Als Heilpraktiker brauchst du auf deiner Website eine Datenschutzerklärung, auch wenn die Seite nur IP-Adressen speichert. Sie sagt Besuchern, wer die Seite betreibt, welche Daten sie erhebt und warum. Sie nennt außerdem die Rechtsgrundlage, die Empfänger, die Speicherdauer und die Rechte der Besucher (Art. 13 DSGVO).
Viele Praxen kopieren ein Muster und hoffen, dass es passt. Die meisten kostenlosen Muster wurden aber für andere Branchen geschrieben oder für die Patientenakte in deiner Praxis. Dieser Ratgeber geht Abschnitt für Abschnitt durch, was in der Datenschutzerklärung deiner Website stehen muss und was eine Praxis-Website zusätzlich braucht.
Braucht eine Heilpraktiker-Website eine Datenschutzerklärung?
Ja. Die Datenschutz-Grundverordnung der EU, kurz DSGVO, gilt, sobald du personenbezogene Daten erhebst. Eine Website tut das bei jedem Besuch, denn der Server erhält die IP-Adresse des Besuchers, und die kann ein personenbezogenes Datum sein (EuGH, C-582/14). Wenn du Daten bei einer Person erhebst, musst du sie in diesem Moment darüber informieren (Art. 13 DSGVO).
Das Gesetz gibt auch die Form vor. Die Informationen müssen präzise, transparent, leicht zugänglich und in klarer und einfacher Sprache sein (Art. 12 DSGVO). In der Praxis heißt das: ein Link „Datenschutz“ in der Fußzeile jeder Seite, einen Klick entfernt.
Die Datenschutzerklärung ist nicht dasselbe wie dein Impressum. Das Impressum nennt dich, deine Adresse und deine beruflichen Angaben und folgt aus einem anderen Gesetz (§ 5 DDG). Die meisten Praxis-Websites brauchen beides, meist auf zwei getrennten Seiten.
Ist die Datenschutzerklärung der Website dasselbe wie die Patienteninformation?
Wer nach einem Muster sucht, findet zwei Arten von Text durcheinander. Die eine ist die Datenschutzerklärung deiner Website. Die andere ist das Informationsblatt zu Patientendaten, das du in der Praxis aushändigst. Beide folgen demselben Artikel der DSGVO, beschreiben aber andere Daten und gehören an andere Orte.
| Datenschutzerklärung der Website | Informationsblatt für Patienten | |
|---|---|---|
| Wer es liest | Jeder, der deine Website besucht | Patienten, die in deine Praxis kommen |
| Was es abdeckt | Server-Logs, Kontaktformular, Buchungstool, Schriftarten, Karten, Cookies, Newsletter | Patientenakte, Rechnungen, Abrechnungsdienst, Briefe an andere Behandler |
| Wo es steht | Auf einer Seite, die von jeder Seite deiner Website verlinkt ist | Auf Papier oder als PDF, übergeben beim ersten Termin |
| Typischer Fehler | Ein allgemeiner Text, der die Tools deiner Website nicht nennt | Ein Website-Text für Patienten, der nichts über die Patientenakte sagt |
Mehrere der obersten Suchergebnisse für ein Heilpraktiker-Muster sind Informationsblätter für Patienten. Ein Beispiel ist der Mustertext des Fachverbands Deutscher Heilpraktiker in Nordrhein-Westfalen. In der Praxis sind sie nützlich. Die Erklärung auf deiner Website ersetzen sie nicht, und dieser Ratgeber behandelt nur die Website.
Was muss in die Datenschutzerklärung, Abschnitt für Abschnitt?
Die DSGVO zählt auf, was du Besuchern sagen musst, wenn du ihre Daten erhebst. Es sind zehn Kernpunkte, von deinen Kontaktdaten bis zum Beschwerderecht. Ein gutes Muster besteht genau aus diesen Punkten, ausgefüllt für die Tools, die deine Website wirklich nutzt. Die Tabelle zeigt jeden Punkt mit einem einfachen Beispiel (Art. 13 DSGVO).
| Abschnitt | Was du schreibst | Vorschrift |
|---|---|---|
| Verantwortlicher | Dein Name, Praxisadresse, E-Mail-Adresse und Telefonnummer | Art. 13 Abs. 1 lit. a |
| Datenschutzbeauftragter | Seine Kontaktdaten, nur wenn du einen hast | Art. 13 Abs. 1 lit. b |
| Zwecke und Rechtsgrundlage | Jeder Zweck mit seiner Grundlage, zum Beispiel „Beantwortung deiner Anfrage, Art. 6 Abs. 1 lit. b“ | Art. 13 Abs. 1 lit. c |
| Berechtigtes Interesse | Worin dein Interesse besteht, wenn du dich darauf stützt, zum Beispiel die Sicherheit der Website | Art. 13 Abs. 1 lit. d |
| Empfänger | Dein Webhoster, dein Buchungsanbieter, dein Newsletter-Anbieter | Art. 13 Abs. 1 lit. e |
| Übermittlung außerhalb der EU | Welcher Anbieter, welches Land und welche Garantie gilt | Art. 13 Abs. 1 lit. f |
| Speicherdauer | Wie lange du welche Daten speicherst, oder nach welchen Kriterien | Art. 13 Abs. 2 lit. a |
| Rechte der Besucher | Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch | Art. 13 Abs. 2 lit. b |
| Widerruf der Einwilligung | Dass eine Einwilligung jederzeit für die Zukunft widerrufen werden kann | Art. 13 Abs. 2 lit. c |
| Beschwerde | Das Recht, sich bei einer Datenschutzbehörde zu beschweren | Art. 13 Abs. 2 lit. d |
Zwei weitere Punkte machen die Liste vollständig. Du musst sagen, ob Besucher die Daten angeben müssen und was passiert, wenn sie es nicht tun. Außerdem musst du eine automatisierte Entscheidungsfindung erwähnen, die auf einer Praxis-Website selten vorkommt (Art. 13 Abs. 2 lit. e und f DSGVO).
Die Rechtsgrundlagen, die du am häufigsten brauchst
Jeder Zweck braucht eine Rechtsgrundlage aus der DSGVO. Für eine Praxis-Website kommen vier immer wieder vor (Art. 6 Abs. 1 DSGVO):
- Einwilligung (lit. a): für Analyse-Tools, einen Newsletter oder alles andere, dem der Besucher aktiv zustimmt.
- Vertrag oder Schritte vor einem Vertrag (lit. b): für die Antwort auf eine Anfrage oder eine Terminbuchung.
- Rechtliche Pflicht (lit. c): für Unterlagen, die du von Gesetzes wegen aufbewahren musst.
- Berechtigtes Interesse (lit. f): für Server-Logs, die die Website am Laufen und sicher halten.
Für den Abschnitt zur Beschwerde kannst du die Behörde deines Bundeslands nennen. Die Datenschutzkonferenz listet alle deutschen Datenschutzbehörden mit ihren Adressen.
Was ergänzt eine Praxis-Website am Muster?
Eine Praxis-Website bringt meist fünf Dinge mit, die ein allgemeines Muster schlecht abdeckt. Das sind ein Kontaktformular, über das Gesundheitsangaben kommen können, ein Online-Buchungstool, Inhalte von anderen Unternehmen, Cookies oder Analyse-Tools und ein Newsletter. Jedes davon schickt Daten irgendwohin, also braucht jedes einen eigenen Absatz in deiner Datenschutzerklärung.
Kontaktformular und E-Mail
Ein Patient, der dir schreibt, erwähnt vielleicht, warum er kommen möchte. Das können Gesundheitsdaten sein, die die DSGVO als besondere Kategorie mit strengeren Regeln behandelt (Art. 9 DSGVO). Gerichte legen den Begriff weit aus. Der Europäische Gerichtshof hat Bestelldaten einer Online-Apotheke als Gesundheitsdaten eingestuft, auch bei rezeptfreien Arzneimitteln (EuGH, C-21/23, 4. Oktober 2024).
Drei Schritte halten diesen Teil im Griff:
- Schick das Formular über eine verschlüsselte Verbindung. Die DSGVO nennt Verschlüsselung als eine der Schutzmaßnahmen, die du prüfen sollst (Art. 32 DSGVO).
- Frag nur ab, was du für eine Antwort brauchst, etwa Name, E-Mail-Adresse und eine kurze Nachricht.
- Sag im Formular und in der Datenschutzerklärung, wie du mit Gesundheitsangaben umgehst und auf welche Rechtsgrundlage du dich stützt.
Welche Rechtsgrundlage für Gesundheitsangaben in einer Anfrage passt, klärst du am besten mit einem Anwalt für deine Praxis. Viele Praxen bitten Besucher, keine Gesundheitsangaben über das Formular zu schicken und sie stattdessen zum ersten Termin mitzubringen.
Online-Terminbuchung
Ein Online-Buchungstool erhebt Namen, Kontaktdaten und Terminzeiten. Der Anbieter arbeitet entweder in deinem Auftrag, dann brauchst du einen Auftragsverarbeitungsvertrag (AVV), oder er ist selbst Verantwortlicher (Art. 28 DSGVO). Was davon gilt, steht in seinen Bedingungen. Deine Datenschutzerklärung nennt den Anbieter und seine Rolle in jedem Fall.
Denselben Vertrag brauchst du mit deinem Webhoster und deinem E-Mail-Anbieter (Art. 28 DSGVO). Die meisten Anbieter stellen ihn in den Kontoeinstellungen bereit.
Schriftarten, Karten und Videos
Schriftarten, Karten und Videos, die vom Server eines anderen Unternehmens geladen werden, schicken die IP-Adresse des Besuchers an dieses Unternehmen. 2022 verurteilte das Landgericht München I einen Websitebetreiber, einem Besucher 100 Euro Schadensersatz zu zahlen. Die Seite hatte Google Fonts ohne Einwilligung des Besuchers von Googles Servern geladen (LG München I, 3 O 17493/20, 20. Januar 2022).
Für jede Art von Inhalt gibt es eine einfache Lösung, die die Daten des Besuchers bei dir lässt, bis er sich anders entscheidet.
| Inhalt | Einfache Lösung |
|---|---|
| Schriftarten | Auf deinem eigenen Server hosten |
| Karten und Videos | Einen Platzhalter zeigen und den Inhalt erst nach einem Klick laden |
| Social-Media-Feeds und Teilen-Buttons | Einen einfachen Link setzen, der erst beim Klick etwas sendet |
Sitzt ein Anbieter außerhalb der EU, nennt deine Datenschutzerklärung die Übermittlung und die Garantie. Bei einem US-Unternehmen kann das das EU-US Data Privacy Framework sein, wenn das Unternehmen danach zertifiziert ist. Die Europäische Kommission hat den Rahmen am 10. Juli 2023 anerkannt (Europäische Kommission).
Ein eingebetteter Feed oder Teilen-Button lädt sofort von der Plattform, also gehört er in die Datenschutzerklärung, wenn du ihn behältst.
Cookies und Analyse
Wer Informationen auf dem Gerät eines Besuchers speichert oder ausliest, braucht seine Einwilligung, außer es ist für den gewünschten Dienst unbedingt erforderlich (§ 25 TDDDG). Die Regel gilt für Cookies und ähnliche Techniken. Analyse- und Marketing-Tools brauchen fast immer eine Einwilligung und damit ein Cookie-Banner, das greift, bevor etwas geladen wird.
Deine Datenschutzerklärung nennt jedes Tool, was es speichert, wie lange und dass Besucher ihre Einwilligung widerrufen können. Eine Website ohne Analyse-Tools und ohne Inhalte Dritter braucht oft gar kein Banner (§ 25 Abs. 2 TDDDG).
| Tool | Einwilligung nötig? |
|---|---|
| Ein Cookie, das ein Buchungsformular funktionieren lässt | Nein, wenn unbedingt erforderlich |
| Analyse-Tools | Ja |
| Schriftarten, Karten oder Videos eines anderen Unternehmens | Erst nach einem Klick laden oder vorher fragen |
| Marketing-Pixel | Ja |
Newsletter
Ein Newsletter beruht auf Einwilligung. Du musst diese Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO), deshalb schicken die meisten Newsletter-Tools zuerst eine Bestätigungs-E-Mail. Deine Datenschutzerklärung nennt den Newsletter-Anbieter, was du speicherst und wie Leser sich abmelden.
Brauchst du einen Datenschutzbeauftragten?
Die meisten Heilpraktiker in Einzelpraxis brauchen keinen. Das deutsche Recht verlangt einen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Die DSGVO ergänzt eine Pflicht für die umfangreiche Verarbeitung von Gesundheitsdaten (Art. 37 Abs. 1 lit. c DSGVO). Laut Erwägungsgrund 91 ist die Verarbeitung von Patientendaten durch einen einzelnen Angehörigen eines Gesundheitsberufs nicht umfangreich (Erwägungsgrund 91 DSGVO).
| Situation | Datenschutzbeauftragter nötig? |
|---|---|
| Einzelpraxis ohne Mitarbeiter | Meist nein |
| Praxis mit weniger als 20 Personen, die mit personenbezogenen Daten arbeiten | Meist nein, außer ein Sonderfall greift |
| 20 oder mehr Personen, die ständig am Computer mit personenbezogenen Daten arbeiten | Ja (§ 38 Abs. 1 BDSG) |
| Verarbeitung, die eine Datenschutz-Folgenabschätzung braucht | Ja, unabhängig von der Größe (§ 38 Abs. 1 BDSG) |
Hast du keinen Datenschutzbeauftragten, lass diesen Abschnitt in deiner Datenschutzerklärung weg. Erfinde keinen und schreib keine Überschrift „nicht zutreffend“, unter der nichts steht.
Kostenloses Muster, Generator oder Anwalt?
Ein kostenloses Muster ist ein guter Anfang, wenn du es Zeile für Zeile mit deiner eigenen Website abgleichst. Generatoren gehen einen Schritt weiter, weil sie den Text aus deinen Antworten bauen. Keines von beiden weiß, welche Tools deine Website wirklich lädt. Die Datenschutzerklärung stimmt nur, wenn sie beschreibt, was deine Website tatsächlich tut.
Einige Berufsverbände veröffentlichen Muster für Heilpraktiker. Die Union Deutscher Heilpraktiker in Hessen hat ein öffentliches Muster für Impressum und Datenschutzerklärung. Sie weist darauf hin, dass ihre Muster Empfehlungen sind und keine individuelle Beratung ersetzen. Andere Verbände wie der VFP stellen ihre Muster in einen Mitgliederbereich.
Bevor du etwas kopierst, schreib eine Liste dessen, was deine Website lädt. Öffne deinen Website-Baukasten und notiere Hoster, Formulare, Buchungstool, Schriftarten, Karten, Videos, Analyse-Tools und Newsletter. Dann ordne jeden Punkt dieser Liste einem Absatz im Muster zu.
| Möglichkeit | Gut für | Worauf du achten musst |
|---|---|---|
| Muster eines Verbands | Eine einfache Website mit wenigen Zusätzen | Kann Tools übersehen, die deine Website nutzt |
| Online-Generator | Websites mit mehreren Tools | Nur so genau wie deine Antworten |
| Anwalt | Online-Buchung, Gesundheitsangaben in Formularen, mehrere Anbieter außerhalb der EU | Kostet Geld, braucht ein Update, wenn sich die Website ändert |
Egal wofür du dich entscheidest, prüf die Datenschutzerklärung jedes Mal, wenn du ein Tool hinzufügst. Ein neues Buchungs-Widget oder Video ist ein neuer Empfänger, und der alte Text deckt ihn nicht ab.
Was passiert, wenn die Datenschutzerklärung fehlt oder falsch ist?
Mehreres kann folgen. Die Datenschutzbehörde kann ein Bußgeld verhängen, und ein Besucher kann Schadensersatz verlangen. 2025 hat der Bundesgerichtshof (BGH) bestätigt, dass Verbraucherverbände Verstöße gegen die Informationspflichten einklagen können (BGH, I ZR 186/17, Pressemitteilung 59/2025). Wettbewerber können gegen Gesundheitsdaten klagen, die ohne Einwilligung verarbeitet werden.
| Wer handelt | Was passieren kann | Vorschrift |
|---|---|---|
| Datenschutzbehörde | Ein Bußgeld; Verstöße gegen die Informationspflichten fallen in die höhere Bußgeldstufe, für eine Praxis bis zu 20 Millionen Euro | Art. 83 Abs. 5 DSGVO |
| Ein Besucher | Ein Anspruch auf Schadensersatz, auch für immateriellen Schaden; der Google-Fonts-Fall oben endete mit 100 Euro | Art. 82 DSGVO |
| Ein Verbraucherverband | Eine Klage wegen fehlender oder falscher Informationen zur Datenerhebung | BGH, I ZR 186/17 |
| Ein Wettbewerber | Eine Klage wegen Gesundheitsdaten, die ohne ausdrückliche Einwilligung verarbeitet wurden, in diesem Fall durch Apotheken | BGH, I ZR 222/19 und I ZR 223/19, EuGH, C-21/23 |
Die häufigste Lücke ist eine Datenschutzerklärung, die nicht mehr zur Website passt, weil ein Tool nach dem Text dazukam.
Ein schneller Check deiner eigenen Datenschutzerklärung
Geh diese neun Fragen jetzt einmal durch und wieder, sobald sich deine Website ändert. Jede gehört zu einer Pflicht aus den Abschnitten oben, mit der Vorschrift dahinter. Zeigt eine Antwort eine Lücke, korrigier den Text oder die Website, bevor du weitermachst.
- Ist die Datenschutzerklärung von jeder Seite mit einem Klick erreichbar, unter einem klaren Namen? (Art. 12 DSGVO)
- Nennt sie dich als Verantwortlichen, mit Adresse und E-Mail-Adresse? (Art. 13 DSGVO)
- Hat jeder Zweck eine Rechtsgrundlage und jedes berechtigte Interesse eine Erklärung? (Art. 6 DSGVO)
- Ist jeder Anbieter genannt, den deine Website nutzt, vom Hoster bis zum Newsletter-Tool? (Art. 13 DSGVO)
- Hast du mit jedem Anbieter, der in deinem Auftrag arbeitet, einen Auftragsverarbeitungsvertrag? (Art. 28 DSGVO)
- Läuft dein Kontaktformular über eine verschlüsselte Verbindung, und sagt es, wie du mit Gesundheitsangaben umgehst? (Art. 9 und 32 DSGVO)
- Liegen die Schriftarten auf deinem eigenen Server, und laden Karten und Videos erst nach einem Klick oder einer Einwilligung? (Art. 6 DSGVO, LG München I, 3 O 17493/20)
- Nennt die Datenschutzerklärung die Rechte der Besucher, das Widerrufsrecht und das Beschwerderecht? (Art. 13 DSGVO)
- Ist das Impressum leicht zu finden und von jeder Seite mit einem Klick erreichbar? (§ 5 DDG)
Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Sprich für deinen eigenen Fall mit einem Anwalt, der sich im Datenschutzrecht auskennt. Die deutschen Gesetzestexte wurden am 14. Oktober 2026 auf gesetze-im-internet.de gelesen.
Häufige Fragen
Darf ein Heilpraktiker ein kostenloses Muster für die Datenschutzerklärung nutzen?
Ja, als Ausgangspunkt. Einige Berufsverbände veröffentlichen eines, und Online-Generatoren bauen den Text aus deinen Antworten. Prüf jeden Absatz gegen die Tools, die deine Website wirklich nutzt, etwa Hoster, Kontaktformular, Buchungstool, Schriftarten und Analyse. Die Datenschutzerklärung stimmt nur, wenn sie beschreibt, was deine Website tatsächlich tut.
Braucht ein Heilpraktiker einen Datenschutzbeauftragten?
Meist nicht. Das deutsche Recht verlangt einen ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Erwägungsgrund 91 der DSGVO sagt, dass die Verarbeitung von Patientendaten durch einen einzelnen Angehörigen eines Gesundheitsberufs nicht umfangreich ist. Die Pflicht für umfangreiche Gesundheitsdaten trifft eine Einzelpraxis deshalb meist nicht.
Ist die Datenschutzerklärung dasselbe wie das Impressum?
Nein. Das Impressum nennt dich, deine Adresse und deine beruflichen Angaben nach § 5 DDG. Die Datenschutzerklärung erklärt, welche personenbezogenen Daten deine Website erhebt, warum, und welche Rechte Besucher nach Art. 13 DSGVO haben. Die meisten Praxis-Websites brauchen beides, meist auf zwei getrennten Seiten.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 6, 7, 9, 12, 13, 28, 32, 37, 82, 83 und Erwägungsgrund 91
- § 25 TDDDG - Einwilligung beim Speichern von Informationen auf Endgeräten
- § 38 BDSG - Datenschutzbeauftragte
- § 5 DDG - Impressum
- BGH, I ZR 186/17, I ZR 222/19 und I ZR 223/19, 27. März 2025, Pressemitteilung 59/2025
- Gerichtshof der Europäischen Union, C-582/14 (Breyer), 19. Oktober 2016
- Gerichtshof der Europäischen Union, C-21/23, 4. Oktober 2024
- LG München I, 3 O 17493/20, 20. Januar 2022 (Zusammenfassung der IHK Wuppertal-Solingen-Remscheid)
- Europäische Kommission, Datenübermittlungen zwischen der EU und den USA und das Data Privacy Framework
- Datenschutzkonferenz, Liste der deutschen Datenschutzaufsichtsbehörden
- Union Deutscher Heilpraktiker, Landesverband Hessen: Muster für Impressum und Datenschutzhinweis
Geschrieben von
Vitalmyn Team
Redaktion
Wir bauen den Bestellservice für Therapeuten-Empfehlungen. Hier schreiben wir auf, was wir über Empfehlung, Praxisfinanzen und Werberecht lernen, damit du es nicht selbst zusammensuchen musst.
