Hosting für Arztpraxen: Datenschutz, AVV, Serverstandort und sichere Formulare

Worauf es beim Hosting für Arztpraxen ankommt

Beim Hosting für Arztpraxen geht es weniger um Speicherplatz als um drei Fragen: Welche Patientendaten laufen über die Website, wer verarbeitet sie in Ihrem Auftrag, und wie sind sie auf dem Weg und auf dem Server geschützt? Ein günstiger Webspace kann für eine reine Informationsseite genügen. Sobald Patienten über Formulare oder die Terminbuchung Angaben zu ihrer Gesundheit machen, steigen die Anforderungen.

Dieser Ratgeber richtet sich an Arztpraxen, Zahnarztpraxen, MVZ und Heilpraktiker. Wir sind die Weber Media Consulting GmbH aus Hamburg und bauen und betreuen Praxis-Websites. Die Hinweise beruhen auf DSGVO, Strafgesetzbuch und der Orientierungshilfe der Datenschutzkonferenz zur E-Mail, Stand 26.10.2026. Sie sind eine Orientierung und keine Rechtsberatung. Ob Ihr konkretes Setup trägt, beurteilt Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung.

Welche Daten über eine Praxis-Website laufen

Auch eine schlichte Praxis-Website verarbeitet personenbezogene Daten, und sobald Patienten Beschwerden oder Befunde eintragen, sind es Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO. Die DSGVO definiert sie als Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Nach Art. 9 Abs. 1 DSGVO ist ihre Verarbeitung grundsätzlich untersagt; Art. 9 Abs. 2 nennt die Ausnahmen.

Typische Datenflüsse einer Praxis-Website:

• Server-Protokolle: IP-Adresse, Zeitpunkt und aufgerufene Seite bei jedem Besuch.
• Kontakt- und Terminformulare: Name, Telefon, E-Mail, oft ein Freitext mit dem Anliegen.
• Online-Terminbuchung: meist beim Terminanbieter, nicht auf Ihrem Server.
• E-Mail: Formularanfragen, die als Mail im Praxispostfach landen.
• Eingebundene Dienste: Karten, Videos, Schriften oder Statistik, die beim Laden Daten an Dritte übertragen können.

Schreiben Sie diese Liste für Ihre Praxis einmal auf. Sie ist die Grundlage für alle weiteren Entscheidungen und für Ihre Datenschutzerklärung.

Auftragsverarbeitung: der Vertrag mit Hoster und Dienstleistern

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt. Außerdem dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

Ob ein bestimmter Dienstleister, etwa Hoster, Terminanbieter oder Agentur, für Sie Auftragsverarbeiter ist, hängt davon ab, was er mit welchen Daten tut. Diese Einordnung nehmen Sie mit Ihrem Datenschutzbeauftragten vor; sie lässt sich nicht pauschal für alle Praxen beantworten.

Schweigepflicht: § 203 StGB gilt auch für IT-Dienstleister

Für Ärzte, Zahnärzte und andere Heilberufe mit staatlich geregelter Ausbildung kommt das Strafrecht hinzu. § 203 Abs. 3 StGB erlaubt, fremde Geheimnisse gegenüber Personen zu offenbaren, die an der beruflichen Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist. Nach § 203 Abs. 4 StGB macht sich aber strafbar, wer nicht dafür sorgt, dass eine solche mitwirkende Person zur Geheimhaltung verpflichtet wurde. Hat ein IT-Dienstleister Zugang zu Patientendaten, gehört deshalb eine Verpflichtung zur Verschwiegenheit in den Vertrag.

Serverstandort: Deutschland, EU oder anderswo?

Die DSGVO schreibt keinen Serverstandort in Deutschland vor; innerhalb der EU gelten dieselben Regeln, Übermittlungen in Drittländer sind nach Art. 44 DSGVO nur unter den Bedingungen des fünften Kapitels zulässig. Eine dieser Bedingungen ist ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO. Für die USA hat die Kommission am 10. Juli 2023 einen solchen Beschluss zum EU-U.S. Data Privacy Framework angenommen; er gilt für Unternehmen, die an diesem Rahmen teilnehmen.

In der Praxis entscheidet nicht nur der Standort des Webservers. Auch das Content Delivery Network, der E-Mail-Dienst, der Formularanbieter und der Terminanbieter können Daten an anderen Orten verarbeiten. Fragen Sie jeden Dienstleister nach den Orten der Verarbeitung und nach seinen Unterauftragnehmern. Ein Server in Deutschland oder der EU vereinfacht die Prüfung, ersetzt sie aber nicht.

Formulare mit Gesundheitsdaten

Ein Kontaktformular einer Arztpraxis sollte nur abfragen, was für die Anfrage nötig ist, verschlüsselt übertragen werden und die Daten an einen Ort leiten, an dem sie geschützt sind. Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und nennt unter anderem Verschlüsselung sowie die Fähigkeit, Vertraulichkeit, Integrität und Verfügbarkeit der Systeme auf Dauer sicherzustellen.

• Wenige Felder: Für eine Terminanfrage reichen in vielen Fällen Name, Kontaktweg und Wunschzeit. Ein offenes Feld „Ihr Anliegen“ lädt zu Diagnosen ein; überlegen Sie, ob Sie es brauchen.
• Verschlüsselte Übertragung: Die gesamte Website läuft über HTTPS.
• Kein Umweg über unverschlüsselte Mail: Leitet das Formular die Anfrage per E-Mail weiter, gelten die Anforderungen an E-Mail-Verschlüsselung unten. Alternativ landet die Anfrage in einem geschützten Bereich, aus dem das Praxisteam sie abruft.
• Speicherdauer festlegen: Anfragen, die nicht mehr gebraucht werden, löschen Sie nach einer festgelegten Frist.
• Kein Formular für Befunde: Für den Austausch von Befunden und Unterlagen eignet sich ein dafür vorgesehenes Patientenportal besser als ein Website-Formular.

E-Mail-Verschlüsselung in der Praxis

Die Datenschutzkonferenz verlangt in ihrer Orientierungshilfe zur E-Mail für Nachrichten mit hohem Risiko regelmäßig eine Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung; das Vorliegen eines Berufsgeheimnisses kann nach ihrer Auffassung ein Indiz für ein hohes Risiko sein. Die Orientierungshilfe stammt vom 27. Mai 2021, Stand 16. Juni 2021.

• Empfangen: Wer gezielt Daten per E-Mail entgegennimmt, bei denen ein Bruch der Vertraulichkeit ein hohes Risiko bedeutet, muss laut Orientierungshilfe qualifizierte Transportverschlüsselung und den Empfang Ende-zu-Ende-verschlüsselter Nachrichten ermöglichen.
• Versenden: Bei hohem Risiko sind regelmäßig Ende-zu-Ende-Verschlüsselung und qualifizierte Transportverschlüsselung vorzunehmen. Inwieweit davon abgewichen werden kann, hängt laut DSK von den Risiken, dem Übertragungsweg und ausgleichenden Maßnahmen ab.
• Normales Risiko: Auch bei normalem Risiko verlangt die Orientierungshilfe eine obligatorische Transportverschlüsselung.

Praktisch heißt das: Befunde und Diagnosen gehören nicht in eine gewöhnliche E-Mail. Für Terminbestätigungen ohne medizinische Inhalte gelten geringere Anforderungen. Wo die Grenze in Ihrer Praxis liegt, legen Sie mit Ihrem Datenschutzbeauftragten fest.

Cookies und eingebundene Dienste

Für das Speichern und Auslesen von Informationen auf dem Endgerät der Besucher, etwa durch Cookies, verlangt § 25 TDDDG eine Einwilligung, wenn es nicht unbedingt erforderlich ist, um den gewünschten Dienst bereitzustellen. Statistik- und Marketingwerkzeuge fallen in der Regel darunter. Wie Sie Messung und Einwilligung sauber einrichten, steht in unserem Ratgeber Tracking einrichten.

Karten, Videos und Schriften von fremden Servern übertragen beim Laden die IP-Adresse der Besucher an den Anbieter. Schriften lassen sich lokal einbinden; Karten und Videos laden Sie am besten erst nach einem Klick.

Fragen an Ihren Hoster

1. Wo stehen die Server, und welche Unterauftragnehmer verarbeiten Daten wo?
2. Gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, und ist eine Verpflichtung zur Verschwiegenheit nach § 203 StGB möglich?
3. Welche technischen und organisatorischen Maßnahmen sind dokumentiert?
4. Wie oft werden Sicherungen erstellt, wo liegen sie, und wie schnell ist eine Wiederherstellung möglich?
5. Wer spielt Sicherheitsupdates für Server und Website ein, und wie schnell?
6. Wie lange werden Server-Protokolle aufbewahrt, und welche Daten enthalten sie?
7. Gibt es eine Zwei-Faktor-Anmeldung für alle Zugänge?
8. Unterstützt das Mailsystem qualifizierte Transportverschlüsselung und den Empfang Ende-zu-Ende-verschlüsselter Nachrichten?
9. Wie werden Sie bei einer Datenpanne informiert?
10. Was passiert mit den Daten, wenn der Vertrag endet?

Wo eine Agentur hilft

Eine Agentur ersetzt nicht Ihren Datenschutzbeauftragten, aber sie kennt die Technik hinter der Website. Wir erfassen, welche Daten über Ihre Praxis-Website laufen, richten Formulare mit wenigen Feldern und verschlüsselter Übertragung ein, binden externe Dienste erst nach Einwilligung oder Klick ein und übernehmen Updates und Sicherheitsprüfungen. Welches Hosting zu Ihrer Praxis passt, entscheiden wir gemeinsam mit Ihnen und Ihrem Datenschutzbeauftragten. Mehr dazu auf unserer Seite Websites für Arztpraxen. Was eine neue Praxis-Website sonst noch braucht, steht im Ratgeber Praxis-Homepage erstellen lassen.

Häufig gestellte Fragen

Muss der Server einer Praxis-Website in Deutschland stehen?

Nein, die DSGVO verlangt das nicht. Innerhalb der EU gelten dieselben Regeln. Für Übermittlungen in Drittländer gelten die Bedingungen der Art. 44 ff. DSGVO. Ein Server in Deutschland oder der EU macht die Prüfung einfacher.

Ist meine Praxis-Website mit Kontaktformular automatisch DSGVO-konform, wenn der Hoster das verspricht?

Nein. Ein Hoster kann seinen Teil absichern, etwa Serverstandort, Vertrag und technische Maßnahmen. Verantwortlich für die Verarbeitung auf Ihrer Website bleiben Sie: welche Felder das Formular hat, wohin die Anfrage geht und welche Dienste eingebunden sind.

Darf ich Patienten Befunde per E-Mail schicken?

Nach der Orientierungshilfe der Datenschutzkonferenz gehören Nachrichten mit hohem Risiko regelmäßig Ende-zu-Ende-verschlüsselt. Für Befunde ist eine gewöhnliche E-Mail deshalb nicht der richtige Weg. Klären Sie mit Ihrem Datenschutzbeauftragten, welcher Weg in Ihrer Praxis gilt.

Fazit

Gutes Hosting für Arztpraxen beginnt mit einer ehrlichen Liste der Daten, die über die Website laufen. Daraus folgen der Vertrag zur Auftragsverarbeitung, die Verpflichtung zur Verschwiegenheit, die Frage nach dem Ort der Verarbeitung, Formulare mit wenigen Feldern und eine E-Mail-Verschlüsselung, die zum Risiko passt. Kein Hoster kann Ihnen diese Prüfung abnehmen, aber ein guter macht sie leichter.

Hinweis: Die Angaben beruhen auf der DSGVO, dem StGB, dem TDDDG (gesetze-im-internet.de, dsgvo-gesetz.de), der Orientierungshilfe der Datenschutzkonferenz zur E-Mail-Übermittlung (Stand 16.06.2021) und der Website der EU-Kommission, abgerufen am 26.10.2026. Sie sind eine allgemeine Orientierung und keine Rechtsberatung.