es braucht einen klaren Hinweis auf Zweck und Speicherdauer der Daten.
• Es muss transparent sein, wer die Daten verarbeitet (Praxis, ggf. Dienstleister).

Ein mögliches Einwilligungs-Textbeispiel:

„Ich willige ein, dass meine Angaben aus dem Kontaktformular zur Beantwortung meiner Anfrage verarbeitet und gespeichert werden. Die Daten werden nicht an Dritte weitergegeben. Weitere Informationen finden Sie in unserer Datenschutzerklärung.“

Formulare sollten außerdem nur die Daten abfragen, die wirklich notwendig sind (Datensparsamkeit).

3. Online-Terminbuchung: Saubere Integration

Online-Terminbuchungssysteme verarbeiten besonders sensible Gesundheitsdaten. Hier gelten strenge Anforderungen:

• Der Anbieter muss einen Auftragsverarbeitungsvertrag (AVV) anbieten.
• Die Datenverarbeitung sollte auf Servern in der EU erfolgen.
• Die Übertragung muss Ende-zu-Ende verschlüsselt sein.
• Patient:innen müssen in der Datenschutzerklärung verständlich informiert werden:
• Welcher Anbieter genutzt wird
• Welche Daten verarbeitet werden
• Zu welchem Zweck und wie lange
• Welche Rechtsgrundlage gilt

Auch wenn das System über ein iFrame eingebunden wird, handelt es sich um einen Drittanbieter, der in der Datenschutzerklärung ausdrücklich genannt werden muss.

4. Cookies, Tracking und Consent

Cookies und Tracking-Dienste sind auf Praxis-Websites weit verbreitet – oft unbewusst. Die Regeln sind klar:

• Technisch notwendige Cookies (z. B. für Login, Warenkorb, Sicherheitsfunktionen) dürfen ohne Einwilligung gesetzt werden.
• Analyse- und Marketing-Cookies erfordern eine aktive, informierte Einwilligung.
• Ein Cookie-Consent-Banner muss erscheinen, bevor nicht-essentielle Cookies gesetzt werden.
• Die Ablehnung muss genauso einfach sein wie die Zustimmung (kein „Dark Pattern“).

Häufige Fehler:

• Google Analytics oder Meta Pixel laufen ohne vorherige Einwilligung.
• Cookie-Banner mit vorausgewählten Optionen („Opt-out“ statt „Opt-in“).
• Keine echte Möglichkeit, Tracking vollständig abzulehnen.

Empfehlungen:

• Nur wirklich notwendige Tracking-Tools einsetzen.
• Eine seriöse Consent-Management-Plattform (CMP) nutzen.
• Alle eingesetzten Cookies in der Datenschutzerklärung transparent auflisten.

5. Hosting und Serverstandort

Der Serverstandort Ihrer Praxis-Website ist datenschutzrechtlich relevant.

Empfohlen wird:

• Hosting bei einem deutschen oder EU-basierten Anbieter.
• Abschluss eines Auftragsverarbeitungsvertrags (AVV) mit dem Hoster.
• Regelmäßige Sicherheitsupdates und Backups.
• Kein Hosting auf Servern außerhalb der EU ohne zusätzliche Schutzmaßnahmen und sorgfältige rechtliche Prüfung.

Besonders bei US-basierten Diensten ist Vorsicht geboten – auch dann, wenn sie EU-Rechenzentren anbieten, da unter Umständen Zugriffe nach US-Recht möglich sind.

6. Externe Inhalte und Drittanbieter

Viele Praxis-Websites binden externe Inhalte ein, die datenschutzrechtlich problematisch sein können:

• Google Maps – überträgt IP-Adressen und ggf. weitere Daten an Google.
• YouTube-Videos – setzen Cookies und übertragen Nutzerdaten.
• Social-Media-Plugins (Facebook, Instagram & Co.) – ermöglichen umfassendes Tracking.
• Webfonts von externen Servern (z. B. Google Fonts) – IP-Adressen werden an Dritte übermittelt.

Mögliche Lösungen:

• 2-Klick-Lösung: Karten und Videos erst nach aktiver Einwilligung laden (z. B. Platzhalter mit Hinweistext und Button „Karte laden“ / „Video laden“).
• Webfonts lokal hosten statt von externen Servern laden.
• Statt eingebetteter Social-Media-Plugins lieber einfache Links zu den Profilen verwenden.

Alle eingesetzten Drittanbieter müssen in der Datenschutzerklärung benannt und erläutert werden.

7. Laufender Betrieb statt einmaliger Prüfung

DSGVO-Konformität ist kein einmaliger Zustand, sondern ein laufender Prozess. Praxen sollten:

• Die Datenschutzerklärung regelmäßig aktualisieren (mindestens jährlich oder bei Änderungen).
• Neue Tools und Dienste vor der Integration datenschutzrechtlich prüfen.
• Die Cookie-Consent-Lösung regelmäßig testen (funktioniert das Blocken wirklich?).
• Auftragsverarbeitungsverträge aktuell halten.
• Auf neue Urteile, Gesetzesänderungen und Behördenhinweise reagieren.

Die Website entwickelt sich weiter – und damit auch die datenschutzrechtlichen Anforderungen.

Wie MedPeak hier unterstützt

MedPeak betrachtet Datenschutz nicht als lästige Pflicht, sondern als integralen Bestandteil einer vertrauenswürdigen Praxis-Website. Dazu gehören unter anderem:

• Eine DSGVO-konforme Grundstruktur bei jedem Website-Projekt (Impressum, Datenschutzerklärung, Cookie-Consent).
• Saubere Integration externer Tools (z. B. Terminbuchung, Newsletter, Analyse) inklusive der notwendigen Verträge.
• Regelmäßige Überprüfung und Aktualisierung von Texten, Tools und Consent-Einstellungen.
• Beratung zu neuen Anforderungen und Best Practices, damit Ihre Praxis-Website rechtlich und technisch auf dem aktuellen Stand bleibt.

Fazit: Datenschutz als Qualitätsmerkmal

DSGVO-Konformität ist kein bürokratisches Hindernis, sondern ein Qualitätsmerkmal. Patient:innen, die sehen, dass eine Praxis sorgfältig mit ihren Daten umgeht, vertrauen in der Regel auch der medizinischen Kompetenz stärker.

Eine sauber umgesetzte Praxis-Website:

• reduziert das Risiko von Abmahnungen und Bußgeldern,
• schützt sensible Gesundheitsdaten,
• und stärkt aktiv das Vertrauen in Ihre Praxis.

Wer Datenschutz ernst nimmt, schafft die Grundlage für eine langfristig erfolgreiche, patientenorientierte Online-Präsenz.