Patientendaten, Einwilligung und Tracking: Praxismarketing ohne Datenschutzrisiko

Kaum ein Marketingthema verunsichert Praxisinhaber so zuverlässig wie der Datenschutz. Die Gründe sind nachvollziehbar: Eine Praxis verarbeitet Gesundheitsdaten, sie unterliegt der ärztlichen Schweigepflicht, und sie bewegt sich zusätzlich im engen Rahmen des Heilmittelwerbegesetzes. Dazu kommt eine Rechtslage, die sich in Deutschland, Österreich und der Schweiz in Details unterscheidet. Das Ergebnis ist häufig eine von zwei Fehlreaktionen: entweder gar kein Marketing aus Sorge vor Abmahnungen, oder eine Website samt Werbekonten, die nie jemand auf Rechtmäßigkeit geprüft hat.

Dieser Text sortiert das Thema entlang des Weges, den ein Patient tatsächlich nimmt: von der ersten Suche über den Erstkontakt bis zum wahrgenommenen Termin. An jedem dieser Punkte fallen Daten an, und an jedem Punkt gibt es eine saubere und eine riskante Lösung.

Warum Praxismarketing ein datenschutzrechtlicher Sonderfall ist

Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt und nur zulässig, wenn eine der eng gefassten Ausnahmen greift. Für die Behandlung selbst ist das Artikel 9 Absatz 2 Buchstabe h. Für Werbung und Reichweitenmessung gilt diese Ausnahme nicht. Dort bleibt in aller Regel nur die ausdrückliche Einwilligung.

Entscheidend ist ein Punkt, der oft übersehen wird: Bereits die Information, dass jemand Patient einer bestimmten Praxis ist, ist ein Gesundheitsdatum. Wer eine onkologische Ambulanz oder eine Kinderwunschpraxis aufsucht, offenbart damit etwas über sich, ohne dass eine Diagnose genannt wird. Eine Adressliste aus der Praxissoftware ist deshalb kein gewöhnlicher Verteiler, sondern eine Sammlung besonders geschützter Daten.

Über die DSGVO hinaus gilt in Deutschland die ärztliche Schweigepflicht nach Paragraf 203 StGB. Sie ist strafbewehrt und entfällt nicht automatisch, nur weil eine datenschutzrechtliche Einwilligung vorliegt. Externe Dienstleister dürfen nach Paragraf 203 Absatz 3 StGB mitwirken, wenn ihre Einbindung erforderlich ist und sie förmlich zur Verschwiegenheit verpflichtet werden. In Österreich wirken DSGVO, Datenschutzgesetz und die Verschwiegenheitspflicht des Ärztegesetzes zusammen. In der Schweiz gilt das revidierte Datenschutzgesetz, das am 1. September 2023 in Kraft getreten ist, flankiert von Artikel 321 StGB. Für Tracking auf der Website kommt in Deutschland Paragraf 25 TDDDG hinzu: Jeder Zugriff auf das Endgerät, der nicht technisch zwingend erforderlich ist, braucht eine Einwilligung, unabhängig davon, ob dabei personenbezogene Daten anfallen.

Was der Patient sucht und in welchem Entscheidungsmoment er steht

Patienten suchen selten aus Neugier. Der Anlass ist konkret: Schmerzen, ein auffälliger Befund, eine zweite Meinung, ein Umzug, eine ausgelaufene Behandlung. Daraus ergeben sich drei Momente, die sich im Suchverhalten deutlich unterscheiden.

• Orientierung. Der Patient sucht ein Symptom, keinen Praxisnamen. Er will einordnen, wie ernst die Sache ist. Genau hier gibt er das Privateste preis, was er im Netz preisgeben kann.
• Vergleich. Jetzt kommen Ort, Fachrichtung und Randbedingungen dazu: Wartezeit, Kassenzulassung, Sprechzeiten, Erreichbarkeit, Erfahrungsberichte anderer.
• Handlung. Der Patient will einen Termin. Er ruft an, füllt ein Formular aus oder bucht online, meist auf dem Mobiltelefon, meist außerhalb der Sprechzeiten.

Die datenschutzrechtliche Konsequenz aus dieser Abfolge ist unbequem, aber eindeutig: Werbung, die den Patienten aus der Orientierungsphase heraus wiedererkennt und über Wochen mit demselben Krankheitsbild verfolgt, ist nicht nur rechtlich heikel, sie beschädigt auch das Vertrauen, auf dem die spätere Behandlung beruht. Kassenpatienten und Privatpatienten unterscheiden sich in dieser Phase im Übrigen weniger stark, als viele Praxen annehmen. Privatpatienten vergleichen länger und lesen mehr, aber sie reagieren auf verfolgende Werbung eher empfindlicher, nicht toleranter.

Wie Patienten heute in die Praxis kommen und wo sie verloren gehen

Der typische Weg verläuft über die Google-Suche oder Google Maps, dann über das Unternehmensprofil, dann auf die Website und von dort zum Telefon oder in die Onlineterminbuchung. Verloren gehen Patienten an sehr konkreten Stellen, und der Datenschutz ist bei mehreren davon beteiligt.

Das Einwilligungsbanner

Ein Banner, das die Öffnungszeiten verdeckt und keine gleichwertige Ablehnen-Schaltfläche auf der ersten Ebene anbietet, ist doppelt schädlich: Es ist nach Artikel 7 DSGVO und Paragraf 25 TDDDG angreifbar, und es kostet reale Termine. Vorangekreuzte Kästchen, farblich abgewertete Ablehnen-Optionen und ein Widerruf, der schwerer zu finden ist als die Zustimmung, gehören zu den am häufigsten beanstandeten Punkten.

Das Kontaktformular

Ein Freitextfeld mit der Bitte, die Beschwerden zu schildern, erzeugt Artikel-9-Daten, bevor überhaupt ein Behandlungsverhältnis besteht. Diese Nachrichten landen dann oft in einem unverschlüsselten Postfach. Datensparsamkeit ist hier kein Formalismus: Name, Rückrufwunsch und Zeitfenster reichen aus, alles Weitere gehört ins Gespräch.

Die Onlineterminbuchung

Ein Buchungswerkzeug, dessen Auswahlliste Behandlungsanlässe enthält, verarbeitet Gesundheitsdaten. Ohne Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, ohne geklärten Serverstandort und ohne Verpflichtung zur Verschwiegenheit ist das nicht tragfähig. Umgekehrt gilt: Der Verzicht auf Onlineterminbuchung aus Vorsicht kostet mehr Patienten, als er Risiko vermeidet, denn ein sauber vertraglich eingebundenes Werkzeug ist verfügbar.

Welche Kanäle passen und welche nicht

Gut geeignet, weil sie auf Suchabsicht reagieren statt auf ein Gesundheitsprofil:

• Suchanzeigen bei Google. Die Anzeige reagiert auf das, was der Patient in diesem Moment eintippt. Es ist keine Profilbildung über Krankheitsbilder nötig, und der Nutzer bleibt anonym, solange kein Tracking ohne Einwilligung dazukommt.
• Medizinisches SEO und Fachinhalte. Der ranking-relevante Teil funktioniert ohne personenbezogene Verarbeitung. Wichtig ist die technische Hygiene: Schriften lokal einbinden statt dynamisch nachladen, Karten und Videos erst nach aktivem Klick laden, Chatbots erst nach Einwilligung.
• Google-Unternehmensprofil und Bewertungen. Hoher Effekt, geringe Datenlast. Zu beachten ist eine Feinheit mit großer Tragweite: Wer öffentlich auf eine Bewertung antwortet und dabei den Behandlungsverlauf erwähnt, bestätigt das Behandlungsverhältnis und verletzt die Schweigepflicht. Antworten bleiben allgemein und verweisen ins persönliche Gespräch.
• Newsletter mit Double-Opt-In nach Paragraf 7 UWG, ohne Segmentierung nach Krankheitsbildern und mit dokumentiertem Nachweis der Anmeldung.

Nicht geeignet, unabhängig davon, wie verlockend die Zahlen im Werbekonto aussehen:

• Remarketing mit Gesundheitsbezug. Die Richtlinien der großen Plattformen zu personalisierter Werbung untersagen Zielgruppen, die auf einen Gesundheitszustand schließen lassen. Meta hat detaillierte Interessenkategorien mit Gesundheitsbezug entfernt. Ein Konto, das solche Listen dennoch aufbaut, riskiert Sperrung und Aufsichtsverfahren gleichzeitig.
• Hochladen von Patientenlisten in Werbeplattformen zum Abgleich. Das ist eine Offenbarung nach Paragraf 203 StGB und eine Verarbeitung besonderer Kategorien ohne tragfähige Rechtsgrundlage.
• Terminerinnerungen über Messenger-Dienste an private Nummern ohne geprüfte Vertragsgrundlage und ohne dokumentierte Einwilligung.
• Vorher-Nachher-Darstellungen. Bei operativen plastisch-chirurgischen Eingriffen sind sie nach Paragraf 11 HWG unzulässig. Auch außerhalb dieses Bereichs raten wir davon ab, weil die Abgrenzung zur irreführenden Erfolgserwartung nach Paragraf 3 HWG kaum zu halten ist.
• Patientenberichte über Behandlungserfolge. Äußerungen Dritter zu Behandlungsergebnissen und die Wiedergabe von Krankengeschichten sind nach Paragraf 11 HWG in der Werbung stark eingeschränkt. Wer Vertrauen aufbauen will, tut das über Qualifikation, Ausstattung, Ablauf und Erreichbarkeit, nicht über Ergebnisversprechen.

Was gemessen wird: Kosten pro Erstkontakt statt Kosten pro Klick

Der Klickpreis ist eine Einkaufskennzahl, keine Ergebniskennzahl. Relevant ist die Kette bis zum Behandlungsstuhl: Klick, Erstkontakt, vereinbarter Termin, wahrgenommener Termin. Der Datenschutz verändert diese Messung, aber er verhindert sie nicht.

Zwei Dinge muss man akzeptieren. Erstens: Nur ein Teil der Website-Besucher willigt in Messung ein, die gemessenen Conversions sind also systematisch unvollständig. Zweitens: Werkzeuge wie der Einwilligungsmodus der Werbeplattformen liefern modellierte Werte, die eine Schätzung bleiben. Wer daraus Budgetentscheidungen ableitet, muss den Faktor kennen, nicht ignorieren.

Belastbar wird die Rechnung durch Zahlen, die ohnehin in der Praxis entstehen und keinen zusätzlichen Personenbezug erfordern:

• Anrufzählung über die eigene Telefonanlage, getrennt nach Tageszeit und nicht angenommenen Anrufen.
• Die Frage am Empfang: Wie sind Sie auf uns aufmerksam geworden? Als Auswahlfeld im Terminbuch, ohne Freitext.
• Neupatienten pro Monat aus der Praxissoftware, aggregiert, getrennt nach Kassen- und Privatabrechnung.
• Die Erscheinensquote beim Ersttermin. Sie entscheidet über den tatsächlichen Preis eines neuen Patienten mehr als jede Gebotsanpassung.

Werbebudget geteilt durch die Zahl der Patienten, die tatsächlich in der Praxis erschienen sind: Erst diese Zahl lässt sich mit dem wirtschaftlichen Wert einer Behandlung vergleichen. Alles davor ist Zwischenstand.

Die Unterlagen, nach denen erst gefragt wird, wenn es unangenehm wird

Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. Auftragsverarbeitungsverträge mit Hoster, Agentur, Terminbuchung, Newsletter-Anbieter und Telefondienstleister. Technische und organisatorische Maßnahmen, die den Namen verdienen. Eine Datenschutz-Folgenabschätzung nach Artikel 35, wenn Gesundheitsdaten umfangreich verarbeitet werden. Ein Datenschutzbeauftragter, in Deutschland nach Paragraf 38 BDSG in der Regel ab zwanzig Personen, die ständig automatisiert Daten verarbeiten, sowie unabhängig davon bei bestehender Pflicht zur Folgenabschätzung. Und eine Datenschutzerklärung, die die tatsächlich eingesetzten Werkzeuge abbildet, nicht die vom Vorjahr.

Getrennt davon zu betrachten sind Aufbewahrungsfristen: Die Patientenakte ist nach Paragraf 630f BGB grundsätzlich zehn Jahre aufzubewahren, für Röntgenaufzeichnungen und Strahlenbehandlungen gelten längere Fristen. Marketingdaten fallen nicht darunter. Widerruft jemand seine Einwilligung, ist der Werbedatensatz zu löschen, die Behandlungsdokumentation bleibt davon unberührt.

Typische Fehler im deutschsprachigen Markt

• Messwerkzeuge laden bereits beim Seitenaufruf, das Banner fragt erst danach.
• Die Datenschutzerklärung stammt aus einem Generator und nennt Werkzeuge, die nie eingesetzt wurden, während die eingesetzten fehlen.
• Bewertungen werden mit einem Vorteil belohnt. Das ist wettbewerbsrechtlich angreifbar und beschädigt die Glaubwürdigkeit der übrigen Bewertungen.
• Befunde und Rezepte gehen unverschlüsselt per E-Mail hinaus, weil der Patient es so wollte, ohne dass dieser Wunsch dokumentiert ist.
• Die Agentur arbeitet ohne Auftragsverarbeitungsvertrag und ohne Verpflichtung zur Verschwiegenheit, hat aber Zugriff auf Formularpostfach und Terminkalender.
• Werbetexte versprechen ein Ergebnis. Nach Paragraf 3 HWG ist die Werbung mit einer sicheren Erfolgserwartung untersagt, und die Berufsordnungen der Ärztekammern verlangen sachangemessene Information statt Anpreisung.
• Die Schweizer Website wird eins zu eins aus Deutschland übernommen, obwohl das revidierte Datenschutzgesetz eigene Informationspflichten und teils eine Vertretung in der Schweiz verlangt.
• Datenschutz wird als einmaliges Projekt behandelt statt als Zustand, der bei jedem neuen Werkzeug erneut zu prüfen ist.

Was das praktisch bedeutet

Datenschutz ist im Praxismarketing kein Bremsklotz, sondern eine Auswahlentscheidung. Wer auf Suchabsicht setzt statt auf Profilbildung, wer sparsam erhebt und sauber vertraglich einbindet, verliert wenig an Wirkung und gewinnt an Ruhe. Die Kanäle, die datenschutzrechtlich am schwierigsten sind, gehören ohnehin selten zu denen, die einer Praxis dauerhaft Erstkontakte bringen. Aufsichtsbehörden können nach Artikel 83 DSGVO empfindliche Bußgelder verhängen, in der Schweiz richten sich Strafbestimmungen zudem gegen verantwortliche natürliche Personen. Der häufigere Schaden ist jedoch banaler: ein gesperrtes Werbekonto, eine Abmahnung, ein Patient, der sich beobachtet fühlt und nicht wiederkommt.

Medical Marketing arbeitet seit 2014 ausschließlich mit Kliniken, Ärzten und Gesundheitsbetrieben, gegründet von Manu Guerrero, mit Sitz in Málaga. Zu den Leistungen gehören Google Ads für Kliniken, medizinisches SEO, Webdesign und Landingpages, Onlinereputation sowie Werbung in sozialen Netzwerken. Mehr als 10 Millionen Euro verwaltetes Werbebudget im Gesundheitsbereich, Google Partner seit dem 12. Juli 2026, nachprüfbar unter https://www.google.com/partners/agency?id=4297732357, Wikidata Q140546606. Kontakt: https://medicalmarketing.digital, [email protected], +34 678 647 490.

Dieser Beitrag ersetzt keine Rechtsberatung. Für die verbindliche Prüfung des Einzelfalls sind ein Fachanwalt für IT-Recht oder Medizinrecht und der zuständige Datenschutzbeauftragte die richtigen Ansprechpartner.

Häufige Fragen

Brauche ich für Google Analytics oder das Meta-Pixel auf der Praxis-Website eine Einwilligung?

Ja. In Deutschland verlangt Paragraf 25 TDDDG eine Einwilligung für jeden Zugriff auf das Endgerät, der nicht technisch zwingend erforderlich ist. Das gilt unabhängig davon, ob dabei personenbezogene Daten anfallen. Die Werkzeuge dürfen erst nach der Zustimmung geladen werden, nicht schon beim Seitenaufruf.

Darf ich Patientenadressen aus meiner Praxissoftware für Werbezielgruppen hochladen?

Nein. Die Zugehörigkeit zu einer Praxis ist bereits ein Gesundheitsdatum nach Artikel 9 DSGVO und unterliegt zusätzlich der ärztlichen Schweigepflicht nach Paragraf 203 StGB. Eine Weitergabe an Werbeplattformen ist ohne tragfähige Rechtsgrundlage unzulässig und verstößt zudem gegen die Richtlinien der Plattformen selbst. Für Werbung sind anonyme, suchbasierte Ansätze der richtige Weg.

Wie antworte ich datenschutzkonform auf eine negative Bewertung?

Antworten Sie allgemein, ohne den Behandlungsverlauf, Termine oder Diagnosen zu erwähnen. Schon die Bestätigung, dass die Person überhaupt Patient war, kann die Schweigepflicht verletzen, selbst wenn die Person sich in der Bewertung selbst dazu geäußert hat. Bedanken Sie sich für die Rückmeldung, beschreiben Sie Ihren allgemeinen Umgang mit Kritik und bieten Sie ein persönliches Gespräch an.

Braucht meine Praxis einen Datenschutzbeauftragten?

In Deutschland gilt nach Paragraf 38 BDSG in der Regel eine Benennungspflicht, wenn mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Personenzahl besteht die Pflicht, wenn eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich ist. In Österreich und der Schweiz gelten abweichende Regeln, in der Schweiz ist die Benennung grundsätzlich freiwillig.

Wie messe ich den Erfolg meiner Werbung, wenn viele Besucher das Tracking ablehnen?

Ergänzen Sie die digitale Messung durch Zahlen, die ohnehin in der Praxis entstehen: Anrufzählung über die Telefonanlage, ein Auswahlfeld im Terminbuch zur Herkunft des Patienten und die monatliche Zahl der Neupatienten aus der Praxissoftware. Rechnen Sie das Werbebudget auf tatsächlich erschienene Erstkontakte um statt auf Klicks. Diese Kennzahl ist unempfindlicher gegen Einwilligungsquoten und näher an der Wirtschaftlichkeit.