DSGVO-konforme Healthcare-Marketing-Automation für den DACH-Raum: Der komplette Leitfaden

Healthcare-Marketing-Automation ist im DACH-Raum rechtssicher möglich, wenn die Rechtsgrundlage für jede Datenverarbeitungsstufe vor dem ersten automatisierten Kontakt geklärt ist. Gesundheitsdaten fallen unter Art. 9 DSGVO und unterliegen einem generellen Verarbeitungsverbot, das nur durch ausdrückliche Einwilligung oder eng definierte Ausnahmetatbestände aufgebrochen wird. Dieser Beitrag zeigt, was das für Automationen konkret bedeutet und wie das Setup aussieht.

Das Wichtigste in Kürze

• Gesundheitsdaten nach Art. 9 DSGVO dürfen für Marketing ausschließlich auf Basis einer ausdrücklichen, zweckspezifischen Einwilligung verarbeitet werden – der Behandlungsvertrag reicht dafür nicht.
• Schon die Kombination „Name + Terminart" (z. B. „Zahnarzttermin") gilt rechtlich als Gesundheitsdatum und unterliegt dem erhöhten Schutzstandard.
• Die Schweiz unterliegt nicht der DSGVO, sondern dem revidierten DSG, das eigene Anforderungen stellt – insbesondere bei Profiling und Drittlandtransfers.
• Wer Patientendaten umfangreich verarbeitet, ist zur Datenschutz-Folgenabschätzung (DPIA) nach Art. 35 DSGVO verpflichtet – auch wenn kein Vorfall eingetreten ist.
• Marketing-Automationen im Healthcare-Bereich lassen sich mit ActiveCampaign aufbauen, wenn EU-Datenspeicherung, gültiger AVV und ein sauber getrenntes Tag-System genutzt werden.

Was Art. 9 DSGVO für Healthcare-Marketing bedeutet

Die DSGVO unterscheidet zwischen gewöhnlichen personenbezogenen Daten und besonderen Kategorien. Gesundheitsdaten gehören zur zweiten Gruppe und dürfen grundsätzlich nicht verarbeitet werden. Dieses generelle Verarbeitungsverbot gilt auch für Marketingzwecke. Wer Patientendaten für Newsletter, Recall-Kampagnen oder automatisierte Kommunikation nutzen will, braucht eine der Ausnahmen, die Art. 9 Abs. 2 DSGVO abschließend auflistet.

Im Healthcare-Marketing ist praktisch immer Art. 9 Abs. 2 lit. a einschlägig: die ausdrückliche Einwilligung der betroffenen Person für einen oder mehrere konkret festgelegte Zwecke. Das ist etwas grundlegend anderes als die stillschweigende Zustimmung, die ein Behandlungsvertrag erzeugt. Der Behandlungsvertrag deckt die Datenverarbeitung für die Gesundheitsversorgung nach Art. 9 Abs. 2 lit. h ab – nicht für Marketingkommunikation. Wer diesen Unterschied übersieht, baut auf einer nicht tragfähigen Rechtsgrundlage.

Was als Gesundheitsdatum gilt – der weite Anwendungsbereich

Der Begriff „Gesundheitsdaten" ist in der DSGVO bewusst weit definiert. Erfasst sind alle Informationen, die Rückschlüsse auf den körperlichen oder geistigen Gesundheitszustand einer natürlichen Person ermöglichen. In der Marketing-Praxis entsteht ein Gesundheitsdatum häufig als Kombination von zwei für sich genommen unproblematischen Informationen.

• Name + Terminart (z. B. „Erstgespräch Psychotherapie") ist ein Gesundheitsdatum.
• Name + Behandlungsort (z. B. „Klinik für Neurologie") ist ein Gesundheitsdatum.
• E-Mail-Segmente wie „Patienten mit Rückenproblemen" sind Gesundheitsdaten, auch wenn kein Klarname im Segment-Titel erscheint – der Segment-Inhalt trägt die Information.
• Eine reine Zeitangabe „letzter Besuch: 15. März 2026" ohne Bezug zu einer medizinischen Kategorie ist kein Gesundheitsdatum.

Diese Weite ist für Marketing-Automationen entscheidend: Selbst wenn du in einer E-Mail keine Diagnose erwähnst, können Tags, Listen oder Segmente, die im CRM hinterlegt sind, Gesundheitsdaten darstellen. Die Verarbeitungslogik im Hintergrund – wer bekommt welche Automation aufgrund welcher Bedingung – unterliegt damit dem erhöhten Schutzstandard nach Art. 9, nicht nur der sichtbare Text der E-Mail selbst.

Die Einwilligung muss Marketingzwecke explizit benennen

Eine gültige Einwilligung für Healthcare-Marketing-Automationen muss vier Anforderungen gleichzeitig erfüllen. Erstens Freiwilligkeit: Die Behandlung darf nicht davon abhängen, ob jemand dem Newsletter zustimmt (Kopplungsverbot nach Art. 7 Abs. 4 DSGVO). Zweitens muss die Einwilligung informiert sein: Welche Daten werden für welchen Zweck verarbeitet. Drittens muss sie spezifisch sein: Eine Recall-Kampagne für Vorsorgeuntersuchungen und ein allgemeiner Gesundheitstipps-Newsletter sind zwei unterschiedliche Zwecke, die separate Einwilligungen erfordern. Viertens muss sie unmissverständlich eingeholt werden: aktive Handlung, kein vorausgefülltes Häkchen, kein Opt-out.

In der Praxis empfiehlt es sich, die Einwilligung beim Erstkontakt einzuholen – bevor jemand formal Patient wird – und diese Einwilligung mit Datum und Inhalt dokumentiert in ActiveCampaign zu übertragen. Wer die Einwilligung nachträglich einholt, hat oft das Problem, dass schon Daten verarbeitet wurden, bevor die rechtliche Grundlage bestand.

Länderspezifische Anforderungen im Vergleich: Deutschland, Österreich, Schweiz

Im DACH-Raum gelten drei unterschiedliche Rechtssysteme, die sich in Schlüsselpunkten unterscheiden. Für Marketing-Teams, die mehrere Märkte gleichzeitig bedienen, ist ein klarer Überblick der Unterschiede notwendig – nicht optional.

Der für Marketing-Teams wichtigste Punkt: Die Schweiz ist kein DSGVO-Mitglied. Das revidierte DSG ist in vielen Punkten der DSGVO angeglichen, unterscheidet sich aber in Detailfragen – vor allem bei Profiling-Definitionen, automatisierten Einzelentscheidungen und den Schwellenwerten für die Datenschutz-Folgenabschätzung. Ein ActiveCampaign-Account, der Daten von Schweizer Patienten verarbeitet, muss den Anforderungen des revidierten DSG entsprechen – nicht nur der DSGVO. Wer nur mit einem DSGVO-Compliance-Testat wirbt, hat in der Schweiz keine vollständige Grundlage.

Die ärztliche Schweigepflicht als eigenständiges Risiko

Neben dem Datenschutzrecht greift im Healthcare-Bereich die ärztliche Schweigepflicht. Sie ist in Deutschland im Strafgesetzbuch verankert (§ 203 StGB) und gilt für alle Berufsgeheimnisträger im Gesundheitswesen, also nicht nur für Ärzte, sondern auch für Psychotherapeuten, Apotheker und deren Mitarbeiter. Die Weitergabe von Patienteninformationen an Marketing-Tools, die als Drittanbieter gelten, fällt unter diese Regelung.

Das bedeutet: Selbst wenn eine DSGVO-Einwilligung für Marketing-E-Mails vorliegt, muss separat sichergestellt sein, dass die Übertragung von behandlungsbezogenen Daten an ActiveCampaign nicht gegen die Schweigepflicht verstößt. Die sichere Lösung ist das Trennprinzip: Im Marketing-Tool stehen ausschließlich Daten, die keine Rückschlüsse auf Behandlungen erlauben.

Wann die Datenschutz-Folgenabschätzung Pflicht ist

Art. 35 DSGVO verpflichtet zur Datenschutz-Folgenabschätzung (DPIA), wenn eine Verarbeitungsform voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Für Healthcare-Marketing sind zwei Kriterien besonders relevant: die Verarbeitung besonderer Kategorien nach Art. 9 in großem Umfang und systematisches Profiling von Patienten auf Basis sensibler Merkmale.

Wer also Patientensegmente nach Diagnosegruppen, Behandlungshistorie oder medizinischen Präferenzen anlegt und auf dieser Basis automatisierte Kommunikation auslöst, bewegt sich typischerweise im DPIA-pflichtigen Bereich. Das gilt auch dann, wenn die Segmente intern genutzt werden und in der externen Kommunikation keine sensiblen Details sichtbar sind – die Verarbeitungslogik selbst ist das, was bewertet wird.

Was eine DPIA in der Praxis umfasst

Eine Datenschutz-Folgenabschätzung ist kein einmaliges Dokument, sondern ein iterativer Prozess. Du dokumentierst, welche Daten für welche Zwecke verarbeitet werden, bewertest das Risiko für betroffene Personen und legst fest, welche Maßnahmen dieses Risiko auf ein akzeptables Niveau senken. Für Healthcare-Marketing-Automationen sind das typischerweise: Einwilligungsmanagement-Prozesse, rollenbasierte Zugriffskontrollen, Verschlüsselung ruhender und übertragener Daten sowie definierte Löschfristen.

Wer eine DPIA nicht durchführt, obwohl sie erforderlich wäre, riskiert Bußgelder – unabhängig davon, ob tatsächlich ein Datenschutzvorfall eingetreten ist. Aufsichtsbehörden prüfen das Verfahren selbst, nicht nur seine Ergebnisse. Die Dokumentationspflicht besteht unabhängig vom Ergebnis der Bewertung.

Typische Fehler im Healthcare-Marketing – Ursachen und Gegenmittel

Die meisten Compliance-Probleme im Healthcare-Marketing entstehen nicht durch böse Absicht, sondern weil Marketing-Profis Standard-Setups aus anderen Branchen unverändert übernehmen. Diese vier Muster zeigen sich besonders häufig.

Tracking-Codes auf Buchungs- und Patientenseiten

Google Analytics, Meta Pixel oder ähnliche Drittanbieter-Tracking-Tools haben auf Seiten nichts zu suchen, auf denen Patienten Termine buchen, Befunde abrufen oder sich in Portale einloggen. Das Problem: Diese Codes werden aktiviert, wenn jemand die Seite aufruft – nicht erst, wenn ein bestimmter Button geklickt wird. Wer Tracking-Tags nicht sorgfältig nach Seitentyp segmentiert, gibt damit implizit preis, dass jemand einen Arzt aufgesucht hat – ein Gesundheitsdatum, ohne dass eine Einwilligung dafür eingeholt wurde.

Gegenmittel: Im Tag-Manager werden Healthcare-spezifische Seitenpfade explizit ausgeschlossen. Tracking greift erst nach einer Opt-in-Abfrage für Analyse-Cookies. In ActiveCampaign lässt sich das Site-Tracking auf bestimmte Domains und Pfade beschränken – diese Konfiguration gehört zum ersten Einrichtungsschritt, nicht zum letzten.

Behandlungsdetails in E-Mail-Betreffzeilen

Betreffzeilen wie „Ihr Termin zur Diabetesberatung am 20. August" oder „Erinnerung: Ihre Mammografie nächste Woche" sind in mehrfacher Hinsicht problematisch. Sie erscheinen im E-Mail-Client unverschlüsselt und sind für Personen mit Zugang zum Gerät oder zur Vorschaufunktion sichtbar. Sie erfüllen zudem nicht das Grundsatz der Datensparsamkeit nach Art. 5 Abs. 1 lit. c DSGVO. Der gültige Standard für Recall- und Erinnerungs-E-Mails lautet: generische Betreffzeile, Individualisierung erst im authentifizierten Bereich eines Patientenportals.

Pauschale Einwilligungen im Behandlungsvertrag

Eine Einwilligung, die am Ende eines Behandlungsvertrags steht und pauschal „Werbung und Newsletter" erlaubt, ist in den meisten Fällen unwirksam: Sie ist nicht spezifisch genug für die jeweiligen Marketingzwecke, und die Freiwilligkeit ist fragwürdig, wenn die Zustimmung als Teil des Vertragsabschlusses präsentiert wird. Wer Patienten nach Behandlungsabschluss per automatisierter E-Mail-Sequenz ansprechen will, braucht eine separate, eigenständige Einwilligung – mit klar benannten Inhalten, konkreten Zwecken und einer einfachen Widerrufsmöglichkeit.

AVV ohne Klausel für besondere Datenkategorien

ActiveCampaign stellt einen Standard-Auftragsverarbeitungsvertrag bereit. Dieser reicht aus, wenn strikt nach dem Trennprinzip gearbeitet wird – also keine Art.-9-Daten ins CRM wandern. Wer dennoch Diagnose-Tags, Behandlungsgruppen oder medizinische Segmente in ActiveCampaign anlegt, verarbeitet besondere Kategorien im Tool. In diesem Fall braucht der AVV eine explizite Regelung zu Art.-9-Daten und zu den entsprechenden technisch-organisatorischen Schutzmaßnahmen des Anbieters. Das sollte vor dem Setup mit dem Datenschutzbeauftragten der Einrichtung besprochen werden.

DSGVO-konforme Healthcare-Automation aufbauen – Schritt für Schritt

Das folgende Setup beschreibt einen Recall-Workflow für eine Zahnarztpraxis, der nach dem Trennprinzip aufgebaut ist. Die Logik ist auf Kliniken, physiotherapeutische Praxen und andere Healthcare-Einrichtungen übertragbar. Ausgangspunkt: Patientendaten liegen in der Praxisverwaltungssoftware; du willst automatisierte Recall-E-Mails für Vorsorgeuntersuchungen aufbauen.

1. Einwilligung dokumentiert einholen, bevor Daten in ActiveCampaign wandern. Patienten erhalten beim Erstkontakt ein eigenständiges Formular für Marketing-Kommunikation – getrennt vom Behandlungsvertrag. Die Einwilligung benennt den Zweck (z. B. „Recall-E-Mails für Vorsorgeuntersuchungen") und erklärt die Widerrufsmöglichkeit. Datum und Inhalt der Einwilligung werden als Tag in ActiveCampaign gespeichert (z. B. „einwilligung-recall-2026-08").
2. Klare Datentrennung zwischen Praxissystem und CRM definieren. Die Praxisverwaltungssoftware enthält: Diagnosen, Behandlungsdetails, Befunde, Medikamente. ActiveCampaign enthält ausschließlich: Vorname, E-Mail, Datum des letzten Besuchs, Einwilligungsstatus und allgemeine Recall-Kategorien (z. B. „recall-intervall-halbjahr"). Keine medizinischen Informationen, keine Behandlungsdetails.
3. Automation anlegen: Automationen → Erstellen → Trigger „Kontakt-Datum-Feld". Als Trigger-Feld wählst du das selbst definierte Feld „letzter-besuch-datum". Die Bedingung: Wenn dieses Datum mehr als 5 Monate zurückliegt UND der Tag „einwilligung-recall" gesetzt ist, startet die Sequenz. Beide Bedingungen müssen zutreffen.
4. E-Mail-Sequenz mit generischer Betreffzeile anlegen. Beispiel-Betreffzeile: „Ihr nächster Termin in unserer Praxis". Kein Hinweis auf Behandlung, Diagnose oder medizinische Kategorie. Personalisierung beschränkt sich auf Vorname und Praxisname. Inhalt: freundliche Erinnerung und Bitte um Terminvereinbarung über einen sicheren Buchungslink.
5. Buchungslink tracken, Buchungsseite nicht. Der Klick auf den Buchungslink darf über ActiveCampaign aufgezeichnet werden. Die Seite, auf die der Link verweist, darf kein Drittanbieter-Tracking enthalten. Wenn möglich, nutzt die Buchungsseite First-Party-Tracking mit einem cookielosen Ansatz.
6. Widerruf automatisch verarbeiten. Wenn ein Kontakt auf den Abmeldelink klickt, wird der Tag „einwilligung-recall" entfernt, der Kontakt aus allen Recall-Automationen ausgetragen und ein Löschfrist-Tag gesetzt. Dieser Prozess muss ohne manuellen Eingriff funktionieren – er gehört zum Setup, nicht zum laufenden Betrieb.
7. Testlauf mit Dummy-Profilen durchführen, bevor die Automation live geht. Lege zwei Testprofile an, die alle Bedingungen erfüllen. Prüfe, ob die richtigen E-Mails ausgelöst werden, ob die Betreffzeile keine sensiblen Informationen enthält, ob der Abmeldeprozess funktioniert und ob der Einwilligungs-Tag korrekt gesetzt und entfernt wird.

Dieser Workflow ist bewusst schlank gehalten, weil er Einwilligung und Behandlungsdaten sauber trennt. Was in der Praxisverwaltung steht, bleibt dort. Was in ActiveCampaign steht, ist für Marketingzwecke freigegeben. Das macht den Aufbau überschaubar und die Compliance prüfbar. Wie eine solche Automation in ActiveCampaign technisch konfiguriert wird, zeigt der Leitfaden zum Erstellen von ActiveCampaign-Automationen im Detail.

Segmentierung ohne Gesundheitsdaten – wie das in der Praxis geht

Das Trennprinzip klingt restriktiver als es ist. Du musst keine Diagnosen oder Behandlungsdetails in ActiveCampaign speichern, um relevante und personalisierte Kommunikation zu liefern. Verhaltensbasierte Tags und Zeitdaten geben dir den notwendigen Spielraum.

• Timing-Tags: „letzter-besuch-0-6-monate" oder „letzter-besuch-6-12-monate" – Recall-Timing auf Basis von Zeitintervallen, ohne Behandlungsbezug.
• Kanal-Präferenz-Tags: „kommunikation-email" oder „kommunikation-sms" – welche Kanäle der Patient beim Erstkontakt angegeben hat.
• Freiwillige Interessen-Tags: „content-interesse-ernaehrung", „content-interesse-praevention" – nur auf Basis aktiver Angaben, nie aus Behandlungsdaten abgeleitet.
• Regionale Tags: „sprache-de", „sprache-de-at", „sprache-de-ch" – für länderspezifische Kommunikation und Rechtssystem-Zuordnung.
• Lifecycle-Tags: „patient-status-neu", „patient-status-aktiv", „patient-status-inaktiv-12-monate" – für unterschiedliche Kommunikationsfrequenz ohne Behandlungsinhalt.

Diese Tags erfordern keine Art.-9-Einwilligung, weil sie keine Rückschlüsse auf den Gesundheitszustand zulassen. Auf dieser Basis lässt sich ein Großteil des sinnvollen Healthcare-Marketings abwickeln: Recall, Onboarding, Präventions-Content, saisonale Hinweise. Was du nicht kannst – und nicht kannst mit gutem Grund – sind diagnosebasierte Targeting-Segmente wie „Alle Patienten mit Bluthochdruck erhalten Kampagne X". Das ist der Bereich, der Art. 9 aktiviert.

ActiveCampaign für Healthcare: EU-Datenspeicherung und AVV

ActiveCampaign bietet Datenspeicherung auf EU-Servern für europäische Kunden. Das bedeutet: Kontaktdaten werden physisch in EU-Rechenzentren gespeichert und nicht in US-Infrastruktur verarbeitet. Für Healthcare-Setups ist das ein Pflichtkriterium, kein optionales Feature. Die Einstellung findest du im Account unter Einstellungen → Datenspeicherung. Bei einem neuen Account lässt sich die Region direkt bei der Einrichtung wählen.

Der Standard-AVV von ActiveCampaign ist in den Nutzungsbedingungen integriert und regelt die wesentlichen Pflichten: Verarbeitung nur nach Weisung des Kunden, Offenlegung von Subprozessoren, geeignete technisch-organisatorische Maßnahmen und Meldepflichten bei Datenschutzvorfällen. Für Healthcare-Setups, die konsequent nach dem Trennprinzip arbeiten – also ohne Art.-9-Daten in ActiveCampaign – ist dieser Standard-AVV in der Regel ausreichend.

Wer Art.-9-Daten im Tool verarbeiten will (was wir nicht empfehlen), muss prüfen, ob ActiveCampaign dafür einen speziellen AVV-Zusatz oder Business Associate Agreement anbietet und ob dieser den konkreten Anforderungen der eigenen Datenschutz-Folgenabschätzung entspricht. Das ist kein standardisierter Prozess und erfordert direkten Kontakt mit dem Anbieter.

EU AI Act 2026: Neue Anforderungen für KI-basierte Marketing-Tools

Seit 2026 greift der EU AI Act mit Anforderungen für KI-Anwendungen, die im Gesundheitsbereich eingesetzt werden. Marketingsysteme, die auf der Basis von Patientendaten automatisierte Entscheidungen treffen – zum Beispiel: wer bekommt welchen Content auf Basis eines KI-generierten Score-Modells – können unter die Hochrisiko-Kategorie des AI Act fallen, wenn Gesundheitsdaten dabei verarbeitet werden. Das bedeutet: Pflicht zur Transparenz-Dokumentation, Risikomanagement und in bestimmten Fällen zur Registrierung in der EU AI-Datenbank.

Standardmäßige Recall-Automationen, die rein auf Zeitintervallen basieren, fallen in der Regel nicht in den Hochrisiko-Bereich. Sobald aber maschinelles Lernen eingesetzt wird, um Patientenverhalten vorherzusagen oder automatisiert zu kategorisieren, sollte die AI-Act-Konformität geprüft werden.

Häufige Fragen

Ist Newsletter-Marketing einer Arztpraxis an bestehende Patienten ohne neue Einwilligung erlaubt?

Nein. Die ärztliche Schweigepflicht und Art. 9 DSGVO verlangen eine ausdrückliche Einwilligung für jeden Marketingzweck – unabhängig davon, ob ein Behandlungsverhältnis besteht. Der Behandlungsvertrag deckt nur die für die Versorgung notwendige Datenverarbeitung ab. Für Newsletter und Recall-Kampagnen braucht jeder Patient eine separate, informierte Einwilligung, die den Marketingzweck explizit benennt. Die bloße Tatsache, dass jemand Patient ist, begründet keine Einwilligung.

Welche Bußgelder drohen bei einem Verstoß gegen Art. 9 DSGVO im Marketing?

Verstöße gegen Art. 9 DSGVO unterliegen dem höchsten Bußgeldrahmen der DSGVO: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem was höher ist (Art. 83 Abs. 5 DSGVO). Aufsichtsbehörden haben bei Gesundheitsdaten erfahrungsgemäß eine niedrigere Toleranzschwelle als in anderen Sektoren. Daneben droht nach deutschem Recht ein Strafbarkeitsrisiko nach § 203 StGB, wenn ärztliche Schweigepflicht durch Datenweitergabe an unberechtigte Dritte verletzt wird.

Brauche ich für jeden neuen Marketing-Workflow eine eigene Datenschutz-Folgenabschätzung?

Nicht zwingend für jeden einzelnen Workflow. Eine DPIA muss für jeden Verarbeitungszweck durchgeführt werden, der voraussichtlich ein hohes Risiko erzeugt. Wenn du einen Recall-Workflow und eine Präventions-Newsletter-Kampagne auf identischer Datenbasis mit identischen Schutzmaßnahmen aufbaust, kann eine gemeinsame DPIA beide abdecken. Wesentliche Änderungen an Datenumfang, Empfängerkreis, Verarbeitungslogik oder eingesetzten Tools erfordern eine neue Bewertung oder zumindest eine Aktualisierung der bestehenden DPIA.

Gilt die DSGVO auch für Schweizer Unternehmen, die EU-Patienten ansprechen?

Ja. Die DSGVO gilt nach dem Marktortprinzip (Art. 3 Abs. 2) auch für Anbieter außerhalb der EU, wenn sie EU-Ansässigen Dienstleistungen anbieten oder deren Verhalten beobachten. Eine Züricher Klinik, die EU-Patienten per E-Mail-Automation anspricht, fällt damit unter die DSGVO – zusätzlich zum revidierten DSG, das innerhalb der Schweiz gilt. Es gelten also beide Rechtssysteme parallel, was die Compliance-Anforderungen erhöht.

Wie verhält sich die ärztliche Schweigepflicht zu Marketing-Tools wie ActiveCampaign?

ActiveCampaign ist rechtlich ein Drittanbieter. Die Übertragung von Informationen, die im Behandlungskontext bekannt wurden, an einen Drittanbieter ist grundsätzlich eine Offenbarung im Sinne von § 203 StGB. Das lässt sich vermeiden, wenn konsequent nach dem Trennprinzip vorgegangen wird: Im Marketing-Tool stehen ausschließlich Daten, die keine Rückschlüsse auf Behandlungen erlauben. Dann liegt keine Offenbarung von Patientengeheimnissen vor, und die Schweigepflicht ist nicht berührt.

Was ist der Unterschied zwischen DSGVO-Compliance und DSG-Compliance für Healthcare-Marketing in der Schweiz?

Das revidierte DSG der Schweiz ist strukturell der DSGVO ähnlich, aber kein nationales Umsetzungsgesetz der DSGVO. Wichtige Unterschiede: Das DSG kennt keine ausdrückliche Bußgeldregelung wie Art. 83 DSGVO, stattdessen können Strafbestimmungen greifen. Die Anforderungen an automatisierte Einzelentscheidungen sind im DSG enger gefasst. Und das DSG verlangt in bestimmten Fällen eine Datenschutz-Folgenabschätzung auch ohne EU-Bezug. Ein Schweizer Healthcare-Unternehmen, das nur Schweizer Patienten bedient, muss ausschließlich das DSG einhalten – aber sobald EU-Patienten angesprochen werden, greift zusätzlich die DSGVO.

Wo der Aufwand sich lohnt

Healthcare-Marketing-Automation ist kein Compliance-Hindernis, sondern ein Designproblem. Wer von Anfang an klar trennt – was ins Praxissystem gehört und was ins Marketing-Tool –, schöpft den Spielraum der DSGVO voll aus, ohne in die Reichweite von Art. 9 zu geraten. Die technischen Voraussetzungen in ActiveCampaign sind vorhanden: EU-Datenspeicherung, AVV, konfigurierbares Site-Tracking, Einwilligungsmanagement. Die entscheidende Arbeit liegt in den Prozessen davor: Einwilligungen dokumentiert einholen, Datenflüsse zwischen Praxissoftware und CRM klar definieren, das Team auf das Trennprinzip einweisen. Wer diesen Rahmen einmal sauber aufgesetzt hat, kann skalierbare Recall-, Onboarding- und Retention-Workflows betreiben – für Einzelpraxen, Klinikverbünde und Healthcare-Dienstleister gleichermaßen.