Online-Terminformular für Zahnarztpraxen: Welche Felder Sie rechtlich abfragen dürfen (DSGVO)

Ein Terminformular wirkt wie das banalste Element einer Website. Sie setzen ein paar Felder, klicken auf "Senden" und fertig. Das Problem entsteht in dem Moment, in dem Sie ein Feld wie "Was beschwert Sie?" oder "Krankengeschichte" hinzufügen – denn ab diesem Moment erheben Sie Gesundheitsdaten, und diese werden von der DSGVO als besondere Kategorie behandelt, mit deutlich strengeren Regeln.

Die gute Nachricht: Sie brauchen keinen Anwalt für jedes einzelne Feld. Sie brauchen ein einfaches Prinzip – fragen Sie nur das absolute Minimum ab, das nötig ist, um einen Termin zu vereinbaren, und den Rest erfassen Sie in der Praxis, auf der Patientenakte, wo Sie über die richtige Rechtsgrundlage und Vertraulichkeit verfügen. In diesem Artikel zeige ich Ihnen konkret, welche Felder Sie einsetzen können, was Sie niemals in ein öffentliches Formular aufnehmen und wie Sie Situationen vermeiden, die Kontrollen und Bußgelder der Aufsichtsbehörde nach sich ziehen.

Warum Gesundheitsdaten eine "besondere" Kategorie sind

Die DSGVO (Art. 9) behandelt Gesundheitsdaten als besondere Kategorie – genau wie ethnische Herkunft oder biometrische Daten. Ein Feld wie "Was tut weh", "Chronische Erkrankungen" oder "Aktuelle Medikation" fällt direkt darunter. Manchmal ist es sogar implizit: Die Tatsache, dass sich jemand für den Bereich "Implantologie" oder "Parodontologie" anmeldet, kann allein schon eine Erkrankung offenbaren.

Das bedeutet nicht, dass eine Zahnarztpraxis solche Daten nicht verarbeiten darf – natürlich darf sie das, es ist sogar der Kern der Tätigkeit. Es bedeutet nur, dass Sie eine solidere Rechtsgrundlage brauchen: entweder ausdrückliche Einwilligung oder die Ausnahme für die Bereitstellung von Gesundheitsversorgung (Art. 9(2)(h)) durch eine der Schweigepflicht unterliegende Fachperson.

Die eigentliche Frage lautet also nicht "Darf ich?", sondern "Wie viele Gesundheitsdaten brauche ich wirklich im Online-Formular, und wie schütze ich sie?"

Die Felder, die Sie für einen Termin abfragen können

Das Schlüsselprinzip ist die Datenminimierung (Art. 5): Sie erheben nur, was für den Zweck strikt notwendig ist. Und der Zweck eines Terminformulars ist genau einer – einen Termin zu vereinbaren. Dafür genügt:

• Vor- und Nachname
• Telefon (der Kanal, über den Sie bestätigen)
• E-Mail (optional)
• Die gewünschte Leistung, auf allgemeiner Ebene: Beratung, Zahnsteinentfernung, Notfall – eine Kategorie, keine Diagnose
• Wunschdatum und -zeitfenster
• Ein freies, optionales "Nachricht"-Feld, in dem der Patient schreibt, was er möchte

Damit vereinbaren Sie jeden Termin. Beachten Sie, dass die "gewünschte Leistung" allgemein bleibt und die "Nachricht" optional ist – der Patient entscheidet selbst, was er preisgibt, Sie zwingen ihn nicht durch ein Pflichtfeld dazu. Alles, was zur detaillierten Krankengeschichte gehört, wird in der Praxis auf der Akte erfasst, wo Sie den richtigen Rahmen haben.

Was Sie NIEMALS in ein öffentliches Formular aufnehmen

Diese Felder erzeugen das meiste Risiko und lassen sich am schwersten rechtfertigen:

• Detaillierte Krankengeschichte, chronische Erkrankungen, Medikation, Allergien
• Die Personenkennziffer (selten für eine einfache Terminvereinbarung nötig, aber enorme Exposition im Falle eines Datenlecks)
• Hochladen von Röntgenbildern oder medizinischen Dokumenten über ein gewöhnliches Formular ohne gesicherten Kanal
• Jedes Pflichtfeld, das den Patienten zwingt, eine Erkrankung preiszugeben, nur um auf "Senden" klicken zu können

Die Logik ist einfach: Je mehr sensible Daten Sie über ein Website-Formular sammeln, desto größer das Risiko und desto schwerer der Nachweis, dass sie notwendig waren. Genau darauf schaut die Aufsichtsbehörde – Notwendigkeit und Verhältnismäßigkeit. Wenn Sie dennoch möchten, dass der Patient etwas zu seinem Anliegen sagen kann, überlassen Sie es dem freien, optionalen Feld. Es ist seine Wahl, keine auferlegte Bedingung.

Einwilligung, Rechtsgrundlage und Datenschutzerklärung

Für die Terminvereinbarung selbst kann die Rechtsgrundlage "vorvertragliche Maßnahmen" oder berechtigtes Interesse sein. Für jegliche Gesundheitsdaten brauchen Sie ausdrückliche Einwilligung oder die Ausnahme für Gesundheitsversorgung. Praktisch bedeutet ein korrektes Formular:

• Ein standardmäßig NICHT vorausgewähltes Kontrollkästchen mit der Zustimmung des Patienten und einem Link zur Datenschutzerklärung
• Eine klare Erklärung: wer der Verantwortliche ist (die Praxis, mit Kontaktdaten), welche Daten Sie erheben, zu welchem Zweck, wie lange Sie diese aufbewahren, welche Rechte der Patient hat (Zugang, Löschung, Berichtigung)
• Eine separate Einwilligung für Marketing – Sie dürfen die Terminvereinbarung nicht von der Zustimmung zu Newsletter oder Werbung abhängig machen

Zusätzlich sollten Sie ein Verzeichnis der Verarbeitungstätigkeiten führen und je nach Größe der Praxis prüfen, ob Sie einen Datenschutzbeauftragten (DSB) benötigen. Ein einzelnes Kontrollkästchen deckt Sie nicht ab – es zählt das Gesamtbild.

Wo die Daten landen: der technische Teil, den viele verpassen

Ein konformes Formular ist nicht nur eine Frage des Rechtstextes, sondern auch der Sicherheit (Art. 32). Hier machen Praxen die häufigsten Fehler:

• Website ohne HTTPS – Daten werden unverschlüsselt übertragen
• Einsendungen kommen als einfache, unverschlüsselte E-Mail auf einem privaten Gmail-Konto an, auf das die ganze Familie Zugriff hat
• Die Daten liegen bei einem Drittanbieter-Tool außerhalb der EU, ohne klare Übertragungsgrundlage
• Es gibt keine Aufbewahrungsfrist: Leads sammeln sich endlos, obwohl sie längst nicht mehr relevant sind

Ein typisches Datenleck ist kein spektakulärer Angriff, sondern genau dieser Ablauf: "Formular → private E-Mail → verlorenes Telefon". Praktisch brauchen Sie: HTTPS, passwortgeschützten, eingeschränkten Zugang, eine klare Liste, wer die Termine einsehen kann, und eine vernünftige Aufbewahrungsfrist, nach der Sie löschen. Das verwandelt das Formular von einer Schwachstelle in einen kontrollierten Prozess.

Wie ein korrekt gestaltetes Formular in der Praxis aussieht

Wenn wir bei MPO Web Studio eine Website für eine Zahnarztpraxis bauen, gehen wir von Anfang an von diesen Prinzipien aus, statt sie am Ende anzukleben: minimale Felder, ein Einwilligungs-Kontrollkästchen mit Link zur Datenschutzerklärung, standardmäßig HTTPS und Daten, die an einem kontrollierten Ort landen, nicht auf einer zufälligen privaten E-Mail-Adresse.

Wir arbeiten remote, im ganzen Land, und bereiten Ihnen eine kostenlose Demo der Website mit einem bereits entsprechend durchdachten Formular vor – Sie sehen sie funktionsfähig, bevor Sie irgendetwas bezahlen, mit transparenten Preisen, ohne Überraschungen.

Wenn Sie gemeinsam Ihr aktuelles Formular überprüfen oder von Grund auf ein konformes erstellen möchten, schreiben Sie uns auf WhatsApp. Wir sind keine Anwaltskanzlei – für feine juristische Auslegungen lohnt es sich, die Leitlinien der Aufsichtsbehörde oder einen Datenschutzbeauftragten zu konsultieren –, aber den Web-Teil bringen wir von Anfang an solide auf die Beine.