Praxis-Websites im Datenschutz-Check

Kurz gesagt

• Zwei von drei Gesundheits-Websites (67,7 %) kontaktieren fremde Server, bevor Besuchende irgendetwas anklicken können. In den übrigen elf Branchen unserer Stichprobe sind es 67,8 %. Die Vertraulichkeit, für die diese Berufe stehen, setzt sich auf ihren Websites also nicht von selbst fort.
• Weniger Werbung, gleich viel Datenabfluss: Ein Werbe- oder Analysewerkzeug läuft vor der Einwilligung auf 9,9 % der Gesundheits-Websites, in anderen Branchen auf 15,7 %. Der übrige Datenabfluss entsteht vor allem durch Schriftarten, Karten, Baukästen, Terminportale und Branchen-Plattformen.
• „Ablehnen“ wirkt selten: Bei 77,4 % der Gesundheits-Websites mit fremden Diensten sinkt nach dem Klick auf „Ablehnen“ die Zahl der kontaktierten fremden Server nicht, meist, weil es kein wirksames Ablehnen gibt. In der Psychotherapie sind es 82,6 %.
• Jeder Beruf hat seine eigene Ursache: Arztpraxen laden vor allem Google-Dienste, typisch für sie sind zudem Terminportale. Psychotherapie-Praxen hängen auffällig oft an Homepage-Baukästen, Apotheken an Plattformen ihrer Branche.
• Vieles ist leicht zu beheben: Würden alle Praxen und Apotheken nur weglassen, was ohne Funktionsverlust vermeidbar ist, stiege der Anteil vollständig ruhiger Websites von 32,3 % auf 45,4 %.

Datengrundlage und Methode

Dieser Beitrag ist ein Ableger unseres Datenschutzreports 2026 „Bevor du klickst“. Für den Report haben wir 10.389 deutsche Websites aus 15 Branchen automatisch besucht, jede in drei getrennten Sitzungen mit einem echten Browser: einmal ohne jeden Klick, einmal nach „Alle akzeptieren“ und einmal nach „Ablehnen“. Erhoben wurde vom 25. Juni bis 9. August 2026. Erfasst sind die kontaktierten fremden Server, die gesetzten Cookies, die Sicherheitseinstellungen und ob eine Datenschutzerklärung auffindbar ist.

Für diese Auswertung haben wir die Stichprobe auf vier Gesundheitsberufe eingegrenzt und mit den übrigen 9.046 Websites aus elf Branchen verglichen (Basis: 10.384 eindeutige Websites; fünf waren im Report doppelt erfasst):

Vier Punkte zur Einordnung. Erstens messen wir, was eine Website technisch tut, und stellen keine Rechtsverstöße fest. Ob ein bestimmter Kontakt erlaubt ist, hängt vom Einzelfall ab. Zweitens ist die Gruppe der Zahnarztpraxen mit 56 Websites klein; ihre Werte zeigen eine Tendenz, mehr nicht. Drittens ist die Stichprobe nach Branchen geschichtet und nicht repräsentativ für das gesamte deutsche Web; Vergleiche zwischen Branchen sind damit belastbar. Viertens nennen wir keine Praxen und keine Apotheken, sondern nur die Empfänger der Daten, also die Firmen, an die etwas fließt. Die Zuordnung der Empfänger zu Zwecken folgt der Methodik des Hauptreports. „Ablehnen ohne Wirkung“ heißt: Nach dem Klick auf „Ablehnen“ kontaktiert die Website nicht weniger fremde Server als nach „Akzeptieren“; das schließt Websites ein, die gar keine Ablehnmöglichkeit anbieten. Alle Zahlen dürfen unter der Lizenz CC BY 4.0 mit Quellenangabe verwendet werden.

Gesundheits-Websites sind so durchlässig wie alle anderen

Man könnte erwarten, dass Berufe mit Schweigepflicht auch im Netz zurückhaltender sind. Die Messung zeigt etwas anderes: Beim wichtigsten Wert, dem Datenabfluss vor dem ersten Klick, liegen Praxen und Apotheken exakt im Durchschnitt.

Die Tabelle lässt sich auf zwei Arten lesen. Die gute Nachricht: Praxen und Apotheken laden deutlich seltener schon vor der Einwilligung Werbe- und Analysewerkzeuge, und eine Datenschutzerklärung fehlt seltener als anderswo. Die ernüchternde: Der Datenabfluss vor dem Klick ist trotzdem genauso häufig. Er entsteht meistens nicht, weil jemand Patientinnen und Patienten beobachten will, sondern weil eine Schriftart, eine Karte oder ein Buchungsfenster von einem fremden Server nachgeladen wird. Absicht steckt selten dahinter, Wirkung schon.

Warum das bei Gesundheit schwerer wiegt

Jede Verbindung zu einem fremden Server überträgt die IP-Adresse der Besuchenden und in der Regel auch, von welcher Website die Anfrage kommt. Auf der Website eines Möbelhauses ist das ein technisches Detail. Auf der Website einer psychotherapeutischen Praxis kann es einen Hinweis auf die Gesundheit eines Menschen enthalten.

Gesundheitsdaten schützt die DSGVO besonders streng (Art. 9 DSGVO). Der Europäische Gerichtshof legt den Begriff weit aus: Auch Daten, die nur mittelbar auf eine sensible Eigenschaft schließen lassen, können darunter fallen (EuGH, Urteil vom 1. August 2022, C-184/20). Angaben, die Kundschaft bei der Online-Bestellung apothekenpflichtiger Medikamente macht, sind Gesundheitsdaten, auch wenn kein Rezept nötig ist (EuGH, Urteil vom 4. Oktober 2024, C-21/23). Und der Gerichtshof hält es für möglich, dass in bestimmten Fällen schon der Aufruf einer Website sensible Informationen offenbart, etwa wenn ein Netzwerk wie Facebook die Aufrufe mit Nutzerkonten verknüpft (EuGH, Urteil vom 4. Juli 2023, C-252/21, Rn. 72 f.). Ob der bloße Aufruf einer Praxis-Website für sich genommen ein Gesundheitsdatum ist, hat nach unserer Recherche bisher weder ein deutsches Gericht noch eine deutsche Aufsichtsbehörde ausdrücklich entschieden (Stand Oktober 2026). Rückschlüsse auf die Gesundheit kann er aber zulassen.

Unabhängig davon gilt für jede Website: Das Nachladen fremder Inhalte braucht eine Rechtsgrundlage nach der DSGVO, und wer etwas auf dem Gerät der Besuchenden speichert oder ausliest, braucht deren Einwilligung, sofern das nicht unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 TDDDG). Die Berliner Datenschutzbeauftragte schreibt in ihren Hinweisen zur Terminverwaltung in Arztpraxen allgemein: Werden Drittinhalte wie Schriftarten, Stadtpläne oder Skripte in eine App oder Website eingebunden, erhalten diese Dritten Kenntnis von personenbezogenen Daten. „Hierfür gibt es regelmäßig keine Rechtsgrundlage.“ Das Landgericht München I sprach einem Website-Besucher 100 € Schadensersatz zu, weil eine Website Google-Schriften ungefragt von Google-Servern lud (Urteil vom 20. Januar 2022, 3 O 17493/20). Und der Bundesgerichtshof hat entschieden, dass schon der Verlust der Kontrolle über die eigenen Daten ein ersatzfähiger Schaden sein kann (Urteil vom 18. November 2024, VI ZR 10/24).

Vier Berufe, vier Ursachen

Im Durchschnitt sehen die Gesundheitsberufe gleich aus. Schaut man auf die Empfänger, unterscheiden sie sich deutlich. Das ist die eigentlich nützliche Erkenntnis dieser Auswertung, denn die Ursache bestimmt die Lösung.

*Anteil der Websites mit fremden Servern vor dem Klick, deren gesamter Datenabfluss vor dem Klick aus vermeidbaren Dingen besteht: Schriften und Skript-Bibliotheken, Karten, Videos, Spamschutz und kleine Zusatzfenster. Diese Websites wären nach dem Aufräumen vollständig ruhig.

Arztpraxen: Google und das Terminportal. Von den vier Berufen schneiden Arztpraxen am besten ab, und trotzdem kontaktieren 64,4 % fremde Server vor dem Klick. Der häufigste Grund sind Google-Schriften, eingebettete Google-Karten und der Spamschutz reCAPTCHA (27,7 % der Websites). Dazu kommt ein branchentypischer Fall: Auf 9,7 % der Arzt-Websites meldet sich schon beim Aufruf ein Terminportal wie Doctolib, Jameda oder Dr. Flex, etwa über ein Buchungsfenster oder ein Bewertungssiegel, bevor jemand überhaupt einen Termin buchen will. Die Buchung ist eine echte Funktion. Sie muss aber nicht beim Seitenaufruf laden: Nach der Orientierungshilfe der Datenschutzkonferenz sind Zusatzfunktionen wie ein Kartendienst oder ein Kontaktformular nicht schon mit dem ersten Aufruf einer Website „gewünscht“; für ein Buchungsfenster dürfte dasselbe gelten. Ein Button, der das Buchungsfenster erst auf Klick öffnet oder zur Buchungsseite verlinkt, erfüllt denselben Zweck.

Zahnarztpraxen: Google auf jeder zweiten Website. In der kleinen Gruppe der Zahnarztpraxen hat jede zweite Website (50,0 %) vor dem Klick Kontakt zu Google, fast immer wegen Schriften, Karten oder reCAPTCHA. Auffällig ist außerdem, dass 21,4 % Banner- oder Rechtstext-Dienste von fremden Servern laden, doppelt so viele wie in den übrigen Branchen (10,0 %). Das Banner selbst baut dann schon vor jeder Entscheidung eine Verbindung nach außen auf.

Psychotherapie: Der Baukasten entscheidet. Drei von vier Psychotherapie-Websites gehören nach unserer Größenschätzung zu Solo- oder Kleinstpraxen, und sie laufen auffällig oft auf Baukästen: 26,4 % kontaktieren vor dem Klick die Infrastruktur eines Baukastens oder einer Website-Plattform, in den übrigen Branchen sind es 14,3 %. Auf Wix laufen 10,7 % der Psychotherapie-Websites, und Wix-Websites laden fast ausnahmslos schon beim Aufruf Dienste von fremden Servern (über alle Branchen 411 von 418). Diese Verbindungen gehören zum Produkt; die Praxis kann sie kaum abstellen, ohne den Anbieter zu wechseln. Gleichzeitig wirkt „Ablehnen“ hier am seltensten: bei 82,6 % der Websites mit fremden Diensten gar nicht. Das ist gerade in diesem Beruf unglücklich, weil schon der Besuch der Website etwas über die Besuchenden verraten kann.

Apotheken: Die Plattform der Branche. Apotheken-Websites kontaktieren mit 82,8 % häufiger fremde Server vor dem Klick als jede andere der 15 Branchen im Report. Werbung ist dabei kaum der Grund: Ein Werbe- oder Analysewerkzeug vor der Einwilligung fanden wir nur auf 5,3 %. Der Datenabfluss steckt in der Infrastruktur der Branche. 42,4 % der Apotheken-Websites laden vor dem Klick Dienste von Apothekenportalen, Kooperationen und Fachverlagen, am häufigsten Adressen der Apotheken Umschau aus dem Wort & Bild Verlag (20,5 % der Apotheken-Websites). Ob diese Dienste im Auftrag der Apotheke laufen und welche Daten dort ankommen, lässt sich von außen nicht erkennen. 29,1 % laden außerdem Bild- und Auslieferungsdienste fremder Server, meist dieselben Websites, die auch an Branchen-Plattformen hängen. Mit einfachen Mitteln ruhig zu bekommen sind deshalb nur 4,8 % der betroffenen Apotheken-Websites. Bei den übrigen liegt der Hebel beim Anbieter, der die Website stellt. Für Apotheken mit Online-Bestellung oder Vorbestellung kommt ein Punkt hinzu: Nach dem EuGH sind die Bestelldaten beim Onlinevertrieb apothekenpflichtiger Medikamente Gesundheitsdaten, auch ohne Rezept. Ihre Verarbeitung braucht daher eine Ausnahme nach Art. 9 Abs. 2 DSGVO, im vom Bundesgerichtshof entschiedenen Fall eine ausdrückliche Einwilligung, und Mitbewerber dürfen solche Verstöße vor den Zivilgerichten verfolgen (EuGH C-21/23; Bundesgerichtshof, Urteile vom 27. März 2025, I ZR 222/19 und I ZR 223/19).

Was Praxen und Apotheken selbst ändern können

Weil die Ursache meistens eine Voreinstellung ist, ist die Lösung meistens eine Einstellung. Die Schritte sind nach Wirkung sortiert:

1. 1Schriften vom eigenen Server ausliefern, Karten und reCAPTCHA erst auf Klick laden. Allein dieser Schritt macht 8,6 % aller Gesundheits-Websites zusätzlich vollständig ruhig. Für Besuchende bleibt alles nutzbar; Karte und Spamschutz erscheinen erst nach einem Klick. Allein die Schriften umzustellen ist meist in einem halben Tag erledigt.
2. 2Die Terminbuchung erst auf Klick starten. Ein Button oder Link zur Buchung statt eines Fensters, das beim Seitenaufruf lädt. Das betrifft rund jede zehnte Arzt- und Zahnarzt-Website.
3. 3Den Ablehnen-Knopf testen. Website in einem privaten Browserfenster öffnen, „Ablehnen“ klicken, in den Entwicklerwerkzeugen den Reiter „Netzwerk“ öffnen und nachsehen, welche fremden Adressen trotzdem auftauchen. Dauert fünf Minuten.
4. 4Videos und Widgets entschärfen. Für Videos ein Vorschaubild, das den Player erst auf Klick lädt; Bewertungssiegel als Bild statt als fremdes Skript.
5. 5Mit dem Anbieter sprechen. Wer auf einem Baukasten oder einer Branchen-Plattform sitzt, sollte fragen, ob Schriften lokal ausgeliefert werden können und ob vor der Einwilligung etwas lädt. Bleibt die Antwort unbefriedigend, ist ein Wechsel die ehrlichste Lösung.
6. 6Die Sicherheitseinstellungen des Servers setzen. Vier bis fünf Zeilen in der Server-Konfiguration; bei 67,4 % der Gesundheits-Websites fehlen sie.

Zusammengerechnet: Würde jede Praxis und jede Apotheke nur das weglassen, was ohne Funktionsverlust vermeidbar ist, wären 45,4 % der Gesundheits-Websites vor dem Klick vollständig ruhig statt heute 32,3 %. Was dann noch bleibt, sind Dinge mit echtem Zweck, etwa Analysewerkzeuge, Baukästen und Plattformen. Jedes davon braucht eine eigene Rechtsgrundlage, Analyse und Werbung in der Regel die Einwilligung. Wo eingewilligt werden muss, muss das Nein auch technisch ankommen. Wann du überhaupt ein Banner brauchst, erklärt unser Ratgeber Cookie-Banner: Wann ist es Pflicht?.

Praxis-Website prüfen mit Dieter

Denselben Drei-Zustands-Test, mit dem wir diese Studie erhoben haben, kannst du für deine eigene Website machen: Der Website-Scanner im DSGVO Check-up ist kostenlos, braucht keine Anmeldung und zeigt dir in unter einer Minute, welche Empfänger deine Website vor dem Klick, nach „Akzeptieren“ und nach „Ablehnen“ kontaktiert, welche Cookies gesetzt werden und ob die Sicherheitseinstellungen stimmen. Der Bericht ist so geschrieben, dass du ihn ohne Vorkenntnisse lesen oder direkt an deine Agentur weitergeben kannst.

Was danach auf der Website bleibt, muss in der Datenschutzerklärung stehen, vom Terminportal bis zur Karte. Der Datenschutzerklärung-Generator von Dieter erkennt eingebundene Dienste per Website-Scan, kennt über 1.000 davon und hält den Text über eine Live-Einbindung aktuell. Wie eine vollständige Datenschutzerklärung aufgebaut ist, steht im Ratgeber Wie erstelle ich eine Datenschutzerklärung?

Fazit

Praxis- und Apotheken-Websites geben vor dem ersten Klick genauso oft etwas weiter wie die Websites der übrigen Branchen unserer Studie, obwohl sie vor der Einwilligung seltener Werbung und Analyse laden. Der Datenabfluss ist selten gewollt, sondern eine Voreinstellung: Google-Schriften und Karten bei Arzt- und Zahnarztpraxen, Baukästen in der Psychotherapie, Branchen-Plattformen bei Apotheken. Das Gute daran: Für viele Praxen genügen ein paar technische Handgriffe, damit vor dem Klick nichts mehr abfließt. Wo die Plattform entscheidet, ist die wichtigste Maßnahme ein Gespräch mit dem Anbieter. Gerade in Berufen, die vom Vertrauen ihrer Patientinnen und Patienten leben, lohnt sich beides.