DSGVO-Checkliste für Arztpraxen 2026

Sie können den Datenschutz-Zustand Ihrer Ordinations-Website in etwa 30 Minuten selbst überprüfen – ohne technisches Vorwissen, mit Bordmitteln Ihres Browsers. Diese Checkliste führt Sie durch zehn Prüfpunkte: Bei jedem steht, warum er zählt, wie Sie ihn selbst testen und was zu tun ist, wenn der Test fehlschlägt. Grundlage ist die DSGVO (öffnet in neuem Tab) samt der Aufsichtspraxis der österreichischen Datenschutzbehörde (öffnet in neuem Tab).

Vorbereitung: der 2-Minuten-Aufbau

Öffnen Sie Ihre Website in einem privaten Fenster (Inkognito-Modus), damit keine alten Cookies das Bild verfälschen. Öffnen Sie dann mit F12 die Entwicklerwerkzeuge und wechseln Sie auf den Reiter „Netzwerk“ (Network). Laden Sie die Seite neu. Alles, was Sie jetzt in der Liste sehen, wird beim Besuch Ihrer Website geladen – von Ihrem Server oder von fremden.

Die 10 Prüfpunkte

1. Wohin telefoniert Ihre Website?

Test: Tippen Sie im Netzwerk-Reiter nacheinander google, facebook, doubleclick und meta in das Filterfeld. Befund: Jeder Treffer bedeutet, dass Daten Ihrer Besucher:innen (mindestens die IP-Adresse) an diese Konzerne fließen – bei einer Arzt-Website besonders heikel, weil schon der Besuch etwas über die Gesundheit verrät. Abhilfe: Analytics-Skripte und Social-Pixel entfernen oder durch eine EU-gehostete, einwilligungsfreie Statistik ersetzen.

2. Google Fonts: lokal oder extern?

Test: Filtern Sie im Netzwerk-Reiter nach fonts.g. Treffer wie fonts.googleapis.com oder fonts.gstatic.com heißen: Schriften werden von Google-Servern geladen und übertragen dabei die IP-Adresse. Warum wichtig: Genau dafür gab es im deutschsprachigen Raum Abmahnwellen. Abhilfe: Schriftdateien auf den eigenen Server legen – das ist auch noch schneller.

3. Ist die Datenschutzerklärung deckungsgleich mit der Realität?

Test:Legen Sie Ihre Netzwerk-Liste aus Punkt 1 neben Ihre Datenschutzerklärung. Jeder fremde Dienst, der lädt, muss dort beschrieben sein – und umgekehrt: Beschreibt die Erklärung Dienste, die Sie längst nicht mehr nutzen, ist sie ebenso falsch. Häufigster Befund: eine vor Jahren kopierte Vorlage, die weder das eine noch das andere abbildet. Abhilfe: Erklärung an den Ist-Zustand anpassen (Art. 13 DSGVO verlangt u. a. Zwecke, Rechtsgrundlagen und Speicherdauern).

4. HTTPS überall – auch bei alten Links?

Test: Rufen Sie Ihre Website einmal bewusst mit http:// (ohne s) auf. Landen Sie automatisch auf der verschlüsselten Version? Zeigt das Schloss-Symbol keine Warnung? Abhilfe: serverseitige Weiterleitung auf HTTPS einrichten lassen; Zertifikate sind heute kostenlos.

5. Fragt Ihr Kontaktformular zu viel?

Test: Sehen Sie sich jedes Formularfeld an und fragen Sie: Brauche ich das wirklich für die erste Kontaktaufnahme? Warum wichtig:Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Ein Feld „Beschreiben Sie Ihre Beschwerden“ macht aus einer harmlosen Terminanfrage eine Verarbeitung sensibler Daten. Abhilfe:Name, Kontaktweg, Wunschtermin – mehr braucht ein Erstkontakt nicht.

6. Cookie-Banner: ehrlich oder Attrappe?

Test A:Setzt Ihre Website überhaupt nicht-notwendige Cookies? (Entwicklerwerkzeuge → Reiter „Anwendung“/„Storage“ → Cookies.) Wenn nein: Weg mit dem Banner, er ist reine Reibung. Test B: Wenn ja: Laden die Tracker aus Punkt 1 schon vorIhrem Klick auf „Akzeptieren“? Dann ist der Banner eine Attrappe – rechtlich wertlos. Abhilfe: Erst gar keine trackenden Cookies setzen; das ist die einzige Variante ohne Wartungsrisiko.

7. Impressum: vollständig und einen Klick entfernt?

Test:Von jeder Unterseite muss das Impressum mit einem Klick erreichbar sein. Für Ordinationen gehören neben den E-Commerce-Gesetz-Pflichtangaben auch Berufsbezeichnung, Kammerzugehörigkeit und die anwendbaren berufsrechtlichen Vorschriften hinein – die WKO (öffnet in neuem Tab) stellt dafür Impressum-Generatoren bereit.

8. Wer verarbeitet im Hintergrund? (Auftragsverarbeiter)

Test: Listen Sie auf: Wo liegt das Hosting? Wohin schickt das Kontaktformular? Läuft ein Newsletter-Dienst, ein Buchungstool, ein Chat? Warum wichtig: Für jeden dieser Dienste braucht es einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO); bei Anbietern außerhalb der EU zusätzlich eine Drittland-Grundlage. Abhilfe:EU-Anbieter wählen – das reduziert die Vertragsarbeit drastisch.

9. Team-Fotos und Patientenbilder: Einwilligungen dokumentiert?

Test:Für jedes erkennbare Gesicht auf der Website: Gibt es eine schriftliche, widerrufbare Einwilligung – auch von Ex-Mitarbeiter:innen, die noch online sind? Abhilfe: Einwilligungen nachholen oder Fotos tauschen; Ordinationsräume ohne Personen sind die unkomplizierte Alternative.

10. Digitale Altlasten offline nehmen

Test: Suchen Sie bei Google nach site:ihre-domain.at. Tauchen alte Testseiten, verwaiste Unterseiten oder eine vergessene Subdomain auf? Warum wichtig:Nicht gewartete Installationen sind das häufigste Einfallstor – technisch wie rechtlich. Abhilfe: Löschen, was nicht mehr gebraucht wird.

Auswertung: Was Ihr Ergebnis bedeutet

• 0-1 Treffer:Solide Basis. Prüfen Sie halbjährlich nach – jede Website-Änderung kann neue Dienste einschleppen.
• 2-4 Treffer:Typisch für gewachsene Baukasten-Websites. Die Punkte 1, 2 und 6 zuerst beheben – sie sind am schnellsten abmahnbar.
• 5+ Treffer: Eine Sanierung im Bestand kostet oft mehr als ein sauberer Neuaufbau, bei dem Datensparsamkeit Architekturprinzip ist. Was das strukturell heißt, steht kompakt am Themen-Hub DSGVO-konforme Arzt-Website.

Fazit

DSGVO-Konformität ist kein Dokument, das man einmal unterschreibt, sondern eine Eigenschaft der Website-Architektur. Der Netzwerk-Reiter Ihres Browsers ist dabei ehrlicher als jede Hochglanz-Broschüre: Was dort nicht lädt, kann keine Daten abfließen lassen. Wenn Sie nach dem Selbst-Audit Handlungsbedarf sehen: Eine neue, von Grund auf datensparsame Website gibt es ab €790, ohne Abo.

Hinweis: Dieser Artikel informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.