Praxis-Websites spielen datenschutzrechtlich in einer eigenen Liga: Gesundheitsdaten genießen nach Art. 9 DSGVO besonderen Schutz, dazu kommt die ärztliche Schweigepflicht – und schon die Formular-Nachricht „Ich hätte gern einen Termin wegen meiner Rückenschmerzen" ist ein Gesundheitsdatum. Hier sind die 12 Punkte, an denen Praxis-Websites am häufigsten scheitern – als abarbeitbare Checkliste.
Transparenz vorweg: Ich bin Webdesigner mit DSGVO-Fokus, kein Jurist. Dieser Artikel ersetzt keine Rechtsberatung – er hilft Ihnen, die richtigen Fragen zu stellen und 90 Prozent der typischen Fehler zu vermeiden.
Die 12-Punkte-Checkliste
1. Schriften lokal hosten (der Abmahn-Klassiker)
Google Fonts, die beim Seitenaufruf von Google-Servern geladen werden, übertragen die IP-Adresse Ihrer Besucher in die USA – dafür gab es bereits Abmahnwellen. Der Fix ist simpel: Schriftdateien herunterladen und vom eigenen Server ausliefern. Nebeneffekt: Die Seite wird schneller. Gleiches Prinzip gilt für Icon-Bibliotheken und Skripte von fremden CDNs.
2. Hosting mit EU-Serverstandort und AV-Vertrag
Ihr Hoster verarbeitet die Daten Ihrer Website-Besucher – also brauchen Sie einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) und idealerweise einen Serverstandort in der EU. Bei Praxen würde ich US-Hosting ohne EU-Region grundsätzlich vermeiden.
3. Verschlüsselung (TLS) überall
HTTPS ist Pflicht – ohne Ausnahme, auf jeder Seite, mit automatischer Weiterleitung von HTTP. Für Formulare, die Gesundheitsbezug haben können, ist unverschlüsselte Übertragung ein handfester Verstoß.
4. Datensparsame Formulare
Fragen Sie nur ab, was Sie für die Antwort brauchen: Name, Kontaktweg, Anliegen. Kein Geburtsdatum, keine Versichertennummer, keine Pflichtfelder für Diagnosen. Und: Weisen Sie im Formular darauf hin, dass sensible Details ins persönliche Gespräch gehören, nicht in die E-Mail.
5. Vorsicht bei E-Mail-Weiterleitung von Formulardaten
Formularinhalte mit möglichem Gesundheitsbezug sollten nicht unverschlüsselt durch die Welt gemailt werden. Lösungen: TLS-gesicherte Zustellung ans eigene Postfach beim EU-Hoster, oder besser eine Speicherung im gesicherten Backend mit Benachrichtigung.
6. Tracking: am besten gar nicht – sonst richtig
Google Analytics & Co. sind auf Praxis-Websites ein Risiko ohne echten Nutzen: Was Sie wissen wollen (Wie viele Besucher? Welche Seiten? Woher?), liefern datenschutzfreundliche, cookielose Tools mit EU-Hosting genauso – ohne Einwilligungspflicht und ohne Banner. Marketing-Pixel (Meta, TikTok) haben auf Gesundheitsseiten nichts verloren: Die Kombination „besuchte eine Implantat-Seite" + Werbeprofil ist genau die Datenkategorie, die Bußgelder provoziert.
7. Das Cookie-Banner-Missverständnis
Ein Banner macht eine Website nicht konform – und eine sauber gebaute Praxis-Website braucht oft gar keins. Einwilligungen sind nur für einwilligungspflichtige Dienste nötig. Wer ohne Tracker, Fremdeinbettungen und Marketing-Cookies auskommt, kommt ohne Banner aus: bessere Nutzererfahrung, weniger Rechtsrisiko. Das nervige Banner ist fast immer ein Symptom vermeidbarer Technik-Entscheidungen.
8. Externe Einbettungen zähmen: Karten, Videos, Kalender
Google Maps und YouTube laden beim Seitenaufruf Daten von Drittservern. Lösungen: statisches Kartenbild mit Link, Zwei-Klick-Einbettung („Karte laden") oder datenschutzfreundliche Videoeinbindung ohne Vorab-Tracking. Bei Termin-Tools auf EU-Hosting und AV-Vertrag achten – mehr zur Terminbuchungs-Frage hier.
9. Datenschutzerklärung, die zur Website passt
Der häufigste Fehler: eine Muster-Erklärung, die Dienste beschreibt, die gar nicht (oder nicht mehr) im Einsatz sind – oder umgekehrt neue Tools verschweigt. Die Erklärung muss den tatsächlichen Zustand abbilden und bei jeder Änderung mitziehen.
10. Impressum vollständig
Für Praxen gehören neben den Standardangaben auch Berufsbezeichnung, zuständige Kammer, Verleihungsstaat und die berufsrechtlichen Regelungen hinein. Fünf Minuten Arbeit, oft vergessen.
11. Team-Fotos nur mit schriftlicher Einwilligung
Mitarbeiterfotos auf der Website brauchen eine schriftliche, freiwillige Einwilligung – inklusive Regelung, was beim Ausscheiden passiert. Gehört in jede Personalakte, bevor der Media Day startet.
12. Regelmäßiger Check
Websites leben: Ein neues Plugin, ein neues Einbettungs-Snippet – und die Datenlage hat sich geändert. Einmal jährlich (und bei jedem Umbau) die Punkte 1–11 durchgehen.
Datenschutz und Sichtbarkeit sind keine Gegner – im Gegenteil: Lokal gehostete Schriften machen die Seite schneller, der Verzicht auf Banner verbessert die Nutzererfahrung, und Vertrauenssignale wie ein sauberes Impressum zählen zu Googles Qualitätskriterien für Gesundheitsseiten. Die DSGVO-saubere Website ist fast immer auch die besser rankende.
Häufige Fragen
Warum gelten für Praxis-Websites strengere Datenschutz-Maßstäbe?
Weil Gesundheitsdaten nach Art. 9 DSGVO besonders geschützt sind – und schon die Anfrage über ein Kontaktformular ('Ich hätte gern einen Termin wegen…') Gesundheitsdaten enthalten kann. Dazu kommt die ärztliche Schweigepflicht. Praxen stehen deshalb bei Datenschutzverstößen stärker im Fokus von Abmahnungen und Aufsichtsbehörden als andere Branchen.
Sind Google Fonts auf meiner Praxis-Website ein Problem?
Ja, wenn sie remote von Google-Servern geladen werden: Dabei wird die IP-Adresse Ihrer Besucher in die USA übertragen – dafür gab es bereits Abmahnwellen. Die Lösung ist einfach: Schriften lokal auf dem eigenen Server hosten. Das ist technisch in einer Stunde erledigt und macht die Website nebenbei schneller. Gleiches Prinzip gilt für extern geladene Videos, Karten und Skripte.
Brauche ich ein Cookie-Banner auf der Praxis-Website?
Nur wenn Sie einwilligungspflichtige Dienste nutzen – etwa Tracking, Marketing-Pixel oder externe Einbettungen. Eine sauber gebaute Praxis-Website kommt ohne all das aus: datenschutzfreundliche Statistik ohne personenbezogene Daten, lokal gehostete Medien, keine Fremb-Tracker. Ergebnis: kein Banner nötig, bessere Nutzererfahrung, weniger Angriffsfläche. Das nervige Banner ist fast immer ein Symptom vermeidbarer Technik-Entscheidungen.
Jede Website aus dem Praxis-Sichtbarkeits-System wird nach diesen 12 Punkten gebaut: EU-Hosting, lokale Schriften, datensparsame Formulare, bannerfrei wo möglich. Datenschutz ist bei mir Arbeitsgrundlage, kein Aufpreis.
Florian Kronfeldt
Florian Kronfeldt ist Webdesigner und SEO-Experte aus Werder (Havel) und seit 2017 selbstständig. Er ist auf inhabergeführte Praxen spezialisiert und macht ruhige Spitzen-Praxen sichtbar – mit interview-basierten Websites, Local SEO und KI-Sichtbarkeit. Seine Methoden hat er zuerst am eigenen Geschäft bewiesen: Top-3-Ranking für „SEO Agentur Berlin" in eigener Sache.