Ist Calendly DSGVO-konform?

Diese Frage kommt zuverlässig vom Datenschutzbeauftragten oder Einkauf, sobald ein Buchungstool zur Freigabe ansteht. Die kurze Antwort: Calendly bietet die vertraglichen Bausteine für eine konforme Nutzung — die Konformität selbst bleibt aber Ihre Aufgabe, und in manchen Kontexten ist sie aufwendiger, als es zunächst scheint.

Was Calendly formal bietet

Calendly stellt einen Auftragsverarbeitungsvertrag (AVV) bereit und stützt sich auf die vorgesehenen Mechanismen für die Datenübermittlung in die USA — etwa Standardvertragsklauseln. Formal hat ein Verantwortlicher damit Unterlagen, die er dokumentieren kann.

Das macht die Verarbeitung aber nicht automatisch konform: Es bedeutet, dass eine vertragliche Grundlage existiert, auf der Sie Ihre eigene Bewertung aufbauen müssen. Diese Bewertung müssen Sie trotzdem selbst vornehmen — und im Zweifel belegen können.

Der kritische Punkt: die Drittlandübermittlung

Jede Buchung erzeugt personenbezogene Daten einer betroffenen Person — oft kein eigener Mitarbeiter, sondern ein Kunde, Patient oder Bürger — und überträgt sie an einen Anbieter unter US-Jurisdiktion. Der Rahmen für den transatlantischen Datentransfer hat sich in wenigen Jahren mehrfach geändert (Schrems II, das EU-US Data Privacy Framework), und jede Änderung zwang Organisationen, ihre Analyse neu aufzurollen.

In regulierten Branchen lautet die Frage nicht 'Gibt es einen AVV?', sondern 'Warum wurde ein Anbieter gewählt, der eine Übermittlung erfordert, wenn europäische Alternativen bestehen?'. Auf diese Frage lässt sich schwer überzeugend antworten.

Wann das Risiko konkret wird

Der Anlass eines Termins verrät oft mehr als der Name. 'Erstgespräch Onkologie' oder 'Beratung Kündigung' fallen unter die besonderen Kategorien nach Art. 9 oder verdienen zumindest höchste Vorsicht.

Gesundheitswesen, Kanzleien, Personalabteilungen (inklusive Betriebsrat) und der öffentliche Sektor sind die Bereiche, in denen die Anbieterwahl vom Produktvorzug zu einer schriftlich zu begründenden Compliance-Entscheidung wird.

Die europäische Alternative

Ein Anbieter mit europäischer Infrastruktur nimmt Ihnen nicht die gesamte Arbeit ab: Rechtsgrundlage, Aufbewahrungsfristen und Informationspflichten müssen Sie weiterhin selbst festlegen. Er entfernt aber das fragilste Kapitel der Analyse — die internationale Übermittlung.

Kalendarius ist genau darauf ausgelegt: Daten auf europäischer Infrastruktur, keine Drittlandübermittlung, Unterstützung besonderer Datenkategorien und ein unterzeichneter AVV. Der Rest des Produkts — Sync mit Google und Microsoft, öffentliche Links, Erinnerungen — funktioniert wie erwartet.