Datenschutz-Fehler auf Praxiswebseiten

Wenn wir Webseiten im Internet bewerten, spielt spätestens seitdem Inkrafttreten der Datenschutz-Grundverordnung im Mai 2018 das Thema Datenschutz eine große Rolle. Denn diese Verordnung stellt nahezu an jeden Betreiber einer Internetseite nun einige Anforderungen.

Welche personenbezogenen Daten der Besucher werden erhoben? Welche werden gespeichert? Wo genau werden sie gespeichert? Und welche Daten werde aus welchen Gründen an andere Anbieter oder Unternehmen übertragen?

Auch wenn das Thema Datenschutz bei den meisten Agenturen im Bereich der Website-Erstellung mittlerweile wesentlicher Bestandteil des Workflows geworden ist, fallen mir dennoch bei (sehr) vielen Praxiswebseiten, die immer gleichen Fehler und Missstände auf.

Und da eine Abmahnung aufgrund von fehlender Datenschutz-Maßnahmen nicht nur unangenehm und zeitraubend ist – Sie haben in Ihrem Praxisalltag ja sicherlich genug Themen haben, um die Sie sich kümmern müssen – sondern kann unter Umständen auch schnell massiv hohe Bußgelder zur Auswirkung haben.

Aus diesem Grund habe Ich Ihnen als Arzt oder Praxisinhaber hier die Top5 Fehler bezüglich Datenschutz auf Webseiten aufgelistet, sodass Sie kurzerhand selbst überprüfen können, ob diese Punkte auf Ihrer Praxiswebseite erfüllt sind.

Vorweg: Ich bin weder Jurist noch Datenschutzbeauftragter, und dieser Beitrag ist keine Rechtsberatung. Es sind Beobachtungen aus der täglichen Arbeit an Praxiswebseiten. Datenschutzrecht bewegt sich; die Angaben unten sind auf dem Stand der letzten Aktualisierung dieses Beitrags. Lassen Sie im Zweifel Ihren Datenschutzbeauftragten oder eine Kanzlei draufschauen.

Die fünf häufigsten Datenschutzfehler auf Praxiswebseiten

Fehler 1: Die Datenschutzerklärung ist nicht eigenständig erreichbar

Die sogenannte DSE soll den Besucher der Website im Vorfeld ausreichend informieren (vgl. Art. 13 DSGVO), insbesondere darüber, wer seine Daten erhebt, was mit diesen geschieht und zu welchem Zweck die Daten erhoben werden. Sie dokumentiert also die Funktionen der Webseite an denen personenbezogene Daten erhoben werden wie z.B.: Formulare, Analyse-Tools etc.

Diese Seite MUSS also zwingend auf jeder Webseite existieren und vor allem, muss sie von jeder Unterseite aus mit nur einem Klick erreichbar und eindeutig gekennzeichnet sein. Es ist daher nicht erlaubt, die Datenschutzerklärung im Impressum unterzubringen.

Optional kann man seine Besucher vor dem Absenden eines ausgefüllten Kontaktformulars noch die Datenschutz-Richtlinien akzeptieren lassen. Das ist zum aktuellen Zeitpunkt zwar keine Pflicht, schadet aber sicherlich auch nicht.

Fehler 2: Kein SSL-Zertifikat trotz Kontaktformular

Eine weitere, oft ignorierte technische Maßnahme ist die verschlüsselte Übertragung von personenbezogenen Daten über Kontaktformulare. Nutzt eine Webseite mindestens ein Kontaktformular, ist die verschlüsselte Übertragung via SSL Pflicht.

Ob eine Website Ihre Daten verschlüsselt oder nicht, erkennen Sie innerhalb des Browsers anhand folgendem Icon:

Das Zertifikat für die Verschlüsslung erhalten Sie für gewöhnlich von Ihrem Webhoster, oftmals sogar kostenfrei innerhalb ihres Webhosting-Pakets.

Fehler 3: Google Fonts werden nicht lokal gehostet

Mit dem kostenlosen Service „Google Fonts“ lassen sich hunderte von Schriftarten verwenden und einheitlich innerhalb einer Website einbinden. Die Verwendung dieser Schriftarten ist daher weit verbreitet und von Grund auf erstmal vollkommen in Ordnung.

Nur nutzen viele Webseiten diese Schriften, indem sie sie direkt vom Google Server laden. Dabei übermittelt der Browser des Nutzers verschiedene Informationen wie Browser- und Gerätedaten und auch die IP-Adresse des Nutzers an die Google Server in den Vereinigten Staaten.

Das Landgericht München I hat dazu am 20. Januar 2022 entschieden, dass die Übermittlung der IP-Adresse ohne Einwilligung das Persönlichkeitsrecht verletzt, und dem Kläger 100 Euro Schadensersatz zugesprochen (Az. 3 O 17493/20). In der Folge gingen zehntausende Abmahnschreiben heraus. Viele davon waren rechtsmissbräuchlich und wurden von Gerichten zurückgewiesen — am Kern der Sache ändert das nichts.

Nebenbei kostet das dynamische Einbinden auch Ladezeit, weil der Browser eine zusätzliche Verbindung zu einem fremden Server aufbauen muss.

Ob Ihre Website die Schriften ebenso vom Google Server lädt, können Sie unter folgendem Link problemlos prüfen: https://test.bueroblanko.de/google-fonts

Die Lösung für dieses Problem ist glücklicherweise wirklich einfach. Die Schriften können nämlich problemlos bei Google heruntergeladen und in der eigenen Webseite eingebunden werden. Dadurch wird eine einheitliche Darstellung der Webseite ganz ohne Datenschutzproblematik gewährleistet.

Fehler 4: Google Maps lädt ohne Einwilligung

Eine weitere Sache die bei fast keiner Praxiswebseite fehlt, ist die Darstellung des eigenen Standorts innerhalb einer Karte. Dadurch kann der Besucher sich problemlos seine eigene Anfahrt zu Ihrer Praxis berechnen. Meistens wird auch dies über den kostenfreien Dienst „Google Maps“ umgesetzt, der personenbezogene Daten zum Standort des Nutzers an Google überträgt.

Die Einwilligung ist weiterhin nötig — die Begründung dafür hat sich seit dem Erscheinen dieses Beitrags allerdings verschoben. Damals stand der Datentransfer in die USA im Vordergrund; dieser ist seit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 für zertifizierte Anbieter wie Google grundsätzlich wieder abgedeckt. Das EU-Gericht hat den Beschluss im Juni 2026 bestätigt.

Entscheidend ist heute § 25 TDDDG — bis Mai 2024 als TTDSG bekannt. Danach braucht jeder Zugriff auf das Endgerät des Besuchers eine Einwilligung, sofern er nicht technisch notwendig ist. Eine eingebettete Karte lädt Skripte und setzt Kennungen und fällt damit darunter, ganz unabhängig davon, wohin die Daten fließen.

Praktisch bleibt es also beim selben Vorgehen: Die Karte wird erst nach ausdrücklicher Einwilligung geladen. Bis dahin steht an ihrer Stelle ein Platzhalter mit einem Hinweis, was beim Laden passiert. Eine Adresse mit Anfahrtsbeschreibung als Text braucht dagegen keine Einwilligung — und beantwortet die Frage der meisten Patienten ohnehin schneller.

Fehler 5: Google Analytics läuft ohne Einwilligung

Der letzte und nicht weniger wichtige Punkt in meiner Liste an häufiger Datenschutz-Pannen ist die Einbindung von Analyse-Tools. Auch hier stellt wieder Google das kostenlose Werkzeug „Google Analytics“ zur Verfügung um wichtige Erkenntnisse im Marketing über die eigenen Nutzer zu ermitteln und zu vergleichen. Auf diese Weise werden unglaublich viele personenbezogene Daten erhoben und – Sie werden es bereits ahnen – an Google übertragen.

Auch hier gilt § 25 TDDDG: Analyse-Werkzeuge sind nicht technisch notwendig und dürfen deshalb erst nach ausdrücklicher Einwilligung laden. Ein Banner, das beim Betreten der Seite bereits Skripte startet, erfüllt das nicht.

Der Datentransfer in die USA ist über das Data Privacy Framework abgedeckt, solange der Anbieter zertifiziert ist. Ein Restrisiko bleibt: Der Angemessenheitsbeschluss kann erneut gerichtlich geprüft werden, und die Absicherung der US-Aufsicht wird fachlich diskutiert. Wer das vermeiden will, nutzt eine in der EU gehostete Alternative.

Um Google Analytics rechtsgültig einzubinden, fallen mehrere Arbeitsschritte an:

• Vertrag zur Auftragsverarbeitung abschließen
• Aufbewahrungsdauer der Daten festlegen
• Empfohlene Standardeinstellungen anpassen
• Einwilligung einholen
• IP-Anonymisierung und ggf. Löschung von Altdaten
• Datenschutzerklärung anpassen

Bedeutet also konkret, dass wenn ich keine Einwilligung meiner Nutzer zum Tracking bekomme, ich deren Daten auch nicht erheben darf, was nahezu alle analytischen Daten stark verwässert.

Wir nutzen als Agentur daher mittlerweile ausschließlich das alternative Tool „Matomo Analytics“. Hierbei werden ebenso viel wichtige Erkenntnisse über die User erhoben und innerhalb der eigenen Seite oder eines eigenen Servers gespeichert, was die Verwendung datenschutzkonform macht – zum heutigen Stand auch ohne die Einwilligung des Users.

Fazit

Wie Sie sehen durchlebt das Thema Datenschutz auf Webseiten besonders aktuell häufige Veränderungen und zieht daher durch neue Rechtsprechungen immer wieder neue, zu erfüllende Maßnahmen mit sich.

Insgesamt wird die Zeit zeigen müssen, ob und in welcher Weise der Datentransfer in die USA in Zukunft wieder – wenn er es denn jemals war – vollständig datenschutzkonform möglich ist.

Ich hoffe dennoch, ich konnte Ihnen mit dieser kurzen Liste eine Möglichkeit geben, Ihre eigene Seite auf die häufigen Fehler zu überprüfen und bei Bedarf nachzubessern.

Dennoch empfehle ich jedem, der sich in Bezug auf den Datenschutz der eigenen Website unsicher ist, den Weg zum Datenschutz-Anwalt. Nur ein Jurist kann Ihnen hier absolute Sicherheit und Gewissheit liefern.

Aktualisiert am 06. August 2026