Du willst nicht wissen, wie die DSGVO im Detail funktioniert – du willst sie abhaken und weitermachen. Fair. Diese Checkliste ist genau dafür da: sieben konkrete Punkte, die deine Online-Terminbuchung sauber machen. Kein Paragrafen-Vortrag, sondern eine Liste, die du in einem Nachmittag durchgehst.
Geh sie einmal von oben nach unten durch. Was du abhaken kannst, ist erledigt. Wo du hängst, weißt du sofort, wo du nachbessern musst.
Welche Punkte gehören auf die DSGVO-Checkliste?
Diese sieben. Nicht mehr, nicht weniger für den Standardfall eines Dienstleistungsbetriebs mit Online-Buchung.
1. Auftragsverarbeitungsvertrag (AVV) abgeschlossen
Deine Buchungssoftware verarbeitet Kundendaten in deinem Auftrag – das verlangt einen AVV nach Art. 28 DSGVO. Prüf: Stellt dein Anbieter einen fertigen AVV bereit? Hast du ihn abgeschlossen und abgelegt? Ein guter Anbieter liefert ihn mit; abschließen musst du ihn selbst. Ohne diesen Vertrag fällt der Rest schnell in sich zusammen.
2. Server in Deutschland oder der EU
Wo liegen die Daten physisch? Server in Deutschland oder der EU ersparen dir die komplette Zusatzprüfung rund um Drittlandtransfers. Sitzt dein Anbieter oder sein Hoster außerhalb der EU, brauchst du eine tragfähige Grundlage für den Transfer – und den zusätzlichen Aufwand. Steht der Server-Standort nicht klar in den Unterlagen, frag nach.
3. Verschlüsselung aktiv
Die Sicherheit der Verarbeitung nach Art. 32 DSGVO verlangt angemessene technische Maßnahmen. In der Praxis heißt das mindestens: Die Buchungsseite läuft über HTTPS (Schloss-Symbol im Browser), und die Daten sind auch beim Anbieter verschlüsselt gespeichert. Prüf die Buchungsstrecke einmal selbst – lädt sie über eine unverschlüsselte Verbindung, ist das ein sofortiges Nein.
4. Nur die nötigen Datenfelder
Geh dein Buchungsformular Feld für Feld durch. Brauchst du jedes davon wirklich für den Termin? Die Datenminimierung nach Art. 5 Abs. 1 lit. c verlangt, dass du dich aufs Notwendige beschränkst. Name, ein Kontaktweg, Leistung, Uhrzeit – oft reicht das. Geburtsdatum, volle Adresse oder ein Pflicht-Freitextfeld ohne Zweck fliegen raus.
5. Einwilligung sauber getrennt
Die Terminbuchung selbst stützt sich auf die Vertragserfüllung (Art. 6 Abs. 1 lit. b) – dafür brauchst du keine Einwilligung. Alles darüber hinaus schon. Prüf: Ist das Newsletter-Häkchen freiwillig und nicht vorausgekreuzt? Werden Gesundheitsdaten (Art. 9 DSGVO) nur mit ausdrücklicher Einwilligung erhoben? Datenschutzerklärung verlinkt? Consent gehört getrennt von der eigentlichen Buchung.
6. Löschkonzept steht
Wann werden welche Daten gelöscht? Die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e verlangt eine Antwort darauf. Termindaten ohne Rechnungsbezug kannst du früh löschen; Rechnungen unterliegen steuerlichen Aufbewahrungsfristen von mehreren Jahren. Halt fest, was wann gelöscht wird – und ob dein System das auch für Backups und Exporte umsetzt.
7. Sichere Zahlungsabwicklung
Wenn du Anzahlungen oder No-Show-Gebühren einziehst, kommen Zahlungsdaten dazu. Die gehören nicht in dein Buchungssystem gespeichert. Prüf: Läuft die Zahlung über einen etablierten, sicheren Zahlungsdienstleister, sodass sensible Kartendaten gar nicht erst bei dir landen? Das ist der saubere Weg – für dich weniger Risiko, für den Kunden mehr Vertrauen.
Was, wenn du bei einem Punkt hängst?
Dann fang bei dem Punkt an, der die anderen trägt: dem AVV. Fehlt der, ist er die erste Baustelle. Danach der Server-Standort, weil er über eine ganze Kategorie zusätzlicher Prüfungen entscheidet. Diese beiden hängen fast immer am Anbieter – und genau hier trennt sich brauchbare Software von Bastellösungen.
Ein Anbieter, der Datenschutz mitdenkt, hakt dir mehrere Punkte auf einmal ab. TerminKasten zum Beispiel bringt den fertigen AVV inklusive mit, betreibt die Server in Deutschland, verarbeitet DSGVO-konform und wickelt Anzahlungen sowie automatische No-Show-Gebühren über eine sichere Zahlungsabwicklung ab. Damit sind die Punkte 1, 2 und 7 in der Grundlage schon gesetzt, und du kümmerst dich nur noch um das, was in deinem Betrieb liegt: die Datenfelder, den Consent und dein Löschkonzept.
Ein kurzer Hinweis, bevor du das als Freifahrtschein liest: Das hier ist keine Rechtsberatung, sondern eine praktische Orientierung. Bei sensiblen Konstellationen – etwa im Gesundheitsbereich – lohnt der Blick eines Fachanwalts oder Datenschutzberaters.
Wie oft solltest du die Checkliste durchgehen?
Einmal beim Aufsetzen gründlich – und danach immer dann, wenn sich etwas ändert. Wechselst du den Anbieter, kommt ein neues Zahlungsmittel dazu oder baust du ein Feld ins Formular ein, geh die betroffenen Punkte erneut durch. Ein guter Rhythmus für den Rest ist ein kurzer Check einmal im Jahr. Datenschutz ist kein Projekt mit Enddatum, aber auch keine Dauerbaustelle, wenn die Grundlage stimmt.
Der ehrliche Teil: Die meisten Betriebe scheitern nicht an einzelnen Punkten, sondern daran, dass niemand die Liste je einmal komplett durchgegangen ist. Genau das änderst du jetzt.
Häufige Fragen
Reicht diese Checkliste, um vollständig DSGVO-konform zu sein?
Sie deckt die Kernpunkte der Online-Terminbuchung ab, ist aber kein Ersatz für die gesamte Datenschutz-Dokumentation deines Betriebs. Datenschutzerklärung, Verzeichnis von Verarbeitungstätigkeiten und weitere Dienstleister gehören zum großen Ganzen. Für die Buchungsstrecke selbst bringt dich die Liste aber sauber auf Stand.
Was ist der wichtigste Punkt auf der Liste?
Der AVV und der Server-Standort, weil sie die Basis bilden und meist am Anbieter hängen. Ohne AVV fehlt die rechtliche Grundlage für die Verarbeitung durch die Software; ein Server außerhalb der EU zieht eine ganze Kategorie zusätzlicher Prüfungen nach sich. Diese beiden zuerst.
Muss ich das alles selbst technisch umsetzen?
Nein. Die technischen Punkte – Verschlüsselung, Server-Standort, sichere Zahlung, Löschfunktionen – liefert im Idealfall dein Softwareanbieter. Deine Aufgabe ist, den richtigen Anbieter zu wählen und die betrieblichen Punkte zu erledigen: nötige Datenfelder, Consent und dein Löschkonzept.
Wie unterscheidet sich das von den DSGVO-Grundlagen?
Die Grundlagen erklären das Warum – Rechtsgrundlagen, Prinzipien, Betroffenenrechte. Diese Checkliste ist das Wie: eine operative Liste zum Abhaken, ohne dass du die ganze Theorie brauchst. Nutz die Grundlagen zum Verstehen, die Checkliste zum Umsetzen.
---
Sieben Punkte, ein Nachmittag, erledigt. Datenschutz bei der Terminbuchung ist keine Frage von Angst vor dem Bußgeld, sondern von einmal ordentlich aufsetzen. Häng die Liste neben den Bildschirm, geh sie durch – und dann kümmerst du dich wieder um das, was du eigentlich am besten kannst: deine Kunden.
Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt. Trotz sorgfältiger Erstellung können Fehler oder veraltete Informationen nicht ausgeschlossen werden. Bitte prüfen Sie die Angaben vor einer konkreten geschäftlichen Nutzung.