Unsicher bei der DSGVO? Was Ihre Praxis-Website wirklich erfüllen muss

Beim Thema Datenschutz gibt es zwei Lager. Das eine hält alles für unmöglich und traut sich deshalb an kein Formular. Das andere hat vor Jahren eine Datenschutzerklärung eingebaut und seitdem nicht mehr hingesehen. Beides ist unnötig, denn die tatsächlichen Anforderungen an eine Praxis-Website sind überschaubar und lassen sich abarbeiten.

Ein Hinweis vorweg: Dieser Beitrag ordnet ein, er ersetzt keine Rechtsberatung. Für Ihren Einzelfall bleibt Ihr Datenschutzbeauftragter oder ein Fachanwalt zuständig.

Warum bei Praxen strengere Regeln gelten

Sobald es um Gesundheit geht, greift Artikel 9 DSGVO, der besondere Kategorien personenbezogener Daten regelt. Das betrifft nicht nur Diagnosen. Schon die Information, dass eine bestimmte Person Termine in einer orthopädischen Praxis anfragt, ist ein Gesundheitsdatum.

Dazu kommt die ärztliche Schweigepflicht nach § 203 StGB. Sie gilt unabhängig vom Datenschutzrecht und trifft auch Ihre Mitarbeiterinnen. Beides zusammen ist der Grund, warum das, was für eine normale Firmenwebsite genügt, hier nicht reicht.

Die Punkte, die immer gelten

• Verschlüsselte Verbindung. HTTPS auf allen Seiten, ohne Ausnahme, und automatische Weiterleitung von der unverschlüsselten Fassung.
• Impressum und Datenschutzerklärung. Von jeder Unterseite in einem Klick erreichbar. Bei Heilberufen gehören zusätzliche Angaben ins Impressum, unter anderem Kammer, Berufsbezeichnung samt Verleihungsstaat und die zuständige Aufsichtsbehörde.
• Datenschutzerklärung, die zur Seite passt. Eine Mustererklärung, in der Dienste stehen, die Sie gar nicht nutzen, ist ebenso falsch wie eine, in der Ihr Kontaktformular fehlt.
• Keine Datenübertragung ohne Grundlage. Alles, was beim Aufruf der Seite automatisch Daten an Dritte sendet, braucht eine Rechtsgrundlage, bei den meisten Diensten also eine vorherige Einwilligung.
• Informationspflichten nach Artikel 13. Wer verarbeitet, wozu, auf welcher Grundlage, wie lange, und welche Rechte die betroffene Person hat.

Die Prüfung in vier Schritten

Der erste Schritt ist der, den Sie selbst machen können. Öffnen Sie Ihre Seite und schauen Sie im Browser nach, welche Verbindungen beim Aufruf entstehen. Alles, was zu einem fremden Anbieter geht, bevor Sie irgendetwas geklickt haben, ist erklärungsbedürftig.

Die drei häufigsten Stolperfallen

Schriften von fremden Servern. Werden Schriftarten beim Seitenaufruf von einem externen Anbieter nachgeladen, geht die IP-Adresse des Besuchers dorthin, ohne dass er gefragt wurde. Das war Gegenstand zahlreicher Abmahnwellen. Die Lösung ist simpel: Schriften lokal einbinden. Das macht die Seite nebenbei schneller.

Karten und Videos. Eine eingebettete Karte oder ein eingebettetes Video lädt in der Regel sofort Daten zum Anbieter. Ohne vorherige Einwilligung ist das nicht zulässig. Praktikabel ist eine Vorschau, die erst auf Klick lädt, oder schlicht ein Link statt einer Einbettung. Für eine Praxis reicht ein Link zur Route in aller Regel vollkommen.

Formulare per E-Mail. Viele Kontaktformulare schicken den Inhalt als unverschlüsselte E-Mail weiter. Bei Gesundheitsdaten ist das der kritischste Punkt überhaupt, denn E-Mail ist auf dem Transportweg nicht durchgehend geschützt. Anfragen sollten verschlüsselt entgegengenommen und gesichert abgelegt werden.

Was Sie über Statistik wissen sollten

Die Frage, wie viele Menschen die Seite besuchen, ist berechtigt. Der übliche Weg, ein Statistikdienst mit Einwilligungsbanner, ist für eine Praxis aber selten der beste.

Der Grund liegt in der Kombination: Ein Banner senkt die Zahl der Besucher, die überhaupt gemessen werden, oft deutlich. Sie zahlen also mit einer schlechteren Nutzererfahrung für Zahlen, die anschließend unvollständig sind.

Die praktikable Alternative sind Auswertungen, die ohne Wiedererkennung des einzelnen Besuchers arbeiten und die Daten in Europa verarbeiten. Solche Lösungen kommen in vielen Fällen ohne Einwilligung aus. Klären Sie das im Einzelfall, aber wissen Sie, dass es diesen Weg gibt.

Und noch wichtiger: Die Zahl, die für Ihre Praxis wirklich zählt, ist nicht die Besucherzahl, sondern die Zahl der Anrufe am Tresen. Die messen Sie mit einem Zettel und ohne jede Rechtsfrage.

Cookies und Einwilligung

Ein Banner ist kein Selbstzweck. Wenn Ihre Seite nichts lädt, was eine Einwilligung braucht, brauchen Sie auch kein Banner. Wenn sie es tut, muss das Banner echte Wahlfreiheit bieten: Ablehnen muss genauso leicht sein wie Zustimmen, und vor der Entscheidung darf nichts geladen werden.

Der elegantere Weg ist, die Seite so zu bauen, dass sie ohne einwilligungspflichtige Dienste auskommt. Dann entfällt das Banner, die Seite wird schneller, und ein ganzes Risikofeld verschwindet. Für eine Praxis ist das fast immer möglich, weil Sie keine Werbenetzwerke brauchen.

Rechtliche Grundlage dafür ist neben der DSGVO das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, das die Einwilligung für den Zugriff auf Endgeräte regelt. Praktisch heißt das: Auch technisch nicht notwendige Speicherungen im Browser brauchen eine Einwilligung, unabhängig davon, ob personenbezogene Daten fließen.

Auftragsverarbeitung: wann Sie einen Vertrag brauchen

Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie einen Vertrag nach Artikel 28 DSGVO. In der Praxis betrifft das mehr Beteiligte, als man denkt:

Sammeln Sie diese Verträge an einer Stelle. Bei einer Prüfung ist die erste Frage regelmäßig, ob sie vorliegen, und die zweite, ob die Liste vollständig ist.

Das Verzeichnis von Verarbeitungstätigkeiten

Ein Punkt, der oft für Verwirrung sorgt: Auch kleine Praxen müssen in der Regel ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO führen. Die viel zitierte Ausnahme für Betriebe unter 250 Beschäftigten greift nämlich nicht, sobald besondere Kategorien von Daten verarbeitet werden. Und genau das tun Sie mit jedem Patienten.

Erschrecken Sie nicht vor dem Namen. Es ist eine Tabelle, in der je Verarbeitung steht, worum es geht, welche Datenarten betroffen sind, wer Zugriff hat, wohin die Daten gehen und wie lange sie bleiben. Für eine Praxis sind das typischerweise zehn bis fünfzehn Zeilen: Behandlungsdokumentation, Abrechnung, Terminverwaltung, Website-Anfragen, Newsletter, Bewerbungen, Personalverwaltung.

Einmal angelegt, ändert sich das Verzeichnis selten. Der Aufwand liegt im ersten Mal, danach ist es eine jährliche Durchsicht von zwanzig Minuten.

Löschen und Aufbewahren

Für jede Anfrage, die über die Website hereinkommt, muss klar sein, wie lange sie liegt und wer sie löscht. Das gilt auch für die Kopie im Postfach und für Sicherungskopien.

Ein Satz in der Datenschutzerklärung ist die eine Hälfte, die tatsächliche Löschroutine im Alltag die andere. Legen Sie eine feste Zuständigkeit und einen festen Termin fest, etwa einmal im Monat. Ohne Zuständigkeit passiert es nicht, und zwar in jeder Praxis gleich.

Wichtig ist die Unterscheidung: Die Patientenakte unterliegt eigenen, langen Aufbewahrungsfristen. Eine Terminanfrage, aus der kein Termin wurde, gehört nicht in die Akte und braucht eine kurze Frist.

Was Sie tun müssen, wenn etwas passiert

Bei einer Datenschutzverletzung, etwa wenn Anfragen an den falschen Empfänger gingen oder ein Zugang kompromittiert wurde, gilt eine Meldefrist von 72 Stunden an die zuständige Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko müssen zusätzlich die Betroffenen informiert werden.

Das klingt bedrohlicher, als es ist. Wichtig ist nur, dass Sie vorher wissen, wer im Fall der Fälle was tut, und dass Sie den Vorfall dokumentieren. Eine Seite mit dem Ablauf und der Telefonnummer Ihres Datenschutzbeauftragten im Ordner genügt.

Brauchen Sie einen Datenschutzbeauftragten?

Die Frage kommt in fast jedem Gespräch, und die Antwort ist erfreulich klar. Nach § 38 BDSG müssen Sie eine Person benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Für die meisten Praxen bedeutet das: keine Pflicht zur Benennung. Die Schwelle ist höher, als viele annehmen, und sie zählt Personen, nicht Vollzeitstellen.

Unabhängig davon bleiben alle inhaltlichen Pflichten bestehen. Sie brauchen also niemanden zu benennen, aber Sie müssen die Anforderungen trotzdem erfüllen. In der Praxis lohnt sich deshalb oft eine einmalige externe Durchsicht, auch ohne dauerhafte Bestellung.

Ihre Prüfliste in zehn Minuten

1. Ist HTTPS überall aktiv und erzwungen?
2. Sind Impressum und Datenschutz von jeder Seite erreichbar?
3. Enthält das Impressum Kammer, Berufsbezeichnung und Aufsichtsbehörde?
4. Werden Schriften lokal geladen?
5. Lädt eine Karte oder ein Video ungefragt?
6. Wohin geht der Inhalt Ihres Kontaktformulars, und ist der Weg verschlüsselt?
7. Steht in der Datenschutzerklärung wirklich das, was Ihre Seite tut?
8. Liegen die Verträge zur Auftragsverarbeitung vollständig vor?
9. Gibt es eine gelebte Löschfrist für Anfragen, mit benannter Zuständigkeit?

Wenn Sie diese neun Punkte einmal im Jahr durchgehen, sind Sie besser aufgestellt als die meisten Praxen. Und Sie merken schnell, dass der Aufwand nicht in der Prüfung liegt, sondern im ersten Mal.

Diese Übersicht ist eine Orientierung und keine Rechtsberatung. Im Zweifel prüfen Sie Ihren Einzelfall mit Ihrem Datenschutzbeauftragten oder einem Fachanwalt.