Ihre Schweigepflicht endet nicht an der Website.
Eine Rezeptbestellung enthält Name, Geburtsdatum und Medikament. Auf den meisten Praxis-Websites reist sie als E-Mail über fremde Server. Hier steht, was das Recht von Ihrer Website verlangt und was pracio Ihnen davon abnimmt.
- Formular auf der WebsitePer HTTPS zum Server
- Website-ServerSchickt die Anfrage als E-Mail weiter
- Mailserver unterwegsTLS nur, wenn beide Seiten es können
- Postfach der PraxisLiegt beim Mail-Anbieter lesbar
praxis@beispiel.de · Posteingang
Rezeptbestellung über die Website
Erika Muster, geb. 12.03.1958 · Ramipril 5 mg, 100 Stück · Abholung in der Praxis
Schon der Klick verrät etwas.
Der Europäische Gerichtshof hat 2023 entschieden: Wer erfasst, dass jemand gesundheitsbezogene Seiten aufruft, und das einer Person zuordnet, verarbeitet Gesundheitsdaten. Ob er das wollte, spielt keine Rolle (C-252/21).
Auf einer Praxis-Website heißt das: Lädt die Seite zur Krebsvorsorge Schriften von Google, eine Statistik oder ein Werbe-Pixel, erfahren Dritte von diesem Besuch.
- 100 €
- Schadensersatz pro Besucher für Google-Schriften, die vom Google-Server geladen wurden. LG München I, 2022
- 37 Mio. SEK
- Bußgeld gegen eine schwedische Apotheke für ein Meta-Pixel, das sie selbst nicht bemerkt hatte. IMY, 2024
Verbindungen beim Laden6
praxis-beispiel.deIhre Seitefonts.googleapis.comSchriften, erhält IP-Adressewww.google-analytics.comStatistik mit Kennungconnect.facebook.netWerbe-Pixelmaps.googleapis.comKarte beim Ladenwww.youtube.comVideo beim Laden
5 Drittanbieter erfahren, dass jemand die Krebsvorsorge-Seite liest.
Wer Ihre Website betreibt, steht mit unter Ihrer Schweigepflicht.
Seit 2017 dürfen Sie Dienstleistern Patientengeheimnisse anvertrauen, soweit es nötig ist. Die Bedingung: Sie verpflichten den Dienstleister zur Verschwiegenheit. Tun Sie das nicht und gibt dort jemand etwas weiter, machen Sie sich selbst strafbar (§ 203 Abs. 4 StGB).
Wer Ihre Formularanfragen zustellt oder Ihre Server betreut, gehört nach Einschätzung von Bundesärztekammer und KBV zu diesen Dienstleistern. Ein Gericht hat das für Website-Anbieter noch nicht entschieden. Der Auftragsverarbeitungsvertrag reicht dafür nicht:
„Die Auftragsverarbeitung stellt aber keine Befugnis im Sinne von § 203 StGB dar.“
Bundesärztekammer und KBV, Hinweise zur Schweigepflicht, Stand 1. Oktober 2025
Fünf Fragen an Ihren Website-Dienstleister
0 von 5 geklärt
Fragen Sie nur, was Sie wirklich brauchen.
HTTPS ist für jedes Formular Pflicht (§ 19 TDDDG) und schützt nur den Weg bis zum Server. Danach geht die Anfrage meist als E-Mail weiter. Die Datenschutzkonferenz wertet das Berufsgeheimnis als Hinweis auf ein hohes Risiko und erwartet dann in der Regel mehr als Transportverschlüsselung (DSK 2021).
„Gesundheitsdaten dürfen nicht beim Provider im Klartext vorliegen.“
Landesbeauftragter für den Datenschutz Baden-Württemberg
Am meisten hilft ein kurzes Formular. Wer keinen Freitext für Beschwerden anbietet, bekommt keine Befunde ins Postfach. Die Einwilligungs-Checkbox können Sie streichen: Grundlage ist der Behandlungsvertrag (BayLDA).
Rezept bestellen
- Vor- und NachnameErika Muster
- Geburtsdatum12.03.1958
- Telefon oder E-Mail0341 …
- Medikament, Stärke, MengeRamipril 5 mg, 100 Stück
- VersichertennummerA123456789
- DiagnoseBluthochdruck
- Ihre Beschwerden (Freitext)Seit zwei Wochen Schwindel …
Die KBV nennt Ihre Homepage beim Namen.
„Bei der Bereitstellung und dem Betreiben von Internet-Anwendungen wie Praxis-Homepage oder Online-Terminkalender wird eine Web Application Firewall eingesetzt.“
KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V, Fassung ab 1. April 2025
Die Richtlinie gilt für Vertragsarztpraxen. Sie verlangt außerdem, automatisierte Zugriffe nicht zuzulassen. Bei einer Website ohne Dienstleister ist das Ihre Aufgabe.
Was pracio Ihnen abnimmt. Und was noch nicht.
Wir schreiben den Stand dazu. Was in Vorbereitung ist, steht hier, bis es fertig ist.
- Seitenaufrufe nicht an Dritte gebenSchriften lokal, keine Statistik- oder Werbeskripte, Google Maps nur als Link.Umgesetzt
- Sicherheitslücken schließenKeine Plugins. Hosting und Sicherheitsupdates sind im Monatspreis.Umgesetzt
- Hosting in DeutschlandRechenzentrum in Deutschland, Auftragsverarbeitung nach Art. 28 DSGVO.Umgesetzt
- Formularanfragen nicht im Klartext verschickenAnfragen bleiben verschlüsselt im Praxisportal, die Praxis bekommt nur einen Hinweis per E-Mail.In Vorbereitung
- Dienstleister nach § 203 StGB verpflichtenAlle Mitarbeitenden schriftlich verpflichtet, Vereinbarung für Ihre Praxis im Vertrag.In Vorbereitung
- Nur nötige Daten abfragenVorlagen für Terminanfrage und Rezept, mit Notfallhinweis und ohne Freitext für Beschwerden.In Vorbereitung
- Web Application Firewall für die HomepageFirewall und Schutz vor automatisierten Zugriffen, dokumentiert.Wird geprüft
Alle 16 Quellen · Stand Oktober 2026
- EuGH, Urteil C-252/21 (Meta Platforms), Rn. 68–79 · 2023
- EuGH, Urteil C-184/20, Einordnung datenrecht.ch · 2022
- HmbBfDI: Einordnung des EuGH-Urteils Meta/Bundeskartellamt
- LG München I, 3 O 17493/20 (Google Fonts), via Plutte · 20.01.2022
- IMY: Bußgelder gegen Apoteket und Apohem (Meta Pixel) · 2024
- DSK: Orientierungshilfe für Anbieter digitaler Dienste · Version 1.2, 2024
- § 203 StGB
- BÄK/KBV: Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung · Stand 01.10.2025
- DSK: Orientierungshilfe E-Mail-Verschlüsselung · 16.06.2021
- LfDI Baden-Württemberg: FAQ Datenschutz in der Arztpraxis
- VG Mainz, 1 K 778/19, via Reuschlaw · 17.12.2020
- § 19 TDDDG
- BayLDA: FAQ Rechtsgrundlage der Verarbeitung
- gematik: Folgerezepte ohne Praxisbesuch
- KBV: IT-Sicherheit in der Praxis
- Hausärzteverband BW zur IT-Sicherheitsrichtlinie 2025 · Anlage-Nummern im Original prüfen
Keine Rechtsberatung. Die Angaben geben den Stand der genannten Quellen wieder.
Datenschutz, den Sie nicht selbst prüfen müssen.
Im Erstgespräch sehen Sie, wie Ihre Website aussehen kann. Gekauft wird erst, wenn Ihnen der Entwurf gefällt.
