Cookie-Banner für die Arztpraxis-Website: der rechtssichere Weg zur Einwilligung

Eine Patientin klickt sich auf der Praxis-Website zum Kontaktformular durch und muss erst ein Banner wegklicken, das über zwei Zeilen "Wir verwenden Cookies" verkündet und genau einen Button anbietet: "OK". Die Praxismanagerin hat diesen Banner vor Jahren beim Website-Relaunch übernommen und seither nicht mehr angerührt. Genau an dieser Stelle beginnt für viele Praxen ein Thema, das unauffällig wirkt, aber hartnäckig bleibt: die Einwilligung für Cookies.

Solche Szenen wiederholen sich in der Praxisberatung ständig, und meistens fällt der Banner erst dann wieder auf, wenn eine neue Software eingeführt wird, ein Praxis-Team die Website überarbeiten lässt oder – im ungünstigsten Fall – eine Anfrage einer Aufsichtsbehörde oder ein Hinweis eines Mitbewerbers ins Haus flattert. Bis dahin läuft der alte Banner meist unbemerkt weiter, obwohl sich rund um die Website längst einiges verändert hat: ein neues Terminbuchungssystem, ein zusätzliches Analyse-Tool, vielleicht sogar eine Werbekampagne mit eigenem Tracking-Pixel. Wenn Sie den Cookie-Banner einmal grundlegend verstanden haben, erkennen Sie solche Lücken auf Ihrer eigenen Website selbst und müssen sich nicht auf eine Vorlage aus dem Netz verlassen.

Warum ein Cookie-Banner überhaupt ein Thema ist

Cookies sind kleine Datenpakete, die eine Website im Browser der Besucherin ablegt – etwa um sich an Spracheinstellungen zu erinnern oder um zu messen, welche Unterseiten oft aufgerufen werden. Manche davon sind für den Betrieb der Seite unverzichtbar, andere dienen der Statistik, der Werbung oder dem Nachladen fremder Inhalte wie Karten oder Videos.

Dabei greifen zwei Regelwerke nebeneinander, und genau das wird oft verwechselt. Die eigentliche Grundlage für den Cookie-Banner ist Paragraf 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Er verlangt eine vorherige Einwilligung, sobald Informationen auf dem Endgerät der Besucherin gespeichert oder von dort ausgelesen werden – unabhängig davon, ob diese Informationen überhaupt personenbezogen sind. Die DSGVO kommt eine Stufe später hinzu: Sobald mit den ausgelesenen Daten weitergearbeitet wird, braucht diese Verarbeitung eine eigene Rechtsgrundlage, und es greift die Informationspflicht aus Art. 13 DSGVO. Besucherinnen und Besucher müssen erfahren, wer welche Daten zu welchem Zweck verarbeitet und wem gegenüber sie ihre Rechte geltend machen können.

Für Ihre Praxis-Website heißt das: Eine Datenschutzerklärung ist Pflicht, sobald die Seite überhaupt aufgerufen wird – schon die IP-Adresse im Server-Log zählt als personenbezogenes Datum. Der Cookie-Banner ist davon zu unterscheiden. Er ersetzt die Datenschutzerklärung nicht, sondern ist das Werkzeug, mit dem Sie vorab die Zustimmung zu nicht notwendigen Cookies einholen. Man kann sich das wie zwei getrennte Bausteine vorstellen: Die Datenschutzerklärung ist die dauerhafte, jederzeit abrufbare Information darüber, was mit den Daten passiert. Der Banner ist der aktive Moment, in dem die Besucherin vor dem eigentlichen Laden bestimmter Dienste gefragt wird, ob sie damit einverstanden ist. Fehlt einer der beiden Bausteine oder passt er nicht zur tatsächlichen technischen Ausstattung der Website, entsteht eine Lücke, die im Zweifel auffällt – sei es durch eine Beschwerde, eine stichprobenartige Prüfung oder einfach durch eine aufmerksame Patientin, die sich die Datenschutzerklärung tatsächlich einmal durchliest.

Notwendig, nützlich oder überflüssig: eine erste Sortierung

Nicht jedes Cookie braucht eine Einwilligung. Paragraf 25 Absatz 2 TDDDG nimmt die Cookies aus, die unbedingt erforderlich sind, damit ein ausdrücklich gewünschter Dienst überhaupt bereitgestellt werden kann. Auf einer Praxis-Website sind das erfahrungsgemäß nur wenige: ein Sitzungs-Cookie, das ein ausgefülltes Kontaktformular bis zum Absenden zusammenhält, ein Login-Bereich für Mitarbeitende oder die Speicherung der Cookie-Entscheidung selbst. Wichtig ist, dass diese Ausnahme eng ausgelegt wird: Bequem oder wirtschaftlich sinnvoll reicht nicht, es muss ohne das Cookie tatsächlich nicht gehen. Für alles andere lohnt sich ein nüchterner Blick auf die tatsächlich eingesetzten Dienste.

Typisch für Praxis-Websites sind:

• Statistik-Tools, die Zugriffszahlen und Absprungraten auswerten.
• Eingebettete Karten, etwa um die Anfahrt zur Praxis zu zeigen.
• Eingebettete Videos, zum Beispiel eine kurze Vorstellung des Teams.
• Externe Terminbuchungssysteme, die auf einer fremden Domain laufen und Daten austauschen.
• Werbe- oder Retargeting-Pixel, falls die Praxis Anzeigen schaltet.

Jeder dieser Punkte kann personenbezogene Daten an Dritte übertragen, auch wenn das auf den ersten Blick nicht so wirkt. Eine Landkarte, die Google Maps direkt einbindet, lädt beim Seitenaufruf automatisch Inhalte von Google-Servern nach – und überträgt dabei in der Regel die IP-Adresse der Besucherin. Wenn Sie das vermeiden wollen, können Sie solche Dienste über eine Vorschaufläche einbinden, die erst auf Klick lädt, oder ihre Aktivierung an die Einwilligung im Banner koppeln.

Gerade bei Videos lohnt sich ein genauerer Blick: Ein eingebettetes YouTube-Video mit der Team-Vorstellung wirkt harmlos, lädt aber im Hintergrund Skripte des Videoanbieters nach, sobald die Seite aufgerufen wird – unabhängig davon, ob das Video überhaupt gestartet wird. Das Gleiche gilt für Social-Media-Plugins, etwa einen eingebetteten Instagram-Feed auf der Startseite. Auch scheinbar kleine Komfortfunktionen wie ein Chat-Widget für Rückfragen oder ein Bewertungs-Widget, das Google-Rezensionen direkt auf der Website anzeigt, fallen in diese Kategorie. Praxen, die mehrere solcher Zusatzfunktionen kombinieren, sollten sich bewusst machen, dass sich die Liste der einwilligungspflichtigen Dienste schnell auf fünf, sechs oder mehr Positionen summieren kann – auch wenn die Website auf den ersten Blick schlicht wirkt.

Wie ein Banner aussehen sollte, der im Ernstfall standhält

Die Grundidee ist einfach, die Umsetzung im Detail oft nicht: Zustimmen und Ablehnen müssen gleich leicht sein. Ein Banner mit einem großen, farbigen "Alles akzeptieren"-Button und einem kaum sichtbaren "Einstellungen"-Link, hinter dem sich das Ablehnen erst nach drei Klicks versteckt, gilt nicht als wirksame Einwilligung. Auch vorausgefüllte Häkchen bei optionalen Kategorien sind keine echte Zustimmung, sondern nur eine Vermutung darüber, was die Besucherin wohl wollen könnte.

Die Datenschutz-Aufsichtsbehörden werden in ihrer gemeinsamen Orientierungshilfe für Anbieter digitaler Dienste deutlich: Verdeckt der Banner die Seite, sodass die Besucherin gar nicht erst untätig bleiben kann, gehört eine Ablehnen-Schaltfläche auf die erste Ebene. Prüfen Sie den Banner dafür ausdrücklich auch am Handy: Die Aufsichtsbehörden halten an derselben Stelle fest, dass er auch auf kleinen Displays keine Bereiche der Website versperren darf. Dieselbe schmale Leiste, die am großen Bildschirm nichts verdeckt, kann auf dem Smartphone den halben Bildschirm füllen – und macht die Ablehnen-Schaltfläche damit zur Pflicht. Verlangt ist, dass die Ablehnmöglichkeit eindeutig als gleichwertige Alternative zur Zustimmung erkennbar ist; als sicherer Weg dafür gilt eine Schaltfläche, die in Größe, Farbe, Kontrast und Schriftbild mit der Zustimmen-Schaltfläche vergleichbar ist. Eine Schaltfläche mit der Aufschrift "Einstellungen oder Ablehnen", die erst auf eine zweite Ebene führt, reicht dafür ausdrücklich nicht aus. Zwei gleichwertige Schaltflächen auf der ersten Ebene sind also der Normalfall. Eine zusätzliche Auswahl nach einzelnen Kategorien darf dazukommen, ersetzt das einfache Ablehnen aber nicht.

Darüber hinaus gilt: Der Banner lädt keine nicht notwendigen Dienste, bevor eine Entscheidung getroffen wurde. Und er darf den Zugriff auf Impressum und Datenschutzerklärung nicht behindern – auch das halten die Aufsichtsbehörden ausdrücklich fest. Für das Impressum kommt hinzu, dass es nach Paragraf 5 des Digitale-Dienste-Gesetzes (DDG), dem Nachfolger des früheren Telemediengesetzes, ständig verfügbar sein muss. Welche Angaben dort hineingehören, lesen Sie im Beitrag Impressum, Datenschutz & Co..

Ein weiterer Punkt, der leicht übersehen wird: Art. 7 DSGVO verlangt zweierlei. Erstens müssen Sie die Einwilligung nachweisen können – die Entscheidung der Besucherin muss also gespeichert und dokumentierbar sein. Kommt es zu einer Rückfrage, sollten Sie im Zweifel nachvollziehen können, wann welche Version des Banners aktiv war und welche Voreinstellungen zu diesem Zeitpunkt galten. Zweitens muss der Widerruf einer Einwilligung genauso einfach sein wie ihre Erteilung. Die Möglichkeit, die einmal getroffene Auswahl später wieder zu ändern, ist damit keine Kür, sondern Vorgabe. Üblich ist dafür ein dauerhaft erreichbarer Link im Footer der Seite, über den sich die Cookie-Einstellungen jederzeit erneut öffnen lassen. Wer seine Zustimmung ursprünglich erteilt, später aber widerrufen möchte, soll nicht erst die gesamte Website durchsuchen müssen.

Was in der Praxis oft übersehen wird

Ein paar Stolpersteine tauchen in Kundengesprächen immer wieder auf. Der erste: Der Cookie-Banner wird beim Website-Relaunch aus der alten Seite übernommen, obwohl sich die eingesetzten Dienste längst geändert haben. Ein neues Buchungssystem, ein zusätzliches Statistik-Tool – und der Banner spiegelt die Realität nicht mehr wider. In der Praxis sieht das dann so aus, dass die Website-Agentur ein neues Analyse-Tool einbaut, um die Zugriffszahlen besser auszuwerten, während der Banner im Hintergrund weiterhin nur die alten, längst abgeschalteten Dienste auflistet. Für Außenstehende – und im Zweifel auch für die Aufsichtsbehörde – wirkt das wie eine Datenschutzerklärung, die an der Realität vorbeigeht.

Ein zweiter Punkt betrifft interaktive Zusatzangebote auf der Website. Wenn Sie etwa ein Tool einbinden, mit dem Patientinnen und Patienten direkt auf der Seite prüfen können, welche Kassen-Vorsorgeuntersuchungen ihnen zustehen, sollten Sie auch dafür klären, ob und welche Daten dabei anfallen und wie das im Banner abgebildet ist. Das gilt unabhängig von der Fachrichtung – ob Zahnarztpraxis, orthopädische Gemeinschaftspraxis, Kinderarztpraxis oder gynäkologische Praxis: Überall dort, wo Terminbuchung, Kontaktformulare oder Videos eingebunden sind, stellt sich dieselbe Frage nach der Einwilligung. Welche Datenschutzpflichten speziell am Formular hängen, steht im Beitrag Kontaktformular und DSGVO in der Arztpraxis.

Und dann ist da noch die organisatorische Seite: Wer im Team ist eigentlich zuständig, wenn die Website-Agentur ein neues Tool einbaut? Klären Sie das einmal verbindlich – ohne klare Zuständigkeit bleibt der Banner oft monatelang unangepasst, während im Hintergrund längst neue Cookies gesetzt werden. In größeren Praxen mit mehreren Standorten kommt erschwerend hinzu, dass jede Filiale eigene Unterseiten oder sogar eigene Buchungssysteme nutzen kann – dann reicht es nicht, den Banner einmal zentral zu pflegen, sondern jede Variante der Website muss einzeln geprüft werden. Auch personelle Wechsel spielen eine Rolle: Wenn die Person, die ursprünglich mit der Website-Agentur gesprochen hat, die Praxis verlässt, geht häufig auch das Wissen darüber verloren, welche Dienste eigentlich eingebunden wurden und warum.

Fünf Schritte zu einer Lösung, die zur eigenen Website passt

Wenn Sie den Banner grundlegend überarbeiten wollen, kommen Sie mit folgender Reihenfolge meist zügig voran:

1. Bestandsaufnahme: Welche Dienste, Skripte und Einbettungen laufen aktuell auf Ihrer Website – Statistik, Karten, Videos, Buchungssysteme, Werbe-Pixel?
2. Einordnung: Welche davon sind nach Paragraf 25 Absatz 2 TDDDG unbedingt erforderlich, welche brauchen eine Einwilligung?
3. Werkzeug wählen: Ein Einwilligungs-Werkzeug einsetzen, oft Consent-Tool genannt, das nicht notwendige Dienste erst nach Zustimmung lädt und die Entscheidung dokumentiert.
4. Texte abgleichen: Datenschutzerklärung und Bannertexte müssen zu den tatsächlich eingesetzten Diensten passen, nicht zu einer generischen Vorlage.
5. Turnusmäßig prüfen: Ein kurzer Check, wenn sich an der Website etwas ändert – neuer Anbieter, neues Tool, neue Kampagne.

Für die Bestandsaufnahme im ersten Schritt hilft es, sich nicht allein auf das Gedächtnis zu verlassen, sondern die Website systematisch durchzugehen: jede Unterseite einmal aufrufen, den Quelltext oder die Netzwerk-Analyse im Browser prüfen und notieren, welche externen Domains dabei angesprochen werden. Wenn Sie sich damit nicht auskennen, können Sie diesen Schritt an die betreuende Agentur oder an eine auf Datenschutz spezialisierte Fachkraft übergeben – wichtig ist nur, dass am Ende eine vollständige Liste vorliegt, nicht nur eine grobe Erinnerung daran, was irgendwann einmal eingebaut wurde. Beim zweiten Schritt lohnt sich im Zweifel die vorsichtigere Einordnung: Ist unklar, ob ein Dienst wirklich zwingend notwendig ist, sollte er eher als einwilligungspflichtig behandelt werden, statt sich auf eine großzügige Auslegung zu verlassen. Beim vierten Schritt hilft ein einfacher Abgleich Zeile für Zeile: Jede im Banner genannte Kategorie sollte sich in der Datenschutzerklärung wiederfinden, und umgekehrt sollte in der Datenschutzerklärung kein Dienst auftauchen, der im Banner gar nicht erwähnt wird.

Ob auf Ihrer Website überhaupt ein Einwilligungs-Werkzeug erkennbar ist und ob Impressum und Datenschutzerklärung vorhanden sind, zeigt Ihnen der kostenlose Website-Check. Ob der Banner im Detail richtig gestaltet ist, kann er nicht beurteilen – diesen Blick müssen Sie selbst oder Ihre Beratung übernehmen.

Was bei Verstößen im Raum steht

Für die Kontrolle von Cookie-Einwilligungen sind die Datenschutz-Aufsichtsbehörden zuständig, daneben ist auch eine Abmahnung durch Mitbewerber ein reales Risiko, wenn ein Banner offensichtlich keine echte Wahl lässt. Für Praxen kommt hinzu, dass Patientinnen und Patienten bei Gesundheitsthemen besonders sensibel auf den Umgang mit ihren Daten reagieren – ein schlecht gepflegter Banner wirkt schnell nachlässig, selbst wenn medizinisch alles stimmt. Wer als Patientin merkt, dass eine Website mit ihren Daten nicht sorgfältig umgeht, überträgt dieses Gefühl unbewusst oft auch auf das Vertrauen in die medizinische Behandlung – ein Zusammenhang, der auf den ersten Blick nichts mit Datenschutz zu tun hat, in der Wahrnehmung vieler Menschen aber durchaus eine Rolle spielt.

Eine belastbare Zahl zu Bußgeldhöhen oder Kontrollquoten speziell bei Arztpraxen lässt sich an dieser Stelle nicht seriös nennen; die Einzelfälle unterscheiden sich zu stark dafür. Wenn Sie rechtlich auf Nummer sicher gehen möchten, lassen Sie Banner und Datenschutzerklärung im Zweifel von einer auf Datenschutzrecht spezialisierten Kanzlei prüfen. Das gilt besonders dann, wenn die Website viele unterschiedliche Dienste kombiniert, mehrere Standorte betreut oder regelmäßig Werbekampagnen mit eigenen Tracking-Mechanismen fährt – in solchen Fällen lohnt sich eine einmalige, gründliche Prüfung mehr als mehrere kleine Nachbesserungen im laufenden Betrieb.

Fazit: womit anfangen?

Der pragmatischste erste Schritt ist eine ehrliche Bestandsaufnahme: eine Stunde investieren, alle eingebundenen Dienste auflisten und sortieren, was davon wirklich notwendig ist. Danach zeigt sich meist schnell, ob der bestehende Banner noch passt und ob Zustimmen und Ablehnen tatsächlich gleichwertig nebeneinanderstehen. Wenn Sie diese Stunde einmal investiert haben, wird Ihnen die Pflege des Banners danach deutlich leichter fallen – vor allem, wenn von Anfang an klar ist, wer im Team für künftige Änderungen zuständig ist und wann der nächste kurze Check ansteht.

Wer die gesamte Website rechtlich auf den Prüfstand stellen will, findet mehr dazu unter DSGVO- und HWG-konforme Websites. Weitere Themen rund um Recht und Praxisalltag gibt es im Ratgeber.

Stand: September 2026. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.