DSGVO-konforme Praxiswebsite: Die 7-Punkte-Checkliste für 2026

Praxen und Heilberufe verarbeiten besonders sensible Daten — und sind dadurch ein bevorzugtes Ziel für Abmahnungen. Eine fehlende Cookie-Einwilligung kann schnell 300–800 € Anwaltskosten auf Ihrem Tisch landen lassen, von Bußgeldern der Aufsichtsbehörde ganz zu schweigen.

Diese Checkliste zeigt Ihnen die 7 wichtigsten Punkte, die jede Praxiswebsite 2026 erfüllen muss.

1. Vollständiges Impressum nach § 5 DDG

Seit Mai 2024 ist nicht mehr das TMG, sondern das Digitale-Dienste-Gesetz (DDG) maßgeblich. Im Impressum müssen mindestens stehen:

• Vollständiger Name und Anschrift (kein Postfach)
• E-Mail-Adresse und eine zweite "unmittelbare und schnelle Kontaktmöglichkeit" (z. B. Telefon oder Kontaktformular)
• Bei Heilberufen: Berufsbezeichnung, zuständige Kammer, gesetzliche Berufsbezeichnung mit Verleihungsstaat
• Umsatzsteuer-ID (sofern vorhanden)

Häufiger Fehler: Veraltete Verweise auf "§ 5 TMG" oder "§ 55 RStV". Beide sind 2024 ersetzt worden — durch § 5 DDG und § 18 MStV.

2. Datenschutzerklärung mit allen Auftragsverarbeitern

Die Datenschutzerklärung muss alle Dienstleister auflisten, die Daten Ihrer Besucher:innen verarbeiten — auch unsichtbare:

• Hosting-Anbieter (z. B. IONOS, Strato, Hetzner)
• DNS-Anbieter (falls separat)
• E-Mail-Provider (Strato Mail, Google Workspace etc.)
• Tracking & Analyse (Google Analytics, Matomo, Plausible)
• Schriftarten (Google Fonts — am besten lokal hosten!)
• Karten (Google Maps, OpenStreetMap)
• Buchungssysteme (Calendly, Treatwell, eigene)
• Newsletter-Tools (Mailchimp, Cleverreach, Sendinblue)

Für jeden Dienstleister außerhalb der EU brauchen Sie zusätzlich eine Rechtfertigung der Datenübermittlung (z. B. EU-US Data Privacy Framework, Standardvertragsklauseln).

3. Cookie-Banner mit echter Einwilligung

Das Cookie-Banner muss vor dem Setzen optionaler Cookies aktive Zustimmung einholen — nicht passiv durch "Weiternutzung der Seite". Konkret:

• Beim ersten Besuch sind nur technisch notwendige Cookies erlaubt
• Tracking, Analytics, Werbe-Cookies erst nach Klick auf "Akzeptieren"
• Eine "Ablehnen"-Option muss gleichberechtigt sichtbar sein
• Die Einwilligung muss jederzeit widerrufbar sein

Häufiger Fehler: "Bei Weiterklick stimmen Sie zu"-Banner. Diese sind unwirksam und abmahnfähig.

4. Google Fonts lokal hosten

Wenn Sie Google Fonts direkt von Google laden, wird bei jedem Seitenaufruf die IP-Adresse Ihrer Besucher:innen an Google in den USA übermittelt — ohne Einwilligung. Das LG München (Az. 3 O 17493/20) hat dafür schon Schadensersatz zugesprochen.

Lösung: Schriften lokal auf Ihrem Server speichern. Das geht in Next.js, WordPress, Webflow und jedem modernen Baukasten — Sie müssen es nur einrichten lassen.

5. SSL-Verschlüsselung (HTTPS)

Eine Praxiswebsite ohne SSL-Verschlüsselung (also nur "http://" statt "https://") ist nicht mehr zulässig. Die Aufsichtsbehörden werten das als Verstoß gegen Art. 32 DSGVO (technische und organisatorische Maßnahmen).

Gut zu wissen: SSL-Zertifikate gibt es kostenlos via Let's Encrypt. Jeder seriöse Hoster bietet das standardmäßig an.

6. Kontaktformular ohne Tracking, mit Hinweis

Wenn Sie ein Kontaktformular haben:

• Datenschutzhinweis sichtbar nahe dem Absende-Button
• Nur notwendige Felder als Pflichtfelder markieren (E-Mail oder Telefon — nicht beide)
• Keine Tracking-Pixel im Bestätigungs-E-Mail
• Daten nicht länger speichern als nötig für die Bearbeitung

7. Auftragsverarbeitungsverträge (AV-Verträge)

Mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen AV-Vertrag nach Art. 28 DSGVO. Die meisten Hoster und Tools bieten Standard-AV-Verträge online zum Download.

Praktisch: Sammeln Sie diese Verträge (PDF) in einem Ordner. Bei einer Aufsichtsbehörden-Anfrage müssen Sie sie vorlegen können.

Was passiert bei Nicht-Einhaltung?

Drei realistische Szenarien:

1. Abmahnung durch Mitbewerber oder Verbraucherschutzverband. Kosten: meist 200–1.500 € + ggf. strafbewehrte Unterlassungserklärung.
2. Beschwerde bei der Aufsichtsbehörde. Folge: Prüfung, im schlimmsten Fall Bußgeld bis 4 % Jahresumsatz.
3. Schadensersatzforderung von Betroffenen. Bei Google-Fonts-Fall war das pro Person ca. 100 €.

Mini-Selbsttest

Beantworten Sie diese fünf Fragen für Ihre eigene Webseite:

• ☐ Steht im Impressum § 5 DDG (nicht TMG)?
• ☐ Erscheint vor Tracking ein Cookie-Banner mit Ablehnen-Option?
• ☐ Werden Google Fonts lokal geladen (nicht von fonts.googleapis.com)?
• ☐ Lässt sich die Cookie-Einwilligung jederzeit widerrufen?
• ☐ Sind alle eingesetzten Dienstleister in der Datenschutzerklärung gelistet?

Wenn Sie nicht alle fünf Fragen mit "Ja" beantworten können, ist Ihre Webseite aktuell abmahnfähig.

Wir prüfen das gerne kostenlos

In einem 30-minütigen Erstgespräch gehen wir Ihre Webseite durch und zeigen, welche Punkte angepasst werden sollten. Kostenlos und ohne Folgekosten — auch wenn Sie nicht mit uns weiterarbeiten.