Wer als Psychotherapeutin oder Psychotherapeut wissen möchte, wie viele Menschen die eigene Praxis-Website besuchen und über welche Suchbegriffe sie den Weg dorthin finden, kommt schnell mit Cookies und Tracking-Werkzeugen in Berührung. Das ist grundsätzlich legitim — Reichweitenmessung hilft, das Angebot zu verbessern und Werbebudget sinnvoll einzusetzen. Doch gerade in der Psychotherapie gelten strenge Regeln: Schon der Besuch einer Therapie-Website kann Rückschlüsse auf die Gesundheit einer Person zulassen. Dieser Beitrag zeigt, wie Sie Reichweite messen dürfen, wann eine Einwilligung zwingend ist und mit welchen Werkzeugen Sie datenschutzkonform arbeiten.
Warum Tracking auf Psychotherapie-Websites besonders heikel ist
Auf einer gewöhnlichen Unternehmens-Website ist die Analyse des Nutzerverhaltens Alltag. In der Psychotherapie kommt eine Schutzschicht hinzu, die viele Standardlösungen nicht berücksichtigen — und die schnell zum rechtlichen Risiko wird.
Der Website-Besuch als Gesundheitsdatum
Ruft eine Person eine Seite wie „Behandlung von Angststörungen" oder „Traumatherapie" auf, entsteht ein Kontext, der auf eine mögliche Erkrankung hindeutet. Werden diese Seitenaufrufe mit Kennungen wie IP-Adresse, Cookie-ID oder Gerätemerkmalen verknüpft und an Dritte übermittelt, verarbeiten Sie faktisch besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Das ist genau der Grund, warum unbedachtes Tracking auf Praxis-Websites deutlich problematischer ist als auf der Seite eines Handwerksbetriebs.
Schweigepflicht wirkt bis in die Technik
Die berufsrechtliche Schweigepflicht nach § 203 Strafgesetzbuch verpflichtet Sie, auch technische Dienstleister sorgfältig auszuwählen. Ein Tracking-Anbieter, der Nutzungsdaten in ein Drittland überträgt oder für eigene Zwecke weiterverwendet, passt schwer zu dieser Pflicht. Wie sich Datenschutz und Schweigepflicht ganzheitlich auf der Website umsetzen lassen, zeigt unser Überblick zum Datenschutz für Psychotherapeuten.
Der rechtliche Rahmen: DSGVO und TDDDG
Zwei Regelwerke bestimmen, was beim Setzen von Cookies erlaubt ist. Sie greifen ineinander und werden in der Praxis oft verwechselt.
§ 25 TDDDG regelt den Zugriff auf das Endgerät
Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) — bis 2024 als TTDSG bekannt — verlangt in § 25 eine Einwilligung, sobald Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Das betrifft praktisch alle Analyse- und Marketing-Cookies. Ausgenommen sind nur Cookies, die technisch unbedingt erforderlich sind, etwa für Warenkörbe oder Login-Funktionen. Reine Reichweitenmessung fällt nicht darunter und braucht daher grundsätzlich eine Einwilligung.
Die DSGVO regelt die anschließende Verarbeitung
Ist ein Cookie einmal gesetzt und werden damit personenbezogene Daten verarbeitet, greift zusätzlich die DSGVO. Für Analyse-Cookies ist die passende Rechtsgrundlage in aller Regel die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO. Ein Verweis auf „berechtigtes Interesse" trägt bei Tracking nach herrschender Auffassung der Aufsichtsbehörden nicht. Eine gute Orientierung bietet die Aufsichtspraxis, wie sie sich auch aus dem Gesetzestext des TDDDG ableiten lässt.
Consent-Banner richtig umsetzen
Das Einwilligungsbanner ist das Herzstück eines rechtssicheren Trackings. Viele Praxen setzen es ein — aber häufig fehlerhaft, sodass die Einwilligung unwirksam ist und das Tracking trotzdem rechtswidrig läuft.
Was eine wirksame Einwilligung ausmacht
Eine Einwilligung ist nur wirksam, wenn sie freiwillig, informiert und aktiv erteilt wird. Daraus folgt: Vor der Einwilligung dürfen keine Analyse- oder Marketing-Cookies gesetzt werden. „Ablehnen" muss genauso leicht möglich sein wie „Akzeptieren" — ein prominenter grüner Zustimmen-Button neben einem versteckten Ablehnen-Link ist unzulässig. Vorausgewählte Häkchen sind ebenfalls tabu.
Häufige Fehler im Banner
Der klassische Fehler: Google Analytics oder ein anderes Tool lädt bereits beim Seitenaufruf, während das Banner noch angezeigt wird. Dann ist die Verarbeitung längst gestartet, bevor die Person überhaupt entscheiden konnte. Ebenfalls verbreitet sind Banner, die nur einen „OK"-Button anbieten, oder sogenannte Cookie-Walls, die den Zugang ohne Zustimmung komplett sperren. Beides ist bei einer Praxis-Website nicht empfehlenswert und rechtlich angreifbar.
Datenschutzfreundliche Grundhaltung
Ein technisch sauberes Banner blockiert alle nicht notwendigen Skripte, bis eine Einwilligung vorliegt, und dokumentiert diese nachvollziehbar. Diese Grundhaltung passt zu einer Praxis, die Vertrauen ausstrahlen möchte — und sie lässt sich mit einer durchdachten Website ohne großen Aufwand umsetzen. Welche Rolle Vertrauen und Auffindbarkeit dabei spielen, beschreibt unser Beitrag zum Marketing für Psychotherapeuten.
Wichtig ist außerdem der Widerruf: Eine einmal erteilte Einwilligung muss die betroffene Person jederzeit ebenso einfach zurücknehmen können, wie sie erteilt wurde. In der Praxis bedeutet das einen dauerhaft erreichbaren Link, über den sich die Cookie-Einstellungen erneut aufrufen und ändern lassen — üblicherweise im Footer der Seite. Fehlt diese Möglichkeit, ist die gesamte Einwilligung angreifbar, selbst wenn das Banner ansonsten korrekt gestaltet wurde. Dokumentieren Sie zudem, wann und in welchem Umfang eine Einwilligung erteilt wurde, damit Sie im Zweifel nachweisen können, dass alles rechtmäßig ablief.
Welche Analyse-Werkzeuge sind geeignet?
Nicht jedes Tool passt zu einer Therapiepraxis. Die Auswahl entscheidet darüber, wie viel Einwilligungsaufwand entsteht und ob überhaupt Daten in Drittländer fließen.
Google Analytics, Matomo und Server-Logs im Vergleich
Google Analytics ist weit verbreitet, überträgt jedoch Daten in die USA und erfordert immer eine Einwilligung. Matomo lässt sich selbst hosten und kann so konfiguriert werden, dass keine Cookies gesetzt und keine Daten an Dritte übermittelt werden — dann ist unter Umständen sogar ein Betrieb ohne Einwilligungsbanner denkbar. Eine schlichte Auswertung der Server-Logfiles kommt ganz ohne Cookies aus. Die folgende Übersicht ordnet die gängigen Optionen ein.
| Werkzeug | Einwilligung nötig? | Datenübertragung Drittland | Eignung für Praxen |
|---|---|---|---|
| Google Analytics 4 | Ja, immer | Ja (USA) | Eher ungeeignet |
| Matomo (selbst gehostet, cookielos) | Oft nein | Nein | Gut geeignet |
| Matomo (mit Cookies) | Ja | Nein | Geeignet |
| Server-Logfile-Analyse | Nein | Nein | Sehr gut geeignet |
| Externe Heatmap-Tools | Ja | Häufig ja | Ungeeignet |
Empfehlung für Therapiepraxen
Für die meisten Praxen ist ein selbst gehostetes, cookieloses Analyse-Werkzeug oder eine reine Logfile-Auswertung die beste Wahl. Sie erhalten belastbare Kennzahlen zu Besucherzahlen und beliebten Seiten, ohne Ihre Ratsuchenden einem Tracking auszusetzen. Das schont nicht nur den Datenschutz, sondern verbessert oft auch die Ladezeit der Seite. Wie sich gute Auffindbarkeit auch ohne aggressives Tracking erreichen lässt, erläutert unser Leitfaden zur SEO für Psychotherapeuten.
Eingebettete Inhalte als unterschätzte Tracking-Quelle
Tracking versteckt sich nicht nur in Analyse-Software. Viele Praxis-Websites übertragen Daten an Dritte, ohne dass es den Betreibern bewusst ist.
Schriften, Karten und Videos
Werden Google Fonts direkt von Google-Servern geladen, eine Karte eingebettet oder ein Video von einer Videoplattform eingebunden, wird beim Seitenaufruf oft schon die IP-Adresse des Besuchers an den jeweiligen Anbieter übertragen — teils in die USA. Auch das ist eine Form von Tracking und benötigt entweder eine Einwilligung oder eine lokale, datensparsame Einbindung. Schriften lassen sich beispielsweise lokal hosten, Karten erst nach Klick laden.
Terminbuchung und externe Dienste
Online-Terminbuchungstools laden häufig Skripte von externen Servern nach. Prüfen Sie, welche Daten dabei fließen und ob ein Auftragsverarbeitungsvertrag vorliegt. Wie sich Terminbuchung und Kontaktmöglichkeiten datensparsam gestalten lassen, zeigt unser Beitrag zur Online-Therapie-Website.
Regelmäßige Kontrolle statt einmaliger Prüfung
Eine Website ist selten statisch. Wird ein neues Plugin installiert, ein Chat-Widget ergänzt oder ein Newsletter-Formular eingebunden, können unbemerkt neue Datenflüsse entstehen. Es empfiehlt sich deshalb, die eigene Seite mindestens einmal jährlich systematisch auf eingebundene Drittdienste zu prüfen — etwa mit den Entwicklerwerkzeugen des Browsers, die alle ausgehenden Verbindungen sichtbar machen. So erkennen Sie frühzeitig, ob ein Dienst Daten überträgt, der bislang nicht in Ihrer Datenschutzerklärung und Ihrem Consent-Banner berücksichtigt wurde. Diese Routine schützt nicht nur vor Abmahnungen, sondern hält auch die technische Grundlage Ihrer Praxis-Website sauber und wartbar.
Fazit: Reichweite messen ohne Vertrauensverlust
Cookies und Tracking sind auf Psychotherapie-Websites kein Tabu — aber sie verlangen mehr Sorgfalt als anderswo. Wer Analyse-Cookies setzt, braucht ein sauberes Einwilligungsbanner, das vor jeder Datenverarbeitung greift und Ablehnen so einfach macht wie Zustimmen. Noch eleganter ist der Verzicht auf klassisches Tracking zugunsten cookieloser, selbst gehosteter Werkzeuge oder einer reinen Logfile-Analyse. So gewinnen Sie belastbare Zahlen, wahren die Schweigepflicht und signalisieren Ratsuchenden, dass ihre besonders sensiblen Daten bei Ihnen sicher sind. Berufsrechtliche Hinweise Ihrer Kammer, etwa der Bundespsychotherapeutenkammer, ergänzen diesen Rahmen.
Wir von webentwickler.io entwickeln Praxis-Websites, bei denen Datenschutz und Reichweitenmessung von Anfang an zusammengedacht werden — von der cookielosen Analyse bis zum rechtssicheren Consent-Banner. Wie eine solche Website insgesamt aufgebaut ist, zeigt unser Leitfaden zur Website für Psychotherapeuten. Sprechen Sie uns gerne an: Nina Benfer und das Team erreichen Sie unter info@webentwickler.io.
Häufige Fragen
Darf eine Psychotherapie-Praxis Google Analytics einsetzen?
Grundsätzlich ja, aber nur mit vorheriger wirksamer Einwilligung über ein Consent-Banner, da Google Analytics Cookies setzt und Daten in die USA überträgt. Für Therapiepraxen ist ein selbst gehostetes, cookieloses Analyse-Werkzeug oder eine reine Logfile-Auswertung meist die datenschutzfreundlichere und einfachere Wahl.
Brauche ich für jedes Cookie ein Einwilligungsbanner?
Nein. Technisch unbedingt erforderliche Cookies — etwa für Login oder Warenkorb — sind nach § 25 TDDDG von der Einwilligungspflicht ausgenommen. Analyse- und Marketing-Cookies hingegen dürfen erst nach aktiver Einwilligung gesetzt werden.
Warum ist Tracking auf Therapie-Websites besonders sensibel?
Weil schon der Aufruf einer themenspezifischen Seite auf eine mögliche Erkrankung hindeutet. Verknüpft mit einer Kennung entstehen so Gesundheitsdaten nach Artikel 9 DSGVO, die besonders geschützt sind und zusätzlich unter die Schweigepflicht fallen.
Ist Matomo eine datenschutzkonforme Alternative?
Ja. Selbst gehostet und ohne Cookies konfiguriert kann Matomo ohne Datenübertragung an Dritte betrieben werden; unter bestimmten Voraussetzungen ist dann sogar ein Betrieb ohne Einwilligungsbanner denkbar. Es liefert dennoch belastbare Kennzahlen zu Besuchern und Seiten.