DSGVO bei Online-Terminbuchung: Worauf lokale Betriebe achten müssen.

Ob Friseursalon, Physiotherapie-Praxis oder Kfz-Werkstatt: Immer mehr lokale Betriebe lassen ihre Kunden Termine online buchen — rund um die Uhr, ohne Telefonklingeln. Doch sobald ein Buchungsformular Name, E-Mail-Adresse oder Telefonnummer abfragt, verarbeitet Ihr Betrieb personenbezogene Daten. Damit gilt die Datenschutz-Grundverordnung (DSGVO) — unabhängig davon, ob Sie ein fertiges Buchungstool nutzen oder eine eigene Buchungsstrecke auf Ihrer Website betreiben.

Die gute Nachricht: Die DSGVO ist für eine Online-Terminbuchung kein unüberwindbares Hindernis. Die Datenverarbeitung ist überschaubar, die Zwecke sind klar, und die meisten Anforderungen lassen sich mit gesundem Menschenverstand und ein wenig Sorgfalt erfüllen. In diesem Leitfaden gehen wir die wichtigsten Grundsätze der Reihe nach durch — so, wie sie einen kleinen Betrieb tatsächlich betreffen.

Welche Daten bei der Online-Terminbuchung anfallen

Eine typische Buchungsstrecke fragt Name, E-Mail-Adresse, oft eine Telefonnummer, die gewünschte Leistung und den Wunschtermin ab. Dazu kommen häufig Anmerkungsfelder („Was sollen wir vorab wissen?") und je nach Branche Zusatzangaben wie das Fahrzeugkennzeichen in der Werkstatt oder der Name des Tieres beim Tierarzt. All das sind — bis auf die Daten des Tieres selbst — personenbezogene Daten: Informationen, die sich einer bestimmten Person zuordnen lassen.

Weniger offensichtlich ist die zweite Ebene: Auch technisch fallen Daten an. Der Webserver protokolliert Zugriffe, das Buchungssystem speichert Zeitstempel, Bestätigungs- und Erinnerungsmails wandern durch einen E-Mail-Dienst, der Termin landet in einem Kalender. Der erste Schritt zu einer sauberen Umsetzung ist deshalb eine simple Bestandsaufnahme: Welche Daten erheben Sie, wo werden sie gespeichert, wer hat Zugriff, wann werden sie gelöscht? Diese Übersicht brauchen Sie ohnehin für das Verzeichnis von Verarbeitungstätigkeiten, das die DSGVO von Unternehmen verlangt — und sie macht alle folgenden Schritte deutlich leichter.

Rechtsgrundlage: Braucht die Buchung eine Einwilligung?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Bei der Terminbuchung ist die Lage in aller Regel unkompliziert: Wer einen Termin bucht, möchte eine Leistung in Anspruch nehmen. Die Verarbeitung der Buchungsdaten dient also der Anbahnung beziehungsweise Erfüllung eines Vertrags — in der DSGVO als eigene Rechtsgrundlage vorgesehen (Art. 6 Abs. 1 lit. b DSGVO). Für die eigentliche Terminabwicklung — Bestätigung, Erinnerung, Kalendereintrag — brauchen Sie deshalb üblicherweise keine gesonderte Einwilligungs-Checkbox.

Anders sieht es aus, sobald Sie die Daten für Zwecke nutzen möchten, die über den Termin hinausgehen: Newsletter, Geburtstagsaktionen, Werbebotschaften. Dafür ist im Regelfall eine ausdrückliche, freiwillige Einwilligung nötig — als separates, nicht vorangekreuztes Feld, dessen Ablehnung die Buchung nicht verhindert. Wer beides vermischt („Mit der Buchung stimmen Sie dem Newsletter zu"), handelt sich unnötige Risiken ein.

Datenminimierung: nur abfragen, was nötig ist

Die DSGVO verlangt, dass Sie nur die Daten erheben, die für den Zweck tatsächlich erforderlich sind. Für Ihr Buchungsformular heißt das: Gehen Sie jedes Feld kritisch durch. Braucht ein Friseursalon für eine Terminvergabe die Postanschrift? Das Geburtsdatum? In den allermeisten Fällen nicht. Ein Name, ein Kontaktweg für die Bestätigung, die gewünschte Leistung und der Termin reichen für die meisten Dienstleistungen völlig aus.

Bewährt hat sich eine einfache Regel: Pflichtfelder auf das Minimum reduzieren, alles Weitere optional machen und klar als optional kennzeichnen. Auch Freitextfelder sollten Sie sparsam einsetzen — sie laden Kunden dazu ein, mehr preiszugeben, als für den Termin nötig wäre (warum das gerade bei gesundheitsnahen Terminen wichtig ist, lesen Sie weiter unten). Angenehmer Nebeneffekt: Kürzere Formulare sind nicht nur datensparsamer, sondern senken auch die Hürde beim Ausfüllen — wer weniger tippen muss, bricht seltener ab.

Transparenz: die Datenschutzerklärung zur Buchung

Ihre Kunden müssen zum Zeitpunkt der Buchung nachvollziehen können, was mit ihren Daten passiert. Die Datenschutzerklärung Ihrer Website sollte die Buchungsstrecke deshalb ausdrücklich behandeln: welche Daten erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden, welche Dienstleister beteiligt sind und welche Rechte Betroffene haben — etwa Auskunft, Berichtigung und Löschung.

Formulieren Sie das so verständlich wie möglich und verlinken Sie die Datenschutzerklärung direkt am Buchungsformular. Wichtig: Wenn Sie ein externes Buchungstool, einen Kalenderdienst oder einen E-Mail-Versanddienst einsetzen, gehören diese Dienste namentlich in die Erklärung. Eine Datenschutzerklärung, die den tatsächlichen Buchungsablauf gar nicht erwähnt, hilft niemandem — weder Ihren Kunden noch Ihnen.

Auftragsverarbeitung: der AV-Vertrag mit Ihren Dienstleistern

Kaum ein Betrieb verarbeitet Buchungsdaten komplett allein. Der Hosting-Anbieter speichert die Website samt Formulardaten, das Buchungstool verwaltet Termine, ein E-Mail-Dienst verschickt Bestätigungen. Diese Dienstleister verarbeiten personenbezogene Daten in Ihrem Auftrag — und dafür verlangt die DSGVO einen Vertrag zur Auftragsverarbeitung (AV-Vertrag oder AVV). Er regelt unter anderem, dass der Dienstleister die Daten nur nach Ihrer Weisung verarbeitet und angemessen schützt.

In der Praxis ist das weniger Aufwand, als es klingt: Seriöse Anbieter stellen standardisierte AV-Verträge bereit, oft direkt zum Abschluss im Kundenkonto. Ihre Aufgabe besteht darin, für jeden beteiligten Dienst zu prüfen, ob ein solcher Vertrag vorliegt, ihn abzuschließen und abzulegen. Die Bestandsaufnahme aus dem ersten Abschnitt liefert Ihnen dafür die Liste: Jeder Dienst, durch den Buchungsdaten fließen, gehört geprüft.

Speichern, sichern, löschen: Löschfristen und Verschlüsselung

Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als es der Zweck erfordert. Ein Terminwunsch von vor drei Jahren hat im Buchungssystem nichts mehr verloren. Legen Sie deshalb feste Routinen fest: Abgeschlossene Buchungen, die nicht mehr gebraucht werden, nach einer definierten Frist löschen oder anonymisieren — idealerweise automatisch. Zu beachten ist die Ausnahme: Für Rechnungs- und Buchhaltungsunterlagen gelten gesetzliche Aufbewahrungsfristen, diese Unterlagen müssen Sie also länger aufheben. Das betrifft aber die Rechnung — nicht das komplette Buchungsformular samt Anmerkungsfeld.

Zur Speicherung gehört die Sicherheit: TLS-Verschlüsselung (HTTPS) ist Pflichtprogramm — Formulardaten dürfen niemals unverschlüsselt übertragen werden. Dazu kommen organisatorische Basics: Zugriff auf Buchungsdaten auf die Personen beschränken, die ihn wirklich brauchen, starke Passwörter und wo möglich Zwei-Faktor-Anmeldung nutzen, Software aktuell halten, Backups anlegen. Die DSGVO verlangt Schutzmaßnahmen, die dem Risiko angemessen sind — für gewöhnliche Buchungsdaten ist das mit soliden technischen Standards gut erreichbar.

Sonderfall 1: US-Tools und Drittlandübermittlung

Viele beliebte Buchungs-, Kalender- und E-Mail-Tools stammen von Anbietern außerhalb der EU oder verarbeiten Daten zumindest teilweise dort. Eine solche Drittlandübermittlung ist nicht verboten, aber an zusätzliche Bedingungen geknüpft: Es braucht geeignete Garantien, etwa einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln. Die rechtlichen Rahmen für Übermittlungen in die USA haben sich in der Vergangenheit mehrfach geändert — ein Grund mehr, diese Abhängigkeit bewusst zu wählen statt nebenbei einzugehen.

Praktisch bedeutet das: Bevorzugen Sie, wo es gut möglich ist, Anbieter mit EU-Hosting — oder prüfen Sie beim US-Tool bewusst, auf welcher Grundlage die Übermittlung erfolgt, und dokumentieren Sie das in Ihrer Datenschutzerklärung. Entscheidend ist die informierte Entscheidung. Wer maximale Kontrolle möchte, holt die Buchungsstrecke gleich auf die eigene Website — dazu unten mehr.

Sonderfall 2: gesundheitsnahe Termine und besondere Datenkategorien

Die DSGVO stellt besondere Kategorien personenbezogener Daten — darunter Gesundheitsdaten — unter strengeren Schutz. Für gesundheitsnahe Betriebe wie eine Physiotherapie-Praxis ist das unmittelbar relevant: Sobald ein Patient im Buchungsformular seine Beschwerden oder gar Diagnosen beschreibt, verarbeiten Sie Gesundheitsdaten. Deshalb gilt hier besondere Vorsicht bei Freitextfeldern à la „Beschreiben Sie Ihre Beschwerden": Für die Terminvergabe reicht meist die Behandlungsart und die Angabe, ob ein Rezept vorliegt. Die Anamnese gehört ins Behandlungszimmer, nicht ins Webformular.

Entwarnung dagegen in eine oft missverstandene Richtung: Beim Tierarzt sind die Befunde des Tieres keine personenbezogenen Daten — die Daten des Tierhalters (Name, Kontakt, Termin) sind normale Kundendaten und werden behandelt wie bei jedem anderen Betrieb auch. Ähnliches gilt für Friseur, Kosmetik oder Werkstatt: Dort fallen im Normalfall keine besonderen Datenkategorien an — solange das Formular nicht danach fragt. Auch das ist wieder Datenminimierung: Wer heikle Angaben gar nicht erst abfragt, muss sie auch nicht besonders schützen.

Datenhoheit: der Vorteil selbst gehosteter Buchungsstrecken

Läuft die Terminbuchung über ein Portal oder ein SaaS-Tool, liegen Ihre Kundendaten in fremden Systemen: mehr beteiligte Parteien, mehr AV-Verträge, mehr Positionen in der Datenschutzerklärung — und weniger Kontrolle darüber, wo gespeichert und wann gelöscht wird. Eine Buchungsstrecke auf der eigenen Website dreht das Verhältnis um: Die Daten bleiben auf Ihrem Hosting (idealerweise in der EU), Sie bestimmen, welche Felder abgefragt werden, und Löschfristen lassen sich direkt technisch umsetzen, statt auf einen Anbieter zu hoffen.

Auch die Abläufe dahinter kommen ohne Datenabfluss aus: Terminbestätigungen, Erinnerungen und Kalender-Synchronisation lassen sich mit selbst gehosteten Workflows automatisieren, sodass die Daten Ihre Umgebung gar nicht erst verlassen. Wie das in der Praxis aussieht, zeigt unser Projekt für einen Insektenschutz-Betrieb aus Gera: ein Online-Buchungskalender mit automatischer Bestätigung und Kalender-Sync auf eigener Infrastruktur — ohne Portal dazwischen. Wie eine solche Buchungsstrecke je nach Branche aussieht, zeigen unsere Branchen-Übersichten. Richtig aufgesetzt, ist Datenschutz übrigens kein Verkaufshindernis, sondern ein Vertrauensargument — gerade für lokale Betriebe, die von Stammkunden und Empfehlungen leben.

Checkliste: DSGVO bei der Online-Terminbuchung

Zum Abschluss die wichtigsten Punkte als Checkliste — einmal sauber durchgearbeitet, läuft Ihre Buchungsstrecke danach weitgehend von selbst datenschutzkonform mit:

• Bestandsaufnahme: Welche Daten erheben Sie, wo liegen sie, wer hat Zugriff, wann wird gelöscht?
• Formularfelder reduzieren: Pflichtfelder auf das Nötigste, Optionales klar kennzeichnen.
• Keine Diagnose-Freitextfelder bei gesundheitsnahen Terminen — Details gehören ins Gespräch.
• Rechtsgrundlage sauber trennen: Terminabwicklung über die Vertragsanbahnung, Werbung nur mit separater Einwilligung.
• Datenschutzerklärung ergänzen: Buchungsablauf, Zwecke, Dienste und Speicherdauern beschreiben, am Formular verlinken.
• AV-Verträge abschließen mit Hosting, Buchungstool, E-Mail-Dienst und Kalender-Anbieter — und ablegen.
• Drittland prüfen: EU-Hosting bevorzugen oder die Übermittlung bewusst wählen und dokumentieren.
• Technik absichern: HTTPS/TLS, beschränkte Zugriffe, starke Passwörter, Updates, Backups.
• Löschfristen festlegen und regelmäßig umsetzen; gesetzliche Aufbewahrungsfristen für Rechnungsdaten beachten.
• Betroffenenrechte vorbereiten: Wissen, wie Sie auf Auskunfts- oder Löschanfragen reagieren.

Wer diese Punkte umgesetzt hat, steht deutlich besser da als der Durchschnitt — und kann die Online-Terminbuchung als das nutzen, was sie sein soll: eine Entlastung für den Betrieb und ein Komfortgewinn für die Kunden, nicht ein Risiko.