DSGVO auf der Praxis-Website: Cookies, Google Fonts, Tracking und Kontaktformular rechtssicher umsetzen

Was auf der Praxis-Website DSGVO-Pflicht ist

Eine Praxis-Website ist rechtssicher, wenn vier Bausteine stimmen: Nicht notwendige Cookies und externe Dienste laden erst nach aktiver Einwilligung, Schriften und eingebettete Inhalte werden datensparsam eingebunden, das Kontaktformular überträgt verschlüsselt und fragt nur das Nötigste ab, und die Datenschutzerklärung ist vollständig. Fehlt einer dieser Punkte, entsteht ein Abmahn- und Bußgeldrisiko.

Die Praxis-Website wirkt harmlos: ein paar Seiten, Öffnungszeiten, ein Anfahrtsplan, ein Kontaktformular. Genau deshalb wird sie beim Datenschutz oft übersehen. Dabei ist sie öffentlich einsehbar, rund um die Uhr erreichbar und damit die am leichtesten prüfbare Datenverarbeitung der ganzen Praxis. Wer eine Datenpanne im Serverraum sucht, braucht Zugang. Wer eine unkonforme Website findet, braucht nur einen Browser.

Wichtig ist die Abgrenzung: Auf der Website geht es meist nicht um die besonders geschützten Gesundheitsdaten nach Art. 9 DSGVO, sondern um Nutzungsdaten wie IP-Adressen, Geräteinformationen und Formulareingaben. Diese sind trotzdem personenbezogen und damit geschützt. Die grundsätzlichen Praxis-Pflichten nach DSGVO haben wir im Beitrag zu den DSGVO-Pflichten der Arztpraxis beschrieben, hier geht es gezielt um die Website.

Cookies und Consent-Banner nach § 25 TDDDG

Ein Consent-Banner ist keine Deko und kein Pflichtelement für jede Seite, sondern die Folge dessen, was die Website technisch lädt. Sobald Ihre Seite nicht technisch notwendige Cookies setzt oder auf ähnliche Weise auf das Endgerät des Besuchers zugreift, brauchen Sie nach § 25 TDDDG eine vorherige, aktive Einwilligung. Technisch notwendige Cookies sind davon ausgenommen.

Seit dem 14. Mai 2024 heißt das maßgebliche Gesetz TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) und hat das frühere TTDSG abgelöst. Inhaltlich zur Einwilligung hat sich dabei nichts geändert: § 25 TDDDG entspricht dem alten § 25 TTDSG. Die Umbenennung war eine Anpassung an den Digital Services Act, keine neue Cookie-Regel.

Quelle: § 25 TDDDG (gesetze-im-internet.de)Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, § 25 (Schutz der Privatsphäre bei Endeinrichtungen), Einwilligungspflicht für nicht notwendige Zugriffe.

Ein rechtssicherer Banner erfüllt drei Bedingungen. Erstens: echtes Opt-in. Nichts darf vorangekreuzt sein, und das reine Weiterscrollen oder Wegklicken ist keine Einwilligung. Zweitens: Ablehnen muss genauso einfach sein wie Zustimmen, also mit einem gleichwertigen Button auf derselben Ebene, nicht versteckt in einem Untermenü. Drittens: Der Widerruf muss jederzeit und so einfach möglich sein wie die Einwilligung, üblicherweise über einen dauerhaft erreichbaren Link.

Ein häufiges Missverständnis: Der Banner allein macht nichts konform. Entscheidend ist, dass die zustimmungspflichtigen Dienste tatsächlich erst nach der Einwilligung geladen werden. Viele Seiten zeigen einen Banner, laden Analyse und Karten aber trotzdem sofort im Hintergrund. Das ist der schlechteste Fall: der Aufwand des Banners ohne die Schutzwirkung.

Google Fonts: der Klassiker unter den Abmahnungen

Dynamisch eingebundene Google Fonts sind der bekannteste Stolperstein auf Praxis-Websites. Das Landgericht München I sprach am 20. Januar 2022 einem Website-Besucher 100 Euro Schadensersatz nach Art. 82 DSGVO zu, weil die Seite Google Fonts dynamisch von Google-Servern nachlud und dabei ungefragt die IP-Adresse des Besuchers an Google in die USA übertrug (Az. 3 O 17493/20). Die Lösung ist die lokale Einbindung.

Das Problem entsteht technisch im Hintergrund und ohne Zutun des Besuchers. Bindet die Website die Schriften per Link direkt von Google ein, baut der Browser beim Aufruf eine Verbindung zu Google auf und übermittelt dabei die IP-Adresse. Diese Übertragung passiert, bevor irgendein Banner erscheinen könnte, und lässt sich nachträglich nicht durch eine Einwilligung heilen.

Quelle: LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20Zusammenfassung des Urteils zur dynamischen Einbindung von Google Fonts und dem zugesprochenen Schadensersatz von 100 Euro.

Nach dem Urteil verschickten Abmahnkanzleien massenhaft Schreiben mit Schadensersatzforderungen an Website-Betreiber, oft automatisiert und ungezielt. Viele dieser Massenschreiben waren rechtlich fragwürdig, aber der eigentliche Verstoß bleibt real: Wer Fonts dynamisch von Google lädt, überträgt IP-Adressen ohne Rechtsgrundlage.

Die Abhilfe ist unspektakulär und dauerhaft. Die benötigten Schriftdateien werden einmal heruntergeladen und lokal auf dem eigenen Webserver abgelegt. Der Browser lädt sie dann von Ihrem Server, nicht von Google. Es wird keine Verbindung zu Google aufgebaut, keine IP-Adresse fließt ab, und der Punkt ist vom Tisch. Dasselbe gilt sinngemäß für andere von Google geladene Ressourcen wie Icon-Bibliotheken.

Tracking und Analyse: erst fragen, dann laden

Reichweitenmessung und Tracking sind auf der Praxis-Website erlaubt, aber nur unter Bedingungen. Tools wie Google Analytics setzen nicht technisch notwendige Cookies und übertragen Daten an Dritte, deshalb dürfen sie erst nach aktiver Einwilligung über den Consent-Banner laden. Ohne Opt-in ist ihr Einsatz nicht zulässig. Datensparsame, cookielose Alternativen umgehen den Banner-Zwang.

Das betrifft nicht nur die klassische Web-Analyse. Eingebettete Google Maps, YouTube-Videos, Social-Media-Buttons, Chat-Widgets und Werbe-Pixel binden alle externe Dienste ein, die Daten der Besucher verarbeiten. Jeder dieser Bausteine ist zustimmungspflichtig und darf erst nach der Einwilligung nachgeladen werden. Ein statisches Anfahrtsbild mit einem Link zu Google Maps ist datenschutzrechtlich unkritisch, die eingebettete interaktive Karte ist es nicht.

Für viele Praxen ist die ehrliche Frage: Brauche ich das Tracking überhaupt? Eine Praxis-Website soll gefunden werden, Öffnungszeiten zeigen und Kontaktaufnahme ermöglichen. Detaillierte Besucheranalysen bringen dafür selten einen echten Mehrwert. Eine cookielose, datensparsame Messung, die ohne Einwilligung auskommt und nur grobe Zugriffszahlen liefert, deckt den tatsächlichen Bedarf meist ab und erspart den Banner-Zwang komplett.

Quelle: Einwilligungsverwaltungsverordnung (EinwV), gesetze-im-internet.deVerordnung über Dienste zur Einwilligungsverwaltung nach dem TDDDG, in Kraft seit 1. April 2025.

Das Kontaktformular rechtssicher aufsetzen

Ein Kontaktformular ist DSGVO-konform, wenn drei Dinge stimmen: Die Übertragung läuft verschlüsselt per SSL/TLS, es werden nur die wirklich nötigen Felder abgefragt, und ein Datenschutzhinweis verlinkt auf die Datenschutzerklärung. Für die reine Kontaktaufnahme brauchen Sie in der Regel keine separate Einwilligung, die Verarbeitung stützt sich auf die Anbahnung des Kontakts.

Die Verschlüsselung ist Pflicht, nicht Kür. Personenbezogene Daten dürfen nicht unverschlüsselt über das Netz übertragen werden, das entspricht dem Stand der Technik nach Art. 32 DSGVO und wird ausdrücklich vom BSI empfohlen. HTTPS gehört heute zum Standard und ist die technische Voraussetzung dafür, dass ein Formular überhaupt betrieben werden darf.

Quelle: dr-datenschutz.de: Verschlüsselung von KontaktformularenEinordnung, warum die SSL/TLS-Verschlüsselung von Kontaktformularen nach Art. 32 DSGVO dem Stand der Technik entspricht.

Datenminimierung ist der zweite Hebel. Nach Art. 5 Abs. 1 lit. c DSGVO dürfen Sie nur erheben, was Sie für den Zweck brauchen. Für eine Kontaktanfrage reichen meist Name und eine Rückmeldemöglichkeit. Pflichtfelder für Geburtsdatum, Adresse oder gar Beschwerdegrund gehören nicht in ein allgemeines Kontaktformular. Machen Sie so wenige Felder wie möglich zu Pflichtfeldern.

Der dritte Punkt ist der Datenschutzhinweis direkt am Formular. Er muss die vollständige Datenschutzerklärung nicht wiederholen, aber gut sichtbar auf sie verlinken, damit der Besucher vor dem Absenden weiß, wer seine Daten wie lange und wozu verarbeitet. Eine Zwangs-Checkbox "Ich habe die Datenschutzerklärung gelesen" ist rechtlich meist nicht nötig und wird von Aufsichtsbehörden teils sogar kritisch gesehen, ein klarer Hinweistext reicht.

1. 1
   HTTPS erzwingen
   Stellen Sie sicher, dass die gesamte Website und insbesondere die Formularseite ausschließlich über HTTPS erreichbar ist. Ein gültiges TLS-Zertifikat und eine automatische Weiterleitung von HTTP auf HTTPS sind die Grundlage.
2. 2
   Felder auf das Nötige reduzieren
   Prüfen Sie jedes Feld: Brauchen Sie es wirklich für die Kontaktaufnahme? Reduzieren Sie Pflichtfelder auf Name und Rückmeldeweg. Richten Sie kein Feld für Gesundheitsangaben ein.
3. 3
   Datenschutzhinweis ergänzen
   Fügen Sie am Formular einen kurzen Hinweistext mit Link zur vollständigen Datenschutzerklärung ein. Der Besucher soll vor dem Absenden wissen, was mit seinen Daten passiert.
4. 4
   Weiterleitung und Speicherung klären
   Legen Sie fest, an welche Postfächer die Anfragen gehen, wie lange sie gespeichert werden und wer Zugriff hat. Löschen Sie erledigte Anfragen nach einer definierten Frist.
5. 5
   Verarbeitung dokumentieren
   Nehmen Sie das Kontaktformular ins Verzeichnis der Verarbeitungstätigkeiten auf und hinterlegen Sie die technischen Schutzmaßnahmen. So ist es bei einer Prüfung belegbar.

SSL/TLS und Datenschutzerklärung: die Basis

Zwei Dinge muss jede Praxis-Website ausnahmslos erfüllen: durchgängige HTTPS-Verschlüsselung und eine vollständige, aktuelle Datenschutzerklärung. Beide sind unabhängig davon Pflicht, wie viele Cookies oder Dienste die Seite nutzt, und beide sind für jeden Prüfer sofort erkennbar. Sie sind die Basis, auf der alles andere aufsetzt.

Die Datenschutzerklärung muss transparent auflisten, welche Daten die Website verarbeitet, auf welcher Rechtsgrundlage, wie lange und durch wen. Dazu gehören der Server-Hoster, das Kontaktformular, eingesetzte Analyse-Tools, eingebundene Dienste und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls des Datenschutzbeauftragten. Wichtig ist, dass die Erklärung zur tatsächlichen Technik passt: Eine Datenschutzerklärung, die Google Analytics nennt, obwohl es gar nicht läuft, ist genauso falsch wie eine, die ein laufendes Tool verschweigt.

Auch der Website-Hoster verarbeitet in Ihrem Auftrag Daten, nämlich mindestens die Server-Logs mit IP-Adressen. Deshalb brauchen Sie mit dem Hoster einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, genau wie mit jedem anderen Dienstleister, der Daten für Sie verarbeitet. Achten Sie auf einen Serverstandort in der EU, das erspart die zusätzliche Prüfung von Drittlandübermittlungen. Die Grundlagen dazu stehen im Beitrag zum BSI-Grundschutz in der Praxis.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 5 (Grundsätze, u.a. Datenminimierung), Art. 28 (Auftragsverarbeitung), Art. 32 (Sicherheit der Verarbeitung), Art. 82 (Schadensersatz) und Art. 83 (Bußgelder).

Was eine Website-Prüfung kostet

Die Kosten für eine rechtssichere Praxis-Website liegen weniger im Aufwand als im Risiko, das man vermeidet. Die technische Härtung ist meist eine einmalige Sache: Fonts lokalisieren, Consent-Banner korrekt einrichten, Formular absichern, Datenschutzerklärung an die reale Technik angleichen. Danach genügt eine regelmäßige Kontrolle. Die folgenden Werte sind grobe Orientierung, keine Angebote.

Gemessen am Risiko ist das überschaubar: Ein einzelner Google-Fonts-Schadensersatz liegt bei 100 Euro pro Besucher, und Abmahnungen erzeugen zusätzlich Anwalts- und Zeitkosten. Verstöße gegen die Einwilligungspflicht können nach Art. 83 Abs. 5 DSGVO theoretisch mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden. Für eine Praxis ist das der abstrakte Rahmen, praktisch relevanter sind Abmahnungen und Einzelforderungen, die sich mit sauberer Umsetzung komplett vermeiden lassen.

Wie ITCC Praxen bei der Website-Compliance unterstützt

ITCC ist externe IT-Abteilung für medizinische Einrichtungen in der Region Pfalz/Rhein-Neckar und Rhein-Main. Wir sind keine Anwaltskanzlei und ersetzen keine Rechtsberatung, aber wir setzen die technische Seite der Website-Compliance um: das, was am Ende auf dem Server läuft und für jeden Prüfer sichtbar ist.

Konkret prüfen wir Ihre Praxis-Website auf die typischen Stolpersteine, lokalisieren extern geladene Schriften und Skripte, richten den Consent-Banner so ein, dass zustimmungspflichtige Dienste tatsächlich erst nach dem Opt-in laden, sichern das Kontaktformular über HTTPS ab und gleichen die Datenschutzerklärung mit der real eingesetzten Technik ab. Den Auftragsverarbeitungsvertrag mit dem Hoster und die Dokumentation für Ihr Verarbeitungsverzeichnis liefern wir mit.

Wenn Sie wissen wollen, wo Ihre aktuelle Website steht, schreiben Sie uns unter info@itcc.de oder rufen Sie an. Sie bekommen eine ehrliche Einschätzung und eine konkrete Liste, was noch fehlt, ohne langes Erstgespräch ohne Ergebnis.