DSGVO und Online-Terminbuchung – was du wissen musst

Online-Terminbuchung ist längst Standard – doch sobald Namen, Kontaktdaten und Terminwünsche digital gespeichert werden, greift die DSGVO. Viele kleine Dienstleister fragen sich: Brauche ich eine Einwilligung? Was darf ich speichern? Wer ist Auftragsverarbeiter? Fehler können teuer werden – buchstäblich und im Vertrauensverlust bei Kunden.

Die gute Nachricht: DSGVO-konforme Online-Terminbuchung ist mit klaren Regeln gut machbar. Du musst kein Jurist sein – aber du solltest wissen, welche Pflichten gelten, welche Texte nötig sind und wie du Anbieter und Tools richtig auswählst.

Dieser Artikel gibt dir eine praxisnahe Übersicht für Friseure, Therapeuten, Coaches, Handwerker und alle, die Termine online annehmen – ohne Rechtsberatung im Einzelfall, aber mit soliden Leitplanken.

Gerade kleine Betriebe haben oft Angst, „etwas falsch zu machen“. In der Praxis sind die meisten Verstöße vermeidbar: zu viele Daten erheben, keine Datenschutzerklärung, Tools ohne AVV, Marketing ohne Einwilligung. Wer diese vier Punkte im Griff hat, ist für den Normalfall gut aufgestellt.

Für Terminbuchung reicht oft Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung oder vorvertragliche Maßnahmen. Der Kunde will einen Termin, du brauchst Name und Kontakt dafür. Eine separate Einwilligung ist nicht immer nötig, wohl aber klare Information in Datenschutzerklärung und Buchungsprozess.

Marketing-Newsletter, Tracking-Cookies oder Weitergabe an Dritte brauchen dagegen meist ausdrückliche Einwilligung – getrennt vom reinen Termin, opt-in, widerrufbar. Vermische das nicht in einem Häkchen.

Erhebe nur, was du brauchst: Name, Telefon oder E-Mail, Terminart, ggf. kurze Notiz. Keine unnötigen Gesundheitsdaten in Freitextfeldern ohne Schutz – besonders sensibel nach Art. 9 DSGVO. Lege fest, wie lange du Buchungsdaten aufbewahrst und löschst sie, wenn sie nicht mehr gebraucht werden – z.B. nach Ablauf gesetzlicher Aufbewahrungsfristen.

Dokumentiere das intern kurz – auch ein Ein-Personen-Betrieb braucht ein Verzeichnis von Verarbeitungstätigkeiten in der Regel.

Nutzt du Buchungssoftware oder Plattformen wie Terminmarktplatz, prüfe Auftragsverarbeitungsvertrag (AVV), Serverstandort (EU bevorzugt) und Subunternehmer. Seriöse Anbieter stellen AVV und Datenschutzinfos bereit. Ohne AVV speichert oft der Tool-Anbieter in deinem Auftrag – das muss rechtlich abgedeckt sein.

Achte auf SSL-Verschlüsselung, Zugangsschutz zu deinem Konto und starke Passwörter – technische Maßnahmen sind Teil der DSGVO-Pflichten.

Datenschutzerklärung auf der Website: Wer verarbeitet? Welche Daten? Wofür? Wie lange? Rechte auf Auskunft, Löschung, Berichtigung. Ein Kontakt für Datenschutzanfragen – oft deine Geschäfts-E-Mail. Reagiere auf Anfragen fristgerecht – in der Regel innerhalb eines Monats.

Bei Datenpannen: Meldepflicht prüfen und im Zweifel dokumentieren. Viele kleine Betriebe unterschätzen das – ein kurzer Notfallplan hilft.

Cookie-Banner und Analytics auf der Website sind ein eigenes Thema: Statistik-Tools oft nur mit Einwilligung. Die reine Terminbuchung ohne Tracking braucht das nicht – trenne technisch und rechtlich sauber. Mitarbeiter schulen: Keine Kundendaten in private Chats oder unverschlüsselte Notizen. Ein Passwort-Manager und getrennte Benutzerkonten für Praxis und Salon sind 2026 Standard, kein Luxus.

DSGVO und Online-Terminbuchung – Checkliste

Vor dem Go-live diese Punkte abhaken:

• Datenschutzerklärung aktualisiert und verlinkt.
• Nur notwendige Felder im Buchungsformular.
• AVV mit Buchungstool oder Plattform abgeschlossen.
• Speicherfristen definiert und umsetzbar.
• Marketing getrennt und opt-in, falls gewünscht.

Mit dieser Basis bist du für die meisten Standard-Szenarien gut aufgestellt. Bei Spezialfällen – z.B. Gesundheitsdaten in Therapiepraxen – lohnt individuelle Rechtsberatung zusätzlich.

Dokumentiere Änderungen: Wenn du ein neues Tool einführst oder Felder im Formular erweiterst, aktualisiere Datenschutzerklärung und Verarbeitungsverzeichnis. Das wirkt aufwendig, ist aber in der Praxis oft eine halbe Stunde Arbeit pro Jahr – deutlich günstiger als eine Abmahnung oder ein verlorenes Kundenvertrauen nach einem Datenleck.