Impressum und Datenschutzerklärung für die Praxis-Website

Braucht die Praxis-Website ein Impressum?

Das Gesetz gegen den unlauteren Wettbewerb kennt das Wort «Impressum» gar nicht. Es verlangt von allen, die Leistungen «im elektronischen Geschäftsverkehr» anbieten, «klare und vollständige Angaben» über Identität und Kontaktadresse einschliesslich der E-Mail-Adresse (Art. 3 Abs. 1 lit. s UWG). Ob eine reine Visitenkarten-Website ohne Buchungs- und Bestellmöglichkeit streng darunter fällt, ist eine Auslegungsfrage – sobald online Termine gebucht oder Anfragen geschickt werden können, stellt sie sich nicht mehr. Praktisch ist die Antwort ohnehin dieselbe: Die Angaben sind in einer Viertelstunde beisammen, das KMU-Portal des Bundes empfiehlt sie ausdrücklich, und wer sie weglässt, riskiert im Streitfall ein Strafverfahren auf Antrag (Art. 23 UWG).

Hinein gehören:

• Praxisname samt Rechtsform beziehungsweise Inhaberin oder Inhaber
• die vollständige Praxisadresse
• eine E-Mail-Adresse – sie ist im UWG ausdrücklich genannt
• eine Telefonnummer und, wo vorhanden, die UID – beides empfiehlt das KMU-Portal des Bundes

Viele Praxen ergänzen sinnvollerweise die Berufsbezeichnung und den Kanton der Berufsausübungsbewilligung – eine UWG-Pflicht ist beides nicht, aber es beantwortet Fragen, die Patientinnen und Patienten ohnehin stellen.

Die Datenschutzerklärung: seit 2023 Pflichtprogramm

Seit dem 1. September 2023 gilt das revidierte Datenschutzgesetz. Sein Kern für Websites ist die Informationspflicht: Der Verantwortliche «informiert die betroffene Person angemessen über die Beschaffung von Personendaten» (Art. 19 Abs. 1 DSG) – und beschafft werden solche Daten praktisch auf jeder Website, spätestens beim Kontaktformular. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte macht daraus eine klare Ansage: Schweizer Unternehmen müssen «eine für die Nutzenden verständliche Datenschutzerklärung verfassen und diese auf ihrer Website einblenden».

Das Gesetz nennt die Mindestangaben: wer verantwortlich ist und wie man ihn erreicht, zu welchem Zweck die Daten bearbeitet werden und an wen sie gehen (Art. 19 Abs. 2 DSG); gehen Daten ins Ausland, kommen Staat und allfällige Garantien dazu (Abs. 4). Der EDÖB ergänzt zwei Anforderungen, an denen Vorlagen regelmässig scheitern: Die Erklärung muss «mit den tatsächlich vorgenommenen Datenbearbeitungen übereinstimmen» – vage Formulierungen wie «unter Umständen können wir Ihre Daten so und so bearbeiten» sind zu vermeiden – und sie muss «von jeder Seite aus leicht zugänglich» sein. Ein Link in der Fusszeile jeder einzelnen Seite erledigt das.

Was die Erklärung einer Praxis abdecken muss

• Wer verantwortlich ist: die Praxis, mit Adresse und Kontakt – dieselben Angaben wie im Impressum.
• Was zu welchem Zweck bearbeitet wird: Kontakt- und Terminanfragen, dazu die technischen Zugriffsdaten, die beim Aufruf jeder Website anfallen.
• Wer die Daten erhält: Der Hoster ist Auftragsbearbeiter. Er darf die Daten nur so bearbeiten, wie es die Praxis selbst dürfte, und die Praxis muss sich vergewissern, dass er die Datensicherheit gewährleisten kann (Art. 9 DSG) – Name und Sitz des Hosters gehören deshalb in die Erklärung.
• Ob Daten ins Ausland gehen: Unproblematisch sind Staaten, denen der Bundesrat angemessenen Schutz attestiert – die Liste in Anhang 1 der Datenschutzverordnung führt die EU- und EWR-Staaten einzeln auf. Für die USA gilt der Eintrag nur für Anbieter, die unter dem Datenschutzrahmen Schweiz–USA zertifiziert sind: Ein Hoster in der Schweiz oder in Deutschland ist einfach, ein US-Dienst nur mit Blick auf dessen Zertifizierung.
• Welche Rechte bestehen: Jede Person kann Auskunft verlangen, ob Daten über sie bearbeitet werden – kostenlos und in der Regel innert 30 Tagen (Art. 25 DSG). Die Erklärung sagt, an welche Adresse man sich dafür wendet.

Wie das umgesetzt aussieht, zeigt unsere eigene Datenschutzerklärung – kurz, konkret und ohne Textbausteine für Dienste, die diese Website gar nicht nutzt.

Braucht die Praxis-Website ein Cookie-Banner?

Meist nicht – aber aus dem richtigen Grund. Die Schweizer Regel steht im Fernmeldegesetz: Daten dürfen auf fremden Geräten nur bearbeitet werden, wenn die Besucherinnen und Besucher «über die Bearbeitung und ihren Zweck informiert und darauf hingewiesen werden, dass sie die Bearbeitung ablehnen können» (Art. 45c FMG). Der EDÖB-Leitfaden zu Cookies (Januar 2025, ergänzt im Oktober 2025) macht daraus für nicht notwendige Cookies eine zwingende Vorgabe: informieren, Zweck nennen, Ablehnung ermöglichen. Das ist ein Ablehnungs-Modell – ein Banner, das wie in der EU vorab um Erlaubnis fragt, verlangt das Schweizer Recht nicht.

Und eine Praxis-Website, die ohne Tracking und ohne nicht notwendige Cookies auskommt, braucht gar kein Banner – die Information dazu gehört dann in die Datenschutzerklärung, nicht in ein Fenster vor die Seite. Die europäische DSGVO mit ihrer Einwilligungslogik gilt für eine Schweizer Praxis nur in Sonderfällen, etwa wenn sich das Angebot gezielt an Personen in der EU richtet – für die Praxis in Thun mit Patientinnen aus Thun ist sie nicht der Massstab. Im Zweifel gehört diese Frage in eine Rechtsberatung, nicht in ein kopiertes Banner.

Kontaktformular und E-Mail: Wie sicher muss der Weg sein?

Kein Schweizer Gesetz schreibt einer Praxis vor, E-Mails zu verschlüsseln. Das Datenschutzgesetz verlangt «geeignete technische und organisatorische Massnahmen» für eine «dem Risiko angemessene» Datensicherheit (Art. 8 DSG), und die Verordnung wird nur wenig konkreter: Unbefugte sollen Daten bei der Bekanntgabe «nicht lesen, kopieren, verändern, löschen oder vernichten können» – gemessen am Stand der Technik (Art. 1 und 3 DSV). Was daraus folgt, hängt am Risiko, und das ist hier hoch: Gesundheitsdaten sind besonders schützenswert. Der EDÖB verlangt denn auch, die Bekanntgabe von Patientendaten per E-Mail «durch Massnahmen wie Verschlüsselung» zu sichern; ohne Verschlüsselung braucht es umfassende Aufklärung über die Risiken und die Einwilligung der Patientin.

Das betrifft den Weg aus der Praxis hinaus – den Befund, den die Ärztin zurückschickt. Für den Weg hinein, die Anfrage über ein Formular, gibt es weder eine Bestimmung noch eine Publikation des EDÖB; was Sie dazu lesen, ist Auslegung, auch hier. Sie fällt trotzdem eindeutig aus: Wer nicht sicher übertragen kann, fragt besser nicht danach. Das Gesetz gibt dafür den Hebel – wer Daten beschafft, muss verhältnismässig bleiben und einen erkennbaren Zweck haben (Art. 6 DSG), und schon die Voreinstellungen sollen die Bearbeitung auf das nötige Mindestmass beschränken (Art. 7 DSG). Für eine Terminanfrage heisst das: Name, Kontaktweg, Rückrufwunsch. Kein Feld für Beschwerden.

An dieser Stelle fällt regelmässig das Stichwort HIN. Health Info Net wurde 1996 auf Initiative der FMH und der Ärztekasse gegründet, die FMH ist Mehrheitsaktionärin, und HIN Mail verschlüsselt die Inhalte nach S/MIME zusätzlich zur Transportverschlüsselung – gute Technik, aber für ein Website-Formular die falsche. HIN ist ein Vertrauensraum unter Fachpersonen: Die Mitgliedschaft hängt an einer identifizierten Gesundheitsfachperson, das Teilnehmerverzeichnis führt nur Angeschlossene, und eine Mitgliedschaftskategorie für Patientinnen und Patienten gibt es gar nicht. Automatisch verschlüsselt läuft nur der Verkehr zwischen Mitgliedern; an alle anderen muss die Praxis eine Mail von Hand mit «(Vertraulich)» im Betreff kennzeichnen, worauf die Zustellung über ein Portal mit SMS-Code läuft. Der Weg beginnt also immer bei einem Mitglied – von Ihrer Website aus kann Ihnen niemand eine HIN Mail schicken. Wer «HIN-Anbindung» als Funktion eines Kontaktformulars angeboten bekommt, sollte nachfragen, was genau gemeint ist – und nebenbei: «Ende-zu-Ende verschlüsselt» ist HIN Mail nicht, entschlüsselt wird auf dem Gateway des Empfängers.

Praktisch bleiben drei Dinge, und keines davon ist teuer. Das Formular fragt wenig. Die Antwort geht nicht denselben Weg zurück – ein Rückruf löst, was sonst eine verschlüsselte Mail lösen müsste; wo regelmässig Befunde hinausgehen, ist HIN genau richtig, nur eben im Praxisbetrieb und nicht auf der Website. Und das Postfach zählt mit: Wer Zugriff darauf hat und wo es liegt, gehört zur Datensicherheit wie der Übertragungsweg selbst. Über allem steht ohnehin das Berufsgeheimnis (Art. 321 StGB, für weitere Gesundheitsberufe Art. 62 DSG).

Was bei Verstössen droht – nüchtern betrachtet

Das Datenschutzgesetz kennt Bussen bis CHF 250'000 – gerichtet gegen die verantwortlichen Personen, nicht gegen die Praxis als Firma –, wenn die Information nach Art. 19 vorsätzlich unterlassen wird oder vorsätzlich falsch ausfällt (Art. 60 DSG). Beim UWG steht auf vorsätzliche Verstösse gegen Art. 3 Freiheitsstrafe bis zu drei Jahren oder Geldstrafe (Art. 23 UWG). Beides sind Antragsdelikte, beides setzt Vorsatz voraus – es lauert also keine Behörde, die Websites abklappert. Die richtige Lehre ist eine andere: Die Maximalzahlen zeigen, dass der Gesetzgeber die zwei Textseiten ernst meint, und erfüllt sind beide Pflichten mit überschaubarem Aufwand. Wer sie sauber führt, hat hier schlicht kein Thema.

Häufige Fragen zu den Rechtstexten

Reicht ein Generator aus dem Internet?

Wenn er Schweizer Recht abbildet und ehrlich ausgefüllt wird, kann er genügen – die Pflichtangaben sind ja keine Geheimwissenschaft. Woran Generator-Texte scheitern, ist die Passung: Die Erklärung muss beschreiben, was diese eine Website tatsächlich tut, nicht was irgendeine Website tun könnte. Abschnitte über Newsletter, Shops und Werbenetzwerke, die es gar nicht gibt, sind kein Sicherheitsnetz, sondern ein Widerspruch zur eigenen Website.

Wer ist verantwortlich, wenn die Agentur die Texte geliefert hat?

Die Praxis. Das Gesetz adressiert die Informationspflicht an den Verantwortlichen – das ist, wer über die Datenbearbeitung entscheidet, und das bleibt die Praxis, egal wer die Website gebaut hat. Ein guter Anbieter liefert die Texte nach Schweizer Recht mit und sagt klar, welche Angaben die Praxis selbst prüfen und ergänzen muss.

Müssen die Texte von einer Anwältin stammen?

Nein. Für eine gewöhnliche Praxis-Website – Informationen, Kontaktweg, Termin-Link – sind Impressum und Datenschutzerklärung Handwerk nach klaren Vorgaben. In eine Rechtsberatung gehören die Sonderfälle: Online-Sprechstunden, Patientenportale, Werkzeuge, die Daten in Staaten ohne Angemessenheits-Eintrag schicken, oder ein Angebot, das sich gezielt an Personen in der EU richtet.

Sind die Angaben hier aktuell?

Alle zitierten Bestimmungen wurden am 14. August 2026 in den amtlichen Fassungen abgerufen (UWG: Stand 1.1.2025, DSG: Stand 7.7.2025, Datenschutzverordnung: Stand 1.12.2025, FMG: Stand 1.6.2026, dazu die EDÖB-Publikationen von 2025/2026), die Angaben zu Datensicherheit, Berufsgeheimnis und HIN am 16. August 2026. Gesetze ändern sich – massgeblich ist immer der aktuelle Text auf fedlex.admin.ch, und dieser Artikel ist eine Einordnung, keine Rechtsberatung.