Das Wichtigste in Kürze: Online-Terminbuchung ist in der Heilpraktiker-Praxis DSGVO-konform möglich, wenn vier Voraussetzungen erfüllt sind: Das Buchungsformular erhebt nur die Daten, die für den Termin nötig sind (Datenminimierung), deine Klienten werden transparent über die Verarbeitung informiert, mit dem Software-Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV), und die Daten werden sicher übertragen und idealerweise in der EU gehostet. Gesundheitsangaben gehören nicht ins offene Buchungsformular, sondern in einen geschützten, verschlüsselten Kanal. Dieser Artikel informiert allgemein und ersetzt keine Rechtsberatung; die verbindliche Einschätzung für deine Praxis gehört zu deinem Datenschutzbeauftragten oder einer Fachberatung.
Welche Daten fallen bei der Online-Terminbuchung an?
Bevor du bewerten kannst, ob deine Buchung DSGVO-konform ist, lohnt der nüchterne Blick darauf, was dabei überhaupt verarbeitet wird:
- Stammdaten: Name, E-Mail-Adresse, meist Telefonnummer, für Bestätigung, Erinnerung und Rückfragen.
- Termindaten: Terminart, Datum, Uhrzeit, ggf. Ort oder Video-Link.
- Technische Daten: IP-Adresse und Geräteinformationen beim Aufruf der Buchungsseite.
- Je nach Setup sensible Daten: Schon die gebuchte Terminart („Erstgespräch Psychotherapie") kann einen Rückschluss auf gesundheitliche Themen zulassen, und ein Freitextfeld „Ihr Anliegen" wird schnell zur ungeschützten Symptomschilderung.
Der letzte Punkt ist der entscheidende: In einer Praxis sind Buchungsdaten selten „nur" Kontaktdaten. Gesundheitsdaten genießen nach Art. 9 DSGVO besonderen Schutz, und die Grenze ist schneller überschritten, als das Formular aussieht.
Was bedeuten Einwilligung und Zweckbindung konkret?
Zwei Grundprinzipien der DSGVO betreffen dein Buchungsformular direkt. Zweckbindung heißt: Die Daten, die jemand für eine Terminbuchung angibt, darfst du für genau diesen Zweck nutzen, also Termin verwalten, bestätigen, erinnern. Nicht automatisch für den Newsletter, nicht für Werbung. Willst du mehr, brauchst du dafür eine eigene Rechtsgrundlage, in der Regel eine separate, freiwillige Einwilligung.
Transparenz heißt: Deine Klienten müssen bei der Buchung nachvollziehen können, wer welche Daten wofür verarbeitet. Praktisch gehört dazu eine verlinkte, verständliche Datenschutzerklärung direkt im Buchungsablauf, keine vorangekreuzten Kästchen und keine Pflichtfelder, die mit dem Termin nichts zu tun haben.
Jedes Feld muss die Frage beantworten können: „Brauche ich diese Angabe, um den Termin durchzuführen?" Wenn nein: raus damit oder freiwillig machen.
Wann brauchst du einen AVV mit deinem Buchungstool?
Sobald ein Software-Anbieter in deinem Auftrag personenbezogene Daten verarbeitet, und das tut ein Buchungstool schon mit Namen, E-Mail-Adressen und Termin-Infos, sieht Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Der AVV regelt, was der Anbieter mit den Daten deiner Klienten tun darf, welche Sicherheitsmaßnahmen er trifft und welche Subunternehmer er einsetzt.
Für dich heißt das praktisch: Ein Buchungstool ohne AVV ist für die Praxis kaum tragbar, unabhängig davon, wie gut es sonst ist. Seriöse Anbieter stellen den AVV aktiv bereit; gut gelöst ist es, wenn er versioniert im Adminbereich liegt und deine Zustimmung dokumentiert wird. Bei Casepoint ist die Buchungsfunktion zum Beispiel erst nutzbar, wenn der AVV akzeptiert wurde, so kann der Punkt schlicht nicht untergehen.
Worauf kommt es bei Serverstandort und Verschlüsselung an?
„EU-Hosting" ist zu Recht ein Qualitätsmerkmal: Liegen die Daten in der EU, gilt die DSGVO unmittelbar. Bei Anbietern, die Daten in Drittländern wie den USA verarbeiten, brauchst du zusätzliche Garantien, deren Bewertung aufwendig und teils umstritten ist. Aber der Standort allein sagt nur, wo Daten liegen, nicht, wer sie lesen kann. Deshalb gehört die zweite Frage immer dazu: Sind sensible Inhalte verschlüsselt, sodass selbst der Anbieter sie nicht einsehen kann?
Für die Praxis ergibt das eine einfache Rangfolge der Kanäle:
| Kanal | Übertragung | AVV möglich? | Eignung für Praxisdaten |
|---|---|---|---|
| E-Mail mit Freitext-Anliegen | Technisch oft unverschlüsselt | Nein | Ungeeignet für sensible Inhalte |
| Generisches Termin-Tool (US-Anbieter) | Transportverschlüsselt | Teils, mit Drittland-Thematik | Prüfaufwand hoch, ohne Gesundheitsbezug konzipiert |
| Spezialisierte EU-Lösung mit AVV | Transportverschlüsselt, EU-Hosting | Ja, idealerweise versioniert | Gut geeignet für Buchungs- und Termindaten |
| Ende-zu-Ende-verschlüsselte Anamnese | Im Browser des Klienten verschlüsselt | Ja | Richtiger Kanal für Gesundheitsangaben |
Daraus folgt die wichtigste Design-Entscheidung: Trenne Organisation und Gesundheit. Das Buchungsformular erhebt nur das Organisatorische. Gesundheitliche Angaben reichen deine Klienten danach über einen geschützten Kanal nach, etwa einen Anamnesebogen, der Ende-zu-Ende verschlüsselt bei dir ankommt. Wie das ohne unsichere E-Mail-Anhänge funktioniert, liest du im Artikel zum digitalen Versand von Anamnesebögen.
Was hat die Schweigepflicht mit dem Buchungstool zu tun?
Neben der DSGVO gilt für dich die berufliche Schweigepflicht. Und die beginnt früher, als viele denken: Schon die Information, dass eine Person bei dir in Behandlung ist, ist schutzwürdig. Deine Terminliste ist damit keine harmlose Organisationsdatei, sondern ein Verzeichnis von Behandlungsverhältnissen.
Für die Tool-Auswahl heißt das: Je weniger Personen und Systeme Einblick in deine Termindaten haben, desto besser. Ein Anbieter, der Daten für Werbezwecke auswertet oder Tracker von Drittanbietern einbindet, passt nicht zu einer Praxis. Achte auf datensparsame Architektur und darauf, dass der Anbieter vertraglich (im AVV) zur Vertraulichkeit verpflichtet ist. Die genaue Reichweite der Schweigepflicht im Einzelfall ist eine rechtliche Frage, bei Unsicherheit lohnt die Rücksprache mit einer Fachberatung.
Checkliste: DSGVO-konforme Terminbuchung in deiner Praxis
Diese Punkte kannst du für dein aktuelles oder künftiges Buchungstool der Reihe nach durchgehen:
- Datenminimierung: Das Formular fragt nur ab, was für den Termin nötig ist; kein offenes Pflicht-Freitextfeld für Beschwerden.
- Datenschutzinformation: Die Datenschutzerklärung ist im Buchungsablauf verlinkt und deckt das Tool ab.
- AVV: Mit dem Anbieter ist ein Auftragsverarbeitungsvertrag geschlossen und auffindbar abgelegt.
- Serverstandort: Hosting in der EU, Subunternehmer im AVV benannt.
- Verschlüsselung: Übertragung per HTTPS; Gesundheitsangaben nur über verschlüsselte Kanäle wie eine E2E-Anamnese.
- Keine Zweckentfremdung: Buchungsdaten fließen nicht in Werbung oder Tracking; separate Einwilligung für alles Zusätzliche.
- Löschung & Auskunft: Du kannst Klientendaten exportieren und löschen, wenn es nötig wird.
- Eigene Prüfung: Setup einmal mit Datenschutzbeauftragtem oder Fachberatung durchgesprochen und dokumentiert.
Wenn du ein Tool suchst, das diese Punkte von Haus aus mitdenkt: Casepoint wurde für Heilpraktiker und Therapeuten entwickelt, mit EU-Hosting, versioniertem AVV im Adminbereich, verschlüsselter Online-Anamnese und ohne Werbetracker. Einen Überblick gibt die Seite für Heilpraktiker & Therapie, die technischen Details stehen in der Übersicht der Funktionen.
Häufige Fragen zur DSGVO-konformen Terminbuchung
Ist Online-Terminbuchung DSGVO-konform?
Sie kann es sein, wenn das Tool die Voraussetzungen erfüllt: Datensparsamkeit, transparente Datenschutzinformation, ein AVV mit dem Anbieter, sichere Übertragung und Speicherung sowie idealerweise Hosting in der EU. Entscheidend ist nicht das Ob, sondern das Wie und welcher Anbieter dahintersteht. Die verbindliche Bewertung für deine Praxis gehört zu einem Datenschutzbeauftragten oder einer Fachberatung.
Brauche ich einen AVV für ein Buchungstool?
In aller Regel ja. Sobald ein Anbieter in deinem Auftrag personenbezogene Daten verarbeitet, und das tut ein Buchungstool schon mit Namen, E-Mail-Adressen und Termin-Infos, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorgesehen. Seriöse Anbieter stellen ihn aktiv bereit, idealerweise versioniert und mit dokumentierter Zustimmung. Ein Tool ohne AVV ist für eine Praxis kaum tragbar.
Welche Daten darf ich bei der Terminbuchung erheben?
Grundsatz ist die Datenminimierung: nur, was für Vereinbarung und Durchführung des Termins nötig ist, typischerweise Name, Kontaktdaten, Terminart und Wunschtermin. Gesundheitsangaben gehören nicht in ein offenes Buchungsformular, sondern in einen geschützten, verschlüsselten Kanal. Für alles darüber hinaus brauchst du eine klare Rechtsgrundlage, meist die Einwilligung.
Dürfen Klienten Gesundheitsdaten im Buchungsformular angeben?
Gesundheitsdaten sind besonders geschützte Daten nach Art. 9 DSGVO. Ein Freitextfeld, das Beschwerden offen abfragt, ist deshalb heikel, vor allem, wenn die Inhalte unverschlüsselt beim Anbieter liegen. Besser: im Formular nur das Organisatorische erheben und gesundheitliche Angaben über einen verschlüsselten Anamnesebogen nachreichen lassen.
Spielt der Serverstandort wirklich eine Rolle?
Ja. Bei EU-Hosting gilt die DSGVO unmittelbar, bei Datenverarbeitung in Drittländern brauchst du zusätzliche Garantien, deren Bewertung aufwendig ist. Der Standort allein reicht aber nicht: Genauso wichtig sind Verschlüsselung sensibler Inhalte und ein vorhandener AVV. EU-Hosting sagt nur, wo Daten liegen, nicht, wer sie lesen kann.
Fazit
DSGVO-konforme Terminbuchung ist kein Hexenwerk, sondern eine Frage der richtigen Weichenstellungen: schlankes Formular, transparente Information, AVV, EU-Hosting, und die klare Trennung zwischen organisatorischen Daten im Buchungsformular und gesundheitlichen Angaben im verschlüsselten Kanal. Wer diese Punkte einmal sauber aufsetzt und mit fachlicher Begleitung prüft, bucht danach entspannter als mit jedem Telefon-Zettel-System.
Wenn du sehen willst, wie sich das in der Praxis anfühlt: Du kannst Casepoint 30 Tage kostenlos testen, inklusive AVV, EU-Hosting und verschlüsselter Anamnese.