Was muss in die Datenschutzerklärung einer Praxis-Website?

Immer: wer verantwortlich ist, gegebenenfalls der Kontakt zur oder zum Datenschutzbeauftragten, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden, wer sie erhält, wie lange sie gespeichert werden, welche Rechte Besucher haben und dass sie sich bei einer Datenschutzaufsicht beschweren können (Art. 13 DSGVO). Dazu, falls zutreffend, berechtigte Interessen, Übermittlungen in Länder außerhalb der EU und ein gesondert hervorgehobener Hinweis auf das Widerspruchsrecht. Dazu je nach Technik Abschnitte zu Formular, Terminbuchung, Karte, Statistik und weiteren Diensten.

Ja. Schon beim Aufruf verarbeitet der Server Daten wie die IP-Adresse, darüber müssen Besucher informiert werden (Art. 13 DSGVO). Die Datenschutzerklärung muss von jeder Seite aus leicht zu finden sein, üblich ist ein Link im Fußbereich.

Als Ausgangspunkt ja. Einige Ärztekammern und Rechtstexte-Dienste bieten Muster an. Generatoren liefern schnell einen Text, kennen aber Ihre Website nicht. Rechtstexte-Dienste, die ihre Texte bei Gesetzesänderungen automatisch aktualisieren, kosten ab etwa 10 € im Monat, je nach Anbieter und Umfang auch mehr. Manche Kammermuster stammen von 2018 und nennen Rechtsgrundlagen, die heute anders gesehen werden, etwa eine Einwilligung für jede Kontaktaufnahme per E-Mail. Passen Sie das Muster an die Technik Ihrer Website an.

Grundsätzlich ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Bei Gesundheitsdaten kann die Pflicht früher greifen, wenn ihre Verarbeitung als umfangreich gilt (Art. 37 Abs. 1 lit. c DSGVO). Die Aufsichtsbehörden sehen die Grenze unterschiedlich, Niedersachsen etwa bei 10, Nordrhein-Westfalen bei 20 Personen. Ist eine Datenschutz-Folgenabschätzung nötig, gilt die Pflicht unabhängig von der Zahl. Die Rolle kann jemand aus dem Team übernehmen, nicht aber die Praxisinhaberin oder der Praxisinhaber selbst.

Nein. Die Datenschutzerklärung der Website informiert Besucher der Website. Für die Behandlung braucht es eine eigene Patienteninformation zum Datenschutz, etwa als Aushang. Die KBV stellt dafür ein Muster bereit.

Für Anfragen mit Gesundheitsangaben im Rahmen der Behandlung Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG, für Anfragen, die auf eine Behandlung oder einen Termin zielen, Art. 6 Abs. 1 lit. b, für sonstige allgemeine Anfragen meist lit. f DSGVO. Nach verbreiteter Auffassung ist eine Einwilligung dafür in der Regel nicht nötig. Wichtig ist vor allem, dass die Anfragen geschützt bei der Praxis ankommen.

Es ist empfehlenswert und üblich. Beschreiben Sie auch seine Rolle: Meist arbeitet er als Auftragsverarbeiter für die Praxis, beim Patientenkonto mancher Plattformen ist er selbst verantwortlich. Dazu Zweck, Rechtsgrundlage und gegebenenfalls Übermittlungen außerhalb der EU. Lädt das Buchungsfenster erst nach einem Klick, beschreiben Sie auch das.

Die Behörde des Bundeslands, in dem die Praxis ihren Sitz hat. Eine Liste aller Aufsichtsbehörden führt die Datenschutzkonferenz. In der Datenschutzerklärung ist der Hinweis auf das Beschwerderecht Pflicht, die Anschrift einer bestimmten Behörde ist hilfreich, aber nicht ausdrücklich vorgeschrieben.

Immer dann, wenn sich an der Website oder an der Rechtslage etwas ändert, etwa ein neuer Dienst, ein neues Formular oder ein anderer Anbieter. Ein Datum („Stand“) am Ende zeigt, wie aktuell der Text ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil es um Schritte vor einem möglichen Arbeitsvertrag geht. Seit einem Urteil des Europäischen Gerichtshofs von 2023 (C-34/21) raten mehrere Aufsichtsbehörden davon ab, sich auf den früher üblichen § 26 BDSG zu stützen. Gesundheitsangaben in Bewerbungen sind besonders geschützt. Nennen Sie auch, wann Bewerbungen gelöscht werden.

Nur so lange, wie es für Betrieb und Sicherheit nötig ist. Eine feste gesetzliche Frist gibt es nicht. Nennen Sie die Frist in der Datenschutzerklärung und begründen Sie sie kurz.

Ein einfacher Link zum Google-Profil braucht kaum Text. Ein eingebettetes Bewertungs-Widget, das beim Laden Daten von einem anderen Anbieter nachlädt, gehört dagegen hinein und braucht meist eine Einwilligung.

Verantwortliche Person, Kontaktdaten, gegebenenfalls der Datenschutzbeauftragte und das Impressum müssen sofort angepasst werden. Prüfen Sie dabei auch, ob die eingesetzten Dienste und Verträge noch stimmen.

Das Impressum sagt, wer die Website anbietet. Bei Ärztinnen und Ärzten gehören dazu unter anderem Kammer, Berufsbezeichnung und berufsrechtliche Regelungen, bei Vertragsärztinnen und -ärzten nach üblicher Auslegung auch die Kassenärztliche Vereinigung als zuständige Aufsichtsbehörde (§ 5 Abs. 1 Nr. 3 DDG). Die Datenschutzerklärung erklärt, was mit den Daten der Besucher passiert. Beide müssen leicht zu finden sein.