DSGVO und Terminverwaltung: Das müssen Dienstleister beachten

Sobald Kunden online Termine buchen, werden personenbezogene Daten verarbeitet - Name, Kontaktdaten, gebuchte Leistung und teils auch Gesundheitsdaten. Für Dienstleister bedeutet das konkrete Pflichten aus der Datenschutz-Grundverordnung (DSGVO). Dieser Überblick ersetzt keine Rechtsberatung, zeigt aber die wichtigsten Punkte, die bei der Auswahl und dem Betrieb einer Terminverwaltung relevant sind.

Welche Daten werden bei der Terminbuchung verarbeitet?

Typischerweise mindestens Name, E-Mail-Adresse oder Telefonnummer und die gewünschte Leistung. Bei Arztpraxen, Heilpraktikern oder Physiotherapiepraxen kommen häufig auch Angaben zur Behandlung hinzu - diese zählen nach Art. 9 DSGVO zu den „besonderen Kategorien personenbezogener Daten" (Gesundheitsdaten) und unterliegen strengeren Anforderungen als reine Kontaktdaten.

Rechtsgrundlage der Verarbeitung

In der Regel ist die Verarbeitung zur Erfüllung eines Vertrags bzw. zur Durchführung vorvertraglicher Maßnahmen erforderlich (Art. 6 Abs. 1 lit. b DSGVO) - der Kunde bucht aktiv einen Termin und stimmt damit der dafür notwendigen Datenverarbeitung zu. Für weitergehende Zwecke wie Marketing-E-Mails ist zusätzlich eine gesonderte Einwilligung nötig.

Auftragsverarbeitungsvertrag (AVV) mit dem Software-Anbieter

Nutzen Sie eine externe Software zur Terminverwaltung, ist der Anbieter in aller Regel Auftragsverarbeiter nach Art. 28 DSGVO. Das bedeutet: Sie als Unternehmen bleiben verantwortlich für die Daten Ihrer Kunden, müssen mit dem Anbieter aber einen Auftragsverarbeitungsvertrag abschließen, der Umfang, Zweck und Sicherheitsmaßnahmen der Verarbeitung regelt. Seriöse Anbieter stellen diesen Vertrag standardmäßig zur Verfügung.

Speicherort und Serverstandort

Werden Daten außerhalb der EU verarbeitet, sind zusätzliche Garantien nötig (z. B. Standardvertragsklauseln). Einfacher und für viele Unternehmen die sicherere Wahl: ein Anbieter mit Serverstandort in Deutschland oder der EU, bei dem sich diese Frage gar nicht erst stellt.

Löschfristen einhalten

Kundendaten dürfen nicht unbegrenzt gespeichert werden. Legen Sie fest, wie lange Termindaten nach der letzten Interaktion aufbewahrt werden, und richten Sie - sofern die Software das unterstützt - eine automatische Löschung nach Ablauf dieser Frist ein. Gesetzliche Aufbewahrungspflichten (z. B. aus dem Steuerrecht für Rechnungsdaten) bleiben davon unberührt und können abweichende, teils längere Fristen vorsehen.

Betroffenenrechte praktisch umsetzen

Kunden haben ein Recht auf Auskunft, Berichtigung und Löschung ihrer Daten. Eine zentrale Kundenverwaltung erleichtert es, solche Anfragen zeitnah zu beantworten, weil alle Daten eines Kunden an einem Ort einsehbar sind, statt über E-Mails, Notizzettel und Telefonlisten verteilt zu sein.

Technische und organisatorische Maßnahmen (TOMs)

Dazu zählen unter anderem verschlüsselte Datenübertragung (HTTPS), Zugriffsbeschränkungen nach dem Prinzip der geringsten Berechtigung sowie regelmäßige Backups. Fragen Sie bei der Anbieterwahl gezielt danach - viele dieser Angaben finden sich auch in der Datenschutzerklärung des Anbieters selbst.

Hinweis: Dieser Artikel bietet einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für eine rechtssichere Einschätzung Ihrer individuellen Situation empfehlen wir, einen Datenschutzbeauftragten oder eine auf Datenschutzrecht spezialisierte Kanzlei hinzuzuziehen.