In diesem Ratgeber
Praxisfall: Die neue Karte lädt schon beim Seitenaufruf
Eine Agentur ergänzt eine interaktive Anfahrtskarte und einen Buchungskalender. Die Datenschutzhinweise bleiben unverändert. Beim Aufruf werden bereits Verbindungen zu mehreren externen Anbietern hergestellt, bevor jemand das Banner bedient. Das Problem lässt sich nicht allein durch einen zusätzlichen Satz im Datenschutzhinweis lösen: Zuerst muss geklärt werden, welche Daten wann an wen fließen und auf welcher Grundlage.
Fordern Sie bei Änderungen eine kurze Funktionsliste an. Dazu gehören auch unsichtbare Bestandteile wie Reichweitenmessung, Sicherheitsdienste, externe Schriftarten, Videos oder Fehleranalyse. Eine sichtbare Schaltfläche sagt noch nichts darüber aus, ob der dahinterliegende Dienst bereits im Hintergrund geladen wurde.
Cookies und Datenschutz nicht in einen Topf werfen
§ 25 TDDDG betrifft das Speichern von Informationen auf Endgeräten und den Zugriff darauf. Ausnahmen von der Einwilligung bestehen unter anderem für das unbedingt Erforderliche, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Die Ausnahme ist kein Freibrief für alles, was der Praxis nützlich erscheint. Bei personenbezogenen Daten muss daneben die DSGVO geprüft werden.
Eine einfache Informationswebsite kann ohne einwilligungspflichtiges Tracking auskommen. Entscheiden Sie deshalb zuerst, welche Funktionen wirklich gebraucht werden. Ein aufwendiger Banner ist kein Selbstzweck. Wenn eine Einwilligung erforderlich ist, müssen die betroffenen Funktionen bis zur wirksamen Entscheidung zurückgehalten werden und ein Widerruf praktisch möglich sein.
Kontaktformulare auf den tatsächlichen Bedarf begrenzen
Ein Freitextfeld lädt dazu ein, Beschwerden, Diagnosen und Medikamentenlisten mitzuschicken. Das verändert den Schutzbedarf des gesamten Wegs: Formularanbieter, Versand an die Praxis, Postfach, Zugriffsrechte und Löschung müssen dazu passen. Ein Hinweis ‚Bitte keine Gesundheitsdaten‘ ist sinnvoll, verhindert die Eingabe aber nicht technisch und ersetzt keine passende Organisation.
Für das Formular gemeinsam festlegen
- Welche Anliegen sollen über dieses Formular eingehen, und welche Angaben werden dafür wirklich benötigt?
- Wer erhält die Nachricht, wer vertritt bei Abwesenheit und wie werden dringliche Anliegen erkannt?
- Ist die Übertragung geschützt, und wo werden Formulardaten zusätzlich gespeichert?
- Welche Dateien dürfen hochgeladen werden, falls Uploads überhaupt erforderlich sind?
- Welche Informationen zur Verarbeitung sehen Nutzer direkt an der passenden Stelle?
- Wie lange bleiben erledigte Nachrichten in Website, Versanddienst und Postfach gespeichert?
Machen Sie außerdem deutlich, wenn der Kanal nicht für Notfälle oder kurzfristige medizinische Rückfragen betreut wird. Das ist eine organisatorische Erwartungsklärung und sollte zum tatsächlichen Bearbeitungsprozess passen.
Sechs Bereiche für die Bestandsaufnahme
| Bereich | Prüffrage |
|---|---|
| Hosting und Administration | Wer betreibt die Seite, wer hat Zugriff und welche Verträge und Schutzmaßnahmen bestehen? |
| Externe Inhalte | Welche Anbieter erhalten beim Aufruf Daten, und können Inhalte erst bei Bedarf geladen werden? |
| Tracking und Einwilligung | Funktioniert die Entscheidung technisch auch bei Ablehnung und späterem Widerruf? |
| Formular und Terminbuchung | Sind Zwecke, Pflichtfelder, Empfänger und Verantwortlichkeiten nachvollziehbar? |
| Datenschutzinformation | Beschreibt sie die wirklich eingesetzten Dienste, Rechtsgrundlagen, Speicherfristen und Rechte? |
| Impressum | Sind Angaben nach § 5 DDG einschließlich erforderlicher berufsbezogener Angaben vorhanden? |
So wird die Prüfung mehr als eine Textkontrolle
Testen Sie die Website mit einem frischen Browserzustand, vor einer Einwilligung, nach Ablehnung und nach Zustimmung. Prüfen Sie nicht nur die Startseite, sondern auch Kontakt, Terminbuchung und eingebettete Unterseiten. Die Agentur oder IT kann die tatsächlichen Netzwerkverbindungen und Speicherzugriffe nachvollziehen. Vergleichen Sie das Ergebnis mit der Dienstleisterliste und den veröffentlichten Informationen.
Vereinbaren Sie einen kurzen Freigabeprozess für spätere Änderungen. Neue Marketingfunktionen, Buchungswidgets oder Analysewerkzeuge dürfen nicht unbemerkt in den laufenden Betrieb gelangen. Legen Sie fest, wer die Praxis informiert und welche Fragen vor Aktivierung beantwortet sein müssen.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.