Datenschutzerklärung auf der Praxis-Website (Art. 13 DSGVO)
Recht & Datenschutz
Seit dem EuGH-Urteil Lindenapotheke und den BGH-Urteilen vom 27. März 2025 können auch Mitbewerber Lücken in der Datenschutzerklärung wettbewerbsrechtlich abmahnen
Warum eine kopierte Vorlage keine Lösung ist, und was speziell für Gesundheitsdaten in die Erklärung gehört.
- Eine Datenschutzerklärung muss alle Pflichtangaben aus Art. 13 Abs. 1 und Abs. 2 DSGVO enthalten und mit maximal zwei Klicks von jeder Seite erreichbar sein
- Für Gesundheitsdaten ist die richtige Rechtsgrundlage Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG, nicht die allgemeine Rechtsgrundlage nach Art. 6 DSGVO
- Eine ungeprüft übernommene Vorlage ist keine Lösung, sie muss die tatsächlich eingesetzten Tools und Dienstleister der Praxis konkret benennen
- Seit dem EuGH-Urteil Lindenapotheke und den BGH-Urteilen vom 27. März 2025 können auch Mitbewerber Verstöße gegen die Informationspflichten wettbewerbsrechtlich abmahnen
Eine kopierte Datenschutzerklärung ist keine Lösung: Sie muss exakt die Verarbeitungen abbilden, die auf der eigenen Praxis-Website tatsächlich stattfinden, allen voran die richtige Rechtsgrundlage für Gesundheitsdaten. Seit 2025 drohen bei Lücken nicht mehr nur Bußgelder, sondern auch Abmahnungen durch Mitbewerber.
Was in jede Datenschutzerklärung gehört
Art. 13 Abs. 1 DSGVO verlangt Angaben zur Identität des Verantwortlichen, den Kontaktdaten des Datenschutzbeauftragten, den Zwecken und Rechtsgrundlagen jeder einzelnen Verarbeitung, den Empfängerkategorien und einer etwaigen Drittlandsübermittlung. Art. 13 Abs. 2 ergänzt Speicherdauer, alle Betroffenenrechte inklusive Widerrufs- und Beschwerderecht sowie Hinweise zu automatisierter Entscheidungsfindung. Nach Art. 12 Abs. 1 DSGVO muss das alles in klarer, einfacher Sprache formuliert und von jeder Seite der Website mit maximal zwei Klicks erreichbar sein.
Der Name des Datenschutzbeauftragten muss dabei nicht zwingend genannt werden, ausreichend ist eine funktionale Bezeichnung mit Kontaktmöglichkeit. Entscheidend ist, dass die Erklärung die real eingesetzten Tools und Dienstleister der Praxis abbildet, nicht nur abstrakte Kategorien.
Die praxisspezifische Rechtsgrundlage und die Grenze zu den Nachbarthemen
Schon ein Kontaktformular oder eine Terminanfrage kann Gesundheitsdaten erfassen. Die richtige Rechtsgrundlage dafür ist Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG, nicht die allgemeine Rechtsgrundlage nach Art. 6 DSGVO. Bei der Speicherdauer der Behandlungsdokumentation lohnt ein Verweis auf § 630f Abs. 3 BGB, der eine zehnjährige Aufbewahrungsfrist vorsieht.
Die Datenschutzerklärung ersetzt dabei nicht die einzelnen technischen und vertraglichen Maßnahmen: Sie macht die eingesetzten Auftragsverarbeiter, das Cookie-Tool und die Bestellung des Datenschutzbeauftragten transparent, ist aber ein eigenständiges Dokument neben dem Auftragsverarbeitungsvertrag, der Cookie-Einwilligung und der TLS-Absicherung.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen bei Datenschutzerklärungen am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Kopieren ersetzt keine individuelle Prüfung.
Hilft Die Erklärung wurde individuell auf die tatsächlichen Verarbeitungen der Praxis zugeschnitten.
Stolperfalle Eine von einem Generator oder einer Kollegin übernommene Vorlage wird ungeprüft eingesetzt.
Verstößt gegen Art. 13 Abs. 1 lit. e DSGVO.
Hilft Jeder real genutzte Dienstleister wird als Empfängerkategorie konkret benannt.
Stolperfalle Kartendienst, Terminbuchungsportal oder Hosting-Anbieter werden real genutzt, aber in der Erklärung nicht genannt.
Art. 9 DSGVO verdrängt die allgemeinen Erlaubnistatbestände.
Hilft Für Gesundheitsdaten wird ausdrücklich Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG genannt.
Stolperfalle Die Erklärung nennt nur die allgemeine Rechtsgrundlage nach Art. 6 DSGVO, obwohl Gesundheitsdaten erhoben werden.
Auffindbarkeit ist Teil der Transparenzpflicht.
Hilft Ein eigener, klar benannter Menuepunkt führt mit einem Klick zur Erklärung, bei Bedarf auch mehrsprachig.
Stolperfalle Die Erklärung ist im Impressum versteckt, mehr als zwei Klicks entfernt oder trotz mehrsprachiger Website nur auf Deutsch verfügbar.
Wie ist Ihre Datenschutzerklärung einzuordnen?
Entscheidend ist, wie genau die Erklärung die tatsächlichen Verarbeitungen abbildet.
Wählen Sie die Situation, die auf Sie zutrifft
Zeitleiste
Wie sich die Rechtslage entwickelt hat
Von der DSGVO 2018 zum neuen Abmahnrisiko seit 2025.
- 25. Mai 2018
DSGVO-Geltungsbeginn
Geltungsbeginn der DSGVO, Art. 13 wird zur zentralen Rechtsgrundlage der Website-Datenschutzerklärung.
- 13. September 2018
LG Würzburg, 11 O 1741/18
Das LG Würzburg untersagt den Betrieb einer Website mit unzureichender Datenschutzerklärung, eine der ersten bekannten Entscheidungen dieser Art.
- 14. Mai 2024
BGH, VI ZR 370/22
Der BGH entscheidet, dass die Nennung des Namens des Datenschutzbeauftragten in der Erklärung nicht zwingend ist, eine funktionale Bezeichnung mit Kontaktdaten genügt.
- 4. Oktober 2024
EuGH, C-21/23 Lindenapotheke
Der EuGH entscheidet im Fall Lindenapotheke, dass die DSGVO der wettbewerbsrechtlichen Verfolgung durch Mitbewerber nicht entgegensteht.
- 27. März 2025
BGH-Urteile zur Abmahnfähigkeit
Der BGH bestätigt in drei Urteilen die Abmahnfähigkeit von Verstößen gegen Informationspflichten durch Mitbewerber.
- 6. Februar 2026
Novelle des § 630f BGB
Die Novelle des § 630f BGB tritt in Kraft, die Kernpflichten zur Aufbewahrung der Behandlungsdokumentation bleiben unverändert.
Was jetzt zu tun ist
Erfassen Sie alle Website-Funktionen und eingesetzten Dienstleister und ordnen Sie jeder Verarbeitung die passende Rechtsgrundlage zu, bei Gesundheitsdaten Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG. Arbeiten Sie die vollständige Pflichtangaben-Liste aus Art. 13 Abs. 1 und 2 DSGVO für jede Verarbeitung einzeln ab.
Stellen Sie sicher, dass die Erklärung mit maximal zwei Klicks erreichbar ist, in klarer Sprache formuliert ist und bei Bedarf in weiteren Sprachen bereitsteht. Koppeln Sie die Aktualisierung an jede Änderung der Website, etwa ein neues Tool oder einen neuen Dienstleister, und prüfen Sie mindestens einmal jährlich zusätzlich anlassbezogen.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft auch Ihre Datenschutzerklärung, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.