Braucht meine Praxis-Website einen Cookie-Banner?

Nein, nicht grundsätzlich. Eine Einwilligung ist nur nötig, wenn die Seite etwas auf dem Gerät der Besucher speichert oder ausliest, das für die gewünschte Funktion nicht unbedingt nötig ist (§ 25 TDDDG), oder Besucherdaten an Dienste wie Google gibt, die sie auch für eigene Zwecke nutzen. Lädt die Seite nur eigene Inhalte, braucht sie in der Regel keinen Banner. Ein Banner ist nur ein Weg, die Einwilligung einzuholen.

Nein. Ein Hinweis ist keine Einwilligung. Braucht die Seite eine Einwilligung, müssen Besucher aktiv zustimmen, und Ablehnen darf nicht mühsamer sein als Zustimmen. Der Europäische Gerichtshof hat 2019 klargestellt, dass Besucher aktiv zustimmen müssen und ein vorab gesetztes Häkchen keine Einwilligung ist (Planet49). Ein bloßer Hinweis reicht deshalb erst recht nicht. Braucht die Seite keine Einwilligung, ist der Hinweis überflüssig. Was sie technisch tut, gehört dann in die Datenschutzerklärung.

Ja. Schon beim Aufruf verarbeitet der Server die IP-Adresse, zum Beispiel in Protokolldateien. Darüber müssen Sie informieren (Art. 13 DSGVO). Ohne fremde Dienste wird die Datenschutzerklärung aber deutlich kürzer.

§ 25 TDDDG regelt, wann eine Website etwas auf dem Gerät der Besucher speichern oder dort auslesen darf. Das Gesetz hieß bis Mai 2024 TTDSG. Es gilt für Cookies genauso wie für den Speicher des Browsers (Local Storage, Session Storage) und ähnliche Techniken. Ohne Einwilligung erlaubt ist, was für eine Funktion unbedingt nötig ist, die der Besucher selbst nutzen will, etwa eine selbst gewählte Schriftgröße oder Anzeige in Einfacher Sprache.

Ja, wenn die Schriftdateien auf Ihrem eigenen Server liegen. Lädt die Seite die Schriften beim Aufruf direkt von Google, geht die IP-Adresse der Besucher an Google. Das Landgericht München I hat 2022 entschieden, dass das ohne Einwilligung nicht erlaubt war, weil sich die Schriften auch selbst ablegen lassen. Für Icon-Schriften und Schriften anderer Anbieter gilt dasselbe.

Laden Sie die Schriftdateien herunter, etwa als WOFF2, legen Sie sie auf Ihren Webserver und binden Sie sie per @font-face in Ihr CSS ein. Danach dürfen keine Verweise auf fonts.googleapis.com oder fonts.gstatic.com mehr im Quelltext stehen, auch keine preconnect-Verweise. Bei WordPress hilft oft eine Einstellung im Theme oder ein Plugin. Prüfen lässt sich das in den Entwicklerwerkzeugen des Browsers im Reiter „Netzwerk“.

Eine eingebettete Google-Karte lädt schon beim Seitenaufruf und gibt die IP-Adresse an Google. Dafür braucht es in der Regel eine Einwilligung. Ohne Banner geht es mit einem einfachen Link zu Google Maps, mit einer Karte, die erst nach einem Klick und einem kurzen Hinweis lädt, oder mit einem Kartendienst, der über den eigenen Server läuft.

Das hängt von der Einbindung ab. Lädt das Buchungsfenster schon beim Seitenaufruf, erfährt der Anbieter von jedem Besuch, auch wenn niemand buchen will. Ein Link zur Buchungsseite kommt ohne Banner aus. Ein Fenster, das erst nach dem Klick auf „Termin buchen“ lädt, in der Regel auch, sofern es selbst keine Statistik- oder Werbe-Cookies setzt und vorher kurz steht, welcher Anbieter dann Daten bekommt.

Laden sie schon beim Seitenaufruf, braucht es in der Regel eine Einwilligung. Auch der erweiterte Datenschutzmodus von YouTube überträgt die IP-Adresse an Google und speichert Daten im Browser. Ohne Banner geht es, wenn das Video erst nach einem Klick mit kurzem Hinweis lädt oder auf dem eigenen Server liegt. Der Klick ist dann die Einwilligung, der Hinweis nennt deshalb den Anbieter, was übertragen wird, und verlinkt die Datenschutzerklärung. Für reCAPTCHA haben etwa die französische Datenschutzbehörde und das österreichische Bundesverwaltungsgericht (2024) eine Einwilligung verlangt. Spamschutz ohne Cookies kommt ohne aus.

Ein Widget, das die Bewertungen live bei Google lädt, braucht in der Regel eine Einwilligung. Ohne Banner geht es mit einem Link zu Ihrem Google-Profil.

Oft ja, mit einer Statistik, die nichts auf dem Gerät speichert, keine Kennung bildet und auf dem eigenen Server läuft, oder mit einer Auswertung der Server-Protokolle. Wie weit das ohne Einwilligung reicht, beurteilen die Datenschutzbehörden nicht ganz einheitlich. Stimmen Sie die Einstellung am besten mit Ihrem Datenschutzbeauftragten ab. Google Analytics braucht eine Einwilligung.

Verantwortlich im Sinne der DSGVO ist die Praxis bzw. ihr Träger, also Inhaberin oder Inhaber, Gemeinschaftspraxis oder MVZ. Agentur und Hoster arbeiten in ihrem Auftrag, dafür braucht es einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Für eingebundene fremde Dienste bleibt die Praxis mitverantwortlich. Es lohnt sich deshalb, nachzufragen, welche Dienste die Website lädt.

Ja. Die Regeln gelten für jede Website, unabhängig von der Fachrichtung.