Datenschutzerklärung Website optimieren

Kurzdefinition

Die Datenschutzerklärung ist das Pflichtdokument, mit dem eine Website die Informationspflichten aus Art. 12 und 13 DSGVO erfüllt: Wer verarbeitet welche Daten, zu welchem Zweck, wie lange und an wen weitergegeben. Datenschutzerklärung optimieren bedeutet, sie nicht als einmalig eingerichtete Vorlage stehen zu lassen, sondern bei jeder neuen Funktion der Website inhaltlich anzupassen.

Auf einen Blick

• Art. 13 Abs. 1 DSGVO verlangt unter anderem Angaben zu Verantwortlichem, Zwecken, Rechtsgrundlage und Empfängern der Daten (2016)
• National ist ein Datenschutzbeauftragter ab 20 Personen Pflicht, die ständig mit automatisierter Datenverarbeitung beschäftigt sind (§ 38 BDSG)
• Unabhängig von dieser Zahl verlangt Art. 37 Abs. 1 Buchst. c DSGVO einen Datenschutzbeauftragten bei umfangreicher Verarbeitung von Gesundheitsdaten als Kerntätigkeit, ohne dafür selbst eine Zahlenschwelle zu nennen (2016)
• Cookies und Tracking-Skripte brauchen eine gesonderte Einwilligung nach § 25 TDDDG, unabhängig vom Text der Datenschutzerklärung
• Bildnisse von Patientinnen und Patienten dürfen nur mit deren Einwilligung veröffentlicht werden (§ 22 Kunsturhebergesetz)

Einordnung

Die Datenschutzerklärung wird in der Praxis regelmäßig mit drei Nachbardokumenten verwechselt, die jeweils anderen Zwecken dienen. Das Impressum, geregelt in § 5 des Digitale-Dienste-Gesetzes, dient der Anbieterkennzeichnung: Name, Anschrift, Kontaktdaten, Registerangaben. Es beantwortet die Frage, wer für die Website verantwortlich ist, nicht, was mit personenbezogenen Daten geschieht.

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist ein internes Dokument, das gegenüber der Aufsichtsbehörde vorzulegen ist, nicht aber öffentlich auf der Website steht. Es ist deutlich detaillierter als die Datenschutzerklärung und verfolgt einen anderen Adressatenkreis.

Die Einwilligung zur Behandlung selbst (§ 630d BGB), der die ärztliche Aufklärung nach § 630e BGB vorausgeht, betrifft den Behandlungsvertrag und bleibt von der Datenschutzerklärung der Website getrennt: Wer in eine Behandlung einwilligt, trifft damit keine Aussage darüber, wie die Website seine Kontaktdaten aus einem Formular verarbeitet.

Innerhalb der Datenschutzerklärung selbst ist schließlich zwischen der allgemeinen Informationspflicht nach Art. 13 DSGVO und der gesonderten Einwilligung für Cookies nach § 25 TDDDG zu unterscheiden. Die Erklärung informiert, das Einwilligungswerkzeug fragt zusätzlich aktiv nach Zustimmung, bevor nicht notwendige Cookies gesetzt werden. Beide Bausteine müssen inhaltlich zueinander passen, sind aber technisch getrennt zu betrachten.

Relevanz für die Praxis

Der Grund, warum eine Datenschutzerklärung fortlaufende Pflege statt einmaliger Erstellung braucht, liegt in der Website selbst: Jede neue Funktion erweitert die Datenverarbeitung. Ein Kontaktformular hinter einem Call-to-Action-Button, eine neu eingebundene Chatfunktion, ein Buchungstool oder ein Analysewerkzeug für die eigenen Ratgeberinhalte, jede dieser Ergänzungen führt neue Empfänger, neue Zwecke oder neue Speicherfristen ein, die in der bestehenden Erklärung noch fehlen können.

Für kieferorthopädische Praxen kommt eine zusätzliche Sorgfaltspflicht hinzu, weil ein erheblicher Teil der Patientinnen und Patienten minderjährig ist. Kontaktformulare werden dann von einem Elternteil im Namen des Kindes ausgefüllt, was an der grundsätzlichen Informationspflicht nichts ändert, sie aber um die Frage ergänzt, wessen Daten eigentlich erhoben werden. Wird zusätzlich Bildmaterial von minderjährigen Patientinnen und Patienten für die Website verwendet, etwa im Rahmen einer Behandlungsdokumentation, greift ergänzend § 22 des Kunsturhebergesetzes: Ein Bildnis darf nur mit Einwilligung der abgebildeten Person veröffentlicht werden, bei Minderjährigen zunächst durch die Sorgeberechtigten.

Unterschätzt wird häufig die Frage des Datenschutzbeauftragten. Die Schwelle von 20 Personen aus § 38 BDSG erreicht eine durchschnittliche Zahnarztpraxis selten. Übersehen wird dabei leicht, dass Art. 37 Abs. 1 Buchst. c DSGVO unabhängig davon einen Datenschutzbeauftragten bei umfangreicher Verarbeitung von Gesundheitsdaten verlangt, ohne dafür selbst eine Zahlenschwelle zu nennen.

Was bei der Umsetzung zählt

Richten Sie am wirksamsten eine feste Prüfroutine ein: Jede neue Website-Funktion, vom Formular über den Chat bis zur Terminbuchung, sollte bei Ihnen eine Ergänzung der Datenschutzerklärung auslösen, bevor die Funktion live geht, nicht danach.

Machen Sie bei den Empfängern konkrete Angaben, wie es Art. 13 Abs. 1 Buchst. e DSGVO verlangt. Ein pauschaler Verweis auf „Dienstleister” reicht nicht aus, wenn Sie Hosting-Anbieter, Terminbuchungssoftware oder Chat-Anbieter konkret benennen können. Gleiches gilt für die Speicherdauer nach Art. 13 Abs. 2 Buchst. a: Mit dem Textbaustein „so lange wie erforderlich” ohne erkennbares Kriterium erfüllen Sie die Vorschrift nicht, die entweder eine konkrete Dauer oder die Kriterien für ihre Festlegung verlangt.

Nennen Sie einen Datenschutzbeauftragten nur dann in der Erklärung, wenn Sie tatsächlich einen bestellt haben. Ist das nicht der Fall, prüfen und dokumentieren Sie stattdessen, ob Art. 37 Abs. 1 Buchst. c DSGVO wegen der Verarbeitung von Gesundheitsdaten dennoch eine Bestellung verlangt, unabhängig von der Beschäftigtenzahl nach § 38 BDSG.

Halten Sie Cookie-Einwilligung und Erklärungstext deckungsgleich: Was in Ihrem Einwilligungswerkzeug als Kategorie auftaucht, muss sich in der Erklärung wiederfinden, und umgekehrt darf die Erklärung keine Verarbeitung beschreiben, die tatsächlich ohne Einwilligung stattfindet, obwohl § 25 TDDDG eine solche verlangen würde.

Zahlen und Kontext

Die zentrale gesetzliche Grundlage bleibt Art. 13 DSGVO mit seinem abschließenden Katalog an Pflichtangaben: Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutzbeauftragten, die Verarbeitungszwecke samt Rechtsgrundlage, gegebenenfalls berechtigte Interessen, Empfänger sowie eine etwaige Absicht der Übermittlung in ein Drittland (Abs. 1), ergänzt um Speicherdauer, Betroffenenrechte, Widerrufsrecht und das Beschwerderecht bei einer Aufsichtsbehörde (Abs. 2).

National ergänzt § 38 BDSG diesen Rahmen um eine Beschäftigtenschwelle von mindestens 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind, mit einer Ausnahme für Verarbeitungen, die einer Datenschutz-Folgenabschätzung unterliegen. Auf europäischer Ebene knüpft Art. 37 Abs. 1 Buchst. c DSGVO die Pflicht zusätzlich an die umfangreiche Verarbeitung von Gesundheitsdaten als Kerntätigkeit, ohne diese Schwelle selbst zu beziffern.

Ab welcher Praxisgröße Aufsichtsbehörden „umfangreich” im Sinne dieser Vorschrift konkret annehmen, ist nicht bundeseinheitlich mit einer festen Zahl belegt.

Typische Fehler

Gekaufte Vorlage einmalig eingesetzt, nie angepasst Eine Datenschutzerklärung, die nicht mitwächst, wenn neue Formulare, Chat-Tools oder Buchungssysteme hinzukommen, wird mit jeder neuen Funktion unvollständiger.

Pauschale statt konkrete Empfänger-Nennung Ein allgemeiner Verweis auf „Dienstleister” erfüllt Art. 13 Abs. 1 Buchst. e DSGVO nicht, wenn sich die eingesetzten Anbieter konkret benennen lassen.

Cookie-Banner und Erklärungstext widersprechen sich Weichen die im Einwilligungswerkzeug gelisteten Kategorien von der Beschreibung in der Erklärung ab, bleibt unklar, welche Angabe tatsächlich zutrifft.

Datenschutzbeauftragten-Pflicht bei Gesundheitsdaten übersehen Wer nur auf die 20-Personen-Schwelle des § 38 BDSG schaut, übersieht die eigenständige, davon unabhängige Voraussetzung aus Art. 37 Abs. 1 Buchst. c DSGVO.

Häufige Fragen

Brauchen wir für die Praxis-Website einen Datenschutzbeauftragten? Prüfen Sie zwei getrennte Voraussetzungen: die Beschäftigtenzahl nach § 38 BDSG und, unabhängig davon, den Umfang Ihrer Verarbeitung von Gesundheitsdaten nach Art. 37 Abs. 1 Buchst. c DSGVO. Beide Fragen sollten Sie einzeln beantworten.

Reicht eine gekaufte Muster-Datenschutzerklärung? Als Ausgangspunkt ja, als Dauerzustand nicht. Passen Sie sie an die tatsächlich eingesetzten Werkzeuge und Auftragsverarbeiter Ihrer Website an und aktualisieren Sie sie bei Änderungen.

Müssen wir den Hosting-Anbieter namentlich nennen? Eine namentliche Nennung ist die sicherste Umsetzung der in Art. 13 Abs. 1 Buchst. e DSGVO verlangten Empfänger-Angabe, insbesondere wenn Sie nur wenige, klar bestimmbare Anbieter einsetzen.

Was ändert sich, wenn wir eine Chatfunktion oder Online-Terminbuchung einbauen? Beide Funktionen erweitern die Verarbeitung um neue Zwecke und in der Regel neue Auftragsverarbeiter. Ergänzen Sie die Erklärung entsprechend, bevor Sie die Funktion live schalten.

Dürfen wir Fotos von minderjährigen Patientinnen und Patienten auf der Website zeigen? Nur mit Einwilligung nach § 22 Kunsturhebergesetz, bei Minderjährigen zunächst durch die Sorgeberechtigten. Ob zusätzlich die Einwilligung des Kindes selbst nötig ist, hängt von dessen Einsichtsfähigkeit ab, eine feste Altersgrenze nennt das Gesetz dafür nicht.

Verwandte Begriffe

• Call-to-Action-Buttons: jedes Formular hinter einem Button erweitert die in der Erklärung zu beschreibende Datenverarbeitung
• Chatfunktion der Praxiswebsite: ein eigener Auftragsverarbeiter und ein eigener Zweck, die beide in die Erklärung gehören
• Contentplanung: Formulare in Ratgeberinhalten, etwa für einen Newsletter, erweitern ebenfalls die Erklärung
• FAQ und strukturierte Daten: technisch meist ohne eigene Datenverarbeitung, bei eingebundener Analyse jedoch relevant
• Anforderungen an die Praxis-Website: die Datenschutzerklärung ist eine der wiederkehrenden Grundanforderungen an jede Seite

Quellen

1. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person. Amtsblatt der Europäischen Union L 119 vom 4. Mai 2016. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
2. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 13 Abs. 1 Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person. Amtsblatt der Europäischen Union L 119 vom 4. Mai 2016. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
3. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 13 Abs. 2 Weitere Informationspflichten (Speicherdauer, Betroffenenrechte, Beschwerderecht). Amtsblatt der Europäischen Union L 119 vom 4. Mai 2016. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
4. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 37 Abs. 1 Buchst. c Benennung eines Datenschutzbeauftragten bei umfangreicher Verarbeitung besonderer Kategorien von Daten. Amtsblatt der Europäischen Union L 119 vom 4. Mai 2016. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
5. Bundesrepublik Deutschland: Bundesdatenschutzgesetz (BDSG), § 38 Datenschutzbeauftragte nichtöffentlicher Stellen. Abgerufen am 22.07.2026. https://www.gesetze-im-internet.de/bdsg_2018/__38.html
6. Bundesrepublik Deutschland: Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten (TDDDG, vormals TTDSG), § 25 Schutz der Privatsphäre bei Endeinrichtungen. Abgerufen am 22.07.2026. https://www.gesetze-im-internet.de/ttdsg/__25.html
7. Bundesrepublik Deutschland: Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie (Kunsturhebergesetz, KunstUrhG), § 22 Recht am eigenen Bild. Abgerufen am 22.07.2026. https://www.gesetze-im-internet.de/kunsturhg/__22.html
8. Bundesrepublik Deutschland: Digitale-Dienste-Gesetz (DDG), § 5 Allgemeine Informationspflichten. Abgerufen am 22.07.2026. https://www.gesetze-im-internet.de/ddg/__5.html

Unsicherheiten

Der Beitrag gibt den Rechtsstand vom 22.07.2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.

Ab welcher konkreten Praxisgröße oder Patientenzahl eine „umfangreiche” Verarbeitung von Gesundheitsdaten im Sinne des Art. 37 Abs. 1 Buchst. c DSGVO vorliegt, ist gesetzlich nicht mit einer Zahl hinterlegt. Eine bundeseinheitliche, verbindliche Verwaltungspraxis der Aufsichtsbehörden dazu ließ sich nicht mit einer belastbaren Quelle belegen.

Ob und ab welchem Alter neben der Einwilligung der Sorgeberechtigten zusätzlich die eigene Einwilligung eines minderjährigen Patienten zur Veröffentlichung eines Bildnisses erforderlich ist, hängt von dessen Einsichtsfähigkeit im Einzelfall ab. Eine feste, gesetzlich fixierte Altersgrenze ließ sich hierfür nicht belegen und wird deshalb nicht genannt.