DSGVO-konforme Website für österreichische Ordinationen — Checkliste 2026

Warum DSGVO-Verstöße bei Ordinationswebsites besonders riskant sind

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Schon der Hinweis, dass eine Person bei einer bestimmten Fachordination Patient:in ist, kann eine Gesundheitsinformation darstellen — etwa bei einer Onkologie-, Psychotherapie- oder gynäkologischen Ordination. Die österreichische Datenschutzbehörde (DSB) setzt bei Ordinationen strengere Maßstäbe an als bei einem normalen Webshop.

Hinzu kommt die nationale Ergänzung durch das österreichische Datenschutzgesetz (DSG). Patient:innen sind in den letzten Jahren stärker sensibilisiert: Hinweise der Ärztekammer und der Arbeiterkammer haben spürbar zu mehr Beschwerden bei der DSB geführt. Eine einzige unzufriedene Patient:in kann ein Prüfverfahren auslösen — auch bei einer kleinen Einzelordination.

Die zehn häufigsten DSGVO-Schwachstellen

1. Google Fonts direkt eingebunden

Schriftarten, die direkt von fonts.googleapis.com geladen werden, übertragen bei jedem Seitenaufruf die IP-Adresse der Besucher:in an Google-Server in den USA. Lösung: Schriftarten lokal auf dem eigenen Server hosten. Astro, WordPress und die meisten anderen CMS bieten Plugins oder Build-Optionen dafür.

2. Google Maps ohne Klick-zum-Laden

Eingebettete Karten setzen Tracking-Cookies und übertragen die IP an Google. Eine datenschutzfreundliche Alternative ist eine statische Karten-Vorschau (PNG) mit einem Klick-zum-Aktivieren-Hinweis. Erst nach ausdrücklicher Bestätigung wird die interaktive Karte geladen.

3. YouTube-Videos ohne erweiterten Datenschutzmodus

Statt youtube.com sollte youtube-nocookie.com als Embed-Domain verwendet werden. Das verhindert, dass YouTube vor der ersten Interaktion Tracking-Cookies setzt — entspricht den Anforderungen der DSB an datenschutzfreundliche Voreinstellungen.

4. Analytics ohne Einwilligung

Google Analytics, Matomo Cloud oder vergleichbare Tools dürfen nicht ohne aktive Einwilligung der Besucher:in geladen werden. Wer Analytics einsetzt, braucht ein Consent-Banner mit echtem Opt-in (nicht voraktivierte Checkboxen, kein Cookie-Wall-Zwang) — das österreichische Telekommunikationsgesetz (TKG 2021, § 165) ist hier eindeutig.

5. Kontaktformular ohne Verschlüsselungs-Hinweis

Patient:innen sollen wissen, ob das Formular für sensible Anfragen sicher ist. Best Practice: HTTPS auf der gesamten Seite, klare Datenschutz-Checkbox vor dem Absenden, Hinweis, dass keine Befunde, Diagnosen oder Medikamentenpläne über das Formular übermittelt werden sollen.

6. Fehlende oder veraltete Datenschutzerklärung

Die Datenschutzerklärung muss exakt widerspiegeln, welche Tools, Dienste und Cookies die Website tatsächlich einsetzt — und welche Rechtsgrundlage nach Art. 6 bzw. Art. 9 DSGVO jeweils greift. Generische Vorlagen, die einmalig kopiert wurden, sind fast immer fehlerhaft. Empfehlung: mindestens einmal jährlich technisch prüfen lassen.

7. Keine Auftragsverarbeitungs-Verträge mit Hosting & Tools

Hosting-Anbieter, E-Mail-Dienst, Terminbuchungs-Tool, Newsletter-Software — mit jedem dieser Dienstleister braucht es einen schriftlichen AVV nach Art. 28 DSGVO, bevor Daten übermittelt werden. Bei DSB-Prüfungen ist das einer der ersten Kontrollpunkte.

8. Drittland-Tools ohne zusätzliche Garantien

Seit dem Schrems-II-Urteil des EuGH reicht der EU-US-Datenschutzrahmen allein nicht aus. Bei US-Tools (etwa Mailchimp, Calendly, manche US-Hosting-Anbieter) braucht es zusätzliche technische und vertragliche Schutzmaßnahmen oder eine ausdrückliche Einwilligung. Die einfachere Lösung: EU-basierte Alternativen wählen, idealerweise mit Hosting in Österreich oder einem anderen EU-Mitgliedstaat.

9. Bewerbungsformulare ohne Löschkonzept

Wenn die Ordinationswebsite Bewerbungen entgegennimmt, müssen Aufbewahrungsfristen klar geregelt sein — typischerweise sechs Monate nach Abschluss des Bewerbungsverfahrens, dann Löschung (Art. 5 Abs. 1 lit. e DSGVO). Das gehört in die Datenschutzerklärung und in die internen Prozesse.

10. Keine SSL/TLS-Verschlüsselung

Eine Ordinationswebsite ohne durchgängiges HTTPS ist 2026 nicht mehr akzeptabel — Browser warnen aktiv vor unverschlüsselten Formularen, und ohne TLS gibt es keine wirksame Pflichterfüllung nach Art. 32 DSGVO (Sicherheit der Verarbeitung).

So gehen Sie konkret vor

1. Tool-Inventur: Listen Sie alle Dienste auf, die auf Ihrer Website Daten verarbeiten — Hosting, E-Mail, Analytics, Karten, Schriftarten, Plugins, Terminbuchung.
2. AVV-Check: Für jeden Dienstleister einen Auftragsverarbeitungs-Vertrag anfordern und gemeinsam mit Ihrem Verarbeitungsverzeichnis ablegen.
3. Browser-Test: Im Inkognito-Modus die Website öffnen und mit den Browser-DevTools beobachten, welche externen Verbindungen geladen werden, bevor ein Cookie-Banner überhaupt erscheint.
4. Datenschutzerklärung gegenchecken: Stimmt jeder Tool-Eintrag mit der tatsächlichen Nutzung überein? Sind die Rechtsgrundlagen nach Art. 6 / Art. 9 DSGVO benannt?
5. Patient:innen-freundliches Kontaktformular: Pflichtfelder reduzieren, Datenschutz-Hinweis, sensible Anfragen über sicheren Kanal anbieten.

Hinweis: Dieser Ratgeber bietet eine allgemeine Orientierung nach österreichischer Rechtspraxis. Für rechtssichere Aussagen — insbesondere bei spezialisierten Fragestellungen wie elektronischer Patientenkommunikation, ELGA-Anbindung oder Telemedizin — empfehlen wir eine Prüfung durch eine:n auf Medizinrecht spezialisierte:n Anwält:in oder direkt bei der österreichischen Datenschutzbehörde.