Online-Terminbuchung und DSGVO: Checkliste für Betriebe
Sie stellen die Terminbuchung online und fragen sich, was Sie dem Datenschutz schulden. Sieben Punkte, mit Quellen, und was PixTermin dazu tatsächlich tut.
Die Physiotherapeutin stellt am Sonntagabend ihre Terminbuchung online und liest am Montag in einem Forum, dass das „datenschutzrechtlich heikel“ sei. Heikel wofür genau? Meistens für wenige, benennbare Punkte, und die meisten lassen sich vor dem Start klären.
Kurz gesagt: Sie bleiben für die Daten Ihrer Kundschaft verantwortlich, auch wenn ein Anbieter die Terminbuchung betreibt. Mit dem Anbieter brauchen Sie einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO), im Formular nur die Angaben, die für den Termin nötig sind, und eine Datenschutzerklärung, die den Anbieter nennt. Praxen verarbeiten zudem Gesundheitsdaten nach Art. 9 DSGVO und müssen genauer hinsehen.
1. Auftragsverarbeitung klären
Betreibt ein externer Anbieter Ihre Terminbuchung, verarbeitet er die Daten in Ihrem Auftrag. Das verlangt einen Vertrag oder ein anderes Rechtsinstrument, das Gegenstand, Dauer, Art der Daten und Pflichten festlegt (Art. 28 DSGVO). Die Datenschutzkonferenz der Aufsichtsbehörden hat das im Juni 2025 für Heilberufspraxen bestätigt: Ein externes Terminmanagement kann als Auftragsverarbeitung zulässig sein, ohne dass Patientinnen und Patienten einwilligen müssen. Die Praxis muss sie aber über den Dienstleister informieren (DSK-Positionspapier, Nr. 1). Dasselbe Prinzip liegt für andere Betriebe nahe.
Was Sie tun: Lassen Sie sich den Vertrag zeigen, bevor Sie live gehen, und nennen Sie den Anbieter in Ihrer Datenschutzerklärung als Empfänger. Fragen zur Auftragsverarbeitung bei PixTermin beantworten wir gern, schreiben Sie uns vorab.
In Ihre Datenschutzerklärung gehören zur Terminbuchung mindestens diese Angaben:
- wofür Sie die Daten verarbeiten (Terminvergabe und Abwicklung),
- auf welcher Rechtsgrundlage,
- welche Daten das Formular abfragt,
- wer Empfänger ist, also der Anbieter der Terminbuchung,
- wie lange Sie die Daten speichern,
- welche Rechte die Betroffenen haben und an wen sie sich wenden.
Die Informationspflicht ergibt sich aus Art. 13 DSGVO, die DSK verweist darauf ausdrücklich. Lassen Sie den Text von jemandem prüfen, der Ihren Betrieb und Ihre Branche kennt, und kopieren Sie keine Mustererklärung ungelesen.
2. Serverstandort und Drittländer
Ein Server in Deutschland oder der EU vermeidet viele Fragen, löst aber nicht alle. Die DSK weist darauf hin, dass auch einzelne Schritte wie Support, Wartung oder Administration in einem Drittland stattfinden können. Dann gelten zusätzlich die Regeln der Art. 44 ff. DSGVO, und Sie als Verantwortliche müssen das vor der Beauftragung klären.
Was PixTermin tut: Entwicklung und Hosting liegen in Deutschland, die Server stehen in Deutschland. Was Sie tun: Fragen Sie jeden Anbieter, ob Support, Wartung oder Unterauftragnehmer außerhalb der EU arbeiten.
3. Nur erheben, was der Termin braucht
Die DSGVO verlangt, dass Daten dem Zweck angemessen und auf das notwendige Maß beschränkt sind (Art. 5 Abs. 1 lit. c). Für Praxen nennt die DSK als Beispiel: Name, Geburtsdatum, behandelnde Person, Art des Termins und eine Kontaktmöglichkeit zur kurzfristigen Absage. Für eine Werkstatt heißt das: Kennzeichen und Fahrzeug, wenn sie für den Auftrag nötig sind. Die Fahrgestellnummer erst, wenn sie für die Leistung gebraucht wird.
Ein Beispiel pro Branche, wie der Maßstab im Alltag aussieht. Die Werkstatt fragt Kennzeichen und Fahrzeugtyp, aber nicht nach Familienstand. Der Friseur fragt, ob Färben gewünscht ist, damit er die Dauer richtig plant, aber nicht nach dem Geburtstag. Die Ferienwohnung fragt Anreisetag, Personenzahl und Haustier, aber nicht nach der Reisebegründung. Die Praxis fragt Name, Kontakt und Art des Termins. Die Faustregel: Fragen Sie nur, was Sie für den Termin brauchen, und streichen Sie, was Sie nie auswerten.
Was PixTermin tut: Pflicht sind im Formular Nachname, E-Mail-Adresse und das Häkchen zur Datenverarbeitung. Vorname und Telefon schalten Sie je nach Bedarf zu. Weitere Felder legen Sie je Leistung an, mit Hilfetext und Pflichtangabe. Was Sie tun: Gehen Sie jedes Feld durch und streichen Sie, was Sie nie auswerten.
4. Rechtsgrundlage: Vertrag oder Einwilligung
Für die Terminvergabe selbst ist meist keine Einwilligung nötig. Die Verarbeitung ist rechtmäßig, wenn sie für einen Vertrag oder vorvertragliche Maßnahmen auf Anfrage der Person erforderlich ist (Art. 6 Abs. 1 lit. b). Wer einen Termin bucht, will genau das, und Sie können ihn ohne diese Daten nicht vergeben. Eine Einwilligung (lit. a) gilt für Zwecke, die darüber hinausgehen, etwa Newsletter. Sie muss freiwillig und für einen bestimmten Zweck erteilt sein.
Das Formular von PixTermin enthält ein Pflicht-Häkchen, mit dem Kundinnen und Kunden zustimmen, dass ihre Angaben zur Terminabwicklung verarbeitet werden. Wie Sie dieses Häkchen rechtlich einordnen, klären Sie mit Ihrer Datenschutzberatung. Der Text der Zustimmung und Ihre Datenschutzerklärung sollten zusammenpassen.
5. Cookies, Tracking und das Widget
Speichern oder lesen Sie Informationen auf dem Gerät der Besucher, brauchen Sie dafür grundsätzlich eine Einwilligung. Ausgenommen ist, was unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst funktioniert (§ 25 TDDDG). Ein Buchungsformular auf Ihrer Website ist ein Dienst, den Besucher bewusst nutzen.
Was PixTermin tut: Das Widget setzt keine Marketing-Cookies und lädt seine Schriften vom eigenen Server, nicht von Dritten. Die Funktion „Daten merken“ legt Name und Kontaktangaben im Browser der Kundschaft ab, nicht bei PixTermin. Das Häkchen lässt sich abwählen. Sobald das Widget lädt, fragt der Browser Daten bei PixTermin ab, und der Server sieht dabei die IP-Adresse. Das gilt für jeden eingebundenen Dienst und gehört in Ihre Datenschutzerklärung. Was Sie tun: Prüfen Sie, welche anderen Dienste auf derselben Seite laufen, etwa Analyse- oder Karten-Dienste, und ob Ihr Cookie-Banner sie abdeckt.
Das ist der Punkt, an dem Betriebe am häufigsten stolpern: nicht beim Buchungsformular, sondern bei allem, was daneben läuft. Ein Karten-Ausschnitt, ein eingebettetes Video und ein Analyse-Skript auf derselben Seite sind drei Dienste, die jeweils eigene Fragen aufwerfen. Gehen Sie die Seite einmal mit den Entwicklerwerkzeugen Ihres Browsers durch und schauen Sie im Netzwerk-Reiter, welche Server sie anspricht. Jede fremde Adresse in dieser Liste braucht eine Antwort in Ihrer Datenschutzerklärung.
6. Löschfristen und Auskunft
Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert (Art. 5 Abs. 1 lit. e). Die DSK ist für Praxen deutlich: Ein Eintrag im Terminkalender ist kein Teil der Behandlungsdokumentation und gehört kurz nach dem Termin gelöscht, was dokumentationspflichtig ist, steht in der Patientenakte. Rechnungsrelevante Daten unterliegen eigenen Aufbewahrungspflichten.
Was PixTermin tut: Je Person gibt es Datenexport und Löschung, eine Anonymisierung nach Ablauf einer Aufbewahrungsfrist und ein Änderungsprotokoll. Die Standardfrist beträgt drei Jahre. Für Praxen ist das länger, als die DSK für Terminkalender vorsieht. Sprechen Sie uns vor dem Start an, wenn das für Ihren Betrieb nicht passt. Was Sie tun: Legen Sie intern fest, wann ein Termineintrag verschwindet, und halten Sie es in Ihrem Verzeichnis der Verarbeitungstätigkeiten fest.
7. Praxen: Gesundheitsdaten nach Art. 9
Gesundheitsdaten gehören zu den besonderen Kategorien. Ihre Verarbeitung ist grundsätzlich verboten, außer eine Ausnahme greift: die ausdrückliche Einwilligung oder die Verarbeitung für Behandlung und Gesundheitsversorgung auf Grundlage eines Vertrags mit einem Angehörigen eines Gesundheitsberufs (Art. 9 Abs. 1 und 2 lit. a und h). Die DSK sieht die Terminvergabe für einen konkreten Behandlungstermin auf dieser Grundlage als zulässig an, sofern nur die erforderlichen Daten erhoben werden. Zusätzlich sollte weiter ein Weg ohne digitale Buchung bestehen, etwa der Anruf.
Im Alltag ist das Freitextfeld die Falle. Wo „Anmerkung“ steht, schreiben Patientinnen schnell ihre Diagnose hinein. Weisen Sie im Hilfetext darauf hin, dass dort keine Beschwerden gehören, oder verzichten Sie ganz auf das Feld. Auch Mitarbeitende, die Termine einsehen, sollten nur sehen, was sie für ihre Arbeit brauchen. PixTermin unterscheidet dafür Inhaber und Mitarbeiter, Mitarbeiter sehen Termine, Kunden und Auswertungen, verwalten aber nicht den Betrieb. PixTermin ist keine Praxissoftware: Es koppelt nicht an Praxisverwaltungssysteme und rechnet nicht ab. Behandlungsinhalte gehören dorthin, nicht in die Terminbuchung.
Häufige Fragen
Brauche ich für die Terminbuchung einen eigenen Datenschutzhinweis?
Ja, ergänzend zu Ihrer Datenschutzerklärung. Nennen Sie den Anbieter als Empfänger, den Zweck (Terminvergabe), die erhobenen Felder und die Speicherdauer. Bei Praxen verlangt die DSK, den konkret beauftragten Dienstleister namentlich zu nennen.
Reicht es, wenn der Anbieter „DSGVO-konform“ auf seine Seite schreibt?
Nein. Das ist eine Werbeaussage, kein Nachweis, und niemand kann sie für Sie garantieren. Entscheidend sind der Vertrag zur Auftragsverarbeitung, die tatsächlichen Serverstandorte, die Unterauftragnehmer und Ihre eigene Dokumentation.
Müssen Kundinnen und Kunden dem Termin zustimmen, damit ich ihre Daten speichern darf?
Für die Terminvergabe selbst meist nicht, weil die Daten für die Vertragserfüllung nötig sind. Anders liegt es bei allem, was darüber hinausgeht, und bei Gesundheitsdaten außerhalb der Behandlung. Lassen Sie diese Einordnung für Ihren Betrieb prüfen.
Was passiert mit den Daten, wenn ich kündige?
Klären Sie das vor dem Vertrag und lassen Sie sich Export und Löschung zusichern. PixTermin bietet Export und Löschung je Person. Wann und wie Ihr gesamter Bestand nach einer Kündigung entfernt wird, besprechen wir auf Anfrage.
Dieser Artikel gibt einen Überblick und ersetzt keine Rechtsberatung.