Sind Besuchsdaten einer Spital-Website Gesundheitsdaten?

Die Frage ist in der Schweiz nicht abschliessend entschieden. Der EDÖB hat sie für Websites nicht beantwortet, hält aber in seinem Merkblatt vom 30. September 2025 fest, dass bereits ein Termin bei einer Onkologin auf eine mögliche Erkrankung schliessen lässt und deshalb selbst der administrative Austausch besonders schützenswert ist. Die norwegische Datenschutzbehörde entschied am 10. Juni 2025, der blosse Besuch einer Gesundheits-Website könne für sich allein eine besondere Datenkategorie darstellen. Der EuGH verlangt in der Lindenapotheke-Entscheidung nur, dass sich der Gesundheitszustand durch gedankliche Kombination erschliessen lässt.

Welche Einwilligung braucht es dann?

Der EDÖB stuft Cookie-Einsätze im Zusammenhang mit besonders schützenswerten Personendaten als Bearbeitung mit hoher Eingriffsintensität ein. In seinem Cookie-Leitfaden hält er fest, dass sich der Verantwortliche dabei weder auf ein überwiegendes eigenes Interesse noch auf eine optionale Ausgestaltung berufen kann: Er muss vorher eine ausdrückliche Einwilligung einholen. Artikel 6 Absatz 7 Buchstabe a DSG verlangt für besonders schützenswerte Daten ohnehin die ausdrückliche Einwilligung.

Gilt für ein Kantonsspital dasselbe Recht wie für eine Privatklinik?

Nein. Öffentliche Spitäler unterstehen dem kantonalen Datenschutzrecht, nicht dem DSG des Bundes; der EDÖB sagt das selbst. Die Datenschutzbeauftragte des Kantons Zürich geht weiter als der Bund: Öffentliche Organe sollen auf personenbezogene Auswertung des Nutzerverhaltens ganz verzichten, und damit auch auf Einwilligungsbanner, weil ein Banner eine Einwilligung vorspiegelt, die im öffentlichen Recht gar kein tauglicher Rechtfertigungsgrund ist.

Woher kommen die verbreiteten Consent-Anbieter?

Cookiebot gehört zur Usercentrics A/S mit Sitz in Kopenhagen, Usercentrics ist eine GmbH in München. Beide sitzen also in der EU. CookieYes Limited sitzt in Milton Keynes im Vereinigten Königreich und gehört zwei Privatpersonen; das Produkt stammt aus der indischen Mozilor-Gruppe in Kochi. OneTrust ist als OT Technology, Inc. in Atlanta ansässig. Der Sitz allein sagt allerdings wenig darüber aus, welchen Weg die Besucherdaten nehmen.

Was ist der wichtigste Prüfpunkt für ein Spital?

Nicht der Firmensitz des Anbieters, sondern der tatsächliche Datenweg. Cookiebot etwa schreibt selbst, dass im Standardsetup der US-Dienstleister Akamai Besucher-IP-Adressen empfängt und protokolliert, und bietet eine rein europäische Variante an, die man aktiv wählen muss. Ein Spital sollte die Unterauftragsverarbeiter-Liste verlangen, den Datenweg im Browser nachmessen und prüfen, ob das Werkzeug die Tracker vor der Einwilligung tatsächlich blockiert.

Reicht ein Consent-Banner, um das Problem zu lösen?

Nein. Unsere Messung zeigt das Gegenteil: Auf mehreren Websites war ein Consent-Werkzeug installiert, und die Tracker feuerten trotzdem vor jeder Einwilligung. Bei einer Klinikgruppe meldete die Seite dem Google-Server sogar ausdrücklich, es sei in Analyse und Werbung eingewilligt worden, obwohl niemand geklickt hatte. Ein Banner ist eine Bedienoberfläche; wirksam wird es erst, wenn es die Skripte auch tatsächlich zurückhält.

Wer sieht mit, wenn Sie eine Spital-Website öffnen?

Am 2. September 2026 haben wir 40 Schweizer Spital-, Klinik- und Gruppen-Websites aufgerufen, so wie es jede Besucherin tut, und mitgeschnitten, welche Verbindungen der Browser dabei aufbaut. Nicht geklickt, nichts bestätigt, kein Banner weggedrückt. Nur die Seite geöffnet.

32 Websites waren erreichbar. Auf 25 davon ging beim blossen Aufruf mindestens eine Verbindung an Google oder Meta. Auf zwei Websites blieb alles im Haus.

Der Aufruf einer Geburtsabteilung sah in der Übertragung so aus:

Empfänger:   region1.analytics.google.com
Adresse:     https://www.[spital].ch/geburt
Seitentitel: «Ihre Begleitung bei Schwangerschaft und Geburt»
Einwilligung: keine

Dazu die IP-Adresse, die bei jeder Verbindung im Internet zwangsläufig mitgeht. Google erfährt damit: Dieser Anschluss hat zu diesem Zeitpunkt diese Seite dieses Spitals aufgerufen.

Wir nennen die untersuchten Häuser nicht. Es geht hier nicht um einzelne Verfehlungen: Das Muster ist flächendeckend, und in fast allen Fällen dürfte es niemandem im Haus bewusst sein.

Was wir gemessen haben

Befund	Anzahl
Websites in der Stichprobe (32 erreichbar)	40
Verbindung zu Google oder Meta beim blossen Aufruf	25 von 32
Detailgeprüft: Messpunkte vor jeder Einwilligung	13 von 15
Davon Meta-Pixel ohne Einwilligung	6
Ganz ohne Drittanbieter-Verbindung	2
Kein Consent-Werkzeug erkennbar	17 von 32

Die eingesetzten Werkzeuge verteilten sich auf OneTrust (5), Cookiebot (3), CookieYes (2), Usercentrics (2) sowie je einmal Klaro, Complianz und Iubenda.

Ein Detail verdient besondere Beachtung. Bei einer Klinikgruppe stand im Aufruf an den Google-Werbeserver der Parameter gcs=G111. Das ist die Meldung, dass in Analyse und Werbung eingewilligt wurde. Es hatte niemand geklickt. Das Consent-Werkzeug war installiert, sichtbar, funktionsfähig, und es meldete Zustimmung, bevor jemand zustimmte.

Genau darum geht es in diesem Text. Das Banner ist nicht das Problem. Es ist auch nicht die Lösung.

Warum ein Spital nicht wie ein Möbelhaus ist

Auf einer Website für Gartenmöbel ist ein Tracker eine Datenschutzfrage. Auf einer Spital-Website ist er möglicherweise etwas anderes.

Der EDÖB hat sich zu Tracking auf Gesundheits-Websites nie geäussert. Zur strukturell gleichen Frage aber sehr wohl. In seinem Merkblatt zu Patientenformularen vom 30. September 2025 steht:

«Im Zusammenhang mit der Gesundheit kann bereits das blosse Bestehen einer Beziehung zu einer Therapeutin oder einem Therapeuten Rückschlüsse auf den Gesundheitszustand einer Person zulassen; dies gilt insbesondere für die Kommunikation mit Fachärztinnen und Fachärzten (ein Termin bei einer Onkologin zum Beispiel lässt vermuten, dass diese aufgrund einer potenziellen onkologischen Erkrankung konsultiert wird). Folglich ist auch der rein administrative Austausch (z. B. Terminvereinbarungen) als besonders schützenswert einzustufen.»

Der Gedankenschritt vom Termin bei der Onkologin zum Aufruf der Seite /kliniken/onkologie ist kurz. Der EDÖB ist ihn nicht gegangen, das gehört zur Redlichkeit dazu.

Andere sind ihn gegangen. Die norwegische Datenschutzbehörde entschied am 10. Juni 2025 über ein Gesundheitsportal mit Meta-Pixel und hielt fest, der Besuch der Website könne für sich allein genügen, um eine besondere Kategorie personenbezogener Daten darzustellen. Es sei nicht erforderlich, dass die Daten unmittelbar mit einem Gesundheitszustand verknüpft würden oder dass der Betreiber sie mit anderen Daten zusammenführe.

Der Europäische Gerichtshof hat in der Lindenapotheke-Entscheidung vom 4. Oktober 2024 die Schwelle niedrig gelegt: Es genügt, dass sich aus den Daten «mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person geschlossen werden kann». Ob die Ableitung zutrifft und ob der Betreiber sie überhaupt beabsichtigt, spielt keine Rolle.

Die niederländische Aufsichtsbehörde hat das bereits 2016 für Spitäler ausbuchstabiert, nachdem sie alle 85 niederländischen Spitäler untersucht hatte: Es gehe nicht nur um die Startseite, sondern um die dahinterliegenden Seiten zu bestimmten Erkrankungen und Fachabteilungen.

Die Gegenprobe der Fairness halber: Ein Schweizer Gericht hat darüber nie entschieden. In ganz Europa gibt es bis heute keinen einzigen Aufsichtsentscheid gegen ein Spital wegen Google Analytics oder Meta-Pixel. Und die belgische Aufsicht hat eine vergleichbare Rüge 2022 gerade deshalb verworfen, weil die Verknüpfung zur besuchten Seite technisch nicht nachgewiesen war. Beim Spital, das die vollständige Adresse selbst mitsendet, liegt dieser Nachweis allerdings vor, und er lässt sich in jedem Browser in zwei Minuten führen.

Die Rechtsfolge, wenn man den Schritt geht

Wer die Besuchsdaten als besonders schützenswert einstuft, landet bei einer klaren Regel. Der EDÖB schreibt in seinem Cookie-Leitfaden (Ziffer 3.10.1):

«Für den Einsatz nicht notwendiger Cookies im Kontext von Bearbeitungen mit hoher Eingriffsintensität kann sich der Verantwortliche weder auf ein Überwiegen seines privaten Interesses noch eine optionale Ausgestaltung der Bearbeitung berufen. Vielmehr muss er vor der Durchführung derselben bei den Betroffenen eine ausdrückliche Einwilligung einholen.»

Im Risiko-Radar des Leitfadens erhält «besonders schützenswerte Personendaten: Ja» den Höchstwert 3, und ab 2,5 gilt: Opt-in obligatorisch. Artikel 6 Absatz 7 Buchstabe a DSG verlangt die ausdrückliche Einwilligung ohnehin, und Artikel 30 Absatz 2 Buchstabe c DSG nennt es ausdrücklich eine Persönlichkeitsverletzung, wenn Dritten besonders schützenswerte Personendaten bekanntgegeben werden.

Dazu kommt eine Schicht, die im Gesundheitswesen oft übersehen wird. Das Berufsgeheimnis nach Artikel 321 StGB schützt nach der Auslegung von SAMW und FMH nicht nur Diagnosen, sondern auch «die Identität der Patientin oder des Patienten und die Tatsache, dass sie oder er sich in ärztlicher Behandlung befindet». Verletzt ist es, sobald Geheimnisse Unbefugten bekannt werden, «unabhängig davon, auf welche Weise».

Die Datenschutzbeauftragte des Kantons Zürich wird in ihrem Merkblatt zu US-Cloud-Produkten vom Februar 2026 sehr deutlich:

«Bei Informationen und Personendaten, die einer besonderen Geheimnispflicht unterstehen, führt die faktische Möglichkeit eines Zugriffs von US-Behörden zu einer Verletzung der entsprechenden Geheimnispflicht.»

Und weiter: «Mitarbeitende von US-Unternehmen [gelten] aufgrund der Konzernstruktur und der internationalen Vernetzung ihrer Arbeitgeber nicht als Hilfspersonen.» Auch die Randdaten seien zu schützen.

Ob das Setzen eines Trackers strafrechtlich ein «Offenbaren» ist, hat nie ein Gericht entschieden. Artikel 321 StGB verlangt Vorsatz. Das ist eine ernsthafte Hürde, aber eine, auf die sich niemand verlassen sollte, der die Entscheidung heute trifft.

Woher die Anbieter kommen, und warum das die falsche Frage ist

Es hält sich hartnäckig, die grossen Consent-Anbieter seien allesamt aussereuropäisch. Das stimmt so nicht. Wir haben die Rechtsträger anhand von Impressen, Handelsregistern und Auftragsverarbeitungsverträgen geprüft:

Anbieter	Rechtsträger	Sitz	Eigentümer
Cookiebot	Usercentrics A/S	Kopenhagen, DK	Teil der Usercentrics-Gruppe (Fusion mit Cybot A/S, 2021)
Usercentrics	Usercentrics GmbH	München, DE	Privat gehalten, Investoren u. a. Full In Partners (New York)
CookieYes	CookieYes Limited	Milton Keynes, UK	Zwei Privatpersonen; Produkt der Mozilor-Gruppe, Kochi (Indien)
OneTrust	OT Technology, Inc.	Atlanta, USA	Privat, Investoren u. a. Insight Partners, TCV, SoftBank

Zwei der vier sitzen also in der EU. Wer mit «die sind ja gar nicht in Europa» argumentiert, argumentiert falsch.

Die aufschlussreichere Frage lautet: Welchen Weg nehmen die Besucherdaten? Und da wird es interessant, denn die Antwort steht in den Unterlagen der Anbieter selbst.

Cookiebot schreibt in seiner eigenen Support-Dokumentation:

«Cookiebot uses Akamai, a US based company, as our CDN sub service provider. […] However, the way the Internet works, it cannot be avoided that Akamai will receive and log certain information about the Internet connection, including end user IP addresses.»

Deshalb gibt es eine rein europäische Variante, die man aber aktiv einschalten muss, indem man im Skript-Tag consent.cookiebot.com durch consent.cookiebot.eu ersetzt. Cookiebot beschreibt die Wahl mit bemerkenswerter Offenheit als «a conscious choice on your part of compliance over performance». Der Standardweg führt über die USA. Wir haben das nachgemessen: consent.cookiebot.com löst über Akamai auf, consent.cookiebot.eu über einen Knoten in Zürich.

Bei den übrigen sieht es so aus:

CookieYes nennt in seiner Unterauftragsverarbeiter-Liste Cloudflare mit Sitz USA und den Datenkategorien «IP address, User agent, Hostname». Die eigene Dokumentation spricht von einer maskierten IP-Adresse; wie maskiert wird, steht in keiner auffindbaren Quelle. Der Support läuft über Mozilor Technologies in Indien. Indien steht nicht auf der Länderliste des Bundesrats (Anhang 1 der Datenschutzverordnung), womit eine Bekanntgabe dorthin zwingend zusätzliche Garantien nach Artikel 16 Absatz 2 DSG braucht.
Usercentrics hält die Kette für die Consent-Verwaltung europäisch (Hosting Google Cloud Dublin, CDN aus Slowenien), räumt in der eigenen Datenschutzerklärung aber ein, man könne nicht ausschliessen, dass Daten in die USA gelangen und dort Behördenzugriff nach FISA 702 unterliegen.
OneTrust ist der einzige mit US-Muttergesellschaft und zugleich der einzige mit einem wählbaren Azure-Rechenzentrum in Zürich und einer aktiven Zertifizierung unter dem Swiss-US Data Privacy Framework. Ob die Besucher-IP im Einwilligungsprotokoll gespeichert, gekürzt oder gehasht wird, sagt OneTrust in keiner öffentlichen Quelle.

Anders gesagt: Der dänische Anbieter schickt im Standardfall IP-Adressen über einen US-Konzern, und der amerikanische Anbieter kann in Zürich hosten. Der Firmensitz ist kein Prüfkriterium. Der Datenweg ist eines.

Ein verbreiteter Irrtum sei hier ausgeräumt: Es heisst gelegentlich, Cookiebot sei behördlich verboten worden. Das Verwaltungsgericht Wiesbaden hat einer Hochschule 2021 tatsächlich die Einbindung untersagt. Der Hessische Verwaltungsgerichtshof hat diesen Beschluss im Januar 2022 wieder aufgehoben, aus verfahrensrechtlichen Gründen. Ein Hauptsacheverfahren dazu ist nicht bekannt. Die Aussage «verboten» ist falsch.

Öffentliche Spitäler stehen anders da, nämlich strenger

Hier ein Punkt, der in Diskussionen fast immer untergeht. Für öffentliche Spitäler gilt nicht das DSG des Bundes, sondern kantonales Datenschutzrecht. Der EDÖB stellt das selbst klar: Kantonsspitäler seien von seinen Bundes-Merkblättern «nicht direkt betroffen».

Und die Kantone sind teilweise deutlich strenger. Die Datenschutzbeauftragte des Kantons Zürich schreibt in ihrem Merkblatt zu Datenschutzerklärungen auf Websites öffentlicher Organe (Oktober 2025):

«Öffentliche Organe gestalten ihren Internetauftritt datenschutzkonform und verzichten auf personenbezogene Auswertungen des Nutzerverhaltens. Daher sind Datenschutzerklärungen, Banner, Pop-ups und andere Mechanismen nicht erforderlich.»

Und ausdrücklich: «Es sind keine Mechanismen einzusetzen, die den Nutzenden eine fiktive Einwilligung vorspiegeln.»

Die Logik dahinter ist zwingend: Im öffentlichen Datenschutzrecht ist die Einwilligung kein allgemeiner Rechtfertigungsgrund. Massgebend sind gesetzliche Aufgabe und Erforderlichkeit. Ein Kantonsspital, das ein handelsübliches Einwilligungsbanner einsetzt, macht damit zwei Fehler auf einmal: Es trackt ohne Erforderlichkeit, und es fragt nach einer Einwilligung, die es rechtlich gar nicht entgegennehmen kann. Als zulässige Alternative nennt die Behörde ausdrücklich anonymisierende Werkzeuge wie Matomo oder AWStats.

Für private Kliniken, Praxen und Spitalgruppen gilt das nicht. Sie unterstehen dem DSG und damit dem Weg über die ausdrückliche Einwilligung.

Was ein Haus konkret prüfen sollte

Selbst nachmessen. Rechtsklick, «Untersuchen», Reiter «Netzwerk», Seite neu laden, und zwar vor jedem Klick auf das Banner. Was jetzt schon an google-analytics.com, facebook.net oder doubleclick.net geht, geht ohne Einwilligung. Das dauert zwei Minuten und braucht kein Budget.
Die heiklen Unterseiten zuerst. Onkologie, Psychiatrie, Kinderwunsch, Suchtmedizin, Geburtshilfe. Dort ist der Seitenpfad selbst die Information.
Unterauftragsverarbeiter-Liste verlangen. Nicht den Firmensitz. Die Liste, mit Verarbeitungsorten. Bei Cookiebot zusätzlich klären, ob die europäische Variante aktiv ist. Sie ist es standardmässig nicht.
Prüfen, ob das Werkzeug wirklich blockiert. Ein Banner, das die Skripte erst nach der Einwilligung freigibt, ist etwas völlig anderes als eines, das nur fragt und alles laufen lässt.
Das Berufsgeheimnis mitdenken. Es ist eine eigene Rechtsschicht, keine Fussnote des Datenschutzrechts, und Artikel 9 Absatz 1 Buchstabe b DSG verbietet die Auslagerung ausdrücklich dort, wo eine Geheimhaltungspflicht entgegensteht.

Der Massstab liegt bereits vor

Für die Inhalte des elektronischen Patientendossiers hat der Gesetzgeber eine unmissverständliche Regel aufgestellt. Artikel 12 Absatz 5 der Verordnung über das elektronische Patientendossier:

«Die Datenspeicher müssen sich in der Schweiz befinden und dem Schweizer Recht unterstehen.»

Für die Besucherdaten derselben Institution auf ihrer eigenen Website gilt dieser Satz nicht. Das ist geltendes Recht und keine Lücke, die man wegdiskutieren sollte. Aber es ist ein Wertungsmassstab, den der Gesetzgeber selbst gesetzt hat. Wer die Adresse der Onkologie-Seite eines Spitals kennt, weiss über den Besucher womöglich mehr als mancher Eintrag im Dossier verrät.

Aiara ist ein Schweizer Anbieter für Cookie-Banner und Rechtstexte. Unsere Anwendung läuft auf Servern in St. Gallen; das Banner-Skript lädt ausschliesslich von aiara.ch und kontaktiert keine Drittanbieter. Im Einwilligungsprotokoll speichern wir die IP-Adresse nicht im Klartext, sondern nur einen gesalzenen SHA-256-Hashwert. Dass wir dieses Thema aufgreifen, hat mit unserem Geschäft zu tun. Die Messwerte oben kann trotzdem jede und jeder in zwei Minuten selbst nachvollziehen, und genau dazu möchten wir einladen.

Methodik: Aufgerufen am 2. September 2026 aus der Schweiz, je Website ein Seitenaufruf mit einem frischen Browserprofil, ohne Interaktion mit dem Einwilligungsbanner, Chromium 148, Sprache de-CH. Erfasst wurden alle ausgehenden Netzwerkanfragen. Als «Messpunkt» gewertet wurden ausschliesslich Aufrufe an bekannte Mess- und Werbeendpunkte, nicht das blosse Laden einer Bibliothek. Fünf Adressen waren nicht auflösbar, drei antworteten nicht innert 30 Sekunden.