Kontaktformular auf der Praxiswebseite? Keine gute Idee

Kontaktformulare gehören auf vielen Webseiten zur Grundausstattung. Für eine Arztpraxis sind sie jedoch heikel. Denn Patientinnen und Patienten übermitteln nicht nur ihren Namen und ihre Telefonnummer. Sie schildern Beschwerden, nennen Diagnosen oder schicken Arztberichte mit – selbst wenn ausdrücklich darauf hingewiesen wird, keine medizinischen Angaben zu machen.

Ein gewöhnliches Kontaktformular wird so rasch zu einem Eingangskanal für besonders schützenswerte Personendaten. Deshalb empfehlen wir Arztpraxen in den meisten Fällen, darauf zu verzichten.

Gesundheitsdaten benötigen besonderen Schutz

Das Schweizer Datenschutzgesetz zählt Angaben zur Gesundheit zu den besonders schützenswerten Personendaten. Arztpraxen müssen bei deren Bearbeitung entsprechend hohe Anforderungen erfüllen.

Hinzu kommt das Berufsgeheimnis. Dieses umfasst weit mehr als Diagnosen, Laborwerte oder Behandlungsberichte. Bereits die Identität einer Patientin oder eines Patienten und die Tatsache, dass eine Person eine bestimmte Praxis besucht oder kontaktiert, können darunter fallen. Das Berufsgeheimnis gilt unabhängig davon, ob Informationen persönlich, telefonisch, schriftlich oder digital übermittelt werden. Darauf weist auch der rechtliche Leitfaden von FMH und SAMW hin.

«Bitte keine medizinischen Angaben» reicht nicht

Eine naheliegende Lösung ist ein Hinweis über dem Formular:

Bitte übermitteln Sie uns keine medizinischen Informationen.

In der Praxis hält sich jedoch kaum jemand zuverlässig daran. Wer eine Praxis kontaktiert, möchte häufig gerade ein gesundheitliches Anliegen schildern. So landen in einem offenen Textfeld schnell Nachrichten wie:

• «Seit drei Tagen habe ich starke Schmerzen.»
• «Ich brauche ein neues Rezept für mein Medikament.»
• «Im Anhang sende ich Ihnen meinen Arztbericht.»
• «Ist mein Laborresultat bereits eingetroffen?»

Patientinnen und Patienten unterscheiden nicht zwingend zwischen administrativen und medizinischen Angaben. Auch harmlose Felder wie «Grund der Kontaktaufnahme» oder «Ihre Nachricht» laden dazu ein, Beschwerden oder Diagnosen zu nennen.

Die Verantwortung für eine sichere Bearbeitung lässt sich nicht einfach mit einem Hinweis auf die absendende Person übertragen. Das Schweizer Datenschutzgesetz verlangt, den Datenschutz bereits bei der Planung eines Angebots zu berücksichtigen. Der EDÖB spricht von «Privacy by Design» und «Privacy by Default»: Es sollen nur jene Daten erhoben werden, die für den jeweiligen Zweck tatsächlich nötig sind.

Die Daten nehmen oft Umwege

Bei einem gewöhnlichen Websiteformular gelangen die Angaben selten direkt vom Browser zur Praxis. Je nach Lösung sind mehrere Systeme beteiligt:

• das Website- oder CMS-System
• ein externer Formulardienst
• ein Spam- oder Captcha-Dienst
• Server und Datenbanken des Anbieters
• der E-Mail-Anbieter der Praxis
• Analyse-, Protokollierungs- oder Supportsysteme

Formulardaten werden allenfalls im CMS gespeichert, in Serverprotokollen erfasst oder als gewöhnliche E-Mail weitergeleitet. Auch automatische Benachrichtigungen können den vollständigen Inhalt enthalten.

Eine verschlüsselte Verbindung zur Webseite – erkennbar an «https» – schützt nur die Übertragung zwischen Browser und Server. Sie sagt noch nichts darüber aus, wo die Angaben danach gespeichert werden, wer darauf zugreifen kann oder wie sie an die Praxis weitergeleitet werden.

Selbst wenn das Formular eine Nachricht an eine HIN-Adresse schickt, ist damit nicht automatisch der ganze Weg geschützt. Auch die vorgelagerte Übermittlung vom Formular an den Formulardienst oder Mailserver muss sicher sein.

Ein Schweizer Server allein genügt nicht

Der Serverstandort ist wichtig, aber nur ein Teil der Beurteilung. Auch bei Hosting in der Schweiz oder in der EU bleiben zentrale Fragen offen:

• Werden die Angaben gespeichert?
• Wer hat darauf Zugriff?
• Welche Unterauftragnehmer sind beteiligt?
• Wie sind Übertragung und Speicherung verschlüsselt?
• Wann werden die Daten wieder gelöscht?
• Was geschieht mit Sicherungskopien?
• Werden weitere Dienste aus Drittstaaten eingebunden?
• Bestehen geeignete Verträge zur Auftragsbearbeitung?

Die Praxis bleibt für die Daten verantwortlich, auch wenn ein externer Dienst eingesetzt wird. Sie muss den Anbieter sorgfältig auswählen und prüfen, ob dieser die nötigen technischen und organisatorischen Schutzmassnahmen gewährleistet. Dazu gehören unter anderem Verschlüsselung, sichere Zugänge und geregelte Zugriffsrechte. Der EDÖB stellt dazu weiterführende Informationen bereit.

Eine Einwilligungsbox löst das Problem nicht

Manche Formulare enthalten eine Checkbox wie:

Ich bin mit der Bearbeitung meiner Daten gemäss Datenschutzerklärung einverstanden.

Ein solches Häkchen macht eine unzureichend geschützte Übermittlung nicht automatisch zulässig. Die Patientin oder der Patient müsste nachvollziehen können, welche Daten zu welchem Zweck bearbeitet werden, welche Drittanbieter beteiligt sind und wohin die Angaben gelangen.

Unabhängig von der Einwilligung bleibt die Praxis verpflichtet, für eine angemessene Datensicherheit zu sorgen. Eine Checkbox ersetzt keine sichere technische Lösung.

Terminbuchung und Kontaktformular sind nicht dasselbe

Digitale Terminbuchungen können für Praxen sehr sinnvoll sein. Etablierte Lösungen wie OneDoc stellen dafür klar definierte Abläufe bereit. Sie ersetzen jedoch kein allgemeines Kontaktformular.

Genau darin liegt ein wichtiger Unterschied: Bei der Terminbuchung sind die möglichen Eingaben weitgehend vorgegeben. Ein Kontaktformular mit Freitextfeld lässt sich dagegen kaum kontrollieren.

Es gibt zwar sichere Kommunikations- und Patientenportale. Ein einfaches Formular, das sich auf jeder Praxiswebseite einbinden lässt und ohne weitere Abklärungen sämtliche Anforderungen erfüllt, ist jedoch kaum zu finden. Jede Lösung muss im konkreten Einsatz geprüft werden.

Auch der Praxisalltag zählt

Ein Formular schafft einen zusätzlichen Kommunikationskanal, der zuverlässig betreut werden muss:

• Wer kontrolliert die Nachrichten?
• Wie rasch werden sie beantwortet?
• Wer darf darauf zugreifen?
• Wie werden sie dem richtigen Patientendossier zugeordnet?
• Was geschieht während Ferien oder bei Abwesenheiten?
• Wie wird mit dringlichen medizinischen Anliegen umgegangen?

Bleibt eine dringliche Nachricht über Stunden oder Tage ungelesen, entsteht neben dem Datenschutzproblem auch ein medizinisches Risiko. Ein Hinweis, dass das Formular nicht für Notfälle bestimmt ist, ist deshalb wichtig – löst das Grundproblem aber nicht.

Unsere Empfehlung für Praxiswebseiten

Für die meisten Arztpraxen ist eine einfache Lösung am sinnvollsten:

• eine gut sichtbare Telefonnummer mit den Telefonzeiten
• eine @hin.ch-E-Mail-Adresse für schriftliche Anliegen
• ein spezialisiertes Buchungssystem wie OneDoc für Terminvereinbarungen
• klare Angaben für Terminverschiebungen und Notfälle
• eine gut aufgebaute FAQ-Seite für häufige organisatorische Fragen

Auch bei einer HIN-Adresse sollten Patientinnen und Patienten darauf hingewiesen werden, dass gewöhnliche E-Mails nicht zwingend durchgehend verschlüsselt sind. Sensible Antworten der Praxis sollten über eine geschützte Lösung wie HIN Mail Global verschickt werden. HIN informiert dazu über die sichere Kommunikation mit Patientinnen und Patienten.

So bleiben die Kontaktwege übersichtlich und der technische Aufwand verhältnismässig. Vor allem aber gelangen Patientendaten nicht unnötig über Formulardienste, das CMS oder weitere Drittanbieter.

Namo entwickelt Praxiswebseiten, die den Datenschutz und den tatsächlichen Praxisalltag von Anfang an mitdenken.

‍

Hinweis: Dieser Beitrag bietet eine allgemeine Einordnung und ersetzt keine rechtliche Beratung.