Wer Termine online annimmt, verarbeitet Kundendaten, und dafür gelten Regeln. Dieser Artikel zeigt dir, welche Daten eine Buchung wirklich braucht, welche Rechtsgrundlage trägt, was mit dem Software-Anbieter zu klären ist und was in die Datenschutzerklärung deiner Buchungsseite gehört. Am Ende steht eine Checkliste. Das ist Orientierung für Betriebe, keine Rechtsberatung.
Welche Daten eine Online-Terminbuchung wirklich braucht
Eine Buchung braucht wenig: einen Namen, einen Weg, die Person zu erreichen, die gewünschte Leistung und die Zeit. Mehr nicht. Die Handynummer reicht als Kontakt in der Regel aus, weil Bestätigung und Erinnerung darüber laufen. Eine E-Mail-Adresse ist sinnvoll, wenn du Belege verschickst. Geburtsdatum, Anschrift oder Anrede haben in einem Buchungsformular meist nichts verloren.
Weniger Felder sind nicht nur bequemer für Kunden, sondern Pflicht: Die DSGVO verlangt Datenminimierung, du darfst also nur erheben, was du für den Zweck brauchst. Jedes Feld, das du weglässt, musst du weder schützen noch erklären noch löschen. Ein freies Notizfeld ist praktisch, aber überlege, ob du es brauchst. Kunden schreiben dort oft mehr hinein, als du wissen willst.
- Vorname und Nachname, damit du weißt, wer kommt
- Handynummer für Bestätigung und Erinnerung, ein Kanal reicht
- E-Mail-Adresse nur, wenn du Belege oder Rechnungen verschickst
- Leistung, Datum, Uhrzeit und gegebenenfalls die gewünschte Person
- Kein Geburtsdatum, keine Anschrift, kein Pflichtfeld für Anmerkungen
Terminbuchung und DSGVO: welche Rechtsgrundlage der Termin hat
Für jede Verarbeitung brauchst du einen Grund, den die DSGVO anerkennt. Bei der Terminbuchung liegt er nahe: Der Termin ist ein Vertrag oder zumindest dessen Anbahnung, und Name, Nummer und Zeit brauchst du, um ihn zu erfüllen. Das ist Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung für die Buchung selbst brauchst du deshalb in der Regel nicht, und ein Kästchen mit „Ich stimme der Datenverarbeitung zu“ ist eher schädlich als nützlich.
Warum schädlich: Eine Einwilligung kann jederzeit widerrufen werden. Wenn du die Buchung darauf stützt, steht sie auf wackeligen Beinen. Die Vertragserfüllung dagegen trägt, solange der Termin besteht. Einwilligung brauchst du nur für Extras, die nichts mit dem Termin zu tun haben: Newsletter, Geburtstagsgrüße, Rabattaktionen. Dafür gehört ein eigenes Kästchen ins Formular, nicht vorangekreuzt, mit eigenem Text.
Ein Hinweis auf die Datenschutzerklärung gehört trotzdem in die Nähe des Buchungsbuttons. Nicht als Kästchen, sondern als Satz mit Link: Informationen zur Verarbeitung deiner Daten findest du in unserer Datenschutzerklärung. Das erfüllt die Informationspflicht, ohne dass Kunden etwas anklicken müssen.
AVV bei der Terminbuchung: der Vertrag mit dem Anbieter
Sobald ein Software-Anbieter Kundendaten für dich speichert, ist er dein Auftragsverarbeiter. Dafür verlangt Art. 28 DSGVO einen Vertrag, den Auftragsverarbeitungsvertrag, kurz AVV. Er regelt, was der Anbieter mit den Daten tun darf, welche Subunternehmer er einsetzt, wie er sie schützt und was passiert, wenn du kündigst. Ohne AVV verarbeitest du Daten ohne die vorgeschriebene Grundlage, auch wenn der Anbieter selbst alles richtig macht.
Bei seriösen Anbietern liegt der AVV zum Nachlesen bereit und wird beim Anlegen des Kontos geschlossen, ohne Papier und Unterschrift. Prüfe ihn trotzdem einmal in Ruhe. Was du dir anschauen solltest, passt auf eine Hand. terminio.ai stellt den AVV nach Art. 28 DSGVO samt Subunternehmern und technischen Maßnahmen offen ins Netz, und die Buchungsseite fragt nur Name und Handynummer ab.
- Liegt ein AVV nach Art. 28 DSGVO vor, und kannst du ihn selbst abschließen?
- Welche Subunternehmer sind beteiligt, etwa für Hosting, Nachrichten oder Zahlung?
- Wo werden die Daten gespeichert, und in welchem Land steht der Server?
- Was passiert mit den Daten nach der Kündigung: Export, Löschfrist, Bestätigung?
- Welche technischen und organisatorischen Maßnahmen beschreibt der Anbieter?
Wo die Daten liegen: warum EU-Hosting zählt
Die DSGVO gilt überall dort, wo Daten von Menschen in der EU verarbeitet werden. Trotzdem macht der Ort einen Unterschied. Liegen die Daten auf Servern in der EU, gilt für den Betreiber direkt europäisches Recht, und du musst keine zusätzlichen Garantien prüfen. Liegen sie außerhalb, brauchst du eine Grundlage für die Übermittlung, je nach Land etwa Standardvertragsklauseln oder einen Angemessenheitsbeschluss.
Für dich als Betrieb heißt das: Ein Anbieter mit Hosting in der EU spart dir Prüfaufwand und einen Absatz in der Datenschutzerklärung. Frag nicht nur nach dem Firmensitz, sondern nach dem Serverstandort, und nach den Subunternehmern, die ebenfalls Daten sehen. Ein Zahlungsdienst wie Stripe oder ein Nachrichtenkanal wie WhatsApp kommt oft dazu und muss in der Erklärung genannt werden.
Buchungsseite Datenschutzerklärung: was drinstehen muss
Deine Buchungsseite braucht eine eigene Datenschutzerklärung oder einen eigenen Abschnitt in der bestehenden. Sie muss von jeder Seite der Buchung erreichbar sein, üblicherweise im Fußbereich. Der Text soll verständlich sein, nicht um jeden Preis juristisch vollständig. Wer die Erklärung mit einem Generator erstellt, sollte danach prüfen, ob die Buchung darin überhaupt vorkommt.
Die Pflichtangaben stehen in Art. 13 DSGVO. Übersetzt auf die Buchungsseite sind es sechs Punkte, die in jedem Fall drinstehen sollten. Schreib sie so, dass eine Kundin sie beim ersten Lesen versteht, und nenne die Dienstleister beim Namen, statt nur von Partnern zu sprechen. Ein Absatz pro Punkt reicht.
- Wer verantwortlich ist: dein Betrieb mit Anschrift und Kontakt
- Welche Daten erhoben werden: Name, Nummer, Leistung, Zeit
- Wozu und auf welcher Grundlage: Terminvereinbarung als Vertragserfüllung
- Welche Dienstleister beteiligt sind: Buchungssoftware, Zahlungsdienst, Nachrichtenkanal, Hosting
- Wie lange gespeichert wird und wann gelöscht wird
- Welche Rechte Kunden haben: Auskunft, Berichtigung, Löschung, Beschwerde
Gesundheitsdaten in Praxen: Termin ja, Diagnose nein
Physiotherapie, Zahnarzt, Heilpraktik, Psychotherapie: Hier ist schon der Termin selbst eine Gesundheitsinformation, weil er auf eine Behandlung schließen lässt. Die DSGVO behandelt solche Daten als besondere Kategorie nach Art. 9 mit höheren Anforderungen. Das macht Online-Buchung nicht unmöglich, verlangt aber Zurückhaltung: so wenig wie möglich in die Buchung, nichts davon in Nachrichten.
Konkret: Nenne Leistungen auf der Buchungsseite neutral, wenn es geht, und verzichte auf ein Freitextfeld für Beschwerden. Was die Patientin hat, gehört ins Gespräch und in die Akte, nicht ins Buchungsformular. Bestätigung und Erinnerung nennen nur Datum, Uhrzeit und Praxis. Bei Gesundheitsberufen ist eine kurze Einwilligung für Erinnerungen per Nachricht zudem der sicherere Weg, auch wenn der Termin selbst über den Vertrag läuft.
Löschen, Cookies und die Checkliste zum Schluss
Alte Termine dürfen nicht ewig liegen bleiben. Speicherbegrenzung heißt: weg damit, sobald der Zweck erfüllt ist und keine Aufbewahrungspflicht mehr greift. Für Rechnungen gelten steuerliche Fristen, für den bloßen Termin nicht. Lege eine eigene Frist fest, etwa eine bestimmte Zeit nach dem letzten Termin, schreib sie in die Datenschutzerklärung und halte sie ein. Gute Software löscht oder anonymisiert nach Ablauf automatisch.
Cookies und Analyse: Eine Buchungsseite braucht keine. Cookies, die für die Buchung selbst nötig sind, etwa für die Sitzung, sind erlaubt und ohne Banner möglich. Tracking-Pixel, Werbe-Cookies oder Analyse-Tools brauchen dagegen eine Einwilligung und bringen dir bei der Terminbuchung wenig. Wer sie weglässt, spart sich den Banner und ein Risiko.
- Formular auf das Nötige reduziert, kein Pflichtfeld für Anmerkungen
- AVV mit dem Anbieter geschlossen, Serverstandort und Subunternehmer geklärt
- Datenschutzerklärung mit Abschnitt zur Buchung, von jeder Seite erreichbar
- Einwilligung nur für Extras, eigenes Kästchen, nicht vorangekreuzt
- Löschfrist festgelegt, dokumentiert und in der Software umgesetzt
- Keine Analyse-Tools und keine Werbe-Cookies auf der Buchungsseite
