Für psychotherapeutische Praxen ist das Kontaktformular oft der erste Berührungspunkt mit potenziellen Patientinnen und Patienten. Genau hier treffen jedoch zwei besonders strenge Anforderungen aufeinander: die Datenschutz-Grundverordnung (DSGVO) und die berufsrechtliche Schweigepflicht nach § 203 StGB. Wer eine Therapieanfrage über die Website ermöglicht, verarbeitet von der ersten Sekunde an besonders schützenswerte Gesundheitsdaten. Dieser Beitrag zeigt, worauf niedergelassene Psychotherapeutinnen und Psychotherapeuten bei Formularen, Datenspeicherung und Auftragsverarbeitung achten müssen, um Patientendaten zu schützen und rechtssicher zu kommunizieren.
Warum das Kontaktformular ein datenschutzrechtlicher Sonderfall ist
Sobald eine Person über das Formular schildert, dass sie unter Depressionen, Angststörungen oder einer Traumafolgestörung leidet, entstehen Daten zur Gesundheit im Sinne von Art. 9 DSGVO. Diese besonderen Kategorien personenbezogener Daten unterliegen einem grundsätzlichen Verarbeitungsverbot mit Erlaubnisvorbehalt. Für die Praxis bedeutet das: Es braucht eine tragfähige Rechtsgrundlage, technische Schutzmaßnahmen und transparente Information — schon bevor das erste Gespräch stattfindet.
Gesundheitsdaten beginnen früher als gedacht
Viele Praxisinhaber unterschätzen, dass bereits die Kontaktaufnahme mit einem Psychotherapeuten einen Rückschluss auf den Gesundheitszustand zulässt. Wer das Formular ausfüllt, signalisiert in der Regel einen psychotherapeutischen Behandlungsbedarf. Schon die bloße Anfrage ist daher schutzbedürftig — unabhängig davon, ob im Freitextfeld konkrete Diagnosen genannt werden.
Schweigepflicht und DSGVO greifen ineinander
Die Schweigepflicht nach § 203 StGB verpflichtet Psychotherapeuten, alle anvertrauten Geheimnisse zu wahren. Setzen Praxen externe Dienstleister wie Hosting-Anbieter oder Formular-Tools ein, die theoretisch auf die Inhalte zugreifen könnten, ist eine vertragliche Absicherung zwingend. Die Bundespsychotherapeutenkammer weist regelmäßig darauf hin, dass die Einbindung Dritter ohne ausreichende Verschwiegenheitsverpflichtung berufsrechtlich problematisch sein kann (siehe bptk.de). DSGVO und Berufsrecht sind also keine getrennten Welten, sondern müssen gemeinsam gedacht werden.
Datenminimierung: Welche Felder gehören ins Formular?
Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) verlangt, nur die Daten zu erheben, die für die Erstkontaktaufnahme tatsächlich erforderlich sind. Je weniger ein Formular abfragt, desto geringer ist das Risiko — und desto höher ist erfahrungsgemäß die Bereitschaft, das Formular überhaupt auszufüllen.
Pflichtfelder bewusst knapp halten
Für eine seriöse Erstanfrage genügen in der Regel Name, eine Rückkanal-Information (Telefon oder E-Mail) sowie ein kurzes Nachrichtenfeld. Geburtsdatum, Krankenkasse oder gar Diagnosen haben im Erstkontaktformular nichts zu suchen. Solche Angaben lassen sich später im geschützten Rahmen des Erstgesprächs klären.
Freitextfelder mit Hinweis entschärfen
Ein offenes Nachrichtenfeld lädt dazu ein, sensible Details zu schildern. Ein kurzer Hinweis direkt am Feld — etwa „Bitte teilen Sie hier noch keine Gesundheitsdetails mit; diese besprechen wir vertraulich im persönlichen Gespräch" — schützt sowohl die anfragende Person als auch die Praxis.
| Formularfeld | Datenschutz-Bewertung | Empfehlung |
|---|---|---|
| Name | Erforderlich für Rückmeldung | Pflichtfeld |
| E-Mail oder Telefon | Erforderlich als Rückkanal | Eines als Pflichtfeld |
| Kurze Nachricht | Sinnvoll, aber Risiko sensibler Inhalte | Optional, mit Hinweistext |
| Diagnose / Symptome | Besondere Daten nach Art. 9 DSGVO | Nicht abfragen |
| Krankenkasse | Im Erstkontakt nicht erforderlich | Erst im Erstgespräch |
| Geburtsdatum | Selten erforderlich | Vermeiden |
Technische Schutzmaßnahmen für das Kontaktformular
Datenschutz ist nicht nur eine Frage der Felder, sondern auch der Technik. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die dem hohen Schutzbedarf von Gesundheitsdaten entsprechen.
Transportverschlüsselung als Mindeststandard
Jede Übermittlung muss per TLS-Verschlüsselung (HTTPS) erfolgen. Ein gültiges SSL-Zertifikat ist für Psychotherapie-Websites kein Komfort-Merkmal, sondern Pflicht. Formulardaten, die unverschlüsselt übertragen werden, gelten als unzureichend geschützt und können einen meldepflichtigen Datenschutzvorfall darstellen.
Datensparsame Speicherung und Löschkonzept
Werden Formulareingaben in einer Datenbank oder im Postfach gespeichert, braucht es ein klares Löschkonzept. Anfragen, aus denen keine Behandlung wird, sollten nach einer angemessenen Frist gelöscht werden. Praktisch bewährt hat sich, Formularanfragen ausschließlich per verschlüsselter E-Mail an die Praxis zuzustellen und nicht dauerhaft in der Website-Datenbank vorzuhalten.
Spam-Schutz ohne US-Datenabfluss
Klassische CAPTCHA-Dienste großer US-Anbieter übertragen häufig Daten in Drittländer. Datensparsame Alternativen wie Honeypot-Felder oder serverseitige Prüfungen halten Formulare frei von Spam, ohne zusätzliche datenschutzrechtliche Risiken zu schaffen. Mehr zur sauberen technischen Umsetzung lesen Sie auf unserer Themenseite zur Website für Psychotherapeuten.
Auftragsverarbeitung: Verträge mit Dienstleistern richtig regeln
Sobald externe Dienstleister personenbezogene Daten im Auftrag der Praxis verarbeiten, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Das betrifft Hosting-Anbieter, Anbieter von Terminbuchungssystemen und in vielen Fällen auch E-Mail-Dienstleister.
Wer ist eigentlich Auftragsverarbeiter?
Ein Auftragsverarbeiter ist jeder Dienstleister, der Zugriff auf personenbezogene Daten der Praxis erhält, ohne selbst über deren Verwendung zu entscheiden. Der Webhoster, auf dessen Servern die Formularanfragen eingehen, ist das typische Beispiel. Ohne unterschriebenen AVV fehlt die rechtliche Grundlage für diese Verarbeitung.
Serverstandort und Schweigepflicht
Aus Sicht der Schweigepflicht ist ein Serverstandort innerhalb der EU dringend zu empfehlen. Anbieter mit Rechenzentren in Deutschland oder der EU vereinfachen die Einhaltung der DSGVO erheblich, weil keine zusätzlichen Garantien für Drittlandübermittlungen erforderlich sind. Wer Terminbuchung und Patientenkommunikation sauber aufsetzen möchte, findet weitere Hinweise in unserem Beitrag zur Online-Therapie-Website.
Dokumentation als Nachweis
Die DSGVO verlangt Rechenschaft (Art. 5 Abs. 2). Praxen sollten daher alle AVV, das Verzeichnis von Verarbeitungstätigkeiten und die technischen Maßnahmen geordnet dokumentieren. Im Falle einer Prüfung durch die Aufsichtsbehörde ist diese Dokumentation der entscheidende Nachweis. Die rechtlichen Grundlagen finden sich im Volltext der DSGVO unter gesetze-im-internet.de.
Rechtsgrundlage und Information: So bleibt das Formular transparent
Auch das beste technische Konzept ersetzt nicht die transparente Information der Betroffenen. Wer ein Formular ausfüllt, muss wissen, was mit den Daten geschieht.
Einwilligung oder vorvertragliche Maßnahme
Für Gesundheitsdaten stützt sich die Verarbeitung in der Regel auf eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. In der Praxis wird dies häufig über eine aktiv anzuklickende Checkbox mit Verweis auf die Datenschutzerklärung gelöst. Die Einwilligung muss freiwillig, informiert und nachweisbar sein — vorausgefüllte Häkchen sind unzulässig.
Verknüpfung mit der Datenschutzerklärung
Das Formular sollte unmittelbar auf die Datenschutzhinweise für die Praxis verweisen. Dort werden Zweck, Rechtsgrundlage, Speicherdauer und Betroffenenrechte erläutert. Eine gute Verzahnung von Formular und Datenschutzerklärung schafft Vertrauen und erfüllt zugleich die Informationspflichten nach Art. 13 DSGVO.
Ein rechtssicheres Kontaktformular ist für Psychotherapeutinnen und Psychotherapeuten mehr als eine Pflichtübung. Es ist ein sichtbares Versprechen, dass sensible Anliegen vertraulich behandelt werden — und damit ein echter Vertrauensanker. Wer Datenminimierung, Transportverschlüsselung, Auftragsverarbeitungsverträge und transparente Einwilligung zusammenführt, erfüllt nicht nur DSGVO und Schweigepflicht, sondern stärkt auch die Bindung zu künftigen Patientinnen und Patienten. Unterstützung bei der datenschutzkonformen Umsetzung finden Sie zusätzlich auf unserer Seite zur lokalen Auffindbarkeit Ihrer Praxis.
Eine professionelle, DSGVO-konforme Praxis-Website inklusive sicherem Kontaktformular realisiert webentwickler.io ab 3.000–5.000 € (laufende Pflege 25–42,50 €/Monat). Sprechen Sie direkt mit Nina Benfer über Ihr Projekt — per E-Mail an info@webentwickler.io. So verbinden Sie rechtssichere Patientenkommunikation mit einem Auftritt, der Vertrauen schafft.
Häufige Fragen
Darf ich überhaupt ein Kontaktformular auf meiner Praxis-Website einsetzen?
Ja. Ein Kontaktformular ist zulässig, wenn es datensparsam gestaltet, per TLS verschlüsselt übertragen und durch eine transparente Datenschutzerklärung sowie eine wirksame Einwilligung abgesichert ist.
Muss ich für mein Kontaktformular eine Einwilligung einholen?
Da bereits die Kontaktaufnahme einen Gesundheitsbezug haben kann, empfiehlt sich eine ausdrückliche Einwilligung per Checkbox mit Verweis auf die Datenschutzerklärung, aktiv gesetzt und nachweisbar dokumentiert.
Brauche ich mit meinem Webhoster einen Vertrag?
Ja. Da der Hoster technisch auf die übermittelten Daten zugreifen kann, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Achten Sie zusätzlich auf einen Serverstandort innerhalb der EU.
Wie lange darf ich Formularanfragen speichern?
Nur so lange, wie es für die Bearbeitung erforderlich ist. Führt eine Anfrage nicht zu einer Behandlung, sind die Daten nach einer angemessenen Frist zu löschen. Ein dokumentiertes Löschkonzept ist sinnvoll.
Sind US-CAPTCHA-Dienste auf meiner Website ein Problem?
Sie können problematisch sein, weil dabei häufig Daten in Drittländer übertragen werden. Datensparsame Alternativen wie Honeypot-Verfahren bieten wirksamen Spam-Schutz ohne zusätzliche Übermittlungsrisiken.