Kliniken haben Datenschutzpflichten, die sich von jedem anderen Unternehmen unterscheiden. Nicht weil es mehr Bürokratie gibt, sondern weil Gesundheitsdaten unter der DSGVO als besondere Kategorie klassifiziert sind: sie haben einen eigenen rechtlichen Rahmen, eigene Sanktionen und technische Anforderungen, die eine generische Website nicht erfüllt. Und die AEPD weiß das.
In diesem Artikel erkläre ich, was die Website deiner Klinik haben muss, um die Vorschriften 2026 einzuhalten, welche echten Sanktionen gegen Kliniken in Spanien verhängt werden, und welche spezifischen Fehler bedeuten, dass eine Website «mit Impressum» trotzdem nicht konform ist.
Warum Kliniken andere Pflichten haben als andere Unternehmen
Artikel 9 der DSGVO klassifiziert Gesundheitsdaten als besondere Kategorie: Informationen über die körperliche oder geistige Gesundheit einer Person, inklusive Diagnosen, Behandlungen und jeder Daten, die Gesundheitsinformationen offenbart. Wenn ein Patient ein Formular auf deiner Website ausfüllt und angibt, dass er eine Knieverletzung hat oder psychologische Behandlung sucht, erfasst du schon Daten einer besonderen Kategorie.
Das ist keine geringfügige Formalität. Spaniens LOPDGDD (Organgesetz zum Datenschutz) fügt zusätzliche Pflichten für den Gesundheitssektor über die DSGVO hinaus hinzu. Schwere Verstöße in diesem Bereich können 300.000 Euro für natürliche Personen oder bis zu 4 % des jährlichen weltweiten Umsatzes für Organisationen erreichen.
Wie viel hat die AEPD Kliniken schon in Rechnung gestellt?
Die AEPD hat in den letzten Jahren Bußgelder gegen Zahnkliniken, Physiotherapiezentren und private Arztpraxen verhängt. Sanktionen gegen kleine Kliniken liegen typischerweise zwischen 3.000 und 60.000 Euro. Die häufigsten Gründe: Webformulare ohne explizite Einwilligung, Datenweitergabe ohne Genehmigung, und fehlende spezifische Informationsklauseln zu Gesundheitsdaten.
Die 6 Elemente, die deine Website haben muss
1. An den Gesundheitssektor angepasstes Impressum
Das standardmäßige Impressum, das von WordPress-Vorlagen generiert wird, reicht für eine Klinik nicht aus. Es muss die Identität des Verantwortlichen für Gesundheitsdaten umfassen, die Rechtsgrundlage für die Verarbeitung (allgemein «Erfüllung eines Vertrags über Gesundheitsleistungen» oder «explizite Einwilligung»), Patientenrechte und wie man sie ausübt, und das Recht, eine Beschwerde bei der AEPD einzureichen.
2. Datenschutzrichtlinie für Daten besonderer Kategorie
Eine generische Datenschutzrichtlinie reicht nicht aus. Die Richtlinie einer Klinik muss explizit angeben, dass Gesundheitsdaten verarbeitet werden, den spezifischen Zweck (Diagnose, Behandlung, Nachverfolgung), die Aufbewahrungsfrist für klinische Aufzeichnungen (mindestens 5 Jahre nach Spaniens Gesundheits-Kohäsionsgesetz, variiert aber regional), und mögliche Datenempfänger, falls Überweisungen oder Zusammenarbeit mit anderen Fachkräften bestehen.
3. Formulare mit doppelter expliziter Einwilligung
Um Gesundheitsdaten zu erfassen, muss die Einwilligung explizit und spezifisch sein: eine allgemeine Checkbox «Ich akzeptiere die Datenschutzrichtlinie» reicht nicht aus. Erst-Termin- oder Kontaktformulare müssen eine separate Checkbox speziell für die Verarbeitung von Gesundheitsdaten enthalten, getrennt von jeder Einwilligung zu kommerziellen Mitteilungen, mit klarem Text, der erklärt, welche Daten gesammelt werden und zu welchem Zweck.
4. Technisch korrekter Cookie-Banner
Wenn deine Website Google Analytics, Meta-Pixel oder ein anderes nicht-essenzielles Cookie nutzt, brauchst du einen Einwilligungs-Banner, der den AEPD-Richtlinien entspricht: kein vorausgewählter Akzeptieren-Button, mit einer Ablehnungsoption, die genauso prominent ist wie die Akzeptieren-Option, und ohne Dark Patterns, die die Ablehnung erschweren. Die AEPD-Richtlinien von 2023 sind hierzu explizit und haben zu Bußgeldern für nicht-konforme Banner geführt.
5. Verzeichnis der Verarbeitungstätigkeiten
Wenn deine Klinik Daten von mehr als 250 Personen verarbeitet oder regelmäßig Daten einer besonderen Kategorie verarbeitet — was praktisch für jede aktive Klinik gilt — bist du verpflichtet, ein Verzeichnis der Verarbeitungstätigkeiten (VVT) zu führen. Dieses Dokument ist nicht öffentlich und gehört nicht auf deine Website, aber die AEPD kann es bei jeder Inspektion anfordern. Viele Kliniken haben keines.
6. Angemessene technische Sicherheitsmaßnahmen
Die DSGVO erfordert «angemessene» Sicherheitsmaßnahmen für die verarbeiteten Daten. Für Gesundheitsdaten umfasst das ein gültiges HTTPS-Zertifikat, verschlüsselte Formulare und Datenbanken, Zugangskontrolle mit starken Passwörtern, und regelmäßige Backups. Ein Kontaktformular, das Gesundheitsdaten unverschlüsselt sendet, ist ein direkter Verstoß.
Braucht deine Klinik einen Datenschutzbeauftragten?
Ein Datenschutzbeauftragter ist obligatorisch für Gesundheitsorganisationen, die Daten in großem Umfang verarbeiten. In der Praxis müssen kleine Kliniken mit wenigen Fachkräften möglicherweise keinen ernennen, aber spezialisierte Rechtsberatung wird empfohlen, um das zu bestimmen. Freiwillig einen Datenschutzbeauftragten zu ernennen ist nicht obligatorisch, aber nie schädlich.
Häufige Fehler, die deine Website nicht konform lassen
«Irgendein Impressum» auf deiner Website zu haben bedeutet keine DSGVO-Konformität. Das sind die häufigsten Fehler, die die AEPD auf Klinik-Websites findet:
- Terminbuchungsformulare, die klinische Informationen (Symptome, Besuchsgrund) ohne explizite Einwilligung zur Verarbeitung von Gesundheitsdaten sammeln.
- Datenschutzrichtlinie, die von einer anderen Website kopiert oder von KI generiert wurde, ohne sie an die tatsächlich verarbeiteten Gesundheitsdaten anzupassen.
- Google Analytics aktiv ohne konformen Cookie-Banner oder ohne über die Verarbeitung analytischer Daten zu informieren.
- E-Mail- oder WhatsApp-Kommunikation mit Patienten ohne dokumentierte Rechtsgrundlage für diese Kommunikation.
- Patientendaten, gespeichert in Cloud-Diensten von Drittanbietern (Google Drive, Dropbox) ohne Auftragsverarbeitungsvertrag.
Häufig gestellte Fragen zur DSGVO für Kliniken
Kann ich Google Forms nutzen, um Patientendaten zu sammeln?
Technisch ja, aber mit Bedingungen: Google Forms übermittelt Daten an Google-Server (USA), was eine internationale Datenübermittlung mit angemessenen Garantien erfordert. Du musst einen Auftragsverarbeitungsvertrag mit Google unterzeichnen, den Patienten explizit informieren, dass seine Daten auf Google-Servern verarbeitet werden, und spezifische Einwilligung einholen. In der Praxis erfüllen die meisten Kliniken diese Bedingungen nicht, wenn sie Formulare von Drittanbietern nutzen.
Wie oft sollte ich meine Datenschutzrichtlinie aktualisieren?
Immer wenn du die Art der gesammelten Daten änderst, die Anbieter, mit denen du sie teilst, die Verarbeitungszwecke, oder wenn relevante Gesetzesänderungen stattfinden. Mindestens einmal im Jahr überprüfen. Das Datum der letzten Aktualisierung muss auf dem Dokument sichtbar sein.
Kann ich Werbe-E-Mails an meine Patienten senden?
Nur, wenn du ihre explizite und separate Einwilligung für kommerzielle Kommunikation hast. Die Einwilligung zur Verarbeitung von Gesundheitsdaten beinhaltet nicht automatisch die Einwilligung, Werbung zu erhalten. Du brauchst ein spezifisches Opt-in für Newsletter oder Werbemitteilungen, getrennt von der Gesundheits-Einwilligung.
Was passiert, wenn ein Patient mich bittet, seine Daten zu löschen?
Das Recht auf Löschung gilt, aber mit einer wichtigen Ausnahme im Gesundheitssektor: die klinische Akte muss für die gesetzliche Mindestfrist aufbewahrt werden (typischerweise 5 Jahre seit der letzten klinischen Handlung), unabhängig von der Anfrage des Patienten. Du kannst Kontaktdaten und kommerzielle Kommunikation löschen, aber nicht die klinische Akte selbst.
Gibt es Hilfe, um das alles umzusetzen, ohne Anwalt zu sein?
Ja. Es gibt auf DSGVO für den Gesundheitssektor spezialisierte Beratungsunternehmen, die Konformitätspakete für kleine Kliniken ab 300-800 Euro anbieten. Zusätzlich beinhalten viele von auf den Sektor spezialisierten Entwicklern gebaute Websites schon angepasste Rechtstexte und Formulare mit korrekt konfigurierter doppelter Einwilligung.
Wenn du verstehen willst, wie die DSGVO das Gesamtbudget einer Klinik-Website beeinflusst, erklärt der Artikel über Klinik-Website-Preise in Granada, was jede Preisspanne beinhaltet und warum rechtliche Konformität den Unterschied zwischen den Spannen ausmacht.
🚀 Willst du wissen, was dein Unternehmen wirklich braucht?
Ich gebe dir eine kostenlose, unverbindliche Beratung. Kein Druck, kein Verkaufen von Dingen, die du nicht brauchst. Schreib mir hier →
