WordPress-Wartung für Praxen, Therapie und Wellness
Terminbuchung und Kontaktformulare bedeuten sensible Daten – und damit Pflichten aus der DSGVO. Eine ungewartete Praxis-Website ist nicht nur ein technisches, sondern auch ein rechtliches Risiko.
Die typischen Risiken
Gesundheitsdaten im Kontaktformular
Sobald jemand sein Anliegen schildert, stehen Gesundheitsdaten im Formular – besonders geschützte Daten nach Artikel 9 DSGVO.
Terminbuchung als Angriffsfläche
Buchungs-Plugins speichern Namen, Kontaktdaten und Termingründe. Sie sind komplex und bekommen entsprechend häufig Sicherheitsupdates.
Reputationsschaden
Eine Praxis-Website, die eine Browser-Warnung zeigt, kostet mehr Vertrauen als jede schlechte Bewertung – und das bei Menschen, die ohnehin unsicher sind.
Consent-Tool ohne Pflege
Ein Cookie-Banner, das vor zwei Jahren eingerichtet und seitdem nicht angefasst wurde, deckt neue Einbindungen nicht ab. Abmahnfähig, und leicht zu vermeiden.
Ein typischer Fall
Eine Physiotherapie-Praxis nutzt ein Formular, in dem Patientinnen und Patienten ihre Beschwerden schildern. Die Einträge werden vom Plugin zusätzlich in der WordPress-Datenbank gespeichert – ohne dass es jemand eingerichtet hätte, das ist schlicht die Standardeinstellung. Nach zwei Jahren liegen dort mehrere hundert Datensätze mit Gesundheitsangaben, erreichbar für jeden, der Zugang zum Backend bekommt.
Beim Sicherheits-Audit fällt so etwas auf. Die Lösung ist meist unspektakulär: Speicherung abschalten, Altbestand löschen, Löschfrist dokumentieren.
Meine Empfehlung
Betrieb als Grundausstattung – wegen der Prüfung nach jedem Update und des Quartalsaudits.
Dringend zu empfehlen: der DSGVO- und Cookie-Check je Quartal, inklusive Pflege des Consent-Tools.
Bei Online-Terminbuchung mit Zahlungsfunktion: Garantie.
Die Kurz-Checkliste
Gehen Sie diese Punkte einmal durch. Wenn Sie bei mehr als zwei zögern, lohnt sich der kostenlose Check.
-
Sie wissen, ob Formulareinträge in der Datenbank gespeichert werden
-
Für gespeicherte Daten gibt es eine dokumentierte Löschfrist
-
Das Consent-Tool deckt alle aktuell eingebundenen Dienste ab
-
Die Datenschutzerklärung nennt das Terminbuchungssystem
-
Alle Zugänge sind mit Zwei-Faktor-Anmeldung geschützt
-
Es gibt einen Auftragsverarbeitungsvertrag mit Ihrem Dienstleister
Passende Stufen
Schutz
Onepager und kleine Firmenwebsites ohne Shop, bis etwa zehn Seiten.
-
Wöchentliche Updates für Core, Plugins und Theme – mit Sichtprüfung
-
Tägliches Backup außerhalb des Servers, 30 Tage Aufbewahrung
-
Uptime-Monitoring rund um die Uhr
-
Firewall und Malware-Scan
-
Login-Härtung, Zwei-Faktor-Authentifizierung, Spam-Schutz
-
Monatsreport per E-Mail
-
Reaktion an Werktagen innerhalb von 24 Stunden
-
Keine Staging-Umgebung
-
Keine inklusive Änderungszeit
Betrieb
Hotels, Praxen, Handwerk – Websites, über die Anfragen und Buchungen laufen.
-
Alles aus Schutz
-
Updates werden zuerst auf einer Staging-Umgebung getestet
-
Formular- und Buchungs-Check nach jedem Update
-
Performance-Monitoring inklusive Core Web Vitals
-
Automatische Bildoptimierung
-
Quartals-Sicherheitsaudit mit Risiko-Score
-
30 Minuten kleine Änderungen pro Monat inklusive
-
Monatsreport in Klartext statt Tool-Export
-
Reaktion innerhalb von 8 Stunden
Garantie
WooCommerce, mehrsprachige Websites, Buchungssysteme – überall dort, wo ein Ausfall direkt Umsatz kostet.
-
Alles aus Betrieb
-
Testkauf beziehungsweise Testbuchung nach jedem Update
-
Stündliche Backups, 90 Tage Aufbewahrung
-
Hack-Bereinigung inklusive, zwei Vorfälle im Jahr – das ist die Garantie
-
Monatliches Audit, Log-Analyse, Prüfung der Benutzerrechte
-
60 Minuten Änderungen pro Monat inklusive
-
Priorisierter Telefonkontakt
-
Reaktion innerhalb von 4 Stunden, im Notfall auch samstags
Dieses Angebot richtet sich ausschließlich an Unternehmen, Selbständige, Behörden und Vereine. Alle Preise netto zuzüglich gesetzlicher Umsatzsteuer. Vor Vertragsbeginn einmalig 249 € für Sicherheits-Audit und Onboarding – bei Jahresvertrag entfällt die Gebühr. Laufzeit: monatlich kündbar nach den ersten drei Monaten. In der Garantie-Stufe ist die Hack-Bereinigung für bis zu zwei Vorfälle je Vertragsjahr enthalten, darüber hinaus nach Aufwand. Reaktionszeiten sind Richtwerte für die erste Rückmeldung an Werktagen innerhalb der Servicezeiten, keine zugesicherte Eigenschaft. Es gelten meine AGB.
Häufige Fragen
Reicht ein Cookie-Banner für die DSGVO?
Nein. Das Banner regelt Einwilligungen für nicht notwendige Cookies. Artikel 32 verlangt zusätzlich angemessene technische Maßnahmen: verschlüsselte Übertragung, Zugriffskontrolle, Protokollierung, Backups. Genau das ist der Inhalt der Wartung.
Nein. Das Banner regelt Einwilligungen für nicht notwendige Cookies. Artikel 32 verlangt zusätzlich angemessene technische Maßnahmen: verschlüsselte Übertragung, Zugriffskontrolle, Protokollierung, Backups. Genau das ist der Inhalt der Wartung.
Dürfen Formulareinträge in WordPress gespeichert werden?
Technisch ja, datenschutzrechtlich braucht es dafür eine Rechtsgrundlage, eine Löschfrist und eine Erwähnung in der Datenschutzerklärung. In den meisten Praxen ist es einfacher, die Speicherung abzuschalten und nur per E-Mail zu versenden. Ich prüfe das im Audit.
Technisch ja, datenschutzrechtlich braucht es dafür eine Rechtsgrundlage, eine Löschfrist und eine Erwähnung in der Datenschutzerklärung. In den meisten Praxen ist es einfacher, die Speicherung abzuschalten und nur per E-Mail zu versenden. Ich prüfe das im Audit.
Brauchen wir einen Auftragsverarbeitungsvertrag mit Ihnen?
Ja, und den bekommen Sie mit dem Vertrag. Ich habe im Rahmen der Wartung Zugriff auf Systeme, in denen personenbezogene Daten liegen – damit ist ein Vertrag nach Artikel 28 DSGVO erforderlich.
Ja, und den bekommen Sie mit dem Vertrag. Ich habe im Rahmen der Wartung Zugriff auf Systeme, in denen personenbezogene Daten liegen – damit ist ein Vertrag nach Artikel 28 DSGVO erforderlich.
Was passiert bei einem Datenschutzvorfall?
Ich dokumentiere den Befund so, dass Sie die Meldung nach Artikel 33 innerhalb von 72 Stunden machen können, und sichere die Spuren. Die rechtliche Bewertung und die Meldung selbst liegen bei Ihnen beziehungsweise Ihrem Anwalt.
Ich dokumentiere den Befund so, dass Sie die Meldung nach Artikel 33 innerhalb von 72 Stunden machen können, und sichere die Spuren. Die rechtliche Bewertung und die Meldung selbst liegen bei Ihnen beziehungsweise Ihrem Anwalt.
Sie wissen nicht, wie es um Ihre Website steht?
Der Sicherheits-Check ist kostenlos: Sie bekommen innerhalb von 24 Stunden ein kurzes, persönliches Video mit dem Befund. Kein automatischer Bericht, kein Verkaufsdruck.