Der Praxis-Newsletter: rechtssicher aufsetzen und sinnvoll nutzen

Eine Praxismanagerin, ein leeres Textfeld und die Frage: darf ich das so schreiben?

Die Praxismanagerin sitzt vor dem neuen Newsletter-Tool. Sie will über die verlängerten Grippeimpf-Termine informieren, dazu eine kurze Notiz zum neuen Kollegen in der Physiotherapie. Der Text ist in zehn Minuten geschrieben. Die Frage, wer das überhaupt bekommen darf und auf welchem Weg, beschäftigt sie danach deutlich länger.

Das ist kein Zufall. Ein Newsletter aus der Arztpraxis ist kein gewöhnlicher Unternehmens-Newsletter, sondern landet im Postfach von Menschen, die der Praxis in einer besonders sensiblen Angelegenheit vertrauen. Entsprechend genau schaut das Datenschutzrecht hin — und entsprechend genau sollte auch die Praxis hinschauen, bevor der erste Versand startet. Wer sich diese Mühe am Anfang spart, zahlt später drauf: mit Rückfragen von Patientinnen und Patienten, mit Beschwerden bei der Aufsichtsbehörde oder schlicht mit dem ungutem Gefühl, nicht genau zu wissen, auf welcher rechtlichen Grundlage der eigene Verteiler überhaupt steht. Deshalb lohnt es sich, die Themen einmal in Ruhe durchzugehen, statt sie nebenbei im laufenden Praxisalltag zu klären.

Die Rechtsgrundlage: ohne Einwilligung geht es selten

Ein Newsletter ist Werbung im rechtlichen Sinn, auch wenn er wie eine freundliche Information wirkt. Für Werbe-E-Mails an Personen, die noch nicht Patientin oder Patient sind, braucht es eine Rechtsgrundlage nach der Datenschutz-Grundverordnung. In der Praxis läuft das fast immer auf eine Einwilligung hinaus, die nach Art. 6 Abs. 1 lit. a und Art. 7 DSGVO freiwillig, spezifisch, informiert und eindeutig sein muss. Sie muss außerdem nachweisbar und jederzeit widerrufbar bleiben.

Für Bestandspatientinnen und -patienten gibt es wettbewerbsrechtlich eine enge Ausnahme für Direktwerbung zu eigenen, ähnlichen Leistungen. Diese Ausnahme ersetzt aber keine saubere Dokumentation, und sie gilt keinesfalls automatisch für jede Art von Newsletter-Inhalt. Wer auf Nummer sicher gehen will, holt die Einwilligung ohnehin aktiv ein, statt sich auf diesen Graubereich zu verlassen. Gerade weil die Ausnahme eng gefasst ist, sollte sie nicht als bequemer Freifahrtschein missverstanden werden: Sobald ein Newsletter mehr enthält als reine Informationen zu bereits in Anspruch genommenen Leistungen, etwa einen Hinweis auf ein neues Zusatzangebot, wird die rechtliche Grundlage dünner. Eine aktiv eingeholte Einwilligung nimmt dieser Unsicherheit von vornherein den Boden.

Ein Detail wird dabei gern übersehen: Eine vorangekreuzte Checkbox zählt nicht als Einwilligung, sie ist nach Art. 7 Abs. 2 DSGVO schlicht unwirksam. Das Anmeldefeld für den Newsletter muss leer sein — den Haken setzt die Patientin oder der Patient selbst. Ebenso wenig reicht es, die Newsletter-Anmeldung in den allgemeinen Geschäftsbedingungen oder der Anmeldemaske für die Online-Terminbuchung zu verstecken. Die Einwilligung muss für den Newsletter konkret und separat eingeholt werden, nicht als Nebenprodukt eines anderen Vorgangs. Wer das Anmeldeformular einmal mit frischem Blick durchgeht — am besten so, als würde man es zum ersten Mal sehen — merkt meist schnell, ob hier sauber getrennt wurde oder nicht.

Double-Opt-in: der Nachweis, auf den es ankommt

Das Double-Opt-in-Verfahren hat sich als Standard durchgesetzt, weil es die größte Schwachstelle einfacherer Verfahren löst: den Nachweis. Trägt jemand nur einmal eine E-Mail-Adresse ein, lässt sich später kaum belegen, dass tatsächlich der Inhaber dieser Adresse eingewilligt hat. Genauso gut könnte ein Dritter die Adresse eingetragen haben — aus Versehen, aus Neugier oder, im schlimmsten Fall, mutwillig. Erst der zweistufige Prozess erfüllt die Nachweispflicht aus Art. 7 DSGVO zuverlässig.

Praktisch läuft das so: Die Anmeldung über das Formular auf der Praxis-Website löst eine Bestätigungs-E-Mail aus, und erst der Klick auf den Link darin schaltet den Versand frei. Zeitpunkt, IP-Adresse und der Klick selbst werden dabei protokolliert. Dieses Protokoll ist im Streitfall Gold wert: Beschwert sich jemand, er habe nie zugestimmt, kann die Praxis mit wenigen Klicks im Tool nachweisen, wann und wie die Bestätigung erfolgt ist.

Für die Praxis bedeutet das vor allem eines: kein Newsletter-Versand ohne dieses Protokoll im Hintergrund. Die meisten Newsletter-Tools bringen die Funktion mit, sie muss nur aktiviert werden — in vielen Fällen ist sie sogar standardmäßig eingeschaltet, sodass hier wenig schiefgehen kann, sofern man die Voreinstellungen nicht versehentlich ändert. Sinnvoll ist es, das Verfahren einmal selbst durchzuspielen: eine Testadresse eintragen, die Bestätigungs-E-Mail prüfen, den Link klicken und schauen, ob die Anmeldung tatsächlich erst danach aktiv wird. So lassen sich technische Lücken entdecken, bevor echte Interessenten davon betroffen sind. Wer ohnehin die bestehende Website durchleuchten lassen will, bevor ein neues Anmeldeformular dazukommt, kann das über einen kostenlosen Website-Check tun.

Informationspflichten: was im Anmeldeformular stehen muss

Neben der Einwilligung selbst verlangt die Verordnung, dass Interessenten vorab wissen, worauf sie sich einlassen. Dazu gehören Versandrhythmus, Inhalte, Absender und die Möglichkeit, sich jederzeit abzumelden — und zwar konkret. „Gelegentliche Informationen" als einzige Beschreibung reicht nicht aus. Besser ist eine kurze, ehrliche Beschreibung dessen, was tatsächlich passiert: etwa dass der Newsletter unregelmäßig erscheint, wenn es organisatorische Neuigkeiten gibt, und dass er keine individuellen Behandlungsinformationen enthält.

Für das Anmeldeformular heißt das: ein kurzer Hinweis, wer der Absender ist, wofür die Adresse verwendet wird (ausschließlich Newsletter-Versand, keine Weitergabe an Dritte) und ein Link zur vollständigen Datenschutzerklärung. Diese Pflichtangaben leiten sich aus Art. 13 DSGVO ab, der allgemein regelt, worüber Verantwortliche bei der Datenerhebung informieren müssen. Ein Satz zum Widerrufsrecht gehört ebenso dazu, und die Abmeldung sollte genauso einfach sein wie die Anmeldung — typischerweise über einen Link direkt in jeder Newsletter-Ausgabe. Eine Abmeldung, die erst über ein Kontaktformular, einen Anruf in der Praxis oder gar einen persönlichen Besuch möglich ist, erschwert die Ausübung des Widerrufsrechts unnötig und sollte vermieden werden. Je niedriger die Hürde zum Abmelden, desto glaubwürdiger wirkt im Übrigen auch die Einwilligung selbst — Patientinnen und Patienten merken schnell, ob eine Praxis es mit der Freiwilligkeit ernst meint.

Schweigepflicht nicht vergessen: der blinde Fleck vieler Praxis-Newsletter

Datenschutzrecht ist die eine Seite, die ärztliche Schweigepflicht die andere — und sie wird bei diesem Thema oft übersehen. Sie betrifft nicht nur Diagnosen und Befunde. Schon die Tatsache, dass jemand Patientin oder Patient einer bestimmten Praxis ist, fällt darunter. Das mag auf den ersten Blick übertrieben wirken, ergibt aber Sinn, sobald man an sensible Fachrichtungen denkt: Allein die Information, dass jemand in einer psychotherapeutischen oder urologischen Praxis behandelt wird, kann für die betroffene Person erheblich sein.

Praktisch relevant wird das, wenn die Adressliste nicht sauber getrennt ist. Ein Newsletter, der versehentlich über das „An"- oder „CC"-Feld statt über das Verteiler-Tool verschickt wird, offenbart jedem Empfänger die komplette Empfängerliste — und damit indirekt, wer Patientin oder Patient ist. Ein solcher Fehler passiert schneller als gedacht, etwa wenn unter Zeitdruck kurz vor Feierabend noch eine Info verschickt werden soll und aus Gewohnheit das normale E-Mail-Programm statt des Newsletter-Tools geöffnet wird. Nach Paragraf 203 StGB macht sich strafbar, wer unbefugt ein fremdes Geheimnis offenbart, das ihm als Angehöriger einer der dort genannten Berufsgruppen bekannt geworden ist.

Ein professionelles Newsletter-Tool verhindert dieses Risiko von vornherein, weil jeder Empfänger eine eigene, isolierte Kopie erhält. Wer dennoch klassische E-Mail-Rundschreiben nutzt, sollte ausschließlich über BCC versenden und die Liste regelmäßig prüfen. Es hilft außerdem, im Praxisteam eine klare Regel festzulegen: Newsletter-Versand erfolgt ausnahmslos über das dafür vorgesehene Tool, niemals über das reguläre E-Mail-Postfach. Diese Regel sollte nicht nur einmal kommuniziert, sondern auch neuen Mitarbeiterinnen und Mitarbeitern von Anfang an erklärt werden, damit sie nicht aus Unwissenheit in die klassische CC-Falle tappen.

Auch die technische Absicherung gehört in dieses Bild: Berufsgeheimnisträger müssen E-Mail-Kommunikation mit personenbezogenen Daten dem Stand der Technik entsprechend absichern. Ein Newsletter mit allgemeinen Praxisinformationen ohne Patientenbezug ist unkritisch. Sobald aber personalisierte Inhalte oder gar Behandlungsbezüge hineinrutschen, braucht es dieselbe Sorgfalt wie bei jeder anderen E-Mail mit Gesundheitsdaten. Ein guter Grundsatz für die Praxis: Im Zweifel lieber eine Information weniger versenden, als eine zu persönliche.

Auftragsverarbeitung: der Vertrag mit dem Newsletter-Tool

Kaum eine Praxis betreibt den Newsletter-Versand komplett selbst. Meist übernimmt ein spezialisierter Anbieter Versand, Abmeldung und Protokollierung — und wird damit zum Auftragsverarbeiter im Sinne der DSGVO. Das löst die Pflichten aus Art. 28 DSGVO aus: Sobald ein Dienstleister personenbezogene Daten im Auftrag der Praxis verarbeitet, was beim E-Mail-Versand regelmäßig der Fall ist, braucht es einen Auftragsverarbeitungsvertrag.

Die meisten etablierten Tools stellen diesen Vertrag direkt im Kundenkonto zum Download oder zur elektronischen Unterschrift bereit. Es lohnt sich, diesen Punkt fest in die Checkliste bei der Einrichtung eines neuen Tools aufzunehmen, denn er geht im Trubel der eigentlichen Konfiguration — Vorlagen gestalten, Absenderadresse einrichten, erste Testmail verschicken — leicht unter. Wer das noch nicht erledigt hat, sollte es vor dem nächsten Versand nachholen — nicht danach. Ein einfacher Praxistipp: den Vertrag ausgedruckt oder als Datei dort ablegen, wo auch die übrige Datenschutzdokumentation der Praxis liegt, damit er im Fall einer Prüfung sofort griffbereit ist. Wer die eigene Website und den Newsletter-Prozess insgesamt rechtssicher aufstellen will, findet dazu auch Unterstützung unter dsgvo- und HWG-konforme Praxiswebsites.

Was gehört inhaltlich in einen Praxis-Newsletter

Ist die rechtliche Seite geklärt, bleibt die inhaltliche. Ein Praxis-Newsletter muss nicht jeden Monat erscheinen und nicht jede denkbare Information enthalten. Sinnvoll sind kurze, konkrete Mitteilungen: geänderte Öffnungszeiten rund um Feiertage, neue Kolleginnen und Kollegen im Team, Hinweise auf anstehende Vorsorgeuntersuchungen oder ein Verweis auf die Online-Terminbuchung, falls vorhanden. Auch organisatorische Dinge wie eine vorübergehende Schließung wegen Fortbildung, ein geändertes Telefonsystem oder ein neuer Parkplatz vor der Praxis sind gute, unverfängliche Inhalte — sie informieren, ohne auch nur in die Nähe sensibler Gesundheitsdaten zu kommen.

Gerade beim Thema Vorsorge lohnt sich der Blick auf bestehende Werkzeuge: Ein Vorsorge-Checker auf der eigenen Website zeigt Patientinnen und Patienten direkt, welche Kassenleistungen ihnen zustehen — der Newsletter kann darauf verweisen, statt alle Details selbst aufzulisten. Das hat den angenehmen Nebeneffekt, dass der Newsletter selbst kurz bleiben kann und trotzdem auf weiterführende, nützliche Informationen verweist.

Was dagegen nicht hineingehört: Heilversprechen, Vorher-Nachher-Vergleiche oder reißerische Formulierungen zu bestimmten Krankheitsbildern. Das Heilmittelwerbegesetz gilt für den Newsletter genauso wie für die Website oder Broschüren in der Praxis — auch ein gut gemeinter Satz über besonders schnelle Heilungsverläufe kann hier schon zu viel sein. Wer sich unsicher ist, ob eine Formulierung noch im erlaubten Rahmen liegt, sollte sie lieber neutraler fassen: Statt eines Versprechens zur Wirksamkeit reicht oft der sachliche Hinweis auf ein Angebot, verbunden mit der Einladung, bei Fragen in der Praxis nachzufragen.

Fazit: womit anfangen?

Der pragmatische Einstieg ist selten der Newsletter-Text selbst, sondern die Technik dahinter. Zuerst das Anmeldeformular mit Double-Opt-in einrichten, dann die Datenschutzhinweise ergänzen, dann den Auftragsverarbeitungsvertrag mit dem gewählten Tool abschließen. Erst danach lohnt sich die Zeit für Inhalte. Wer diese Reihenfolge einhält, erspart sich im Nachhinein mühsame Korrekturen — etwa wenn erst nach den ersten Versendungen auffällt, dass die Einwilligung nicht sauber dokumentiert wurde oder der Abmeldelink fehlt.

Wer unsicher ist, ob die bestehende Website überhaupt ein rechtssicheres Anmeldeformular zulässt, fängt am besten genau dort an — bevor der erste Newsletter rausgeht. Ein ruhiger Nachmittag reicht oft aus, um Formular, Datenschutzhinweise und Vertrag einmal grundlegend zu prüfen und, wo nötig, nachzubessern. Danach steht einem regelmäßigen, informativen und vor allem rechtlich unbedenklichen Praxis-Newsletter nichts mehr im Weg.

Stand: Oktober 2026. Dieser Beitrag ersetzt keine Rechtsberatung und ersetzt keine Prüfung durch eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten im Einzelfall.