An einem Freitagnachmittag im April saß ich in meinem Kölner Büro und wollte eigentlich nur die Website einer psychotherapeutischen Praxis freischalten. Alles sah fertig aus, doch beim finalen Blick in die Datenschutzerklärung blieb mir die Spucke weg. Ein generischer Baukasten-Text sollte sensible Patientendaten absichern — ein klassischer Fehlgriff mit fatalen Folgen.
Der feine Unterschied zwischen Handwerker-Website und Psychotherapie-Praxis
Wenn ich eine Website für einen Dachdecker oder Malerbetrieb baue, ist die rechtliche Baustelle überschaubar. Ein Kontaktformular fragt nach Name, Telefonnummer und der Größe eines Flachdachs. Das sind gewöhnliche personenbezogene Daten nach den Standard-Vorgaben der Datenschutz-Grundverordnung. Bei einer psychotherapeutischen Praxis betreten wir jedoch eine völlig andere Liga des Datenschutzes.
Hier greift unmittelbar Art. 9 Abs. 1 DSGVO. Dieser Artikel stellt klar: Die Verarbeitung von Gesundheitsdaten ist grundsätzlich untersagt — es sei denn, es greift eine präzise definierte Ausnahme wie die ausdrückliche Einwilligung des Betroffenen oder die Erforderlichkeit für die Gesundheitsversorgung. Wenn ein potenzieller Patient in ein einfaches Freitextfeld schreibt, dass er seit Wochen unter schweren Panikattacken leidet, landen diese hochsensiblen Informationen ungefiltert auf dem Server.
Dazu kommt eine Besonderheit, die kein Webdesigner auf die leichte Schulter nehmen darf: Psychotherapeuten unterliegen als Berufsgeheimnisträger der strafbewehrten Schweigepflicht nach § 203 StGB. Wer als Webmaster hier schlampig arbeitet und Datenströme unbedacht an externe Drittanbieter weiterleitet, reißt nicht nur eine zivilrechtliche Datenschutzlücke auf — er gefährdet im schlimmsten Fall die berufliche Existenz des Behandlers.
Als Handwerker vergleiche ich das gerne mit dem Fundamentbau: Bei einer Gartenlaube genügt eine Schicht Schotter und ein paar Gehwegplatten. Bei einem mehrstöckigen Wohnhaus braucht man WU-Beton und eine präzise Drainage. Ein Standard-Muster aus dem Internet ist für eine Psychotherapie-Praxis schlichtweg die falsche Bausubstanz.
Warum Standard-Generatoren Therapeuten zur Zielscheibe machen
In den vergangenen Jahren habe ich unzählige Generatoren für Kunden-Websites durchprobiert. Dabei fiel mir ein Muster auf, das viele Kollegen übersehen: Standard-DSGVO-Generatoren machen Psychotherapeuten oft angreifbarer, da sie durch ihre erkennbare Musterstruktur gezielt das Interesse von Abmahnanwälten auf die spezifische Praxis-Website lenken.
Spezialisierte Kanzleien und Abmahnvereine durchforsten das Netz heute mit automatisierten Scrapern. Diese Bots suchen nach ganz bestimmten Floskeln und Code-Fragmenten, die von kostenlosen oder stark verbreiteten Generatoren erzeugt werden. Findet der Crawler ein typisches Baukasten-Muster auf der Website eines Handwerkers, klickt er oft weiter. Findet er denselben generischen Textbaustein jedoch auf der Website einer Praxis für Psychotherapie, schrillen dort die Alarmglocken im positiven Sinne — für den Abmahner.
Der Grund liegt auf der Hand: Die Mustertexte gewöhnlicher Generatoren decken Standard-Tools ab — etwa Schriftarten, Webhoster oder YouTube-Einbindungen. Sie schweigen sich aber fast immer über die spezifische Handhabung von Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO aus. Wenn ein Abmahner sieht, dass eine therapeutische Praxis mit einem 08/15-Text arbeitet, weiß er sofort, dass hier mit hoher Wahrscheinlichkeit kein fundiertes Datenschutzkonzept vorliegt. Die formelhafte Datenschutzerklärung wird so zum Einfallstor, weil sie offenbart, dass der Betreiber seine besonderen Pflichten nicht verstanden hat.
Ich war früher selbst ein Verfechter schneller Komplett-Lösungen, die man einfach per Klick in jede Website einbettet. Doch diese Blauäugigkeit habe ich mir gründlich abgewöhnt. Ein Generator ist immer nur so gut wie der Bauplan, den man ihm füttert — und Standard-Generatoren kennen schlicht keine psychotherapeutischen Sonderbauten.
Der Werkstatt-Check: Was im Generator-Setup wirklich schiefläuft
Lassen Sie uns den Praxistest machen. Ende Februar hatte ich ein solches Projekt auf dem Tisch: Eine neu gegründete Praxis für Verhaltenstherapie benötigte dringend ihren Webauftritt. Ich nahm mir vor, drei gängige Rechtstext-Tools daraufhin zu prüfen, wie sie mit den heiklen Fragen umgehen. Das Ergebnis war ernüchternd.
Kalter Filterkaffee stand noch auf meinem Schreibtisch, während die Entwickler-Konsole meines Browsers knallrot aufleuchtete. Das installierte Standard-Kontaktformular, das laut Plugin-Hersteller angeblich DSGVO-konform sein sollte, schickte bei jedem Seitenaufruf unbemerkt Daten an ein US-amerikanisches CDN — lange bevor der Nutzer überhaupt das erste Wort eingetippt hatte. Solche Pannen passieren, wenn man blind auf vorgefertigte Module vertraut.
Nach etwa zwei Wochen intensiver Testläufe kristallisierten sich drei typische Schwachstellen heraus, an denen Standard-Lösungen regelmäßig scheitern:
— Fehlende Berücksichtigung von Art. 9 Abs. 1 DSGVO: Fast alle gängigen Generatoren behandeln Anfragen über Kontaktformulare nach Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung oder vorvertraglichen Maßnahmen. Für Therapeuten reicht das nicht aus. Hier wird eine explizite, informierte Einwilligung benötigt, die Patienten unmissverständlich darüber aufklärt, dass über das Webformular keinesfalls Erstanamnesen oder therapeutische Schilderungen übertragen werden dürfen.
— Veraltete Impressums-Angaben: Seit Mai 2024 gilt in Deutschland das Digitale-Dienste-Gesetz. Die vertraute Kennzeichnungspflicht aus § 5 TMG wurde durch § 5 DDG abgelöst. Viele veraltete Generatoren listen noch immer das TMG auf. Für approbierte Psychotherapeuten verlangt § 5 DDG zudem zwingend die Angabe der zuständigen Aufsichtsbehörde, der Kammer — in der Regel die jeweilige Landespsychotherapeutenkammer —, der gesetzlichen Berufsbezeichnung und des Staates, in dem sie verliehen wurde.
— Schweigepflicht und Auftragsverarbeitung: Sobald E-Mails mit Terminanfragen auf einem Server liegen, greift die strafrechtliche Dimension nach § 203 StGB. Ein normaler Hosting-Vertrag zur Auftragsverarbeitung reicht hier oft nicht aus; es bedarf einer speziellen Verpflichtung auf das Berufsgeheimnis gemäß § 203 Abs. 4 StGB. Kaum ein Standard-Generator weist den Therapeuten darauf hin, geschweige denn liefert er die passenden Textbausteine.
Das saubere Praxiskonzept: Weniger Firlefanz, echtes Handwerk
Was macht man also in der Praxis? Die sicherste Website für einen Psychotherapeuten ist technisch gesehen eine radikal reduzierte Baustelle. Je weniger bewegliche Teile vorhanden sind, desto weniger kann ins Getriebe geraten.
Ich rate meinen Kunden aus Heilberufen inzwischen konsequent dazu, die digitale Angriffsfläche zu minimieren. Keine extern geladenen Google Fonts — Schriften gehören lokal auf den eigenen Webspace. Keine dynamisch eingebundenen Google Maps — eine statische Anfahrtsskizze erfüllt denselben Zweck und überträgt keine IP-Adressen nach Übersee. Keine YouTube-Videos im Therapie-Blog, es sei denn, eine Zwei-Klick-Lösung blockiert jegliche Verbindung vor der aktiven Zustimmung.
Noch drastischer gehe ich beim Kontaktformular vor. In vielen Praxen habe ich das freie Textfeld komplett verbannt. Stattdessen gibt es dort lediglich die Angabe der festen telefonischen Sprechzeiten oder ein extrem minimalistisches Formular, das ausschließlich Name und Telefonnummer für einen Rückruf abfragt — versehen mit einem deutlichen Hinweis, dass vertrauliche medizinische Details ausschließlich im persönlichen Gespräch erörtert werden.
Wenn ich heute ein rechtssicheres Fundament für lokale Kunden gieße — ganz ähnlich wie ich es damals im Leitfaden Impressum Generator für Friseure: Wie ich lokale Salons rechtssicher mache beschrieben habe —, greife ich nur noch zu Generatoren, die kontinuierlich von Fachjuristen gepflegt werden und individuelle Anpassungsmöglichkeiten für freie Berufe bieten. Ein gutes Werkzeug erkennt man daran, dass es gezielt nach der Kammerzugehörigkeit und der Art der übermittelten Daten fragt, anstatt den Nutzer mit einem simplen Drei-Klick-Fragebogen abzuspeisen.
Pragmatischer Feinschliff statt trügerischer Checkbox-Sicherheit
Ein Generator liefert immer nur das Baumaterial — die Endabnahme und die fachgerechte Montage liegen beim Betreiber und seinem Webdesigner. Ich bin kein Rechtsanwalt, sondern Handwerker, der seit vielen Jahren Webseiten baut. Deshalb betone ich gegenüber jedem Kunden: Für spezielle Konstellationen wie Videosprechstunden, psychotherapeutische Online-Gruppenprogramme oder die Anbindung externer Praxisverwaltungssysteme ersetzt kein Generator der Welt das Gespräch mit einem spezialisierten Fachanwalt für Medizin- oder IT-Recht.
Das eigentliche Ziel muss sein, keine juristische Angriffsfläche durch erkennbare Nachlässigkeit zu bieten. Wer als Psychotherapeut eine Datenschutzerklärung online stellt, die wie eine Kopie eines regionalen E-Commerce-Shops aussieht, lädt Ärger förmlich ein. Stimmen jedoch die Grundlagen — eine saubere technische Basis ohne heimliche Datenabflüsse, ein tadelloses Impressum nach § 5 DDG mit allen Kammerangaben und eine präzise formulierte Datenschutzerklärung —, dann wird die Praxis-Website genau das, was sie sein soll: eine vertrauenswürdige digitale Visitenkarte, die Patienten schützt und dem Behandler den Rücken freihält.