Online-Terminbuchung und DSGVO: was Betriebe wissen müssen

Fast jeder Anbieter schreibt „DSGVO-konform“ auf seine Startseite. Das Wort sagt wenig, denn die Datenschutz-Grundverordnung gilt nicht für eine Software, sondern für Sie als Betrieb. Die Software kann es Ihnen leicht oder schwer machen, die Regeln einzuhalten. Verantwortlich bleiben Sie.

Dieser Artikel geht die Punkte durch, die bei einer Online-Terminbuchung tatsächlich anfallen. Er ersetzt keine Rechtsberatung. Bei Gesundheitsdaten oder besonderen Konstellationen lohnt der Blick einer Fachperson.

Wer ist wofür verantwortlich?

Die DSGVO kennt zwei Rollen, und bei der Terminbuchung sind sie klar verteilt:

• Sie sind Verantwortlicher. Sie entscheiden, welche Daten Ihre Kundschaft angibt, wofür Sie sie nutzen und wie lange Sie sie aufheben.
• Der Anbieter ist Auftragsverarbeiter. Er speichert und verarbeitet die Daten nur in Ihrem Auftrag und nach Ihren Weisungen, nicht für eigene Zwecke.

Ein Anbieter, der die Daten Ihrer Kundschaft für eigene Zwecke nutzt, zum Beispiel für ein Marktplatz-Profil oder Werbung bei Ihren Kunden, ist kein reiner Auftragsverarbeiter mehr. Dann wird es rechtlich deutlich komplizierter.

Der Auftragsverarbeitungsvertrag

Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, schreibt Artikel 28 DSGVO einen Vertrag dafür vor, den Auftragsverarbeitungsvertrag, kurz AVV. Ohne ihn verstoßen Sie gegen die Verordnung, selbst wenn technisch alles sauber läuft.

Was darin stehen muss

• Gegenstand und Zweck: welche Daten, wofür, wie lange.
• Technische und organisatorische Maßnahmen: wie die Daten geschützt werden, etwa Verschlüsselung, Zugriffsrechte und Backups.
• Unterauftragsverarbeiter: welche weiteren Firmen beteiligt sind, zum Beispiel für Hosting, E-Mail- oder SMS-Versand.
• Löschung nach Vertragsende: was mit den Daten passiert, wenn Sie kündigen.

Ein seriöser Anbieter stellt den AVV ohne Nachfrage bereit, meist als Seite oder PDF zum Abschließen im Konto. Wenn Sie erst danach fragen müssen oder ihn gar nicht bekommen, ist das ein Warnsignal.

Wo liegen die Daten?

Die DSGVO verbietet keine Server außerhalb der EU. Sie verlangt aber für jede Übermittlung in ein Drittland eine Rechtsgrundlage, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Für die USA gilt seit 2023 das EU-US Data Privacy Framework, dessen Bestand juristisch umstritten bleibt.

Praktisch heißt das: Je mehr Daten in Deutschland oder der EU bleiben, desto weniger müssen Sie erklären und desto weniger hängt von Entscheidungen ab, die Sie nicht beeinflussen. Fragen Sie nicht nur nach dem Server, sondern nach der Liste der Unterauftragsverarbeiter. Dort steht, ob E-Mails oder SMS über einen US-Dienst laufen.

Welche Daten Sie abfragen dürfen

Für eine Terminbuchung brauchen Sie Daten, um den Termin durchzuführen. Dafür ist keine Einwilligung nötig, die Grundlage ist die Vertragsanbahnung nach Artikel 6 Absatz 1 Buchstabe b DSGVO. Das deckt aber nur, was dafür erforderlich ist.

• Name und ein Kontaktweg sind fast immer erforderlich.
• Telefon und E-Mail zugleich nur, wenn Sie beides wirklich nutzen, etwa E-Mail für die Bestätigung und SMS für die Erinnerung.
• Geburtsdatum, Anschrift, Fotos nur, wenn die Leistung es verlangt. Sonst als freiwillige Felder.

Vorsicht bei Gesundheitsdaten

Notizen wie „Allergie gegen Latex“ im Kosmetikstudio oder „Bandscheibenvorfall“ in der Massagepraxis sind Gesundheitsdaten. Sie gehören zu den besonderen Kategorien nach Artikel 9 DSGVO und unterliegen strengeren Regeln. Fragen Sie solche Angaben nicht im öffentlichen Buchungsformular ab, sondern im persönlichen Gespräch, und halten Sie sie nur fest, wenn Sie sie für die Behandlung brauchen.

Erinnerungen, Werbung und Einwilligung

Eine Terminbestätigung und eine Erinnerung vor dem Termin gehören zur Abwicklung des gebuchten Termins. Dafür brauchen Sie in der Regel keine gesonderte Einwilligung.

Anders sieht es bei allem aus, was über den einzelnen Termin hinausgeht: Newsletter, Rabattaktionen, „Wir vermissen Sie“-Nachrichten. Das ist Werbung, und Werbung per E-Mail oder SMS braucht nach dem Gesetz gegen den unlauteren Wettbewerb grundsätzlich eine ausdrückliche Einwilligung. Eine schmale Ausnahme gibt es für Bestandskunden bei ähnlichen Leistungen, mit Hinweis auf das Widerspruchsrecht in jeder Nachricht.

Die Erinnerung an den gebuchten Termin ist Service. Die Erinnerung, dass es mal wieder Zeit für einen Termin wäre, ist Werbung.

Die Einbindung auf der eigenen Website

Viele Datenschutzprobleme entstehen nicht im Buchungssystem, sondern auf der Website, auf der es eingebunden ist.

• Datenschutzerklärung ergänzen. Wenn Sie ein Buchungsfenster einbetten oder auf eine Buchungsseite verlinken, gehört der Anbieter in Ihre Datenschutzerklärung: wer er ist, welche Daten dort verarbeitet werden und auf welcher Grundlage.
• Keine externen Schriften und Skripte ohne Grund. Das Landgericht München hat 2022 einem Website-Besucher Schadensersatz zugesprochen, weil eine Seite Google Fonts direkt von Google-Servern lud und so seine IP-Adresse übertrug (Az. 3 O 17493/20). Prüfen Sie, ob auch das eingebundene Buchungsfenster Schriften oder Tracking von Dritten lädt.
• Datenschutzhinweis im Formular. Vor dem Absenden sollte ein Link zur Datenschutzerklärung stehen, damit die Kundschaft weiß, was mit den Angaben passiert.

Auskunft und Löschung

Ihre Kundschaft hat das Recht zu erfahren, welche Daten Sie über sie gespeichert haben, und kann die Löschung verlangen. Für die Antwort haben Sie in der Regel einen Monat Zeit. Das klingt lang, wird aber knapp, wenn die Daten über Kalender, E-Mail-Postfach und Zettel verteilt sind.

• Auskunft: Lässt sich der Kunde mit allen Terminen und Notizen an einer Stelle aufrufen und exportieren?
• Löschung: Kann ein einzelner Kunde gezielt gelöscht werden, ohne die Auswertungen der Vergangenheit zu zerstören?
• Aufbewahrung: Rechnungen müssen Sie aus steuerlichen Gründen aufbewahren. Für reine Termindaten gibt es keine solche Pflicht, sie dürfen nicht unbegrenzt liegen bleiben.

Checkliste vor dem Start

• AVV mit dem Anbieter abgeschlossen und abgelegt
• Liste der Unterauftragsverarbeiter gelesen, Drittlandübermittlungen bekannt
• Pflichtfelder im Buchungsformular auf das Nötige reduziert
• Keine Gesundheitsangaben im öffentlichen Formular
• Erinnerungen ja, Werbung nur mit Einwilligung
• Datenschutzerklärung der Website um den Buchungsanbieter ergänzt
• Vorgehen für Auskunfts- und Löschanfragen geklärt

So ist es bei ServiceTerminPro gelöst

Der Auftragsverarbeitungsvertrag steht offen auf der Website, mit der vollständigen Liste der Unterauftragsverarbeiter. Anwendung und Datenbank laufen bei netcup in Nürnberg, E-Mails gehen über All-Inkl.com in Deutschland, SMS über seven.io in Düsseldorf. Die einzige Übermittlung außerhalb der EU betrifft den optionalen KI-Coach. Er erhält nur zusammengefasste, anonymisierte Auslastungsdaten und keine Kundendaten.

Die Buchungsseite fragt vor dem Absenden die Kenntnisnahme der Datenschutzerklärung ab. Einzelne Kunden lassen sich nach Artikel 17 gezielt löschen, und ab dem Starter-Paket exportieren Sie Kunden und Termine als CSV. Wie die Einführung im Betrieb abläuft, beschreibt der Artikel Online-Terminbuchung einführen.