DSGVO auf der Tierarzt-Website: eine Orientierung

Vorab und deutlich: Dieser Beitrag ist eine Orientierung aus der Praxis der Website-Erstellung, keine Rechtsberatung. Er ersetzt keine Prüfung Ihres konkreten Falls. Was er leisten soll, ist eine Einordnung, welche Fragen überhaupt zu klären sind — damit Sie wissen, wonach Sie fragen müssen.

Welche Daten hier überhaupt verarbeitet werden

Auf einer Praxiswebsite können verschiedene Arten von Daten zusammenkommen.

Daten des Halters. Name, Telefonnummer, E-Mail-Adresse oder Anschrift sind personenbezogene Daten, sobald sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Angaben zum Tier. Tierart, Alter, Symptome oder Vorbehandlungen sind keine Gesundheitsdaten einer natürlichen Person im Sinne des Art. 9 DSGVO. Die DSGVO schützt natürliche Personen, nicht Tiere. Daraus folgt aber nicht, dass ein digitaler Aufnahmebogen datenschutzrechtlich bedeutungslos wäre: Sobald Tierangaben gemeinsam mit Name, Kontaktdaten oder anderen Angaben des Halters verarbeitet werden, enthält der Vorgang personenbezogene Daten. In besonderen Konstellationen können einzelne Tierangaben außerdem Rückschlüsse auf eine Person zulassen.

Technische Daten. Beim Aufruf einer Website wird insbesondere die IP-Adresse für die Verbindung verarbeitet. Je nach Server, Logging und eingebundenen Diensten können zusätzlich Zeitstempel, Browserinformationen, Cookie-IDs oder andere technische Kennungen verarbeitet werden.

Entscheidend ist deshalb nicht nur, welche Felder sichtbar im Formular stehen, sondern welche Daten der gesamte technische Ablauf tatsächlich verarbeitet.

Die vier Stellen, an denen es konkret wird

1. Das Kontakt- oder Anfrageformular

Worauf zu achten ist:

• Übertragung per HTTPS
• nur Felder erheben, die für den jeweiligen Zweck benötigt werden
• eine passende Rechtsgrundlage für die Verarbeitung festlegen
• die Informationen nach Art. 13 DSGVO bei der Datenerhebung leicht erreichbar bereitstellen, zum Beispiel über einen klar sichtbaren Link direkt am Formular
• Speicher- und Löschfristen festlegen
• auch die Weiterleitung und interne Verarbeitung der Anfrage angemessen absichern

Die DSGVO schreibt nicht pauschal vor, dass jede Formularnachricht Ende-zu-Ende-verschlüsselt per E-Mail übertragen werden muss. Art. 32 DSGVO verlangt vielmehr ein dem Risiko angemessenes Schutzniveau. Je nach Inhalt kann es deshalb sinnvoll sein, nur eine Benachrichtigung per E-Mail zu versenden und die eigentlichen Formulardaten in einem geschützten System abzurufen.

2. Hosting

Wo die Website liegt und welche Rolle der Hoster bei der Verarbeitung personenbezogener Daten übernimmt, ist datenschutzrelevant.

• Ein Standort im EU- oder EWR-Raum vereinfacht die Bewertung häufig.
• Verarbeitet der Hoster personenbezogene Daten als Auftragsverarbeiter, braucht es die Vereinbarung nach Art. 28 DSGVO.
• Unterauftragsverarbeiter und mögliche Drittlandübermittlungen sollten bekannt sein.
• Bei Übermittlungen außerhalb des EWR sind zusätzlich die Anforderungen aus Kapitel V DSGVO zu prüfen.

Ein Auftragsverarbeitungsvertrag ist also nicht deshalb immer erforderlich, weil ein externer Anbieter beteiligt ist. Entscheidend ist seine tatsächliche Rolle.

3. Eingebundene Dienste

Externe Dienste müssen nach ihrer tatsächlichen technischen Funktion bewertet werden. Typische Kandidaten sind:

Eine automatische Verbindung zu einem Drittanbieter bedeutet nicht in jedem Fall zwingend, dass die Rechtsgrundlage Einwilligung sein muss. Zu unterscheiden sind insbesondere die DSGVO und § 25 TDDDG. Für nicht notwendige Zugriffe auf Informationen im Endgerät ist grundsätzlich eine Einwilligung erforderlich. Für die anschließende Verarbeitung personenbezogener Daten braucht es zusätzlich eine passende Rechtsgrundlage nach der DSGVO.

4. Einwilligung und Cookie-Banner

Für das Speichern von Informationen in der Endeinrichtung eines Nutzers oder den Zugriff auf dort bereits gespeicherte Informationen gilt in Deutschland zusätzlich § 25 TDDDG. Eine Einwilligung ist insbesondere dann nicht erforderlich, wenn der Vorgang unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Praktisch kann das bedeuten: Kommt eine Praxiswebsite ohne einwilligungspflichtige Analyse, Werbetracking oder entsprechende Drittanbieter-Einbindungen aus, ist möglicherweise kein Einwilligungsbanner nötig. Entscheidend ist die konkrete Technik, nicht die bloße Bezeichnung eines Cookies oder Dienstes.

Wenn eine Einwilligung abgefragt wird, muss sie freiwillig und informiert erteilt werden können. Die Gestaltung darf die Ablehnung nicht unangemessen erschweren.

Externe Terminbuchung

Sobald ein Terminsystem eines Drittanbieters eingebunden wird, verarbeitet dieser Anbieter regelmäßig ebenfalls Daten. Zu klären ist dann:

• Welche Rolle hat der Anbieter: Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsam Verantwortlicher?
• Wo liegen die Daten?
• Welche Verträge oder Vereinbarungen sind für diese Rollenverteilung nötig?
• Werden Halterdaten an weitere Stellen oder in Drittländer übermittelt?
• Wie lange werden sie gespeichert?
• Was passiert bei einem Anbieterwechsel?

Diese Fragen sollten vor der Auswahl gestellt werden, nicht erst nach der Einrichtung.

Was auf die Website gehört

• Impressum nach § 5 DDG. Bei einem reglementierten Beruf wie der tierärztlichen Tätigkeit gehören grundsätzlich auch Angaben zur zuständigen Kammer, zur gesetzlichen Berufsbezeichnung und zum Staat ihrer Verleihung sowie zu den einschlägigen berufsrechtlichen Regelungen und deren Zugänglichkeit dazu. Hinzukommen können weitere Angaben, die sich aus der konkreten Rechtsform oder Tätigkeit ergeben.
• Datenschutzerklärung, die zur tatsächlichen Nutzung passt. Eine Vorlage, die Dienste beschreibt, die Sie gar nicht einsetzen, ist genauso ungeeignet wie eine, die eingesetzte Dienste verschweigt.

Der zweite Punkt ist der wichtigere. Generierte Datenschutzerklärungen sind ein sinnvoller Ausgangspunkt, aber sie müssen mit dem abgeglichen werden, was auf der Seite tatsächlich passiert.

Der praktische Weg

Eine Reihenfolge, die sich bewährt hat:

1. Bestandsaufnahme: Welche Dienste sind eingebunden? Ein Blick in die Netzwerkanfragen des Browsers zeigt, wohin die Seite tatsächlich Daten sendet. Oft sind es mehr Ziele als gedacht.
2. Reduzieren: Alles entfernen oder lokal einbinden, was nicht gebraucht wird. Jeder entfernte Drittanbieter ist eine Frage weniger.
3. Absichern: Für verbleibende Dienste Verträge und Einwilligungen klären.
4. Dokumentieren: Datenschutzerklärung an den tatsächlichen Zustand anpassen.
5. Prüfen lassen: Bei Unsicherheit fachlich abklären, insbesondere wenn externe Terminsysteme, Drittlanddienste oder besondere technische Integrationen eingesetzt werden.

Schritt 2 ist häufig besonders wirksam: Jede nicht benötigte Einbindung, die entfällt oder lokal umgesetzt wird, reduziert zusätzliche Datenflüsse und macht die technische sowie datenschutzrechtliche Bewertung übersichtlicher.

Was dieser Beitrag nicht leistet

Er ersetzt keine rechtliche Prüfung. Die Anforderungen ändern sich, sie hängen von Ihrer konkreten Konstellation ab, und einzelne Punkte sind in der Rechtsprechung in Bewegung. Wenn Sie ein externes Terminsystem einsetzen, Daten in ein Praxisverwaltungssystem übernehmen oder mit mehreren Standorten arbeiten, lohnt sich eine Prüfung durch jemanden, der das rechtlich beurteilen darf.

Was Sie aus diesem Beitrag mitnehmen können, ist die Liste der Fragen, die Sie Ihrem Website-Dienstleister stellen sollten — und die Erkenntnis, dass eine technisch einfache und datensparsame Lösung häufig leichter transparent und kontrollierbar umzusetzen ist.

---

Mehr zum Aufbau einer Website für Tierarztpraxen.

Weiterlesen: Digitaler Aufnahmebogen · Was kostet eine Praxiswebsite?