Online Terminbuchung DSGVO-konform einrichten – Komplettanleitung

DSGVO für Arzt-Websites und Online-Terminbuchung: Warum Datenschutz hier besonders wichtig ist

Die Online-Terminbuchung gehört für moderne Arztpraxen zum Standard. Doch gerade im Gesundheitswesen gelten besonders strenge Datenschutzanforderungen. Bei der Online-Terminbuchung werden personenbezogene Daten und in vielen Fällen auch Gesundheitsdaten verarbeitet – beides fällt unter den besonderen Schutz der Datenschutz-Grundverordnung (DSGVO). Eine Online Terminbuchung DSGVO-konform einzurichten ist daher keine optionale Empfehlung, sondern eine gesetzliche Pflicht.

Verstöße gegen die DSGVO können empfindliche Bußgelder nach sich ziehen – bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes. Für Arztpraxen kommt erschwerend hinzu, dass Verstöße gegen den Datenschutz auch berufsrechtliche Konsequenzen haben können und das Vertrauensverhältnis zu den Patienten nachhaltig beschädigen.

Dieser Leitfaden zeigt Ihnen, wie Sie eine Online-Terminbuchung einrichten, die alle DSGVO-Anforderungen erfüllt, und welche konkreten Maßnahmen Sie ergreifen müssen, um auf der sicheren Seite zu sein.

Welche Daten bei der Online-Terminbuchung verarbeitet werden

Um die DSGVO-Anforderungen zu verstehen, müssen Sie zunächst wissen, welche Daten bei einer Online-Terminbuchung typischerweise erhoben und verarbeitet werden.

Personenbezogene Stammdaten

Name, Vorname, Geburtsdatum, E-Mail-Adresse, Telefonnummer und gegebenenfalls die Adresse sind Standard-Informationen, die bei jeder Terminbuchung abgefragt werden. Diese Daten fallen unter den allgemeinen Schutz der DSGVO als personenbezogene Daten.

Gesundheitsdaten als besondere Kategorie

Sobald bei der Buchung der Behandlungsgrund, Symptome oder die gewünschte Fachrichtung angegeben werden, handelt es sich um Gesundheitsdaten nach Artikel 9 DSGVO. Diese gehören zu den besonderen Kategorien personenbezogener Daten und unterliegen einem erhöhten Schutzniveau. Bereits die Information, dass jemand einen Arzttermin bucht, kann als Gesundheitsdatum gewertet werden.

Technische Daten

Bei der Nutzung eines Online-Buchungssystems werden zusätzlich technische Daten wie IP-Adresse, Browser-Informationen, Zeitstempel und Geräteinformationen erhoben. Auch diese Daten sind personenbezogen und müssen DSGVO-konform behandelt werden.

Die sechs DSGVO-Grundsätze für die Online-Terminbuchung

Die DSGVO definiert sechs Grundsätze für die Verarbeitung personenbezogener Daten, die auch für die Online-Terminbuchung gelten.

Rechtsgrundlage für die Datenverarbeitung

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Für die Online-Terminbuchung kommen mehrere in Frage.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Die ausdrückliche Einwilligung des Patienten ist die sicherste Rechtsgrundlage, insbesondere für die Verarbeitung von Gesundheitsdaten. Die Einwilligung muss freiwillig, informiert, unmissverständlich und für den konkreten Fall erteilt werden. Ein vorausgefülltes Häkchen reicht nicht aus – der Patient muss aktiv zustimmen.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Die Verarbeitung der Daten kann auch auf die Erfüllung eines Behandlungsvertrags gestützt werden. Die Terminvereinbarung ist ein vorvertraglicher Schritt, für den die Verarbeitung der notwendigen Daten erlaubt ist. Für Gesundheitsdaten im engeren Sinne reicht diese Rechtsgrundlage allein jedoch nicht aus.

Besondere Regelung für Gesundheitsdaten (Art. 9 DSGVO)

Gesundheitsdaten dürfen grundsätzlich nicht verarbeitet werden, es sei denn, eine der in Artikel 9 Absatz 2 DSGVO genannten Ausnahmen greift. Für die Terminbuchung bei einem Arzt greift in der Regel die Ausnahme für die Gesundheitsversorgung (Art. 9 Abs. 2 lit. h DSGVO) in Verbindung mit der ärztlichen Schweigepflicht. Zusätzlich empfiehlt sich eine explizite Einwilligung.

Technische Anforderungen für DSGVO-konforme Terminbuchung

Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Für die Online-Terminbuchung bedeutet das konkret:

SSL/TLS-Verschlüsselung

Die gesamte Kommunikation zwischen dem Browser des Patienten und dem Server muss verschlüsselt sein. Ein gültiges SSL-Zertifikat und die durchgehende Nutzung von HTTPS sind absolute Pflicht. Dies gilt sowohl für Ihre Praxis-Website als auch für eingebundene Buchungs-Widgets.

Verschlüsselung der gespeicherten Daten

Neben der Transportverschlüsselung sollten die gespeicherten Daten ebenfalls verschlüsselt sein (Encryption at Rest). Fragen Sie Ihren Anbieter nach den eingesetzten Verschlüsselungsstandards. AES-256 gilt als aktueller Mindeststandard.

Serverstandort in der EU

Die Datenverarbeitung sollte auf Servern innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgen. Ein Serverstandort in Deutschland bietet zusätzliche Sicherheit, da hier das strenge deutsche Datenschutzrecht gilt. Datenübermittlungen in Drittländer (insbesondere die USA) erfordern besondere Schutzmaßnahmen.

Zugriffskontrollen

Implementieren Sie ein Berechtigungskonzept, das sicherstellt, dass nur autorisierte Personen auf die Buchungsdaten zugreifen können. Nutzen Sie starke Passwörter, Zwei-Faktor-Authentifizierung und rollenbasierte Zugriffsrechte.

Regelmäßige Backups

Erstellen Sie regelmäßige Backups der Buchungsdaten und bewahren Sie diese verschlüsselt auf. Testen Sie die Wiederherstellung der Backups regelmäßig, um im Ernstfall handlungsfähig zu sein.

Auftragsverarbeitung: Vertrag mit dem Buchungsanbieter

Wenn Sie einen externen Terminbuchungsdienst nutzen, verarbeitet dieser in Ihrem Auftrag personenbezogene Daten. Die DSGVO verlangt in diesem Fall einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO.

Pflichtinhalte des AVV

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Technische und organisatorische Maßnahmen des Auftragsverarbeiters
• Regelungen zur Unterauftragsvergabe
• Unterstützung bei der Wahrung der Betroffenenrechte
• Löschung der Daten nach Ende der Auftragsverarbeitung

Anbieterauswahl

Prüfen Sie vor der Auswahl eines Buchungsanbieters dessen DSGVO-Konformität sorgfältig. Seriöse Anbieter stellen einen vorgefertigten AVV zur Verfügung und können ihre technischen und organisatorischen Maßnahmen nachweisen. Eine regelmäßige Website-Betreuung umfasst auch die Überprüfung der eingesetzten Drittanbieter auf DSGVO-Konformität.

Datenschutzerklärung: Was Sie angeben müssen

Ihre Datenschutzerklärung muss über die Datenverarbeitung im Rahmen der Online-Terminbuchung informieren. Folgende Angaben sind Pflicht:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Zweck und Rechtsgrundlage der Datenverarbeitung
• Art der erhobenen Daten
• Empfänger der Daten (Buchungsanbieter, IT-Dienstleister)
• Speicherdauer und Löschfristen
• Hinweis auf die Betroffenenrechte
• Hinweis auf das Beschwerderecht bei der Aufsichtsbehörde

Die Datenschutzerklärung muss von jeder Seite der Website aus erreichbar sein und in verständlicher Sprache formuliert werden. Verweisen Sie direkt im Buchungsformular auf die relevanten Abschnitte der Datenschutzerklärung.

Einwilligungsmanagement: So holen Sie die Zustimmung richtig ein

Die Einwilligung zur Datenverarbeitung muss bestimmte Anforderungen erfüllen, um wirksam zu sein.

Anforderungen an eine wirksame Einwilligung

• Freiwilligkeit: Die Einwilligung darf nicht an Bedingungen geknüpft sein
• Informiertheit: Der Patient muss wissen, worin er einwilligt
• Bestimmtheit: Die Einwilligung muss sich auf einen konkreten Verarbeitungszweck beziehen
• Unmissverständlichkeit: Eine aktive Handlung ist erforderlich (Opt-in, kein Opt-out)
• Widerrufbarkeit: Der Patient muss die Einwilligung jederzeit widerrufen können

Praktische Umsetzung

Integrieren Sie im Buchungsformular eine Checkbox mit einem klaren Einwilligungstext. Dieser sollte den Zweck der Datenverarbeitung nennen, auf die Datenschutzerklärung verlinken und auf das Widerrufsrecht hinweisen. Die Checkbox darf nicht vorausgefüllt sein. Speichern Sie den Zeitpunkt und den genauen Text der Einwilligung als Nachweis.

Betroffenenrechte bei der Online-Terminbuchung

Patienten haben nach der DSGVO umfangreiche Rechte bezüglich ihrer personenbezogenen Daten. Sie müssen in der Lage sein, diese Rechte zu erfüllen.

Auskunftsrecht

Patienten können jederzeit Auskunft darüber verlangen, welche Daten Sie über sie gespeichert haben. Sie müssen innerhalb eines Monats eine vollständige Auskunft erteilen können.

Recht auf Berichtigung

Fehlerhafte Daten müssen auf Verlangen unverzüglich korrigiert werden. Bieten Sie Patienten idealerweise die Möglichkeit, ihre Daten über ein Patientenportal selbst zu bearbeiten.

Recht auf Löschung

Patienten können die Löschung ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Im Gesundheitswesen gelten lange Aufbewahrungsfristen für Behandlungsdokumentationen, die Buchungsdaten selbst können jedoch nach Abschluss des Termins und Ablauf einer angemessenen Frist gelöscht werden.

Recht auf Datenübertragbarkeit

Patienten können verlangen, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Anbieter übertragen zu lassen.

Löschfristen und Aufbewahrungspflichten

Die DSGVO verlangt, dass Daten nicht länger als nötig gespeichert werden. Gleichzeitig gibt es im Gesundheitswesen gesetzliche Aufbewahrungspflichten.

Buchungsdaten

Reine Buchungsdaten (Name, Kontaktdaten, Terminzeitpunkt) sollten nach dem Termin nur so lange aufbewahrt werden, wie es für die Abrechnung und mögliche Rückfragen erforderlich ist. Eine Aufbewahrungsfrist von sechs Monaten nach dem Termin ist in der Regel angemessen.

Stornierte und nicht wahrgenommene Termine

Daten zu stornierten Terminen oder No-Shows sollten zeitnah gelöscht werden, sofern kein berechtigtes Interesse an der Aufbewahrung besteht. Eine Frist von drei Monaten ist empfehlenswert.

Einwilligungsnachweise

Die Nachweise über erteilte Einwilligungen müssen Sie so lange aufbewahren, wie die Einwilligung gilt, zuzüglich der regulären Verjährungsfristen. Planen Sie hier eine Aufbewahrung von mindestens drei Jahren ein.

Checkliste: DSGVO-konforme Online-Terminbuchung

Nutzen Sie diese Checkliste, um die DSGVO-Konformität Ihrer Online-Terminbuchung zu überprüfen:

• SSL/TLS-Verschlüsselung für die gesamte Website aktiv
• Auftragsverarbeitungsvertrag mit dem Buchungsanbieter geschlossen
• Datenschutzerklärung um Terminbuchung ergänzt
• Einwilligungs-Checkbox im Buchungsformular implementiert
• Datenminimierung: Nur notwendige Felder im Formular
• Serverstandort in der EU / Deutschland
• Zugriffskontrollen und Berechtigungskonzept eingerichtet
• Löschfristen definiert und automatisiert
• Prozess für Betroffenenanfragen etabliert
• Verzeichnis der Verarbeitungstätigkeiten aktualisiert
• Cookie-Banner bei Einsatz von Tracking angepasst
• Datenschutz-Folgenabschätzung durchgeführt (bei Bedarf)

Häufige DSGVO-Fehler bei der Online-Terminbuchung

Diese Fehler begegnen uns in der Praxis besonders häufig:

• Kein AVV mit dem Anbieter: Viele Praxen nutzen Buchungstools ohne einen Auftragsverarbeitungsvertrag geschlossen zu haben. Das ist ein klarer DSGVO-Verstoß.
• Zu viele Pflichtfelder: Jedes Datenfeld muss begründbar sein. Fragen Sie nur ab, was für die Terminvereinbarung wirklich nötig ist.
• Fehlende Einwilligung für Gesundheitsdaten: Wenn der Buchungsgrund abgefragt wird, muss eine explizite Einwilligung für die Verarbeitung von Gesundheitsdaten eingeholt werden.
• Keine Löschfristen: Daten werden unbegrenzt gespeichert, obwohl der Zweck der Verarbeitung längst entfallen ist.
• Datenübermittlung in Drittländer: Einige Buchungstools verarbeiten Daten auf Servern in den USA ohne angemessene Schutzmaßnahmen.

Häufig gestellte Fragen zur DSGVO-konformen Terminbuchung

Muss ich für die Online-Terminbuchung einen Datenschutzbeauftragten bestellen?

Ein Datenschutzbeauftragter ist für Arztpraxen mit mindestens 20 Personen, die regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, Pflicht. Unabhängig von der Mitarbeiterzahl ist ein DSB erforderlich, wenn umfangreiche Verarbeitungen besonderer Datenkategorien (Gesundheitsdaten) stattfinden. Für die meisten Arztpraxen empfiehlt sich ein externer Datenschutzbeauftragter.

Reicht ein Cookie-Banner für die DSGVO-Konformität der Terminbuchung?

Nein, ein Cookie-Banner allein reicht nicht. Cookies sind nur ein Teilaspekt. Für die Terminbuchung müssen Sie zusätzlich die Rechtsgrundlage der Datenverarbeitung sicherstellen, einen AVV schließen, die Datenschutzerklärung anpassen und technische Schutzmaßnahmen implementieren.

Darf ich den Behandlungsgrund im Buchungsformular abfragen?

Ja, aber nur mit ausdrücklicher Einwilligung des Patienten, da es sich um Gesundheitsdaten handelt. Alternativ können Sie den Behandlungsgrund als optionales Feld gestalten oder nur allgemeine Terminarten zur Auswahl stellen, ohne dass der Patient konkrete Symptome angeben muss.

Welcher Serverstandort ist für die Online-Terminbuchung zulässig?

Server innerhalb der EU bzw. des EWR sind grundsätzlich zulässig. Server in Deutschland bieten zusätzliche Rechtssicherheit. Für Server in Drittländern (z.B. USA) benötigen Sie zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln und eine Transferfolgenabschätzung.

Wie lange darf ich Buchungsdaten speichern?

Buchungsdaten dürfen nur so lange gespeichert werden, wie es für den Zweck der Verarbeitung erforderlich ist. Für wahrgenommene Termine empfiehlt sich eine Aufbewahrungsfrist von sechs Monaten, für stornierte Termine von drei Monaten. Beachten Sie zusätzlich steuerliche und berufsrechtliche Aufbewahrungspflichten.

Was passiert bei einem Datenschutzverstoß?

Bei einer Datenschutzverletzung (z.B. unbefugter Zugriff auf Buchungsdaten) müssen Sie diese innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Bei hohem Risiko für die Betroffenen müssen auch die betroffenen Patienten unverzüglich informiert werden. Dokumentieren Sie den Vorfall und die ergriffenen Gegenmaßnahmen lückenlos.

Fazit: DSGVO-Konformität als Vertrauensfaktor

Eine DSGVO-konforme Online-Terminbuchung ist mehr als eine rechtliche Pflicht – sie ist ein Vertrauensfaktor. Patienten, die wissen, dass ihre Daten bei Ihnen sicher sind, buchen bereitwilliger online und vertrauen Ihrer Praxis. Investieren Sie die notwendige Zeit in die korrekte Einrichtung und lassen Sie sich bei Bedarf von Experten unterstützen.

Die Kombination aus einem DSGVO-konformen Buchungssystem, einer professionellen Praxis-Website und durchdachten Datenschutzprozessen schafft ein sicheres digitales Umfeld, in dem sich Patienten und Praxisteam gleichermaßen wohlfühlen.

Sie möchten eine Online-Terminbuchung DSGVO-konform einrichten und benötigen professionelle Unterstützung? Nehmen Sie jetzt Kontakt auf – wir helfen Ihnen bei der datenschutzkonformen Umsetzung und sorgen dafür, dass Ihre Praxis rechtssicher aufgestellt ist.

{
“@context”: “https://schema.org”,
“@type”: “FAQPage”,
“mainEntity”: [
{“@type”: “Question”, “name”: “Muss ich für die Online-Terminbuchung einen Datenschutzbeauftragten bestellen?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Ein DSB ist Pflicht bei mindestens 20 Personen, die regelmäßig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, oder bei umfangreicher Verarbeitung von Gesundheitsdaten.”}},
{“@type”: “Question”, “name”: “Reicht ein Cookie-Banner für die DSGVO-Konformität der Terminbuchung?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Nein, ein Cookie-Banner allein reicht nicht. Sie benötigen zusätzlich eine Rechtsgrundlage, einen AVV, eine angepasste Datenschutzerklärung und technische Schutzmaßnahmen.”}},
{“@type”: “Question”, “name”: “Darf ich den Behandlungsgrund im Buchungsformular abfragen?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Ja, aber nur mit ausdrücklicher Einwilligung, da es sich um Gesundheitsdaten handelt. Alternativ können Sie nur allgemeine Terminarten zur Auswahl stellen.”}},
{“@type”: “Question”, “name”: “Welcher Serverstandort ist für die Online-Terminbuchung zulässig?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Server innerhalb der EU bzw. des EWR sind grundsätzlich zulässig. Deutschland bietet zusätzliche Rechtssicherheit. Drittländer erfordern zusätzliche Schutzmaßnahmen.”}},
{“@type”: “Question”, “name”: “Wie lange darf ich Buchungsdaten speichern?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Für wahrgenommene Termine empfiehlt sich eine Aufbewahrungsfrist von sechs Monaten, für stornierte Termine von drei Monaten. Beachten Sie zusätzliche Aufbewahrungspflichten.”}},
{“@type”: “Question”, “name”: “Was passiert bei einem Datenschutzverstoß?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. Bei hohem Risiko müssen auch betroffene Patienten informiert werden.”}}
]
}