Datenschutz in der Praxiswerbung

Kurzdefinition

Datenschutz in der Praxiswerbung regelt, ob und unter welchen Voraussetzungen eine Zahnarztpraxis personenbezogene Daten, insbesondere Patientendaten, für Werbezwecke verarbeiten darf. Maßgeblich sind die Datenschutz-Grundverordnung und das Bundesdatenschutzgesetz, die eine eigene Rechtsgrundlage verlangen, sobald Daten den ursprünglichen Behandlungszweck verlassen.

Auf einen Blick

• Werbliche Datenverarbeitung braucht eine eigene Rechtsgrundlage, meist die Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO
• Gesundheitsdaten zählen zu den besonderen Kategorien nach Art. 9 DSGVO, ihre Verarbeitung ist ohne Ausnahmetatbestand grundsätzlich untersagt
• Ab in der Regel 20 Personen, die ständig automatisiert Daten verarbeiten, ist ein Datenschutzbeauftragter zu bestellen (§ 38 Abs. 1 BDSG)
• Bußgelder reichen bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO)
• Die unbefugte Verbreitung eines Bildnisses ist zusätzlich nach § 33 Kunsturhebergesetz strafbar, Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, nur auf Antrag verfolgt

Einordnung

Datenschutz in der Praxiswerbung ist von zwei benachbarten Themen zu unterscheiden, mit denen er häufig vermengt wird. Zum einen von der Datenverarbeitung im Behandlungsverhältnis selbst, die sich auf Art. 6 Abs. 1 Buchst. b DSGVO und den Behandlungsvertrag stützt, nicht auf eine Einwilligung. Zum anderen von den einzelnen Werbeinstrumenten wie Vorher-Nachher-Bildern, Testimonials oder Newslettern, die jeweils eigene, spezifische Anforderungen mitbringen. Dieser Beitrag beschreibt die Ebene darunter: das grundsätzliche rechtliche Fundament, auf dem jede dieser Anwendungsformen aufbaut.

Der zentrale Mechanismus ist die Zweckänderung. Eine Praxisverwaltungssoftware erfasst Name, Kontaktdaten, Behandlungshistorie und mitunter Fotos zu Behandlungszwecken. Sobald ein Element dieser Daten für die Website, für soziale Netzwerke oder für Printmaterial verwendet wird, ändert sich der Zweck, und die ursprüngliche Rechtsgrundlage der Behandlung trägt diese neue Verwendung nicht mehr. Nach Art. 5 Abs. 1 Buchst. b DSGVO muss jede Verarbeitung für festgelegte, eindeutige und legitime Zwecke erfolgen, eine spätere Weiterverarbeitung zu Werbezwecken braucht deshalb eine eigene Grundlage.

Diese Grundlage ist bei Patientendaten praktisch immer die Einwilligung, weil Zahn- und Behandlungsdaten als Gesundheitsdaten zu den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO zählen. Deren Verarbeitung ist grundsätzlich untersagt, es sei denn, ein Ausnahmetatbestand greift, in der Werbepraxis regelmäßig die ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO. Ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO scheidet als Grundlage für Werbung mit Gesundheitsdaten damit in aller Regel aus.

Relevanz für die Praxis

Für die Praxis als datenschutzrechtlich Verantwortliche folgt daraus zunächst, dass die Verantwortung nicht mit der Beauftragung einer externen Agentur oder eines Fotografen endet. Wird Bild- oder Textmaterial mit Patientenbezug an Dritte weitergegeben, bleibt die Praxis für die Rechtmäßigkeit der zugrunde liegenden Einwilligung verantwortlich, unabhängig davon, wer die Inhalte später gestaltet oder veröffentlicht.

Ein zweiter Punkt betrifft die Praxisgröße. Größere Praxen, Berufsausübungsgemeinschaften und medizinische Versorgungszentren erreichen die Schwelle von in der Regel 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind, oft schneller als angenommen, weil neben dem Behandlungsteam auch Rezeption, Abrechnung und eine mögliche eigene Marketingfunktion mitzählen. Ab dieser Schwelle ist nach § 38 Abs. 1 BDSG ein Datenschutzbeauftragter zu bestellen, unabhängig davon, ob Werbung überhaupt einen nennenswerten Teil der Verarbeitung ausmacht.

Für kieferorthopädisch tätige Praxen kommt die besondere Schutzbedürftigkeit minderjähriger Patienten hinzu. Ein minderjähriger Patient kann in eine werbliche Verwendung seiner Daten regelmäßig nicht wirksam allein einwilligen, maßgeblich ist die Einwilligung der Sorgeberechtigten, ergänzt um die des einsichtsfähigen Kindes selbst. Da Behandlungen über mehrere Jahre laufen, sollte eine solche Einwilligung nicht als einmalige Erklärung behandelt werden, sondern in sinnvollen Abständen erneuert werden, weil sich sowohl die Einsichtsfähigkeit des Kindes als auch die Haltung der Eltern zur eigenen Sichtbarkeit über die Behandlungsdauer ändern können.

Was bei der Umsetzung zählt

Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO sollte Werbung als eigenen Eintrag führen, getrennt von der Behandlungsdokumentation, mit eigener Rechtsgrundlage, eigenem Zweck und eigener Speicherdauer. Diese Trennung erleichtert es, im Zweifel schnell zu erkennen, welche Daten überhaupt für Werbezwecke verarbeitet werden dürfen.

Jede externe Stelle, die im Werbekontext mit personenbezogenen Daten in Berührung kommt, von der Agentur über den Hosting-Anbieter bis zum Fotografen, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Fehlt dieser Vertrag, ist die Weitergabe der Daten unabhängig von einer vorliegenden Einwilligung des Patienten nicht gedeckt.

Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 Buchst. c DSGVO sollte bereits bei der Erstellung von Werbematerial mitgedacht werden: Reicht ein Vorname oder eine Initiale statt des vollen Namens, reduziert das spätere Risiken, ohne die werbliche Wirkung wesentlich zu schmälern.

Schließlich braucht jede Einwilligung ein Gegenstück in Form eines Löschkonzepts. Wird eine Einwilligung widerrufen, muss die Praxis technisch und organisatorisch in der Lage sein, das betroffene Material aus allen genutzten Kanälen zu entfernen, nicht nur von der eigenen Website.

Zahlen und Kontext

Die Bußgeldrahmen der DSGVO markieren die wirtschaftlich bedeutsamste Größe: Nach Art. 83 Abs. 5 DSGVO reichen Bußgelder für Verstöße gegen die Rechtsgrundlagen der Art. 5 bis 9 bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, maßgeblich ist der höhere Wert. Auch Verstöße gegen die Informationspflichten nach Art. 13 und 14 DSGVO fallen in diesen oberen Rahmen, da Art. 83 Abs. 5 Buchst. b DSGVO ausdrücklich die Rechte der betroffenen Person nach Art. 12 bis 22 DSGVO einbezieht.

Die Schwelle für die Pflicht zur Bestellung eines Datenschutzbeauftragten liegt nach § 38 Abs. 1 BDSG bei in der Regel 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, unabhängig von der Zahl der Werbemaßnahmen.

Unabhängig von der DSGVO ist die unbefugte Verbreitung oder öffentliche Zurschaustellung eines Bildnisses nach § 33 Kunsturhebergesetz mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe bedroht, die Tat wird allerdings nur auf Antrag verfolgt. Zur Zahl der Zahnarztpraxen, die einen eigenen Eintrag für Werbung in ihrem Verzeichnis von Verarbeitungstätigkeiten führen, liegen keine belastbaren Erhebungen vor.

Typische Fehler

Behandlungsdaten ohne gesonderte Prüfung für Werbung weiterverwenden Die Rechtsgrundlage der Behandlung deckt die werbliche Zweckänderung nicht, unabhängig davon, wie geringfügig die Weiterverwendung erscheint.

Werbliche Einwilligung nicht von der Behandlungseinwilligung trennen Eine vermischte Einwilligung lässt sich später kaum als bewusste, informierte Entscheidung für die konkrete Werbenutzung nachweisen.

Auftragsverarbeitungsverträge nur mit der Praxissoftware abschließen Agenturen, Fotografen und Hosting-Anbieter geraten dabei aus dem Blick, obwohl sie ebenfalls personenbezogene Daten verarbeiten.

Die 20-Personen-Schwelle des § 38 BDSG nur auf das Behandlungsteam beziehen Rezeption, Abrechnung und externe Kräfte zählen mit, sodass die Schwelle oft früher erreicht wird als angenommen.

Häufige Fragen

Reicht die Einwilligung zur Behandlung auch für die werbliche Nutzung von Patientendaten? Nein. Die Einwilligung in die Behandlung deckt nur den Behandlungszweck. Für die werbliche Nutzung ist eine eigene, gesondert eingeholte Einwilligung erforderlich, weil sich der Verarbeitungszweck ändert.

Ab wann brauchen wir einen Datenschutzbeauftragten? In der Regel, sobald mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind. Unabhängig von dieser Zahl kann eine Bestellung auch bei bestimmten risikoreichen Verarbeitungen erforderlich sein.

Dürfen wir eine Marketingagentur mit Patientendaten arbeiten lassen? Ja, sofern ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht, der Gegenstand, Dauer und Zweck der Verarbeitung sowie die Pflichten der Agentur regelt. Die Verantwortung für die Rechtmäßigkeit bleibt bei der Praxis.

Gilt für minderjährige Patienten eine strengere Regel? Ja, im Ergebnis. Ein minderjähriger Patient kann in der Regel nicht wirksam allein in die werbliche Nutzung seiner Daten einwilligen, maßgeblich ist die Einwilligung der Sorgeberechtigten, ergänzt um die des einsichtsfähigen Kindes.

Was passiert bei einem Verstoß gegen diese Grundsätze? Neben dem Bußgeldrahmen der Art. 83 Abs. 4 und 5 DSGVO können Betroffene zivilrechtliche Ansprüche geltend machen, bei Bildnissen zusätzlich strafrechtliche Konsequenzen nach § 33 Kunsturhebergesetz auf Antrag.

Verwandte Begriffe

• Bewertungsportale und Umgang mit Bewertungen: betrifft überwiegend Daten des Berufsträgers, nicht der Patienten, und folgt deshalb einer anderen Prüfungslogik
• Co-Branding mit Herstellern in der Praxiswerbung: wirft eigene Datenschutzfragen auf, sobald Patientendaten oder Bildmaterial an einen Hersteller weitergegeben werden
• Datenschutz Marketing in der Praxiswerbung: beschreibt die konkreten technischen Instrumente wie Tracking und Newsletter, die auf dem hier beschriebenen Fundament aufbauen
• Delegation rechtlich in der Praxiswerbung: klärt, wie sich die datenschutzrechtliche Verantwortung verändert, wenn Werbemaßnahmen an Dritte delegiert werden
• Datenschutzerklärung Website optimieren: die nach außen sichtbare Umsetzung der hier beschriebenen Informationspflichten

Quellen

1. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 5 Grundsätze, Art. 6 Rechtmäßigkeit der Verarbeitung und Art. 9 Verarbeitung besonderer Kategorien personenbezogener Daten. Amtsblatt der EU L 119 vom 04.05.2016, S. 1. Abgerufen am 22.07.2026. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
2. Europäische Union: Datenschutz-Grundverordnung, Artikel 28 Auftragsverarbeiter. 2016. https://dsgvo-gesetz.de/art-28-dsgvo/
3. Europäische Union: Datenschutz-Grundverordnung, Artikel 30 Verzeichnis von Verarbeitungstätigkeiten. 2016. https://dsgvo-gesetz.de/art-30-dsgvo/
4. Europäische Union: Datenschutz-Grundverordnung, Artikel 83 Allgemeine Bedingungen für die Verhängung von Geldbußen. 2016. https://dsgvo-gesetz.de/art-83-dsgvo/
5. Bundesministerium der Justiz und juris GmbH (Hrsg.): Bundesdatenschutzgesetz, § 38 Datenschutzbeauftragte nichtöffentlicher Stellen. Ausfertigungsdatum 30. Juni 2017, zuletzt geändert durch Artikel 3 des Gesetzes vom 12. Mai 2026 (BGBl. I Nr. 139). Abgerufen am 22.07.2026. https://www.gesetze-im-internet.de/bdsg_2018/__38.html
6. Bundesministerium der Justiz und juris GmbH (Hrsg.): Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie (Kunsturhebergesetz), § 33 Strafvorschrift. Abgerufen am 22.07.2026. https://www.gesetze-im-internet.de/kunsturhg/__33.html

Unsicherheiten

Der Beitrag gibt den Rechtsstand vom 22.07.2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.

Ob und ab welchem Alter ein minderjähriger Patient neben den Sorgeberechtigten eine eigene, mitentscheidende Einwilligung in die werbliche Nutzung seiner Daten wirksam abgeben kann, ist gesetzlich nicht einheitlich geregelt und hängt von der Einsichtsfähigkeit im Einzelfall ab. Eine feste Altersgrenze wird deshalb nicht genannt.

Zur Zahl der Zahnarztpraxen, die die Schwelle des § 38 Abs. 1 BDSG erreichen und einen Datenschutzbeauftragten bestellt haben, liegen keine belastbaren Erhebungen einer zahnärztlichen Körperschaft oder amtlichen Statistik vor.