Wie viele Rückfragen stellt ein neuer Patient eigentlich, wenn er das Kontaktformular auf der Website seiner Zahnarztpraxis ausfüllt? Genau diese Frage hat sich bei einem Projekt gestellt, das meinen üblichen Ablauf für DSGVO bei Arztpraxen ordentlich durcheinandergebracht hat. Auftraggeber war Meinhard Böhringer, Zahnarzt in Bergisch Gladbach — er hatte die Praxis 2022 übernommen und brauchte dringend Seiten, die den Patientendatenschutz ernst nehmen, dazu ein frisches Impressum auf den Namen der neuen GmbH. Mein Standard-Werkzeugkasten fürs Webdesign, der bei einem Kiosk oder einem Nagelstudio tadellos funktioniert, hat sich hier als zu grob erwiesen. Beim dsgvo-schritt-generator, den ich mittlerweile für solche Projekte einsetze, wird schnell klar: Rechtstexte fürs Webdesign sind bei medizinischen Kunden ein anderes Handwerk als bei einem gewöhnlichen Blog.
Mein Büro liegt in einem Hinterhof eines Gründerzeithauses in Köln-Ehrenfeld, der zweite Monitor steht bei mir im Hochformat. Das ist praktisch, wenn man stundenlang durch Datenschutztexte scrollt, statt durch Seiten zu blättern. An der Wand hängt ein Checklisten-Board für jede Kundenübergabe, das Fenster geht nach Nordwesten zum Hof raus, kein Gegenlicht auf dem Bildschirm, und aus der Zimmerecke kommt manchmal ein leises Summen vom Router, wenn gerade ein größerer Upload läuft. Für Böhringers Website lag da plötzlich ein Fall auf dem Schreibtisch, der nicht ins übliche Raster passte.
Warum Webdesign für Arztpraxen keinen Standard-Generator verträgt
Ich habe früher gern zu einem bekannten, kostenlosen Generator gegriffen, der für Handwerker-Seiten oder kleine Läden völlig ausreicht. Bei Böhringers Praxis ist mir das Werkzeug regelrecht auseinandergefallen: Es fragte weder nach der zuständigen Kammer noch danach, welche Berufsordnung für die Praxis gilt — im Bauplan des Tools fehlte die Rubrik für Heilberufe komplett, es war schlicht auf gewöhnliche Dienstleister zugeschnitten. Für einen Frisörsalon würde ich es weiterhin nehmen, einem Arzt-Kunden vertraue ich es inzwischen nicht mehr an.
Das Haftungsrisiko für uns Webdesigner steigt bei Patientendaten spürbar, denn ein Fehler im Datenschutztext einer Arztpraxis hat andere Konsequenzen als der gleiche Fehler auf einem gewöhnlichen Blog, und das prüfe ich seither doppelt, bevor eine Seite live geht.
Hinzu kommt, dass ein einmal generierter, statischer Text bei einer Praxis schneller veraltet als anderswo. Wer stattdessen auf Rechtstexte setzt, die sich bei Änderungen automatisch mitziehen, erspart sich später viel Nacharbeit. Dazu gehört auch, wie man Datenschutz automatisieren kann, damit nicht jedes Update zum Stressmoment wird.
Welche Fragen muss ein DSGVO-Tool bei Patientendaten stellen?
Seit ich für solche Projekte den dsgvo-schritt-generator nutze, läuft die Abfrage anders. Das Tool fragt gezielt nach, ob es sich um eine ärztliche oder heilberufliche Tätigkeit handelt, und passt die Textbausteine entsprechend an, statt einfach ein Kästchen "Dienstleister" abzuhaken. Bei einer Online-Terminbuchung, wie Böhringer sie eingeführt hat, laufen sensible Daten über einen externen Anbieter, und da reicht eine schlichte Datenschutzerklärung nicht — ein Auftragsverarbeitungsvertrag gehört zwingend dazu, und das Tool erinnert mich aktiv daran, diese Schnittstelle sauber zu dokumentieren. Das Einrichten für Böhringers Website hat, grob geschätzt, einen Nachmittag gedauert, inklusive der ganzen Dokumentation rund um die Terminbuchung — bei einem gewöhnlichen Kleinbetrieb ist das Ganze oft in einer knappen Stunde erledigt.
Cookie-Consent und Datenschutzerklärung gehören bei einer Praxis-Website ohnehin zusammen gedacht, nicht als zwei getrennte Baustellen — dazu an anderer Stelle mehr.
Weil ich inzwischen öfter mit Kollegen wie Mareike Hölzl an gemeinsamen Kundenprojekten arbeite, achte ich auch auf die Agentur-Lizenz solcher Tools. Nach unseren Calls schickt sie mir ohnehin lieber eine strukturierte Zusammenfassung per Mail, als noch anzurufen, aber die Lizenzfrage klären wir meistens direkt im gemeinsamen Dokument.
Vom Kennenlerngespräch bis zur unterschriftsreifen Datenschutzerklärung
Bevor ich beim dsgvo-schritt-generator gelandet bin, hatte ich versucht, über den Anwalt eines Stammkunden schnell an eine Vorlage zu kommen, die ich hätte anpassen können. Der Anwalt hat drei Wochen gebraucht, bis überhaupt eine Antwort kam. Für ein Projekt, das eigentlich in ein bis zwei Wochen live gehen sollte, war das schlicht zu langsam. Böhringer selbst wollte ohnehin keine laufenden Kosten für Rechtstexte, sondern lieber einen höheren Einmalbetrag zahlen und dafür Ruhe haben — das hat die Entscheidung für ein Tool statt für dauerhafte Anwaltsbetreuung noch einfacher gemacht.
Die Antwort auf die Frage vom Anfang kam dann bei einem neuen Patienten der Praxis: Ich saß daneben, als er das Kontaktformular ausfüllte, und wartete auf die erste Rückfrage zu den Datenschutzhinweisen. Die kam nicht. Nach knapp zehn Minuten war das Formular fertig ausgefüllt, ohne dass er auch nur einmal aufgeschaut hätte.
Als wir in der siebten Woche nach dem Livegang zusammensaßen, um ein erstes Fazit zu ziehen, war genau das der Moment, den ich Böhringer erzählt habe, und für ihn der beste Beleg, dass die Texte nicht nur juristisch sauber, sondern auch für Patienten verständlich sind.
Was das unterm Strich an Gesamtkosten für Tools und eine eventuelle Anwaltsprüfung bedeutet, ist ohnehin eine eigene Rechnung, die ich mit jedem Praxis-Kunden einzeln aufmache.
Cookie-Consent und Behandlungsvertrag: zwei Baustellen, eine Verantwortung
Klickt ein Patient auf "Termin buchen", beginnt rechtlich oft schon die Anbahnung eines Behandlungsvertrags, nicht erst beim ersten Besuch in der Praxis. Deshalb lasse ich externe Dienste wie Kartenintegrationen bei Arzt-Websites inzwischen standardmäßig deaktiviert oder binde sie nur über eine Zwei-Klick-Lösung ein, unabhängig davon, welches Tool die Texte liefert. Die Kelle schwingen muss am Ende immer noch ich selbst, ganz gleich, wie gut die Vorlage ist.
Was für Coaches oder Berater an Pflichttexten reicht, ist bei einer Praxis meist zu wenig. Die branchenspezifischen Pflichten unterscheiden sich hier deutlich, und das gilt selbst innerhalb der Heilberufe von Fach zu Fach.
Verglichen mit einem DSGVO Generator für kleine Unternehmen, wie ich ihn bei einem Lokalkunden nutze, ist die Detailtiefe bei einer Arztpraxis um einiges höher — ein kleiner Handwerksbetrieb kommt oft mit einer Standarderklärung durch, eine Praxis nicht.
Bei einem Onlineshop mit Widerrufsrecht in der AGB sieht die Baustelle nochmal komplett anders aus als bei einer Praxis, die keine Waren verkauft, sondern Behandlungstermine vereinbart — die beiden Fälle darf man beim Textbaustein nicht vermischen.
Und sobald ein Praxis-Kunde auch Patienten aus der Schweiz oder Österreich anspricht, kommen länderspezifische Rechtstexte fürs DACH-Umfeld dazu, die ich dann getrennt von der deutschen Fassung pflege.
Warum sich der Umstieg auf ein spezialisiertes Tool für Arztpraxen gelohnt hat
Für Arztpraxen-Projekte nutze ich inzwischen ausschließlich den spezialisierten Workflow des dsgvo-schritt-generator, weil er die richtigen Fragen zur Berufsordnung stellt, bevor ich sie selbst stellen müsste. Der Wechsel von einem allgemeinen Generator zu einem spezialisierten Tool war wie der Wechsel von einer Handkreissäge zu einer Tischkreissäge für den immer gleichen Zuschnitt: Der Schnitt wird sauberer, und ich verliere keine Zeit mit Nacharbeit.
Trotzdem bleibt jedes Ergebnis bei einem Praxis-Kunden ein Vorschlag, kein fertiges Urteil: Ich habe keine medizinische oder juristische Ausbildung, deshalb geht bei mir jede Datenschutzerklärung für eine Praxis vor dem Livegang nochmal an den Verband oder eine Fachanwältin. Die eigentliche Lehre aus dem Projekt mit Böhringer ist simpel: Wer bei Patientendaten das passende Werkzeug für den jeweiligen Beruf wählt, statt ein Universaltool zu überreden, spart sich am Ende mehr Zeit als jede Abkürzung am Anfang.