Jede Online-Buchung erzeugt einen kleinen Datensatz: ein Name, eine Handynummer, eine E-Mail, ein Termin. Sieht harmlos aus. Aber in dem Moment, in dem ein Kunde diese Felder ausfüllt, wirst du zum Verantwortlichen für seine Daten – mit allem, was die DSGVO daran knüpft. Die gute Nachricht: Für einen normalen Dienstleistungsbetrieb sind das keine sieben Aktenordner, sondern eine Handvoll Punkte, die du einmal richtig aufsetzt.
Der Fehler, den ich am häufigsten sehe, ist gar nicht zu wenig Datenschutz. Es ist zu viel Datensammeln. Und genau da fängt es an.
Welche Kundendaten darfst du bei der Buchung überhaupt erheben?
Nur die, die du für den Termin wirklich brauchst. Das ist keine Empfehlung, sondern ein Grundsatz der DSGVO – die Datenminimierung aus Art. 5 Abs. 1 lit. c. Personenbezogene Daten müssen dem Zweck angemessen und auf das notwendige Maß beschränkt sein.
Für die meisten Betriebe heißt das konkret: Name und ein Kontaktweg für die Terminbestätigung, also Telefon oder E-Mail. Die gebuchte Leistung und die Uhrzeit sowieso. Das war es oft schon.
Was nicht in ein Standard-Buchungsformular gehört: Geburtsdatum, volle Anschrift, Beruf oder ein Pflichtfeld „Nachricht", nur weil das Formular es hergibt. Frag dich bei jedem Feld: Brauche ich das für diesen Termin – oder wäre es nur nett zu haben? Alles aus der zweiten Kategorie lässt du weg. Ein kürzeres Formular ist übrigens auch das, das mehr Leute ausfüllen.
Ein Sonderfall sind Gesundheitsdaten. Sobald aus der Buchung hervorgeht, dass jemand etwa zur Physiotherapie oder in eine bestimmte Behandlung kommt, berührst du Art. 9 DSGVO – besondere Kategorien personenbezogener Daten. Die sind besonders geschützt. Erhebe hier nur, was medizinisch oder für die Leistung nötig ist, und behandle diese Felder mit spürbar mehr Sorgfalt.
Auf welche Rechtsgrundlage stützt du die Daten?
Für die reine Terminbuchung ist die Antwort meist einfach: Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Der Kunde will eine Leistung bei dir buchen, und um den Termin zu vereinbaren und durchzuführen, brauchst du seine Daten. Dafür brauchst du keine gesonderte Einwilligung – die Verarbeitung ist zur Erfüllung des Vertrags erforderlich.
Wichtig ist die Abgrenzung, denn hier vermischen viele zwei Dinge. Alles, was über die Terminabwicklung hinausgeht, läuft nicht mehr über die Vertragserfüllung:
- Ein Newsletter oder Werbe-Mails brauchen eine separate Einwilligung nach Art. 6 Abs. 1 lit. a. Freiwillig, aktiv angehakt, nicht vorausgekreuzt.
- Gesundheitsdaten brauchen in der Regel eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a, sofern keine andere Ausnahme greift.
Die Terminbestätigung per SMS oder Mail dagegen ist Teil des Vertrags – dafür brauchst du kein Extra-Häkchen. Faustregel: Was der Kunde für seinen Termin erwartet, ist Vertragserfüllung. Was du zusätzlich von ihm willst, braucht seine Einwilligung.
Wie lange darfst du Kundendaten speichern?
Nicht „für immer". Der Grundsatz der Speicherbegrenzung aus Art. 5 Abs. 1 lit. e verlangt, dass du Daten nur so lange aufbewahrst, wie du sie brauchst. Ist der Termin gelaufen und gibt es keinen weiteren Grund, die Daten zu behalten, müssen sie irgendwann weg.
„Irgendwann" heißt in der Praxis: Du brauchst ein Löschkonzept. Das klingt größer, als es ist – im Kern ist es die Antwort auf die Frage, wann welche Daten gelöscht werden. Ein paar Anhaltspunkte:
- Reine Termindaten ohne Rechnungsbezug kannst du oft schon nach kurzer Zeit löschen.
- Sobald eine Rechnung im Spiel ist, greifen steuerliche Aufbewahrungsfristen, die je nach Belegart mehrere Jahre betragen. Diese Daten musst du behalten – aber eben nur diese.
- Was du zusätzlich behalten willst, etwa eine Kundenhistorie, brauchst du dafür eine tragfähige Grundlage.
Der Punkt, den fast alle überspringen: Löschen heißt nicht nur im Hauptsystem. Auch Backups, Exporte und die Buchungssoftware gehören ins Konzept. Ein Anbieter, der Daten nach Vertragsende sauber löscht, nimmt dir hier viel ab.
Welche Rechte haben deine Kunden – und was heißt das für dich?
Deine Kunden haben konkrete Rechte, und du musst sie erfüllen können. Die zwei, die am häufigsten kommen: das Auskunftsrecht (Art. 15 DSGVO) und das Recht auf Löschung (Art. 17).
Auskunft bedeutet: Fragt ein Kunde, welche Daten du über ihn gespeichert hast, musst du das beantworten – vollständig und in angemessener Frist. Löschung heißt: Verlangt er die Löschung und steht keine Aufbewahrungspflicht entgegen, musst du seine Daten entfernen. Dazu kommen weitere Rechte wie Berichtigung und Widerspruch, aber Auskunft und Löschung sind die, die im Alltag anklopfen.
Praktisch heißt das: Du musst wissen, wo die Daten liegen und wie du an sie herankommst. Wenn deine Buchungssoftware dir einen Export und eine gezielte Löschung ermöglicht, ist ein solcher Antrag in Minuten erledigt statt in einer nervösen halben Stunde.
Ein kurzer, aber ehrlicher Hinweis: Das ist keine Rechtsberatung. Für deine konkreten Fristen und Formulierungen – gerade bei Gesundheitsdaten – lohnt der Blick eines Fachanwalts oder Datenschutzberaters.
Und dann ist da noch der Ort, an dem die Daten liegen. Stehen die Server in Deutschland oder der EU, sparst du dir die ganze Zusatzprüfung rund um Drittlandtransfers. Genau deshalb setzt TerminKasten auf Server in Deutschland, eine DSGVO-konforme Verarbeitung und einen fertigen Auftragsverarbeitungsvertrag inklusive – Export und Löschung einzelner Kundendaten laufen dabei direkt aus dem System, ohne Umwege.
Häufige Fragen
Brauche ich für die Terminbuchung eine Einwilligung des Kunden?
Für die reine Terminvereinbarung in der Regel nicht. Sie stützt sich auf die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Eine separate Einwilligung brauchst du erst, wenn du darüber hinausgehst – etwa für Newsletter oder für Gesundheitsdaten.
Wie viele Felder darf mein Buchungsformular haben?
So viele, wie du für den Termin wirklich brauchst – und keins mehr. Die Datenminimierung verlangt, dass du dich aufs Nötige beschränkst. Weniger Pflichtfelder sind rechtlich sauberer und werden nebenbei häufiger ausgefüllt.
Muss ich Kundendaten nach dem Termin sofort löschen?
Nicht zwingend sofort, aber du brauchst einen Grund, sie zu behalten. Rechnungen unterliegen steuerlichen Aufbewahrungsfristen von mehreren Jahren. Daten ohne solchen Grund solltest du nach einem festgelegten Zeitraum löschen – das ist dein Löschkonzept.
Was mache ich, wenn ein Kunde Auskunft oder Löschung verlangt?
Du musst reagieren, in der Regel innerhalb eines Monats. Bei Auskunft legst du offen, welche Daten du gespeichert hast; bei Löschung entfernst du sie, soweit keine Aufbewahrungspflicht dagegensteht. Eine Software mit Export- und Löschfunktion macht beides zur Formsache.
---
Datenschutz bei der Online-Buchung ist keine Frage von mehr Formularen, sondern von weniger. Erhebe nur, was du brauchst, stütz es auf die richtige Grundlage, lösch, was seine Zeit hinter sich hat – und arbeite mit einem Anbieter, der dir die technische Seite abnimmt. Dann bleibt aus der Pflicht eine Sache, die einfach läuft.
Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt. Trotz sorgfältiger Erstellung können Fehler oder veraltete Informationen nicht ausgeschlossen werden. Bitte prüfen Sie die Angaben vor einer konkreten geschäftlichen Nutzung.