Kurz gesagt: In der Tierarztpraxis ist der Patient ein Tier, die Personendaten gehören aber der Halterin oder dem Halter: Name, Adresse, Telefonnummer, Rechnungen, Termine. Für diese Daten gilt das Datenschutzgesetz, und deine Website braucht eine Datenschutzerklärung wie jede andere.
Der Unterschied zur Arztpraxis
Die Diagnose des Tieres ist kein Gesundheitsdatum der Halterin. Besonders schützenswert sind nach Art. 5 lit. c revDSG unter anderem Daten über die Gesundheit einer Person. Dass ein Hund an der Hüfte operiert wurde, sagt über die Gesundheit seiner Halterin nichts. Darum gelten für die Krankengeschichte des Tieres in aller Regel nicht die strengeren Anforderungen, die in einer Praxis für Menschen gelten.
Verschwiegen bist du trotzdem. Tierärztinnen und Tierärzte sind ein universitärer Medizinalberuf und müssen das Berufsgeheimnis wahren (Art. 40 lit. f MedBG). Wer welches Tier bei dir hat, was es kostet und ob die Rechnung bezahlt ist, geht niemanden etwas an.
Wohin die Daten aus deiner Praxis gehen
Das ist der Teil, den eine allgemeine Vorlage nicht kennt:
- Die Hundedatenbank AMICUS. Nach dem Chippen registrierst du den Hund dort. Betrieben wird sie von der Identitas AG im Auftrag der Kantone, Grundlage ist die Tierseuchenverordnung.
- Externe Labore. Proben gehen mit Angaben zu Tier und Halterin ins Labor.
- Die Praxissoftware. Läuft sie in der Cloud, ist der Anbieter ein Empfänger, und sein Standort gehört in die Erklärung.
- Impferinnerungen per SMS oder E-Mail. Dafür nutzen viele Praxen einen Versanddienst. Auch das ist ein Empfänger.
- Notfalldienst und Überweisungen. Schickst du ein Tier in eine Tierklinik, gehen die Halterdaten mit.
Das Gesetz erlaubt, solche Empfänger als Kategorien zu nennen, etwa „Labore" oder „Anbieter unserer Praxissoftware". Weglassen darfst du sie nicht.
Was auf der Website dazukommt
Online-Termine. Wer einen Termin über ein Werkzeug wie Calendly anbietet, schickt Name und E-Mail an einen Anbieter in den USA. Was dann in die Erklärung gehört, steht in Calendly in der Datenschutzerklärung.
WhatsApp. Viele Halterinnen schicken lieber ein Foto der Wunde als anzurufen. Läuft das über WhatsApp, gehört es in die Erklärung, siehe WhatsApp in der Datenschutzerklärung.
Fotos von Patienten. Ein Bild der Katze auf der Website oder auf Instagram ist unproblematisch. Steht der Name der Halterin dabei oder ist sie selbst zu sehen, fragst du vorher.
Die Anfahrtskarte. Fast jede Praxis bindet eine Karte ein, meist Google Maps. Dabei gehen Daten der Besucher an Google, auch in die USA, und das gehört genannt.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.