Terminplanung nach DSGVO: worauf Sie bei der Software achten

Die richtige Rechtsgrundlage wählen

Welche Rechtsgrundlage passt, hängt vom Zweck und vom Verhältnis zur buchenden Person ab. Fragt jemand einen Termin an, kommen oft vorvertragliche Maßnahmen oder die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO in Betracht. Gehen Sie nicht pauschal von einer Einwilligung aus, sondern schauen Sie auf den konkreten Ablauf.

Newsletter oder Marketing sind eigene Zwecke. Trennen Sie sie von der Buchung und holen Sie dafür bei Bedarf eine eigene Einwilligung ein.

Nur das Nötigste erheben

Name, E-Mail-Adresse und Zeitpunkt reichen, um einen Termin zu bestätigen. Eine Telefonnummer lohnt sich nur, wenn Sie tatsächlich anrufen. Jedes weitere Feld ist eine Angabe, die Sie aufbewahren, schützen und irgendwann löschen müssen.

Vorsicht bei Freitextfeldern: Dort schreiben Menschen ungefragt über Gesundheit oder persönliche Umstände. Ist das in Ihrer Branche wahrscheinlich, behandeln Sie das Feld so, als enthielte es besondere Kategorien nach Art. 9 DSGVO.

Angenommen, ein Coaching-Anbieter fragt im Formular nach Telefonnummer, Firmengröße und „Worum geht es?“. Angerufen wird nie, die Firmengröße wertet niemand aus, und im Freitext schreibt eine Kundin, dass sie nach einem Burn-out wieder in den Beruf einsteigt. Damit liegen Gesundheitsdaten im System, die niemand erheben wollte. Name, E-Mail-Adresse und ein Satz in der Terminbeschreibung, dass Details ins Gespräch gehören, hätten gereicht.

Wohin die Daten fließen

Fragen Sie, wo der Anbieter Anwendung und Datenbank betreibt und welche Unterauftragsverarbeiter E-Mail-Versand, Zahlungen, Support, Backups oder Fehleranalyse übernehmen. EU-Hosting beschreibt einen Standort; Übermittlungen in Drittländer kann es trotzdem geben.

Dazu kommen die Integrationen. Was Google Kalender, Microsoft 365 oder ein Videodienst bekommt, gehört in dieselbe Übersicht wie der Hauptanbieter.

Aufbewahrung, Betroffenenrechte, Nachvollziehbarkeit

Legen Sie fest, wie lange Sie abgeschlossene Termine aufbewahren, und halten Sie das schriftlich fest. Klären Sie vorab, wie Sie ein Auskunfts- oder Löschersuchen beantworten. Müssen Sie dafür ein Ticket beim Anbieter öffnen und tagelang warten, wird die Monatsfrist der DSGVO schnell knapp.

Fragen Sie, ob die Speicherdauer einstellbar ist und ob Sie die Daten einer Person selbst exportieren und löschen können. Ein Audit-Log hilft, wenn Sie nachweisen müssen, wer was geändert hat; ob Sie eines brauchen, hängt von Ihrer Organisation ab.

AVV, Sicherheit und Produktfunktionen vergleichen

Verarbeitet der Anbieter Daten in Ihrem Auftrag, brauchen Sie einen AVV (Auftragsverarbeitungsvertrag) nach Art. 28 DSGVO. Er regelt Verarbeitungsumfang, Weisungen, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Löschung. Gleichen Sie das mit den Daten ab, die Ihr Formular und Ihre Kalenderanbindung tatsächlich nutzen.

So sieht es bei Kalendarius aus: Anwendung und Datenbank laufen bei Hetzner in Nürnberg und Falkenstein. Abgeschlossene Termine werden nach einer Frist gelöscht, die Sie einstellen (höchstens 90 Tage in den Tarifen Persönlich und Professional, 180 in Team, 365 in Business und Enterprise). Löschanfragen zu einem Gast schicken Sie an info@kalendarius.com: Wir anonymisieren seine Buchungen über die E-Mail-Adresse und entfernen Name, E-Mail-Adresse, Notizen und Einwilligungszeitpunkt; der Rest des Termins (Zeit, Status, Antworten auf eigene Fragen, Stornogrund) wird mit Ablauf Ihrer Aufbewahrungsfrist gelöscht. Einträge in verbundenen Kalendern bleiben dort. Auf Wunsch schicken wir Ihnen auch einen Export der Buchungen eines Gastes. Auf öffentlichen Buchungsseiten laden wir keine Werbe- oder Analyse-Tracker. Das Audit-Log gibt es in Business und Enterprise; ein AVV für diese Tarife ist in juristischer Prüfung.

Was der Standort nicht abdeckt: Verbundene Google- oder Microsoft-Kalender verarbeiten Termine nach den Bedingungen dieser Anbieter, und Fehlerberichte gehen an Sentry, ein US-Unternehmen, das sie in seiner EU-Region speichert. Rechtsgrundlage, Formular und Aufbewahrung bleiben Ihre Entscheidung. Wie sich Kalendarius und Calendly in diesen Punkten unterscheiden, zeigt die Calendly-Alternative mit Hosting in Deutschland; Details zu Calendly selbst stehen in Ist Calendly DSGVO-konform?.