Die DSGVO stellt an Arztpraxen und Gesundheitseinrichtungen besonders strenge Anforderungen beim Schutz von Patientendaten.
Warum gelten für Praxen strengere Regeln?
Die Datenschutz-Grundverordnung (DSGVO) schützt personenbezogene Daten aller EU-Bürger. Im Gesundheitswesen gelten strengere Vorschriften, weil Gesundheitsdaten zu den "besonderen Kategorien personenbezogener Daten" nach Artikel 9 DSGVO gehören. Das heißt: Sobald Deine Website Informationen verarbeitet, die Rückschlüsse auf den Gesundheitszustand einer Person zulassen, gelten verschärfte Schutzanforderungen.
Für Deine Praxis-Website ist das wichtiger, als Du vielleicht denkst. Schon ein Kontaktformular, über das ein Patient nach einer bestimmten Behandlung fragt, verarbeitet Gesundheitsdaten.
Wo auf Deiner Website entstehen Datenschutz-Risiken?
Kontaktformulare. Schicken Patienten über Deine Website Nachrichten, stehen darin oft Gesundheitsinformationen, etwa Symptome, Diagnosen oder Behandlungswünsche. Diese Daten müssen verschlüsselt übertragen und sicher gespeichert werden.
Online-Terminbuchung. Bietest Du eine digitale Terminvergabe an, verarbeitest Du dabei fast immer Gesundheitsdaten, zum Beispiel den Behandlungsgrund oder die gewünschte Fachrichtung. Hier gelten besondere Anforderungen. Wir erklären sie im Glossareintrag zum Patientendaten-Schutz.
Newsletter und E-Mail-Marketing. Auch der Versand von Gesundheitsinformationen per Newsletter unterliegt der DSGVO. Du brauchst eine ausdrückliche Einwilligung, und der Versanddienstleister muss die Daten DSGVO-konform verarbeiten.
Tracking und Analyse. Google Analytics, Facebook Pixel und ähnliche Tracking-Tools sind im Gesundheitsbereich besonders heikel. Viele dieser Dienste übertragen Daten in die USA. Das kann nach aktueller Rechtslage problematisch sein.
Technische Grundlagen für eine DSGVO-konforme Praxis-Website
SSL-Verschlüsselung. Ein SSL-Zertifikat ist Pflicht. Alle Daten zwischen dem Browser Deiner Patienten und Deinem Server müssen verschlüsselt übertragen werden. Eine Website ohne SSL-Zertifikat ist im Gesundheitsbereich ein schwerer Verstoß.
Hosting in Deutschland oder der EU. Gesundheitsdaten sollten auf Servern in Deutschland oder zumindest innerhalb der EU liegen. Amerikanische Hosting-Anbieter ohne angemessene Datenschutzvereinbarungen sind keine gute Wahl.
Auftragsverarbeitungsvertrag (AV-Vertrag). Mit jedem Dienstleister, der Zugriff auf personenbezogene Daten hat, brauchst Du einen AV-Vertrag. Das betrifft etwa Hosting-Anbieter, E-Mail-Dienst und Terminbuchungs-Tool. Ohne diesen Vertrag ist die Datenverarbeitung rechtswidrig.
Cookie-Banner und Einwilligungen. Ein rechtskonformes Cookie-Banner ist Pflicht, sobald Du nicht-essenzielle Cookies setzt. Die Einwilligung muss aktiv erfolgen. Vorausgewählte Checkboxen sind unzulässig.
Typische Fehler auf Praxis-Websites
Die häufigsten DSGVO-Verstöße, die wir auf Praxis-Websites sehen: eingebundene Google Fonts (laden Daten von Google-Servern), fehlende oder mangelhafte Datenschutzerklärungen, Kontaktformulare ohne Verschlüsselung und Tracking-Tools ohne vorherige Einwilligung.
In unserem ausführlichen Beitrag zum Schutz von Patientendaten findest Du eine genaue Checkliste für Deine Website. Neben der DSGVO musst Du auch das Heilmittelwerbegesetz und die ärztliche Berufsordnung beachten.
Datenschutz im Gesundheitswesen ist keine einmalige Aufgabe. Prüfe Deine Website regelmäßig, halte die Datenschutzerklärung aktuell und schule Dein Praxisteam. Darauf baut ein rechtskonformer Auftritt im Netz auf.
Fazit
Im Gesundheitswesen gelten die strengsten DSGVO-Anforderungen, weil schon ein Kontaktformular mit Symptombeschreibung als Verarbeitung von Gesundheitsdaten gilt. Prüfe Deine Praxis-Website auf die häufigsten Verstöße: eingebundene Google Fonts, fehlendes SSL, Tracking ohne Einwilligung. Lass regelmäßig kontrollieren, ob Deine Datenschutzerklärung noch aktuell ist.
Letzte Aktualisierung:
