Das unsichtbare, existenzbedrohende Risiko für Berufsgeheimnisträger
Kanzleien, Notariate, medizinische Praxen, Kliniken, Steuerberatungsgesellschaften und spezialisierte Unternehmensberatungen arbeiten jeden Tag mit den absolut sensibelsten und schützenswertesten Daten überhaupt: Hochgradig private Mandanteninformationen, detaillierte Gesundheitsdaten, laufende Prozessakten, M&A-Vorhaben und streng geheime Unternehmensbilanzen.
Diese Institutionen unterliegen zumeist ganz besonderen, gesetzlich verankerten Verschwiegenheitspflichten (wie beispielsweise nach § 203 StGB in Deutschland, der die Verletzung von Privatgeheimnissen unter Strafe stellt). Wenn Patienten oder Mandanten Ihre Website besuchen, vertrauen sie Ihnen ihre intimsten Gesundheits- oder existenziellen Rechtsfragen oftmals völlig unbedarft schon über das vermeintlich "einfache" Kontaktformular, den Buchungs-Kalender oder gar die Suchfunktion der Website an.
Was ein erschreckend großer Teil der Betreiber in diesem hochsensiblen Sektor drastisch und oft fahrlässig unterschätzt: Wenn die Website technisch nicht zu absoluten 100 % korrekt, auditiert und absolut revisionssicher konfiguriert ist, fließen diese Daten, IP-Adressen, Browser-Fingerprints und Metadaten in Teilen bereits an unautorisierte Dritte ab, bevor der Nutzer überhaupt auf den Button "Nachricht senden" geklickt hat. Allein das einfache, passive Aufrufen der Startseite durch den Nutzer kann, technisch betrachtet, bereits ein massiver, abmahnfähiger Datenschutzverstoß sein, der immense Bußgelder nach sich ziehen kann.
Die gefährliche Falle der Bequemlichkeit: Externe Fonts, ungeprüftes JavaScript und Do-It-Yourself Baukästen
Viele Web-Agenturen, Freelancer, die günstige Websites herstellen, oder die Betreiber selbst, greifen allmählich aus Kostengründen auf vorgefertigte, einfache DIY-Plattformen oder nicht gewartete Baukasten-Software zurück. Um die Website schnell ansprechend und modern zu gestalten, ohne selbst Code schreiben zu müssen, werden oft externe Schriftarten direkt von den hochverfügbaren Servern riesiger US-Drittanbieter geladen (etwa via diversen globalen Font-APIs, Content Delivery Networks etc.) oder massenhaft externe Skripte (für Spamschutz-Captchas von US-Anbietern, interaktive Karten-Iframes, oder Analysetools, die Daten absaugen) arglos eingebunden.
Spätestens jedoch seit dem bekannten, bundesweit richtungsweisenden "Google Fonts"-Vorfall und dessen juristischer Aufarbeitung (LG München I, Urt. v. 20.01.2022, Az. 3 O 17493/20) wurde juristisch zweifelsfrei und höchstrichterlich klargestellt, dass die dynamische Einbindung externer Dienste, die IP-Adressen (welche laut EuGH als personenbezogene, schützenswerte Daten klassifiziert sind) an externe Server im ungesicherten Ausland senden, ohne die explizite, vorherige und ausdrückliche Einwilligung des Nutzers strikt rechtswidrig ist. Die Folge dieses Urteils waren europaweite, teilweise stark automatisierte Abmahnwellen von darauf spezialisierten Anwaltskanzleien, die Zehntausende Betriebe und Praxen extrem viel Geld, juristischen Ärger und vor allem Nerven kosteten.
Noch wesentlich gravierender als ein paar Schriften wird es beim grundlegenden Server-Standort und beim Auftragsverarbeitungsvertrag (Kürzel: AVV gem. Art. 28 DSGVO). Wenn Ihr IT-Dienstleister, Ihre Agentur oder die genutzte Plattform ihre Datenbanken und Webserver in datenschutzrechtlich völlig unsicheren Drittstaaten (wie den USA nach dem Fall des Privacy Shields) betreibt und Ihnen keinen den strengen EU-Standards entsprechenden AVV in deutscher Sprache (oder gültige Standardvertragsklauseln / SCCs der EU) anbietet, entziehen Sie sich faktisch der rechtlichen Kontrolle über die dort verarbeiteten Mandanten-Daten. Sie agieren dann rechtlich in einer gefährlichen Grauzone oder gar in der klaren Illegalität.
Die saubere, hochgradig rechtssichere Infrastruktur: Worauf Arztpraxen, Kliniken und Anwaltskanzleien zwingend achten müssen
Eine wirklich rechtssichere, wasserdichte Web-Infrastruktur baut zwingend, von der ersten Zeile Code an, auf dem Privacy-by-Design und Privacy-by-Default Prinzip (gesetzlich verankert in Art. 25 DSGVO) auf. Das bedeutet schlichtweg, dass die gesamte Software, der Quellcode, die Datenbankstruktur und die Server-Architektur von Grund auf so programmiert und konzipiert sein müssen, dass so wenig Daten wie technisch absolut nur möglich erhoben werden (Datensparsamkeit) und der exzessive, maximale Datenschutz immer die Voreinstellung (Default) ist, nicht erst ein Opt-In erfordert.
- Echtes Lokales Hosting (Absolute Data Residency in Deutschland/EU): Der Server-Standort für den Haupt-Webserver, die redundanten Backups und die Datenbanken muss sich zwingend in Deutschland oder zumindest innerhalb der Europäischen Union befinden. Idealerweise hosten Sie bei einem Rechenzentrum (Data Center), das streng nach der internationalen Norm ISO 27001 für Informationssicherheit geprüft und zertifiziert ist und höchste physische sowie digitale Zugangskontrollen aufweist.
- 100 % Lokale Assets (Fonts, Scripte, Frameworks, Bilder): Es darf absolut keine versteckte, initiale Verbindung zu externen Servern dritter Konzerne beim reinen Aufruf der Seiten geben. Bilder, CSS-Formatierungen, JavaScript-Frameworks, Schriftarten und selbst kleinste Tracking-Pixel müssen zwingend physisch auf dem eigenen, von Ihnen kontrollierten Server abgelegt sein und ausschließlich von genau dort an den Browser des Patienten ausgeliefert werden.
- Kryptografisch hochsichere TLS-/SSL-Verschlüsselung (Kein Legacy-Krypto!): Jeglicher Datenverkehr (der gesamt HTTP-Traffic muss via Rewrite-Rules auf HTTPS gezwungen werden) zwischen dem Router des Patienten/Mandanten und Ihrem Server muss mit aktuellen TLS-Zertifikaten nach dem absolut aktuellen Stand der Technik verschlüsselt sein. Die Unterstützung für veraltete, längst geknackte Verschlüsselungsprotokolle (wie TLS 1.0 oder TLS 1.1) muss serverseitig hart deaktiviert werden, da diese ein offenes Scheunentor für sogenannte Man-in-the-Middle-Angriffe (MITM) und Datendiebstahl an öffentlichen WLAN-Hotspots darstellen.
- Echtes, gerichtsfestes Consent-Management gemäß TDDDG: Ein simpler HTML-Banner mit einem einfachen "OK"- oder "Verstanden"-Button für Cookies und Tracking reicht juristisch bei weitem längst nicht mehr aus. Das extrem strenge Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, ehemals in Teilen TTDSG) und die DSGVO fordern eine absolut aktive, extrem granulare, völlig freiwillige und vor allem detailliert informierte Einwilligung (Opt-in-Verfahren) für alles, was nicht technisch absolut zwingend zum essenziellen Betrieb der Website von Nöten ist. Dies setzt zwingend hochentwickelte, oft teure und komplexe Consent-Management-Systeme (CMPs) voraus. Bei der Nutzung von Marketing-Technologien wird zudem etwa die Implementierung des strikten Google Consent Mode v2 zur absoluten Pflicht, um Tracking-Signale granulös, verlustfrei und nur nach echter, beweisbarer Freigabe des Nutzers an Analyse-Plattformen zu steuern.
- Verschlüsselte Datenablage und End-to-End-Denken: Eingehende, hochsensible Formulardaten (mit Anamnese-Infos oder Prozessdetails) sollten niemals einfach als Plain-Text (unverschlüsselt) in einer simplen MySQL-Datenbank auf dem öffentlich erreichbaren Webserver rumliegen, falls dieser durch eine Schwachstelle extrem unwahrscheinlich doch einmal kompromittiert wird. Die direkte, verschlüsselte Weiterleitung an komplett abgekapselte interne Systeme (Kanzlei-Software, Praxis-Verwaltungssysteme) per sicherer E-Mail oder verschlüsselter API ist hierbei absolut essenziell, um den Schaden im Falle eines Hacks (Data Breach) effektiv zu minimieren.
Die fundamentale Reputationsfrage und der drohende Vertrauensverlust
Professioneller Datenschutz auf höchstem Niveau ist ganz besonders für renommierte Kanzleien, große Notariate und fachärztliche Kliniken niemals ein lästiges bürokratisches Hindernis, sondern vielmehr das unerschütterliche Fundament ihres gesamten, auf Diskretion ausgelegten Geschäftsmodells: Pures Vertrauen.
Wer als staatlich anerkannter Berufsgeheimnisträger eine ungesicherte, langsame Website mit schmutzigem ausländischem Tracking, laienhaftem Code und bekannten Sicherheitslücken betreibt, verliert im Ernstfall nicht nur riesige Summen Geld durch drastische Abmahnungen und Bußgelder der strengen Datenschutzbehörden, sondern er zerstört vor allem irreparabel seinen guten, teuer aufgebauten Ruf bei der anspruchsvollen Zielgruppe und der Fachpresse.
Mit den hochspezialisierten System-Architekturen von MDV Digital Systems garantieren wir von der ersten Sekunde an von Haus aus eine strikte Einhaltung dieser drastischen Branchenstandards: Alle technischen Assets werden 100 % lokal gehostet, externe Drittanbieter-Tracker sind durch den Server selbst systemseitig hart blockiert, unsere Architektur ist strikt nach Privacy-by-Design konzipiert, und wir stellen als professioneller, greifbarer deutscher Dienstleister selbstverständlich den notwendigen AVV zur Verfügung, um Ihnen die technische Haftung zuverlässig abzunehmen.
Absoluter rechtlicher Disclaimer
Dieser umfangreiche Fachbeitrag dient ausschließlich der allgemeinen und technischen Information, er basiert gewissenhaft auf dem Stand der Technik und unserer Erfahrung zum Zeitpunkt der Veröffentlichung. Er stellt jedoch ausdrücklich keine juristische Handlungsanweisung oder anwaltliche Rechtsberatung laut Rechtsdienstleistungsgesetz dar. Für eine rechtsverbindliche, gerichtsfeste und vollumfängliche rechtliche Prüfung Ihrer gesamten Web-Assets, Ihrer internen IT, Ihrer Datenschutzerklärung und Ihrer Prozesse im individuellen Einzelfall wenden Sie sich bitte zwingend an einen spezialisierten, externen Fachanwalt für IT- und europäisches Datenschutzrecht sowie einen unabhängigen, bestellten Datenschutzbeauftragten (DSB).
