Kontaktformular und DSGVO in der Arztpraxis: Was Sie beachten müssen

Eine Patientin füllt abends das Kontaktformular auf Ihrer Praxis-Website aus. Sie schreibt kurz, worum es geht: seit Tagen Rückenschmerzen, sie möchte einen Termin. Die Nachricht landet im allgemeinen Praxis-Postfach, eine Mitarbeiterin liest sie am nächsten Morgen und leitet sie zur Terminvergabe weiter. Alles ganz normal – und trotzdem an mehreren Stellen ein Datenschutzthema.

Solche Szenarien laufen in vielen Praxen jeden Tag ab, oft ohne dass jemand bewusst darüber nachdenkt. Genau das macht das Kontaktformular zu einem unterschätzten Risiko: Es wirkt harmlos, weil es so alltäglich ist, berührt aber gleich mehrere Rechtsbereiche auf einmal – Datenschutz, Berufsrecht und im Zweifel auch das Strafrecht. Wer sich einmal die Zeit nimmt, den eigenen Formular-Prozess Schritt für Schritt durchzugehen, entdeckt meist schnell, an welchen Stellen noch Lücken bestehen.

Warum das Kontaktformular überhaupt unter die DSGVO fällt

Sobald jemand Name, E-Mail-Adresse oder ein Anliegen in ein Formular tippt, erheben Sie personenbezogene Daten – damit greift die Informationspflicht aus Art. 13 DSGVO. Sie müssen Betroffenen zum Zeitpunkt der Datenerhebung mitteilen, was mit ihren Daten geschieht, wer sie verarbeitet und welche Rechte sie haben. Das gilt für eine Zahnarztpraxis genauso wie für eine Physiotherapie- oder eine Kinderarztpraxis.

Wichtig ist dabei der Zeitpunkt: Artikel 13 DSGVO greift immer dann, wenn Sie personenbezogene Daten direkt bei der betroffenen Person erheben – und zwar zum Zeitpunkt der Erhebung, nicht erst im Nachgang. In der Praxis heißt das: Der Hinweis sollte direkt am Formular sichtbar sein, nicht erst nach dem Absenden oder irgendwo tief in der Datenschutzerklärung versteckt.

Ein Beispiel aus dem Alltag verdeutlicht, wie schnell das übersehen wird: Viele Praxis-Websites verlinken die Datenschutzerklärung nur im Footer der Seite, ganz unten, klein gedruckt. Wer das Kontaktformular ausfüllt, sieht diesen Link oft gar nicht, weil er außerhalb des sichtbaren Bereichs liegt. Auf der sicheren Seite sind Sie deshalb mit einem Hinweis im unmittelbaren Zusammenhang mit der Dateneingabe – am besten direkt unter dem Formularfeld oder dem Absende-Button, dort, wo die Aufmerksamkeit der Nutzerin oder des Nutzers ohnehin liegt.

Was konkret ins oder ans Kontaktformular gehört

Die naheliegendste Lösung ist ein kurzer, gut sichtbarer Satz direkt unter dem Formular, der auf die vollständige Datenschutzerklärung verlinkt. Dort sollte stehen, wofür Sie die Daten nutzen, wie lange Sie sie speichern und an wen Sie sie im Zweifel weitergeben – etwa an ein Praxisverwaltungssystem oder einen externen Terminkalender.

Zwei Punkte lohnen einen zweiten Blick:

• Pflichtfelder auf das Nötigste beschränken. Wer nur einen Rückruf möchte, braucht kein Geburtsdatum und keine Adresse.
• Beim Freitextfeld auf die Formulierung achten. Ein Hinweistext wie „Bitte teilen Sie uns hier nur Ihr Anliegen in Kürze mit, medizinische Details besprechen wir am Telefon" senkt das Risiko, dass sensible Gesundheitsdaten unnötig breit ausformuliert werden.

Darüber hinaus lohnt sich ein Blick auf die einzelnen Formularfelder selbst. Viele Standard-Formulare aus Baukasten-Systemen fragen automatisch Angaben wie Telefonnummer, Adresse oder sogar Geburtsdatum ab, weil diese Felder in der Vorlage einfach schon vorhanden sind. Für eine einfache Terminanfrage oder eine allgemeine Frage zu Öffnungszeiten sind das in der Regel überflüssige Angaben. Je weniger Daten ein Formular abfragt, desto geringer ist auch das Risiko im Fall eines technischen Fehlers oder eines unbefugten Zugriffs – und desto einfacher lässt sich die Datenschutzerklärung an dieser Stelle formulieren, weil weniger erklärt werden muss.

Auch die Reihenfolge und Gestaltung der Felder kann helfen: Steht das Freitextfeld für das Anliegen erst am Ende des Formulars, nachdem Name und Kontaktweg bereits erfasst wurden, sinkt die Wahrscheinlichkeit, dass Patientinnen und Patienten dort ausführliche medizinische Details eintragen. Ein kurzer, freundlich formulierter Hinweis direkt über dem Feld wirkt oft mehr als eine lange rechtliche Belehrung.

Einen ersten Eindruck von außen gibt der kostenlose Website-Check: Er sieht unter anderem nach, ob Impressum, Datenschutzerklärung und ein Cookie-Hinweis überhaupt vorhanden sind und ob die Praxis-Website verschlüsselt ausgeliefert wird. Den Hinweis direkt am Formular und die einzelnen Formularfelder erkennt er dagegen nicht – die gehen Sie am besten selbst durch.

Gesundheitsdaten im Formular: Wo Schweigepflicht und DSGVO zusammentreffen

Ein Kontaktformular ist kein neutraler Kanal wie bei einem Handwerksbetrieb. Sobald eine Patientin schreibt, weswegen sie einen Termin braucht, berührt das die ärztliche Schweigepflicht. Sie ist in Paragraf 203 StGB strafrechtlich abgesichert und erfasst nicht nur Diagnosen, sondern alle Geheimnisse, die der Praxis anvertraut werden oder ihr bei der Arbeit bekannt werden – einschließlich der bloßen Tatsache, dass jemand in Behandlung ist. Diese Pflicht endet nicht an der Praxistür, sondern gilt auch für den Weg, den eine Nachricht durchs Internet nimmt.

Wichtig dabei ist, wer in dieser Vorschrift welche Rolle hat: Geschützt ist das Geheimnis der Patientin oder des Patienten. Verpflichtet sind dagegen alle, die in der Praxis mitarbeiten – von medizinischen Fachangestellten bis zu externen IT-Dienstleistern. Auch sie machen sich strafbar, wenn sie Patientengeheimnisse unbefugt weitergeben (Paragraf 203 Abs. 4 Satz 1 StGB). Wer jemanden mit der technischen Betreuung der Website beauftragt, muss deshalb dafür sorgen, dass diese Person zur Geheimhaltung verpflichtet wird. Sonst können sich Praxisinhaberin oder Praxisinhaber nach Paragraf 203 Abs. 4 Satz 2 Nr. 1 StGB selbst strafbar machen, wenn der Dienstleister etwas ausplaudert. Ein gewöhnlicher Auftragsverarbeitungsvertrag nach DSGVO deckt das nicht automatisch ab, denn es handelt sich um zwei parallele Pflichten.

Beide braucht die Praxis allerdings. Wer Formulardaten in Ihrem Auftrag speichert oder weiterleitet – etwa der Webhoster, ein Formular-Anbieter oder die Firma, die Ihre Praxis-Website betreut –, ist Auftragsverarbeiter. Dafür verlangt Art. 28 Abs. 3 DSGVO einen Vertrag zur Auftragsverarbeitung, und das ist eine Pflicht, keine Empfehlung. Eine unterschriebene Verschwiegenheitserklärung allein genügt also nicht, und umgekehrt genügt der Vertrag allein auch nicht.

Neben den Verträgen zählt die Technik, und da gilt: Die Verschlüsselung darf nicht am Formular enden. Schickt das Formular Anfragen per E-Mail an ein Praxis-Postfach weiter, muss mindestens dieser Transportweg verschlüsselt sein. Weil in solchen Anfragen Gesundheitsangaben stecken können, empfiehlt die Datenschutzaufsicht Rheinland-Pfalz Berufsgeheimnisträgern zusätzlich eine Ende-zu-Ende-Verschlüsselung – damit Patientendaten unterwegs nicht im Klartext liegen; ein sicheres Postfach statt der gewöhnlichen E-Mail leistet dasselbe. Problematisch wird es außerdem, wenn zu viele Personen Zugriff auf dieses Postfach haben oder Nachrichten unbedacht weitergeleitet werden – etwa an ein privates Handy, wie im Fallbeispiel eingangs.

Ein weiteres, oft unterschätztes Detail betrifft die Weiterleitung von Anfragen innerhalb der Praxis. Wird eine Formularanfrage etwa per E-Mail an eine Kollegin oder einen Kollegen im Empfang weitergeleitet, sollte diese Weiterleitung ebenfalls verschlüsselt erfolgen und im dienstlichen System bleiben. Gerade in stressigen Momenten, etwa wenn morgens viele Anfragen gleichzeitig eintreffen, passiert es leicht, dass jemand eine Nachricht schnell auf das eigene Smartphone weiterleitet, um sie später in Ruhe zu bearbeiten. Genau hier entstehen leicht praktische Probleme, weil private Geräte selten denselben Schutzstandard bieten wie die dienstliche IT-Infrastruktur der Praxis.

Hilfreich ist es deshalb, klare interne Regeln zu vereinbaren: Wer darf Formularanfragen lesen, wer darf sie weiterleiten, und über welche Kanäle darf das geschehen. Eine kurze schriftliche Anweisung, die im Team einmal besprochen wird, reicht oft schon aus, um das Bewusstsein für dieses Thema zu schärfen und Routinen zu vermeiden, die im Ernstfall zu einem Verstoß führen könnten.

Technische Grundausstattung, ohne Perfektionismus

Ein datenschutzkonformes Kontaktformular braucht keine aufwendige Sonderlösung. Für die meisten Praxen reichen ein paar Grundregeln.

Die Übertragung muss verschlüsselt laufen, also über eine Website mit gültigem Zertifikat (TLS) – erkennbar an dem Kürzel https vor der Adresse. Das ist keine Kür: Art. 32 Abs. 1 lit. a DSGVO nennt die Verschlüsselung ausdrücklich als Schutzmaßnahme, und Paragraf 19 Abs. 4 Satz 3 TDDDG führt ein als sicher anerkanntes Verschlüsselungsverfahren als Vorkehrung gegen unbefugten Zugriff auf. Wichtig ist dabei, was https nicht leistet: Es sichert nur den Weg vom Browser der Patientin zur Website. Der anschließende Weg der Anfrage ins Praxis-Postfach ist damit noch nicht abgedeckt, den müssen Sie getrennt prüfen. Der Zugriff auf eingehende Anfragen gehört auf einen engen Personenkreis beschränkt, nicht auf jedes Postfach im Team. Und Anfragen, die längst erledigt sind, sollten nicht unbegrenzt im Posteingang liegen bleiben, sondern nach angemessener Zeit gelöscht werden.

Wer ein Formular-Plugin oder einen Website-Baukasten nutzt, sollte einmal nachsehen, wohin die Daten tatsächlich fließen. Manche Anbieter leiten Formulardaten über Server außerhalb der EU. Das ist nicht automatisch verboten, braucht aber immer eine eigene rechtliche Grundlage für die Übermittlung ins Ausland – etwa einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln mit dem Anbieter (Art. 44 ff. DSGVO). Diese Prüfung ist Pflicht, nicht nur eine Vorsichtsmaßnahme im Zweifelsfall; die Datenschutzerklärung muss anschließend auf die Übermittlung und die gewählte Grundlage hinweisen. Weil in Praxis-Anfragen Gesundheitsdaten stecken können, lohnt hier ein besonders genauer Blick.

Ein praktischer Zwischenschritt, den viele Praxen überspringen: Testen Sie das eigene Formular einmal selbst, so wie es eine Patientin oder ein Patient tun würde. Füllen Sie es aus, schauen Sie sich die Bestätigungs-E-Mail an, prüfen Sie, wo genau die Nachricht landet und wer sie als Erstes sieht. Solche Selbsttests decken oft überraschend schnell auf, ob etwa eine automatische Kopie an eine zusätzliche Adresse verschickt wird, von der niemand mehr genau weiß, wozu sie eigentlich noch gebraucht wird – ein klassischer Altlast-Fall, der über Jahre unbemerkt weiterläuft.

Auch die Frage nach Backups verdient einen Gedanken: Wird die Praxis-Website regelmäßig gesichert, landen Formularanfragen möglicherweise auch in älteren Backup-Dateien, selbst wenn sie im aktuellen System längst gelöscht wurden. Das ist kein Grund zur Panik, sollte aber bei der Frage, wie lange Daten tatsächlich vorgehalten werden, mitgedacht werden.

Kontaktformular ersetzt nicht die Pflichtangaben im Impressum

Ein häufiges Missverständnis: Manche Praxen verzichten ganz auf eine sichtbare E-Mail-Adresse und verweisen nur aufs Kontaktformular, um Spam zu vermeiden. Das genügt rechtlich nicht. Denn eine Adresse für die elektronische Kontaktaufnahme muss im Impressum in jedem Fall stehen, unabhängig davon, ob zusätzlich ein Formular existiert.

Das Kontaktformular ist also ein zusätzliches Angebot an Patientinnen und Patienten, kein Ersatz für die Pflichtangaben. Fehlt die E-Mail-Adresse im Impressum, ist das ein Verstoß gegen Paragraf 5 DDG – dabei ist die Lücke mit einer einzigen Zeile schnell geschlossen. Welche Angaben auf der Praxis-Website sonst noch Pflicht sind, lesen Sie im Beitrag Impressum, Datenschutz & Co..

Checkliste für den schnellen Eigen-Check

• Steht direkt am Formular ein Hinweis auf die Datenschutzerklärung, nicht erst danach?
• Fragt das Formular nur ab, was für die Bearbeitung wirklich nötig ist?
• Läuft die Website über https, ist also der Weg vom Browser zur Website verschlüsselt? Diese Verschlüsselung ist Pflicht, nicht Komfort.
• Ist auch der zweite Weg abgesichert, auf dem die Anfrage vom Formular ins Praxis-Postfach gelangt?
• Haben nur die Personen Zugriff auf eingehende Anfragen, die sie auch bearbeiten?
• Gibt es eine Regel, wie lange erledigte Anfragen gespeichert bleiben?
• Ist im Impressum weiterhin eine direkte Kontaktadresse angegeben, auch wenn es ein Formular gibt?
• Gibt es mit Webhoster, Formular-Anbieter und Website-Betreuung einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO?
• Sind dieselben Dienstleister zusätzlich nach Paragraf 203 StGB zur Verschwiegenheit verpflichtet?
• Steht das Kontaktformular im Verzeichnis von Verarbeitungstätigkeiten? Die Erleichterung für Betriebe unter 250 Beschäftigten greift bei Gesundheitsdaten nicht, siehe Art. 30 Abs. 5 DSGVO.

Wer bei mehreren dieser Punkte ins Grübeln kommt, findet auf der Leistungsseite zu DSGVO- und HWG-konformen Praxis-Websites eine Übersicht, wie sich solche Anforderungen technisch umsetzen lassen.

Fazit: Womit anfangen?

Niemand muss das Kontaktformular neu erfinden. Der erste sinnvolle Schritt ist, den bestehenden Hinweistext am Formular zu lesen – gibt es überhaupt einen, und passt er noch zur tatsächlichen Datenverarbeitung? Danach lohnt ein kurzer Blick darauf, wer im Team Zugriff auf eingehende Nachrichten hat und ob dieser Kreis wirklich nötig ist. Beides lässt sich an einem Nachmittag klären, ohne dass die Praxis dafür stillstehen muss.

Ein guter Zeitpunkt für diese Bestandsaufnahme ist zum Beispiel eine ruhige Stunde am Ende der Woche, wenn keine akuten Patiententermine anstehen. Nehmen Sie sich das eigene Formular gemeinsam mit einer Kollegin oder einem Kollegen vor, gehen Sie die Checkliste oben Punkt für Punkt durch und notieren Sie, wo noch etwas fehlt. Aus dieser kurzen Bestandsaufnahme lässt sich meist schon eine kleine To-do-Liste ableiten, die sich über die nächsten Wochen nach und nach abarbeiten lässt.

Größere technische Anpassungen, etwa an der Verschlüsselung oder am Formular-Anbieter, können danach in Ruhe folgen. Wichtig ist vor allem, dass das Thema nicht ganz von der Liste verschwindet, sondern in regelmäßigen Abständen erneut angeschaut wird – schon allein deshalb, weil sich Formular-Plugins, Praxissoftware und rechtliche Anforderungen mit der Zeit ändern können. Weitere Themen rund um Recht und Praxis-Website finden Sie im Ratgeber.

Stand: September 2026. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.