Datenschutz bei der Online-Terminbuchung in der Arztpraxis: DSGVO-konform umsetzen

Online-Terminbuchung und Datenschutz in der Arztpraxis — das ist keine Frage des „Ob", sondern des „Wie". Patienten erwarten heute, rund um die Uhr einen Termin buchen zu können. Gleichzeitig verarbeiten Arztpraxen bei der Online-Buchung Gesundheitsdaten, die nach DSGVO besonders schützenswert sind. Wer hier leichtfertig handelt, riskiert Bußgelder, Vertrauensverlust und im schlimmsten Fall eine Meldepflicht an die Datenschutzbehörde.

Dieser Leitfaden erklärt, was die DSGVO bei der Online-Terminbuchung für Arztpraxen konkret verlangt, welche Fehler immer wieder gemacht werden und wie Sie rechtssicher digitalisieren — ohne auf Komfort für Patienten zu verzichten.

Autor: Steven Weißheimer, SW Business Solutions — IT-Dienstleister und Webentwicklungspartner für Arztpraxen, Kanzleien und den Mittelstand.

Warum Online-Terminbuchung und DSGVO eine besondere Kombination sind

Schon beim Öffnen eines Buchungsformulars entstehen Daten: Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum — und oft auch die Angabe des Anliegens. Genau diese Angabe macht den Unterschied: Sobald ein Patient den Buchungsgrund nennt (z. B. „Blutabnahme", „Vorsorgeuntersuchung"), handelt es sich um Gesundheitsdaten im Sinne von Art. 9 DSGVO. Diese Datenkategorie genießt besonderen Schutz und darf nur unter strengen Voraussetzungen verarbeitet werden.

Arztpraxen sind zudem Geheimnisträger nach § 203 StGB. Eine ungesicherte Datenübertragung, ein Buchungstool mit Serverstandort außerhalb der EU oder eine fehlende Auftragsverarbeitungsvereinbarung (AVV) kann damit nicht nur datenschutzrechtlich, sondern auch strafrechtlich relevant werden.

Kurz zusammengefasst: Gesundheitsdaten + Online-Terminbuchung = erhöhtes Risikoprofil. Das klingt erschreckend, ist aber lösbar — wenn man die richtigen Weichen stellt.

Die rechtlichen Grundlagen im Überblick

Was die DSGVO für Arztpraxen bedeutet

Arztpraxen sind Verantwortliche im Sinne der DSGVO (Art. 4 Nr. 7). Sie entscheiden, warum und wie Patientendaten verarbeitet werden — und tragen dafür die volle Verantwortung, auch wenn ein externer Dienstleister die Buchungssoftware betreibt.

Besonders relevante Artikel für die Online-Terminbuchung:

Ist eine Einwilligung notwendig?

Nicht zwingend. Bei Arztpraxen kann die Verarbeitung von Stammdaten (Name, Kontakt, Termin) auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden (Vertragsanbahnung). Für Gesundheitsdaten greift Art. 9 Abs. 2 lit. h DSGVO, der die Verarbeitung durch medizinische Fachkräfte zum Zweck der Gesundheitsversorgung erlaubt.

Dennoch gilt: Eine freiwillige, informierte Einwilligung für die Übertragung von Beschwerdeangaben schafft zusätzliche Rechtssicherheit und Transparenz gegenüber dem Patienten — und ist von den meisten Datenschutz-Aufsichtsbehörden empfohlen.

Die häufigsten DSGVO-Fehler bei der Online-Terminbuchung

1. Buchungstool ohne AVV einsetzen

Wer ein externes Online-Buchungssystem einsetzt, ist in der Regel Auftraggeber einer Auftragsverarbeitung. Der Softwareanbieter verarbeitet Patientendaten in Ihrem Auftrag — und das erfordert zwingend einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Fehlt dieser, ist der Betrieb des Buchungstools bereits datenschutzwidrig, unabhängig von sonstigen Maßnahmen.

Lösung: Vor der Aktivierung eines Buchungstools prüfen, ob der Anbieter einen AVV anbietet. Seriöse Anbieter stellen diesen im Selbstbedienungsportal bereit. Das AVV schriftlich (oder elektronisch) abschließen und archivieren.

2. Serverstandort außerhalb der EU/EWR

Viele international bekannte Buchungstools (z. B. Calendly in der kostenlosen Version, bestimmte US-Anbieter) verarbeiten Daten auf Servern in den USA. Für Gesundheitsdaten ist das problematisch bis unzulässig, es sei denn, es bestehen geeignete Garantien (z. B. Standardvertragsklauseln plus Transfer Impact Assessment).

Praxistipp: Bevorzugen Sie Anbieter mit Serverstandort in Deutschland oder der EU, die explizit auf die DSGVO-Konformität für medizinische Einrichtungen hinweisen. Einige Praxissoftware-Anbieter wie Doctolib, Samedi oder jameda bieten bereits DSGVO-konforme Buchungsmodule mit deutschen Rechenzentren an.

3. Datenschutzerklärung nicht aktualisiert

Wer ein Online-Buchungssystem einführt, muss die Datenschutzerklärung der Website aktualisieren und auf die neue Verarbeitungstätigkeit hinweisen: welche Daten erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und wer als Auftragsverarbeiter eingesetzt wird.

Fehlt dieser Hinweis, verletzt die Praxis ihre Informationspflichten nach Art. 13 DSGVO — ein häufiger Befund bei Praxis-Datenschutzprüfungen.

4. Übermäßige Datenerhebung im Formular

Das Prinzip Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) besagt: Es dürfen nur die Daten erhoben werden, die für den jeweiligen Zweck tatsächlich notwendig sind. Ein Buchungsformular, das neben Name und Kontakt auch Geburtsort, Krankenkasse und ausführliche Beschwerdeschilderung als Pflichtfelder abfragt, verstößt in der Regel gegen dieses Prinzip.

Empfehlung: Name, Kontaktdaten (E-Mail/Telefon), gewünschter Termin und — wenn nötig — die Fachrichtung oder Terminart reichen für die Buchung. Beschwerden besser als optionales Freitextfeld anbieten, das ausdrücklich als freiwillig gekennzeichnet ist.

5. Fehlende oder fehlerhafte Verschlüsselung

Alle Daten, die über das Buchungsformular übertragen werden, müssen TLS/SSL-verschlüsselt übertragen werden (HTTPS). Außerdem sollten die Daten auf Serverseite verschlüsselt gespeichert werden. Prüfen Sie: Läuft Ihre Website vollständig über HTTPS? Gibt es keine gemischten Inhalte (Mixed Content)?

Ein kostenloser Let's-Encrypt-Check zeigt Ihnen den Status Ihres Zertifikats in Sekunden.

6. Keine Löschkonzepte für Buchungsdaten

Buchungsdaten sind keine Patientenakten. Terminbuchungsdaten, die nicht in die Patientenakte übernommen wurden, sollten nach einer angemessenen Frist gelöscht werden. Viele Praxen haben keine definierten Löschfristen für Buchungsprotokolle. Das Verarbeitungsverzeichnis nach Art. 30 DSGVO muss auch die Online-Terminbuchung als Verarbeitungstätigkeit enthalten.

DSGVO-Checkliste: Online-Terminbuchung für Arztpraxen

Nutzen Sie diese Checkliste, um Ihre aktuelle Situation zu bewerten:

• AVV mit dem Buchungssystem-Anbieter abgeschlossen und archiviert
• Serverstandort des Anbieters in Deutschland oder EU/EWR bestätigt
• Datenschutzerklärung der Praxiswebsite aktualisiert (inkl. Buchungssystem)
• Datensparsamkeit im Formular: nur wirklich notwendige Pflichtfelder
• Einwilligungsmechanismus für sensible Angaben (Beschwerden, Anliegen) vorhanden
• Buchungsformular ausschließlich über HTTPS erreichbar
• Verschlüsselung der gespeicherten Buchungsdaten sichergestellt
• Löschfristen für Buchungsdaten definiert und technisch umgesetzt
• Verarbeitungstätigkeit im Verzeichnis nach Art. 30 DSGVO dokumentiert
• Mitarbeiterschulungen zu Datenschutz bei Online-Buchungen durchgeführt
• Datenschutzbeauftragter (intern/extern) über neue Verarbeitungstätigkeit informiert
• Prozess für Datenpannen-Meldung (Art. 33/34 DSGVO) bekannt und definiert

Technische und organisatorische Maßnahmen (TOM) konkret

Art. 32 DSGVO fordert angemessene technische und organisatorische Maßnahmen zum Schutz der Daten. Was bedeutet das konkret für die Online-Terminbuchung?

Technische Maßnahmen

• TLS 1.2 oder höher für alle Datenübertragungen (HTTPS)
• Ende-zu-Ende-Verschlüsselung oder zumindest serverseitige Verschlüsselung der gespeicherten Buchungsdaten
• Zugriffskontrollen: Nur autorisiertes Praxispersonal darf Buchungen einsehen
• Automatische Sitzungstrennung nach Inaktivität im Backend
• Regelmäßige Backups der Buchungsdaten mit definierten Wiederherstellungszeiten
• Penetrationstests / Sicherheitsaudits für praxiseigene Systeme
• Protokollierung von Zugriffen (Audit Log) auf sensible Buchungsdaten

Organisatorische Maßnahmen

• Schulung der Praxismitarbeiter zu Datenschutz und sicherem Umgang mit Buchungsdaten
• Rollenbasiertes Zugriffskonzept: Wer darf welche Buchungsdaten sehen und bearbeiten?
• Klare Löschprotokolle und Verantwortliche dafür benennen
• Datenschutz-Folgenabschätzung (DSFA) prüfen: Bei systematischer Verarbeitung von Gesundheitsdaten im großen Umfang kann eine DSFA nach Art. 35 DSGVO erforderlich sein
• Notfallplan für Datenpannen: Wer wird wann informiert?

Welche Buchungssysteme sind DSGVO-konform? Ein Vergleich

Es gibt keine universelle Antwort, welches System „das Beste" ist — aber es gibt klare Kriterien:

Bekannte DSGVO-konforme Anbieter für den deutschen Markt (ohne Wertung und Vollständigkeitsanspruch): Doctolib, Samedi, Epikur Online-Terminbuchung, jameda Premium. Eigene oder in eine DSGVO-konforme Praxissoftware integrierte Buchungsmodule sind oft die sicherste Variante — weil Datenflüsse klar definiert sind.

Wichtiger Hinweis: Auch ein zertifizierter Anbieter entbindet die Praxis nicht von der Pflicht, die Datenverarbeitung selbst zu prüfen, den AVV abzuschließen und die eigene Datenschutzerklärung zu pflegen.

Praxisbeispiel: Wie eine Hausarztpraxis die DSGVO-konforme Online-Terminbuchung eingeführt hat

Eine Hausarztpraxis mit drei Ärzten und neun Mitarbeitenden wollte ihre Telefonterminbuchung durch ein Online-System ersetzen. Die Ausgangssituation: täglich bis zu 80 Anrufe allein für Terminvereinbarungen, keine Möglichkeit zur Buchung außerhalb der Sprechzeiten, unzufriedene Patienten.

Die Lösung:

1. Auswahl eines DSGVO-konformen Anbieters mit deutschem Rechenzentrum und fertigem AVV-Template
2. Formulargestaltung nach Datensparsamkeit: Name, Telefonnummer, E-Mail, Terminart (Auswahlliste statt Freitextfeld), optional: kurze Anmerkung
3. Integration in die Praxissoftware, sodass Buchungen direkt in den Praxiskalender übernommen werden — ohne doppelte Datenhaltung
4. Aktualisierung der Datenschutzerklärung mit konkreten Angaben zur Buchungsverarbeitung
5. Mitarbeiterschulung (2 Stunden): Wohin gehen die Daten? Was passiert bei einem Fehler? Wie werden Löschfristen eingehalten?
6. Aufnahme ins Verarbeitungsverzeichnis als neue Verarbeitungstätigkeit

Ergebnis nach vier Wochen: Die Anrufzahl für Terminvereinbarungen sank um rund 60 %. Das Praxisteam konnte sich auf medizinische Anliegen konzentrieren. Und der Datenschutzbeauftragte der Praxis bestätigte die DSGVO-Konformität der Umsetzung.

Mehr zu den Grundlagen und dem vollständigen Prozess finden Sie in unserem Artikel zur Online-Terminbuchung für Arztpraxen.

DSGVO und die Praxiswebsite: Das große Ganze im Blick behalten

Die Online-Terminbuchung ist nur ein Baustein — aber oft der sensibelste. Wer eine DSGVO-konforme Arztpraxis-Website betreiben möchte, muss auch Cookie-Consent, Google Fonts, Analysetools und Kontaktformulare im Blick behalten.

Gerade wenn Sie Ihre Praxiswebsite neu aufsetzen oder grundlegend modernisieren, empfiehlt sich eine gesamtheitliche Betrachtung: Was wird auf der Website verarbeitet? Welche Drittanbieter sind eingebunden? Ist das Impressum vollständig? Entspricht die Datenschutzerklärung dem aktuellen Stand?

Unser Artikel zur Website für Arztpraxen gibt Ihnen einen vollständigen Überblick über alle Anforderungen — von Technik bis Recht.

Wer eine neue Praxiswebsite planen möchte, findet in unserem Leitfaden zum Webdesign für Arztpraxen konkrete Gestaltungsempfehlungen, und im Artikel zum Arztpraxis-Website erstellen lassen alles Wichtige zu Kosten und Anforderungen.

Digitale Patientenkommunikation über die Terminbuchung hinaus

Online-Terminbuchung ist ein erster Schritt zur digitalen Patientenkommunikation. Folgerezepte per Formular, Erinnerungen per E-Mail oder SMS, Recall-Systeme für Vorsorgeuntersuchungen — all das ist technisch möglich und datenschutzrechtlich umsetzbar. Wichtig ist immer: Die Rechtsgrundlage muss vor der Nutzung geklärt sein, nicht danach.

Was kostet DSGVO-Konformität bei der Online-Terminbuchung?

Eine häufige Sorge: „Das kostet doch viel zu viel." Die Realität ist differenzierter:

• DSGVO-konforme Buchungstools für Arztpraxen kosten je nach Anbieter und Funktionsumfang zwischen 50 und 200 Euro pro Monat. Das ist weniger als eine halbe Stunde täglicher Telefonannahmezeitersparnis.
• Rechtliche Beratung für einen AVV und die Datenschutzerklärung: einmalig 300–800 Euro beim Fachanwalt oder externen Datenschutzbeauftragten.
• Technische Umsetzung (Integration in bestehende Praxissoftware, Website-Anpassung): je nach Aufwand 500–3.000 Euro einmalig.
• Bußgelder bei Verstößen: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — in der Praxis für Arztpraxen selten, aber nachgewiesene Fälle mit Bußgeldern im fünfstelligen Bereich existieren.

Das Verhältnis ist eindeutig: Die Investition in DSGVO-Konformität ist gering im Vergleich zum finanziellen und reputativen Risiko bei Verstößen.

So unterstützt SW Business Solutions Arztpraxen

Wir bei SW Business Solutions entwickeln und betreuen Praxiswebsites und digitale Lösungen mit einem klaren Fokus auf Datenschutz, Sicherheit und praktische Umsetzbarkeit. Unsere Arbeit für Arztpraxen umfasst:

• DSGVO-konforme Website-Entwicklung inklusive Buchungsformular-Integration
• Technische Prüfung bestehender Buchungssysteme auf Datenschutzkonformität
• Unterstützung bei AVV und Dokumentation in Zusammenarbeit mit Ihrem Datenschutzbeauftragten
• Schulungen für Praxisteams zu digitalem Datenschutz im Praxisalltag

Alle unsere Praxiswebsites werden nach den Grundsätzen Privacy by Design und Privacy by Default entwickelt — Datenschutz ist kein Nachgedanke, sondern Teil der Architektur.

Unsere Branchenlösungen für Ärzte & Praxen bieten Ihnen einen strukturierten Überblick über alle digitalen Bausteine — von der Website über die Praxissoftware bis zur IT-Systembetreuung.

Wenn Sie wissen möchten, wie es um Ihre aktuelle Praxiswebsite steht — rechtlich und technisch —, empfehle ich unseren kostenlosen Praxiswebsite-Rechts- & HWG-Check. In wenigen Minuten erhalten Sie eine persönliche Auswertung zu DSGVO, HWG und Online-Terminbuchung.

Oder Sie laden direkt unser eBook „Digitalisierung in der Arztpraxis" herunter — 20+ Seiten mit Checklisten, konkreten Handlungsempfehlungen und einer 90-Tage-Roadmap für die datenschutzkonforme Digitalisierung Ihrer Praxis.

FAQ: Datenschutz Online-Terminbuchung Arztpraxis DSGVO

1. Brauche ich einen Auftragsverarbeitungsvertrag (AVV) für mein Buchungstool?

Ja, in der Regel zwingend. Wenn ein externer Anbieter in Ihrem Auftrag Patientendaten verarbeitet, ist ein AVV nach Art. 28 DSGVO Pflicht. Fehlt er, ist die Verarbeitung ohne Rechtsgrundlage. Seriöse Anbieter stellen den AVV auf Anfrage oder direkt im Kundenportal bereit.

2. Dürfen US-amerikanische Buchungstools wie Calendly in Arztpraxen eingesetzt werden?

Nur unter engen Voraussetzungen: Es müssen Standardvertragsklauseln (SCCs) vereinbart und ein sogenanntes Transfer Impact Assessment (TIA) durchgeführt worden sein. Für Gesundheitsdaten empfehlen Datenschutzaufsichtsbehörden ausdrücklich Anbieter mit EU-Serverstandort. Für Arztpraxen ist die Nutzung von US-Tools daher mit erheblichen Risiken verbunden und sollte vermieden werden.

3. Müssen Patienten aktiv einwilligen, bevor sie einen Termin online buchen?

Eine Einwilligung ist nicht in jedem Fall die korrekte Rechtsgrundlage — und auch nicht die einzig mögliche. Stammdaten (Name, Kontakt) können auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden. Gesundheitsdaten auf Art. 9 Abs. 2 lit. h DSGVO. Eine informierte Einwilligung ist dennoch gute Praxis, besonders wenn Patienten sensible Angaben zum Buchungsgrund machen.

4. Was muss in der Datenschutzerklärung zur Online-Terminbuchung stehen?

Mindestens: welche Daten erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden, wer Auftragsverarbeiter ist (Name und Sitz des Buchungstools-Anbieters) und welche Rechte Patienten haben (Auskunft, Löschung, Berichtigung).

5. Ist eine Datenschutz-Folgenabschätzung (DSFA) für die Terminbuchung nötig?

Nicht in jedem Fall. Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn die Verarbeitung „voraussichtlich ein hohes Risiko" birgt. Bei einer kleinen Arztpraxis mit standardisierter Buchungssoftware ist das Risiko in der Regel überschaubar. Wer allerdings ein eigenes System entwickelt oder sehr große Mengen an Gesundheitsdaten verarbeitet, sollte eine DSFA durchführen oder prüfen lassen.

6. Wie lange dürfen Buchungsdaten gespeichert werden?

Buchungsdaten, die in die Patientenakte überführt wurden, unterliegen der ärztlichen Aufbewahrungspflicht (in der Regel 10 Jahre). Reine Buchungsprotokolle, die nicht in die Akte übernommen wurden, sollten nach spätestens einigen Wochen bis Monaten gelöscht werden — je nach betrieblichem Bedarf. Die genauen Fristen sollten im Verarbeitungsverzeichnis dokumentiert sein.

7. Was passiert, wenn Buchungsdaten in falsche Hände geraten?

Dann liegt eine Datenpanne (Data Breach) vor. Die Praxis ist verpflichtet, diese innerhalb von 72 Stunden der zuständigen Datenschutz-Aufsichtsbehörde zu melden (Art. 33 DSGVO). Wenn ein hohes Risiko für die betroffenen Patienten besteht, müssen auch diese informiert werden (Art. 34 DSGVO). Ein Notfallplan sollte daher vorab definiert sein.

8. Kann ich einfach ein Standard-Kontaktformular als Terminanfrage nutzen?

Technisch ja — datenschutzrechtlich nur, wenn alle oben genannten Anforderungen erfüllt sind: HTTPS, korrekte Datenschutzerklärung, definierte Löschfristen, ggf. AVV mit dem Formularanbieter. Dedizierte Buchungssysteme haben gegenüber Kontaktformularen den Vorteil, dass sie direkt in Praxiskalender integriert werden können und oft bereits datenschutzrechtlich abgesichert sind.

9. Benötige ich einen Datenschutzbeauftragten für meine Arztpraxis?

Ja — für Arztpraxen mit regelmäßiger Verarbeitung von Gesundheitsdaten ist ein Datenschutzbeauftragter nach Art. 37 DSGVO in Verbindung mit § 38 BDSG grundsätzlich empfehlenswert und ab gewissen Schwellenwerten (z. B. 20 Personen, die regelmäßig mit Patientendaten arbeiten) sogar Pflicht. Viele Praxen beauftragen externe DSBs, die auf Gesundheitseinrichtungen spezialisiert sind.

10. Was ist der Unterschied zwischen Datenschutz und IT-Sicherheit bei der Terminbuchung?

Beide sind eng verknüpft, aber nicht identisch. Datenschutz regelt, ob und wie Daten verarbeitet werden dürfen (rechtliche Dimension). IT-Sicherheit schützt technisch davor, dass unbefugte Dritte auf die Daten zugreifen können (technische Dimension). Eine DSGVO-konforme Terminbuchung braucht beides: die rechtliche Grundlage und die technischen Schutzmaßnahmen.

Fazit: Datenschutz und Komfort schließen sich nicht aus

Die Online-Terminbuchung gehört zu den wichtigsten Digitalisierungsschritten für Arztpraxen. Patienten profitieren von mehr Flexibilität, das Praxisteam von weniger Telefonaufwand — und wenn es richtig gemacht wird, ist die DSGVO kein Hindernis, sondern ein Qualitätsmerkmal.

Die Kernbotschaft lautet: Kein Tool, kein System und kein Feature rechtfertigt eine leichtfertige Behandlung von Patientendaten. Wer von Anfang an die richtigen Weichen stellt — AVV, Serverstandort, Datensparsamkeit, Verschlüsselung, Schulung — schafft die Voraussetzungen für eine nachhaltig digitale und rechtssichere Praxis.

Wenn Sie unsicher sind, wo Ihre Praxis steht, sprechen Sie uns gerne an. Wir unterstützen Sie bei der technischen Umsetzung und arbeiten eng mit Ihrem Datenschutzbeauftragten zusammen.

Weiterführende Artikel:

• DSGVO-Anforderungen an die Arztpraxis-Website
• Lokale SEO für Arztpraxen
• DSGVO-konforme Buchungssysteme für Freizeitanbieter
• IT-Sicherheit für Praxen