Die Datenschutzerklärung ist der rechtlich am strengsten regulierte Text auf jeder Psychotherapie-Website. Sie ist keine Formalie, sondern eine gesetzliche Pflicht nach Artikel 13 und 14 der Datenschutz-Grundverordnung (DSGVO) — und bei Therapeutinnen und Therapeuten kommt eine Besonderheit hinzu, die viele Standard-Generatoren nicht abbilden: die Verarbeitung von Gesundheitsdaten und die berufsrechtliche Schweigepflicht. Eine fehlende oder fehlerhafte Datenschutzerklärung kann Abmahnungen, Bußgelder und im schlimmsten Fall berufsrechtliche Konsequenzen nach sich ziehen. Dieser Leitfaden zeigt, welche Pflichtangaben in die Datenschutzerklärung einer Praxis-Website gehören, welche Fehler besonders häufig sind und wie eine saubere Mustergliederung aussieht.
Warum die Datenschutzerklärung für Praxis-Websites eine Sonderrolle spielt
Jede Website, die personenbezogene Daten verarbeitet — und das tut praktisch jede — benötigt eine Datenschutzerklärung. Für Psychotherapeuten gelten jedoch verschärfte Anforderungen, weil bereits die bloße Kontaktaufnahme über die Praxis-Website einen Rückschluss auf eine mögliche Behandlung zulässt. Damit fallen die Daten unter die besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO.
Gesundheitsdaten sind besonders geschützt
Sobald eine Person über ein Kontaktformular oder per E-Mail um einen Therapieplatz bittet, entstehen Gesundheitsdaten im Sinne von Artikel 9 DSGVO. Für deren Verarbeitung braucht es eine besondere Rechtsgrundlage — in der Regel die ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO. Die Datenschutzerklärung muss diese Rechtsgrundlage transparent benennen. Ein Standardtext, der nur von „berechtigtem Interesse" spricht, greift hier zu kurz und ist angreifbar.
Die Schweigepflicht wirkt bis in die Technik
Die berufsrechtliche Schweigepflicht nach § 203 Strafgesetzbuch verpflichtet Therapeuten, auch technische Dienstleister sorgfältig auszuwählen. Wer einen Server-Hoster, einen Terminbuchungsdienst oder einen Newsletter-Anbieter einsetzt, muss mit diesem einen Auftragsverarbeitungsvertrag schließen und darauf achten, dass keine unbefugte Kenntnisnahme möglich ist. In der Datenschutzerklärung werden all diese Dienstleister offengelegt. Weitere Details zur technischen Umsetzung finden Sie in unserem Überblick zum Datenschutz für Psychotherapeuten.
Konkret bedeutet das: Ein Hoster mit Serverstandort in Deutschland oder der EU ist einem außereuropäischen Anbieter meist vorzuziehen, weil sich so die Schweigepflicht leichter wahren lässt und keine komplexe Drittlandprüfung nötig wird. Auch die praxisinterne E-Mail-Kommunikation gehört auf den Prüfstand: Wird eine Nachricht mit Gesundheitsbezug unverschlüsselt versendet, kann bereits das ein berufsrechtliches Problem darstellen. Die Datenschutzerklärung dokumentiert diese Sorgfalt nach außen und macht für Ratsuchende nachvollziehbar, wie ihre Daten geschützt werden.
Diese Pflichtangaben gehören in jede Datenschutzerklärung
Artikel 13 DSGVO gibt einen klaren Katalog vor, welche Informationen betroffenen Personen bei der Erhebung ihrer Daten mitzuteilen sind. Für Praxis-Websites lassen sich diese Angaben in mehrere Blöcke gliedern.
Verantwortlicher und Datenschutzbeauftragter
Zu Beginn nennt die Datenschutzerklärung den Verantwortlichen mit Name, Anschrift und Kontaktdaten — bei Einzelpraxen also die Therapeutin oder den Therapeuten selbst. Ob ein Datenschutzbeauftragter benannt werden muss, hängt von der Praxisgröße ab: Verarbeiten regelmäßig mindestens 20 Personen personenbezogene Daten, ist die Benennung Pflicht. In kleinen Praxen entfällt diese Pflicht meist, sollte aber dennoch geprüft werden.
Verarbeitungszwecke, Rechtsgrundlagen und Speicherdauer
Für jede Verarbeitung — Kontaktformular, Server-Logfiles, Terminbuchung, Analyse — sind Zweck, Rechtsgrundlage und Speicherdauer anzugeben. Gerade die Speicherdauer wird oft vergessen. Bei Behandlungsanfragen ist zudem die ausdrückliche Einwilligung als Rechtsgrundlage für die Gesundheitsdaten zu dokumentieren.
Betroffenenrechte und Beschwerderecht
Jede betroffene Person hat das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Diese Rechte müssen vollständig aufgeführt werden, ebenso das Beschwerderecht bei der zuständigen Aufsichtsbehörde. Eine gute Übersicht bietet die Bundesdatenschutzgesetz-Fassung im Internet.
Wichtig ist, dass diese Rechte nicht nur formal genannt, sondern auch praktisch einlösbar sind. Wenn eine ratsuchende Person Auskunft über ihre gespeicherten Daten verlangt oder deren Löschung wünscht, muss die Praxis darauf innerhalb eines Monats reagieren können. Es empfiehlt sich, in der Datenschutzerklärung eine konkrete Kontaktmöglichkeit für solche Anliegen zu benennen — idealerweise eine E-Mail-Adresse, die direkt bei der verantwortlichen Person eingeht und nicht über Dritte läuft.
Informationen bei der Datenerhebung
Die DSGVO verlangt, dass die Informationen zum Zeitpunkt der Datenerhebung bereitgestellt werden. Praktisch heißt das: Direkt am Kontaktformular sollte ein kurzer Hinweis mit Verlinkung auf die Datenschutzerklärung stehen. So kann die betroffene Person vor dem Absenden nachvollziehen, was mit ihren Angaben geschieht. Ein isolierter Link im Footer allein genügt formal, ist aber weniger nutzerfreundlich und schwächer im Sinne der Transparenzpflicht.
Typische Fehler in Datenschutzerklärungen von Therapiepraxen
In der Praxis wiederholen sich bestimmte Fehler immer wieder. Wer sie kennt, vermeidet Abmahnrisiken und schützt zugleich die sensiblen Daten der Ratsuchenden.
Generator-Texte ohne Anpassung
Kostenlose Generatoren liefern eine solide Grundstruktur, kennen aber weder Ihre konkreten Tools noch die psychotherapie-spezifischen Anforderungen. Eine ungeprüft übernommene Vorlage nennt oft Dienste, die gar nicht eingesetzt werden — oder verschweigt genau jene, die tatsächlich Daten verarbeiten. Beides ist ein Verstoß gegen die Transparenzpflicht.
Fehlende Nennung eingebundener Dienste
Google Fonts, eingebettete Karten, Terminbuchungstools oder Analyse-Software übertragen häufig Daten an Dritte, teils in die USA. Jeder dieser Dienste muss in der Datenschutzerklärung erscheinen — inklusive Rechtsgrundlage und, falls nötig, Hinweis auf die Drittlandübermittlung. Wie sich Kontaktformular und Terminbuchung datensparsam umsetzen lassen, erläutert unser Beitrag zur Online-Therapie-Website.
Kein Einwilligungsbanner trotz Tracking
Wer Analyse- oder Marketing-Cookies setzt, benötigt vor deren Aktivierung eine wirksame Einwilligung. Eine Datenschutzerklärung allein ersetzt das Consent-Banner nicht. Fehlt das Banner, während im Hintergrund bereits Tracking läuft, ist die Verarbeitung rechtswidrig — unabhängig davon, wie ausführlich die Datenschutzerklärung formuliert ist. Besonders heikel: Viele Praxen binden Google Analytics ein, ohne die Einwilligung sauber vorzuschalten. Das ist einer der häufigsten Abmahngründe überhaupt.
Generator oder individuelle Erstellung — was ist sinnvoll?
Viele Praxen stehen vor der Frage, ob ein kostenloser Generator ausreicht oder ob sich die Investition in eine individuell erstellte Datenschutzerklärung lohnt. Die Antwort hängt vom Umfang der eingesetzten Technik ab.
Wann ein Generator genügt
Betreibt eine Praxis lediglich eine schlichte Visitenkarten-Website ohne Kontaktformular, ohne Tracking und ohne eingebundene Drittdienste, kann ein sorgfältig ausgefüllter Generator eine vertretbare Basis liefern. Voraussetzung ist, dass die generierten Textbausteine kritisch geprüft und nicht benötigte Passagen entfernt werden. Ein Generator wird jedoch nie die Gesundheitsdaten-Problematik von sich aus abbilden.
Wann individuelle Beratung ratsam ist
Sobald ein Kontaktformular, eine Online-Terminbuchung, ein Newsletter oder Analyse-Tools im Spiel sind, wächst die Komplexität deutlich. Dann sind Auftragsverarbeitungsverträge, Drittlandübermittlungen und die besondere Rechtsgrundlage für Gesundheitsdaten zu berücksichtigen. Hier lohnt sich eine individuelle Erstellung oder zumindest eine fachliche Prüfung des Generator-Ergebnisses. Wie sich eine solche Website professionell und zugleich datenschutzfreundlich vermarkten lässt, beschreibt unser Beitrag zum Marketing für Psychotherapeuten.
Mustergliederung: So ist eine rechtssichere Datenschutzerklärung aufgebaut
Die folgende Gliederung hat sich für Praxis-Websites bewährt. Sie orientiert sich an den Vorgaben der DSGVO und lässt sich modular an die tatsächlich eingesetzten Dienste anpassen.
| Abschnitt | Inhalt | Rechtsgrundlage (DSGVO) |
|---|---|---|
| Verantwortlicher | Name, Praxisanschrift, Kontakt | Art. 13 Abs. 1 lit. a |
| Server-Logfiles | IP-Adresse, Zugriffszeit, technische Daten | Art. 6 Abs. 1 lit. f |
| Kontaktformular / E-Mail | Anfragedaten, ggf. Gesundheitsdaten | Art. 6 Abs. 1 lit. b, Art. 9 Abs. 2 lit. a |
| Online-Terminbuchung | Name, Wunschtermin, Anliegen | Art. 9 Abs. 2 lit. a |
| Auftragsverarbeiter | Hosting, Buchungstool, Newsletter | Art. 28 |
| Cookies / Analyse | nur nach Einwilligung | Art. 6 Abs. 1 lit. a |
| Betroffenenrechte | Auskunft, Löschung, Widerspruch | Art. 15–21 |
| Beschwerderecht | zuständige Aufsichtsbehörde | Art. 77 |
Aktualität sicherstellen
Eine Datenschutzerklärung ist kein einmaliges Dokument. Sobald ein neues Tool eingebunden oder ein Dienstleister gewechselt wird, muss der Text angepasst werden. Empfehlenswert ist eine Prüfung mindestens einmal jährlich. Berufsrechtliche Hinweise Ihrer Kammer, etwa der Bundespsychotherapeutenkammer, sollten dabei ebenfalls berücksichtigt werden.
Verständlichkeit und Auffindbarkeit
Die Datenschutzerklärung muss in klarer, einfacher Sprache verfasst und von jeder Unterseite aus mit einem Klick erreichbar sein — üblicherweise über einen Link im Footer. Ein juristisch überladener Text, den niemand versteht, erfüllt die Transparenzpflicht der DSGVO nicht wirklich. Wie eine professionelle, vertrauensbildende Website insgesamt aufgebaut wird, zeigt unser Leitfaden zur Website für Psychotherapeuten.
Fazit: Datenschutzerklärung als Vertrauensbaustein
Eine sorgfältig erstellte Datenschutzerklärung ist für Psychotherapie-Praxen weit mehr als Pflichterfüllung. Sie signalisiert Ratsuchenden, dass ihre besonders sensiblen Daten ernst genommen werden — und wirkt damit unmittelbar vertrauensbildend. Standard-Generatoren liefern nur ein Grundgerüst; die entscheidenden psychotherapie-spezifischen Details wie Gesundheitsdaten, Schweigepflicht und Auftragsverarbeitung müssen individuell ergänzt werden. Wer hier auf Nummer sicher gehen möchte, sollte die technische und rechtliche Umsetzung fachkundig begleiten lassen.
Wir von webentwickler.io entwickeln DSGVO-konforme Praxis-Websites, bei denen Datenschutz von Anfang an mitgedacht ist — von der datensparsamen Terminbuchung bis zur passgenauen Datenschutzerklärung. Sprechen Sie uns gerne an: Nina Benfer und das Team erreichen Sie unter info@webentwickler.io.
Häufige Fragen
Braucht jede Psychotherapie-Website eine Datenschutzerklärung?
Ja. Sobald eine Website personenbezogene Daten verarbeitet — etwa über ein Kontaktformular oder Server-Logfiles — ist eine Datenschutzerklärung nach Artikel 13 DSGVO gesetzlich vorgeschrieben. Bei Therapiepraxen kommt hinzu, dass Kontaktanfragen als Gesundheitsdaten nach Artikel 9 DSGVO besonders geschützt sind.
Reicht ein kostenloser Datenschutzerklärungs-Generator aus?
Generatoren liefern eine brauchbare Grundstruktur, kennen aber weder Ihre konkret eingesetzten Tools noch die psychotherapie-spezifischen Anforderungen wie Schweigepflicht und Gesundheitsdaten. Der Text muss immer individuell geprüft und an die tatsächlich genutzten Dienste angepasst werden.
Welche Rechtsgrundlage gilt für Behandlungsanfragen über die Website?
Da bei einer Therapieanfrage Gesundheitsdaten entstehen, ist in der Regel die ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO die passende Rechtsgrundlage. Ein bloßer Verweis auf berechtigtes Interesse genügt hier nicht.
Wie oft muss die Datenschutzerklärung aktualisiert werden?
Immer dann, wenn sich etwas an der Datenverarbeitung ändert — etwa bei einem neuen Terminbuchungstool oder einem Anbieterwechsel. Zusätzlich empfiehlt sich eine Routineprüfung mindestens einmal jährlich.