DSGVO-konforme Datenschutzerklärung für Ihre Praxis-Website oder MVZ – Was wirklich wichtig ist. Mit kostenlosem Muster zum Herunterladen

Was muss in der Datenschutzerklärung auf einer Arzt-Website in 2025 stehen?

Welche Tools müssen in 2025 wirklich in Ihrer Datenschutzerklärung stehen – und warum reicht ein Mustertext oft nicht mehr aus?

Kurze Antwort: Eine DSGVO-konforme Arzt-Website mit Datenschutzerklärung schafft Vertrauen bei Patienten und schützt vor rechtlichen Risiken. Diese Dienste sollten Sie in Ihrer Datenschutzerklärung nicht einfach allgemein erwähnen – sondern konkret benennen. Dazu gehören Tools wie Cookie-Banner, Google Analytics, Microsoft Clarity, Doctolib, Jameda oder auch lokal eingebundene Google Fonts. Entscheidend sind jeweils der Anbieter, der Verwendungszweck, die rechtliche Grundlage sowie Hinweise zur Datenübertragung ins Ausland.

Wenn Sie nicht bei null anfangen möchten: Am Ende dieses Artikels finden Sie eine aktuelle und in der Praxis bewährte Vorlage für eine Datenschutzerklärung, die Sie kostenlos herunterladen und anpassen können.

Was muss in der Datenschutzerklärung auf einer Arzt-Website 2025 stehen?

Wer eine moderne Arzt-Website betreibt, muss in der Datenschutzerklärung klar angeben, welche Dienste zur Datenverarbeitung eingesetzt werden – vom Cookie-Banner über Analyse-Tools bis zur Online-Terminvergabe.

Warum eine Datenschutzerklärung keine Formsache ist

Viele Arzt-Websites setzen Dienste ein, die personenbezogene Daten verarbeiten – oft ohne dies korrekt zu dokumentieren. Google- und Microsoft-Dienste übertragen Daten in Drittländer wie die USA. Patienten haben jedoch das Recht, zu erfahren, was mit ihren Daten geschieht. Seit dem AI-Update von Google im März 2025 wird auch der Datenschutzauftritt einer Website als Rankingfaktor berücksichtigt – sowohl juristisch als auch technisch.

Immer häufiger sehen sich Arztpraxen mit rechtlichen Anforderungen konfrontiert – nicht nur aus der DSGVO selbst, sondern auch durch Abmahnungen und Beschwerden. Laut dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) gingen allein im Jahr 2023 über 10.600 Beschwerden wegen Datenschutzverstößen ein. Besonders häufig betroffen: Websites mit unvollständiger Datenschutzerklärung oder fehlerhaftem Cookie-Banner.

Zudem drohen bei Verstößen gegen die DSGVO empfindliche Bußgelder: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Quelle).

Ein Beispiel aus der Praxis: Eine spanische Klinik musste 30.000 € Strafe zahlen, weil sensible Gesundheitsdaten über schlecht gesicherte Systeme zugänglich waren (Quelle).

Was kostet Ihre Website? Finden Sie es jetzt in 45 Sekunden heraus

Preis berechnen

Unverbindlich. In 45 Sekunden.

Was konkret in eine DSGVO-komforme Datenschutzerklärung gehört

Welche Dienste sind heute wirklich relevant für die Datenschutzerklärung auf einer Praxis-Website – und worauf kommt es bei der Formulierung an?

Kurze Antwort: Alle Drittanbieter und Tools, die personenbezogene oder pseudonyme Daten verarbeiten, müssen namentlich genannt werden – inkl. Anbieter, Zweck und rechtlicher Grundlage.

Typische Dienste in der Praxis mit kurzer Erklärung:

1. Cookie-Banner (z. B. Complianz, Borlabs)
   Cookie-Banner ermöglichen die Verwaltung von Einwilligungen für Cookies und ähnliche Technologien. Sie müssen den Namen des verwendeten Tools, den Zweck (z. B. Speicherung der Einwilligung), die Rechtsgrundlage (Art. 6 Abs. 1 lit. c oder a DSGVO) sowie den Anbieter benennen. Wichtig ist, dass keine nicht notwendigen Cookies ohne Einwilligung geladen werden. Empfehlenswert ist der Einsatz von lokal gehosteten Lösungen wie Complianz mit eingebauter Blockierungslogik.Mehr Informationen finden Sie in unserem Ratgeber und Anleitung zum Cookie-Banner für Arzt-Websites.
2. Google Analytics (Consent Mode v2)
   Google Analytics analysiert das Verhalten der Nutzer und setzt dazu Cookies oder nutzt device fingerprinting. Die IP-Adressen werden anonymisiert, dennoch handelt es sich um personenbezogene Daten. In der Datenschutzerklärung müssen Anbieter (Google Ireland Ltd.), Zweck (Webanalyse), Rechtsgrundlage (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO) sowie Hinweise zur Drittlandübertragung und Standardvertragsklauseln enthalten sein. Wichtig ist, dass das Tool erst nach Einwilligung durch den Nutzer aktiviert wird (Consent Mode v2).
3. Microsoft Clarity
   Clarity zeichnet anonymisierte Sitzungen der Nutzer auf (Session Replay) und erstellt Heatmaps. Obwohl keine Namen erhoben werden, gelten Mausbewegungen und Klickpfade als personenbezogen. Clarity überträgt Daten in die USA, was eine ausdrückliche Einwilligung voraussetzt. Der Einsatz muss klar und verständlich in der Datenschutzerklärung dokumentiert werden. Der Zweck ist Optimierung der Website-Nutzerführung.
4. Doctolib / Jameda
   Diese Plattformen ermöglichen die Online-Terminvergabe und verarbeiten personenbezogene Daten wie Name, Telefonnummer, E-Mail und medizinische Informationen (Art. 9 DSGVO). Da es sich um besondere Kategorien personenbezogener Daten handelt, ist eine Rechtsgrundlage gemäß Art. 9 Abs. 2 lit. h DSGVO notwendig. Es muss angegeben werden, welcher Anbieter genutzt wird, welche Daten verarbeitet werden, zu welchem Zweck und auf welcher rechtlichen Basis.
5. Google Fonts (lokal eingebunden)
   Auch wenn Google Fonts lokal eingebunden sind, sollte dies in der Datenschutzerklärung erwähnt werden. So beugen Sie Abmahnungen und Missverständnissen vor. Wichtig ist, klarzustellen, dass keine Verbindung zu Google-Servern besteht und keine Datenübertragung stattfindet.
   Mehr zur DSGVO-konformen Einbindung lesen Sie in unserem Artikel über DSGVO Einbindung Google Fonts für medizinische Websites.
6. IOMEDU / andere Fortbildungsplattformen
   Wenn externe Fortbildungsplattformen über iFrames oder Skripte eingebunden werden, können Trackingmechanismen aktiviert sein. Es ist erforderlich, diese Anbieter in der Datenschutzerklärung zu nennen, inklusive Art der eingebundenen Inhalte, Zweck der Verarbeitung und ggf. Hinweis auf Drittstaatenübertragung.
7. WordPress (CMS)
   WordPress selbst verarbeitet Nutzerdaten, etwa beim Absenden von Kontaktformularen (IP-Adresse, Zeitstempel, Formularinhalt). Darüber hinaus sollten genutzte Plugins mit eigener Datenverarbeitung separat aufgeführt werden, z. B. Sicherheits-Plugins, Antispam-Tools oder Formularerweiterungen.

Häufige DSGVO Fehler, die Praxis-Website zu Problemen führen

• Unvollständiger Cookie-Banner: Viele Banner blockieren keine Cookies vor Zustimmung oder erwähnen nicht, welche Dienste Cookies setzen.
• Google Fonts extern geladen: Trotz häufiger Abmahnungen werden Schriften oft weiterhin direkt von Google-Servern eingebunden. Dies ist nicht DSGVO-konform.
• Fehlende oder pauschale Tool-Nennung: Statt konkreter Dienste werden nur allgemeine Begriffe wie „Analyse-Tools“ genannt.
• Doctolib / Jameda nicht erwähnt: Trotz Nutzung dieser sensiblen Dienste fehlt oft die explizite Nennung in der Datenschutzerklärung.
• Keine Information zur Speicherdauer: Die Angabe, wie lange personenbezogene Daten gespeichert werden, fehlt häufig oder ist zu ungenau.
• Einwilligung nicht dokumentiert: Der Consent-Banner protokolliert nicht, ob und wann Nutzer zugestimmt haben – ein häufiger Abmahngrund.

Wie sollte man in der Datenschutzerklärung über verwendete Tools schreiben?

Manche schreiben in ihrer Datenschutzerklärung einfach: „Wir nutzen Analyse-Tools.“
Das klingt zunächst harmlos, hilft aber niemandem weiter. Denn wer so etwas liest, erfährt nicht, welche Daten genau gesammelt werden, wer dahintersteht oder wohin die Informationen geschickt werden.

Und genau das ist das Problem: Rechtlich ist das zu vage – und es wird den Erwartungen Ihrer Website-Besucher nicht gerecht.

Wenn Sie auf Ihrer Website bestimmte Dienste nutzen – zum Beispiel, um Online-Termine zu ermöglichen, zu sehen, wie viele Besucher auf Ihrer Seite unterwegs sind, oder um bestimmte Inhalte einzubinden –, sollten Sie das auch offen und ehrlich erklären. Ohne juristische Fachsprache. Einfach so, dass es jeder versteht, der Ihre Seite besucht.

Damit das gelingt, können Sie sich an ein paar einfachen Fragen orientieren:

• Was genau wird verwendet? Zum Beispiel Doctolib, Google Analytics, Microsoft Clarity oder ein Cookie-Banner.
• Wer stellt diesen Dienst bereit? Also der Anbieter, z. B. Google oder Doctolib.
• Warum wird der Dienst eingesetzt? Etwa für Terminbuchungen, Statistiken oder zur Sicherheit.
• Welche Daten werden dabei erfasst? Zum Beispiel Name, E-Mail, IP-Adresse oder Nutzungsverhalten.
• Gehen die Daten ins Ausland? Einige Dienste übertragen Infos in Länder wie die USA – auch das muss erwähnt werden.
• Braucht man dafür die Zustimmung des Besuchers? In vielen Fällen: ja – und das muss sauber dokumentiert werden.

Am Ende zählt: Schreiben Sie so, wie Sie es selbst gerne lesen würden. Ehrlich, klar und ohne komplizierte Formulierungen. So zeigen Sie nicht nur, dass Sie sich an die DSGVO halten – sondern auch, dass Ihnen die Privatsphäre Ihrer Patienten wichtig ist.

Jetzt handeln

Wer eine Arzt-Website betreibt, muss in der Datenschutzerklärung konkret, aktuell und verständlich informieren. Google bewertet heute auch die technische DSGVO-Umsetzung. Patienten erwarten Klarheit, besonders bei sensiblen Daten.

Eine vollständige Datenschutzerklärung schützt vor Abmahnungen, schafft Vertrauen und stärkt Ihre Sichtbarkeit im Netz.

Komplette DSGVO-Checkliste für Praxis-Website

Mehr zum Thema Datenschutz finden Sie auch in unserem ausführlichen Beitrag: DSGVO-konforme Website für Arztpraxis in 2025: Die Checkliste für Vertrauen, Sichtbarkeit und Rechtssicherheit.

Darin erfahren Sie, welche rechtlichen Anforderungen Ihre Praxis-Website 2025 erfüllen muss – Schritt für Schritt und mit klaren Empfehlungen aus der Praxis.

Quellen und weiterführende Informationen

1. BfDI – Bundesbeauftragter für den Datenschutz und die Informationsfreiheit https://www.bfdi.bund.de/
2. Datenschutz.org – DSGVO-Ratgeber & Bußgeld-Dokumentation https://www.datenschutz.org/dsgvo-bussgeld
3. Dr. Datenschutz – Fachartikel zur DSGVO in der medizinischen Praxis https://www.dr-datenschutz.de/
4. Google Controller Terms & Standardvertragsklauseln https://privacy.google.com/businesses/controllerterms/
5. Microsoft Datenschutzrichtlinie / Clarity Privacy https://privacy.microsoft.com/de-de/privacystatement
6. Google Fonts – FAQ zur Nutzung und Einbindung https://developers.google.com/fonts/faq
7. Doctolib Datenschutzrichtlinie https://media.doctolib.com/image/upload/v1744634516/legal/B2C-PrivacyPolicy-APR_25-DE.docx.pdf
8. Jameda Datenschutz https://www.jameda.de/datenschutz
9. TTDSG im Wortlaut https://www.gesetze-im-internet.de/ttdsg/