Kurz gesagt: In einer Praxis fallen besonders schützenswerte Personendaten an, Gesundheitsdaten nämlich (Art. 5 lit. c revDSG). Für die Website heisst das nicht, dass sie komplizierter wird, aber die Stellen, an denen solche Angaben hereinkommen, brauchen besondere Sorgfalt: das Kontaktformular und die Online-Terminbuchung.
Von 15 geprüften Websites aus Therapie, Massage und Praxis hatten 6 gar keine lesbare Datenschutzerklärung, bei 11 fand der Scan mindestens einen Punkt zum Nachbessern.
Der Unterschied zu jeder anderen Branche
Besonders schützenswert. Gesundheitsdaten sind ausdrücklich genannt. Für sie gilt eine erhöhte Anforderung an die Datensicherheit, und eine Einwilligung muss ausdrücklich sein (Art. 6 Abs. 7 revDSG).
Berufsgeheimnis. Art. 321 StGB nennt neben Ärztinnen und Zahnärzten ausdrücklich auch Psychologen, Physiotherapeutinnen, Ergotherapeuten, Ernährungsberaterinnen, Osteopathen, Hebammen, Chiropraktoren und Pflegefachpersonen sowie ihre Hilfspersonen. Wer nicht in dieser Liste steht, etwa eine Masseurin ohne diese Ausbildung, untersteht ihr nicht, schuldet aber vertragliche Vertraulichkeit.
Das Berufsgeheimnis ist strenger als das Datenschutzgesetz und geht ihm vor. Praktisch heisst das: Eine Terminbestätigung, aus der die Behandlung hervorgeht, ist kein harmloses E-Mail.
Die drei Stellen, an denen es in der Praxis schiefgeht
1. Das Kontaktformular. Menschen schreiben hinein, was ihnen fehlt. Damit landen Gesundheitsdaten in einem Formular, das oft über ein Plugin läuft und in einem gewöhnlichen Postfach ankommt. In die Erklärung gehört, wo diese Nachrichten liegen und wie lange.
2. Die Online-Terminbuchung. Sie ist bequem und gehört zum heikelsten Teil: Wer einen Termin bei einer Suchttherapie oder einer Kinderwunschsprechstunde bucht, gibt allein damit eine Gesundheitsinformation preis. Liegt das Werkzeug im Ausland, ist das eine Auslandbekanntgabe besonders schützenswerter Daten.
3. Der Rückruf per WhatsApp. Praktisch, aber die Nachricht läuft über einen Anbieter in den USA. Wer so arbeitet, sagt es in der Erklärung.
Was auf Praxis-Websites läuft
Meist wenig Technik: Schriftarten, eine Karte, ein Formular, manchmal eine Statistik. Der Aufwand liegt nicht in der Menge der Dienste, sondern in der Beschreibung der Abläufe. Genau danach fragt der Fragebogen, wenn du angibst, dass besonders schützenswerte Daten anfallen.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.