Online-Terminbuchung und DSGVO: Was Betriebe beachten müssen

1. Die Rechtsgrundlage ist meist unproblematisch

Wenn jemand bei Ihnen einen Termin bucht, verarbeiten Sie seine Daten, um einen Vertrag anzubahnen oder zu erfüllen. Das deckt Art. 6 Abs. 1 lit. b DSGVO ab – Sie brauchen dafür keine gesonderte Einwilligung.

Wichtig ist die Abgrenzung: Der Termin selbst läuft über diese Grundlage. Alles darüber hinaus nicht. Wer die E-Mail-Adresse aus einer Terminbuchung später für einen Newsletter verwendet, braucht dafür eine eigene, ausdrückliche Einwilligung. Vermischen Sie beides nicht in einer einzigen Checkbox – das macht die Einwilligung angreifbar und die Terminbuchung gleich mit.

2. Fragen Sie nur ab, was Sie wirklich brauchen

Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO ist kein Formalismus, sondern die Regel mit der größten praktischen Wirkung: Was Sie nicht erheben, kann nicht gestohlen, nicht falsch verwendet und nicht versehentlich zu lange gespeichert werden.

Ein brauchbarer Prüfmaßstab für jedes Feld im Buchungsformular:

• Name und E-Mail – nötig, um den Termin zu bestätigen. Unstrittig.
• Telefonnummer – nötig bei Vor-Ort-Terminen und Rückrufen. Bei einem reinen Videogespräch schwer zu begründen. Machen Sie sie optional.
• Anschrift – nur bei Terminen beim Kunden. Sonst nicht.
• Freitextfeld „Ihr Anliegen“ – heikel. Kunden schreiben dort Dinge hinein, die Sie gar nicht wissen wollten, im Gesundheitsbereich auch Gesundheitsdaten nach Art. 9 DSGVO. Entweder weglassen oder deutlich beschriften, was hineingehört.
• Geburtsdatum, Versichertennummer, Ausweisdaten – gehören nicht in ein öffentliches Buchungsformular.

3. Der blinde Fleck: Was der Anbieter über Ihren Kalender erfährt

Dieser Punkt taucht in kaum einer Checkliste auf, ist aber der weitreichendste. Damit eine Buchungsseite freie Zeiten anzeigen kann, braucht sie Zugriff auf Ihren Kalender. Wie viel Zugriff, ist eine Entscheidung – und die meisten Anbieter treffen sie großzügig.

Google unterscheidet mehrere Stufen. Die weitreichendste erlaubt, sämtliche Termine zu lesen und zu ändern – mit Titel, Teilnehmern, Orten und Notizen. In Ihrem Kalender steht aber womöglich „Gespräch Kündigung Herr M.“ oder „Untersuchung Frau K.“. Diese Inhalte landen dann bei einem Dienstleister, der sie für die Terminfindung überhaupt nicht benötigt.

Für die Terminfindung genügt, wann Sie belegt sind. Nicht womit. Google bietet dafür eine eigene, engere Berechtigung – nur Frei-/Belegt-Zeiten, ohne Inhalte. Für das Eintragen neuer Termine gibt es ebenfalls eine engere Variante, die nur auf einen eigens angelegten Kalender wirkt.

So prüfen Sie das selbst: Beim Verbinden zeigt Google einen Zustimmungsdialog. Steht dort sinngemäß „Termine in allen Ihren Kalendern ansehen und bearbeiten“, fordert der Anbieter den vollen Zugriff. Steht dort nur etwas über Verfügbarkeit oder einen einzelnen von der App erstellten Kalender, arbeitet er sparsam. Diesen Dialog sollten Sie einmal bewusst lesen, bevor Sie klicken.

TerminKraft fordert ausschließlich zwei enge Berechtigungen an: Frei-/Belegt-Zeiten lesen und einen eigenen Kalender „TerminKraft“ verwalten. Ihre bestehenden Termine können wir technisch weder lesen noch ändern.

4. Auftragsverarbeitungsvertrag: nicht verhandelbar

Ihr Anbieter verarbeitet die Daten Ihrer Kunden in Ihrem Auftrag. Damit sind Sie der Verantwortliche, er der Auftragsverarbeiter – und Art. 28 DSGVO verlangt einen schriftlichen Vertrag. Ohne ihn fehlt der Verarbeitung die Grundlage, unabhängig davon, wie gut die Software ist.

Ein brauchbarer AVV nennt mindestens:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• die Kategorien betroffener Personen und der Daten
• die technischen und organisatorischen Maßnahmen
• eine vollständige Liste der Unterauftragsverarbeiter mit Verarbeitungsort
• Regelungen zu Löschung, Rückgabe und Ihren Kontrollrechten

Besonders die Liste der Unterauftragsverarbeiter lohnt einen Blick. Dort steht, wer außer Ihrem Anbieter noch mit den Daten in Berührung kommt: Hosting, E-Mail-Versand, Fehlerprotokollierung, manchmal ein KI-Dienst. Steht dort ein Anbieter außerhalb der EU, beginnt eine eigene Prüfung.

5. Löschfristen: der am häufigsten vergessene Punkt

Art. 5 Abs. 1 lit. e DSGVO verlangt, Daten nur so lange zu speichern, wie sie gebraucht werden. In der Praxis sammeln Buchungssysteme jahrelang Kundendaten, weil nie jemand eine Frist festgelegt hat.

Legen Sie Fristen schriftlich fest, zum Beispiel:

Daten	Frist
Abgebrochene Buchungen	löschen nach 24 Stunden
Abgesagte Termine	anonymisieren nach 90 Tagen
Stattgefundene Termine	anonymisieren nach 12 Monaten, sofern keine handels- oder steuerrechtliche Aufbewahrungspflicht besteht
Protokolldateien	löschen nach 14 Tagen

Denken Sie an Ihre Sicherungskopien: Eine Löschung im laufenden System wirkt dort erst verzögert. Das gehört ins Löschkonzept, statt es zu verschweigen.

Checkliste für die Anbieterauswahl

• Wird ein AVV angeboten, ohne dass Sie danach fragen müssen?
• Gibt es eine vollständige Liste der Unterauftragsverarbeiter mit Verarbeitungsort?
• Welche Kalenderberechtigungen werden angefordert – und werden sie erklärt?
• Wo stehen die Server? Wo sitzt das Unternehmen?
• Lassen sich Felder im Buchungsformular abschalten, die Sie nicht brauchen?
• Sind Löschfristen dokumentiert – oder nur „nach gesetzlichen Vorgaben“?
• Lädt die Buchungsseite Schriften, Karten oder Skripte von fremden Servern nach?

Der letzte Punkt wird oft übersehen: Bindet die Buchungsseite Schriftarten von einem fremden Server ein, überträgt der Browser Ihres Kunden dessen IP-Adresse dorthin – ohne Einwilligung. Für eingebundene Google-Schriften gab es dazu bereits Gerichtsentscheidungen. Eine Buchungsseite sollte alles, was sie braucht, selbst ausliefern.