🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Personendaten veröffentlichen: Was Praxen jetzt wissen müssen

Wichtiger Hinweis vorab: Dieser Artikel basiert auf dem EDÖB-Beschluss vom 20.07.2026. Die vollständige Begründung des EDÖB liegt zum Redaktionszeitpunkt nicht vor. Alle rechtlichen Angaben sind mit Prüfmarkern versehen und werden vor Publikation manuell verifiziert.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat einen Webseitenbetreiber wegen der Veröffentlichung von Personendaten verwarnt. Das zeigt: Das neue Datenschutzgesetz (nDSG), das seit September 2023 gilt, wird aktiv durchgesetzt. Für Arztpraxen, Apotheken und Pflegeheime mit eigenem Webauftritt ist das ein klares Signal.

Betrifft mich das?

Für wen ist dieser Artikel relevant?

Wenn Sie als Arzt, Apothekerin, Spitex-Leiterin oder Pflegeheimbetreiber eine eigene Website führen und darauf Informationen zu Personen veröffentlichen, sind Sie grundsätzlich an das nDSG gebunden.

Das nDSG gilt grundsätzlich für alle, die Personendaten von Privatpersonen bearbeiten – unabhängig von der Grösse Ihrer Organisation. Auch eine Einzelpraxis mit drei Mitarbeitenden ist betroffen.

Was fällt typischerweise unter "Personendaten veröffentlichen" bei Gesundheitsbetrieben?

Beispiele aus dem Praxisalltag:

  • Teamseiten: Name und Foto von Mitarbeitenden, MPAs, Pflegefachpersonen
  • Patientenstimmen / Erfahrungsberichte: Auch anonymisierte Berichte können problematisch sein, wenn Rückschlüsse möglich sind
  • Fallberichte oder Praxisblogs: Beschreibungen von Behandlungen, auch ohne Namen
  • Stelleninserate mit Bewerberdaten: Wenn Informationen zu Bewerbenden versehentlich online landen
  • Kontaktformulare und gespeicherte Anfragen: Nicht direkt "veröffentlicht", aber ein häufiger Datenschutzfehler bei Webanwendungen

Besonders heikel: Gesundheitsdaten gelten im nDSG als besonders schützenswerte Personendaten. Für sie gelten strengere Voraussetzungen.

Was ist zu tun?

Schritt 1: Bestandsaufnahme Ihrer Website

Schauen Sie Ihre Website mit den Augen einer fremden Person an. Welche Informationen zu realen Personen sind sichtbar? Das betrifft:

  • Fotos von Mitarbeitenden (mit oder ohne Namen)
  • Kontaktangaben (Direktdurchwahlen, E-Mail-Adressen von Einzelpersonen)
  • Beiträge, die auf konkrete Patientengeschichten hinweisen könnten

Schritt 2: Einwilligung prüfen

Haben Ihre Mitarbeitenden schriftlich zugestimmt, dass ihr Foto und ihr Name online erscheinen? Besteht diese Einwilligung noch? (Menschen können ihre Einwilligung widerrufen.)

Schritt 3: Datenschutzerklärung aktualisieren

Ihre Website braucht eine Datenschutzerklärung, die erklärt, welche Daten Sie erheben und wozu. Viele Praxiswebsites haben hier Lücken – besonders bei Kontaktformularen, Newsletter-Anmeldungen oder eingebetteten Karten (z.B. Google Maps).

Schritt 4: Veraltete Inhalte entfernen

Mitarbeitende, die nicht mehr bei Ihnen arbeiten: Sind ihre Fotos und Namen noch online? Das ist ein häufiger, leicht vermeidbarer Fehler.

Schritt 5: Verantwortlichkeiten klären

Wer in Ihrer Praxis ist dafür zuständig, die Website zu prüfen und zu aktualisieren? Wenn Sie eine externe Agentur beauftragen, regeln Sie im Auftrag schriftlich, wie mit Personendaten umgegangen wird.

Checkliste: Personendaten auf Ihrer Website

Gehen Sie diese Punkte durch – idealerweise einmal pro Quartal:

  • [ ] Teamseite geprüft: Nur aktuelle Mitarbeitende mit vorliegender Einwilligung abgebildet
  • [ ] Fotos und Namen: Schriftliche Zustimmung der abgebildeten Personen dokumentiert
  • [ ] Patientenberichte / Testimonials: Keine Rückschlüsse auf Einzelpersonen möglich; Einwilligung vorhanden
  • [ ] Datenschutzerklärung: Vorhanden, verständlich formuliert und aktuell
  • [ ] Kontaktformulare: Daten werden nicht länger gespeichert als nötig
  • [ ] Eingebettete Dienste (Google Maps, YouTube etc.): In Datenschutzerklärung erwähnt und korrekt konfiguriert
  • [ ] Ausgeschiedene Mitarbeitende: Fotos, Namen, Direktkontakte entfernt
  • [ ] Externe Webagenturen: Auftragsbearbeitungsvertrag abgeschlossen und aktuell
  • [ ] Beschwerdekanal: Besucher der Website können unkompliziert Datenschutzanliegen melden

Welche Konsequenzen drohen?

Der EDÖB hat im aktuellen Fall eine Verwarnung ausgesprochen. Das nDSG sieht bei Verstössen Bussen vor.

Das Gesetz sieht Bussen vor; die Höhe hängt vom Einzelfall und der Art des Verstosses ab. Neben finanziellen Folgen kann eine öffentliche Verwarnung durch den EDÖB erheblichen Reputationsschaden verursachen – besonders in einem Vertrauensberuf wie dem Gesundheitswesen.

Für rechtliche Beratung zu Ihrer konkreten Situation wenden Sie sich an einen Anwalt oder eine Datenschutzfachperson.

Tool-Tipp: ISMShield Micro für Praxen

Datenschutz auf der eigenen Website klingt aufwendig – muss es aber nicht sein. ISMShield Micro führt Sie Schritt für Schritt durch die wichtigsten Prüfpunkte: von der Datenschutzerklärung über die Dokumentation von Einwilligungen bis hin zum Auftragsbearbeitungsvertrag mit Ihrer Webagentur.

Kein IT-Wissen nötig. Kein Jurastudium erforderlich. In 30 Minuten wissen Sie, wo Ihre Praxis steht.

➡ Jetzt kostenlos starten: ISMShield Micro ➡ Weitere Ratgeber für Arztpraxen und Apotheken

Quellen: EDÖB-Meldung vom 20.07.2026 | nDSG auf Fedlex | EDÖB: nDSG-Informationen

Diesen Schritt in 10 Minuten erledigen

Jetzt kostenlos starten →
Weitere Ratgeber-Artikel