Calendly und DSGVO: DPA, Datenschutz und US-Datenstandort

Was Calendlys DPA und Transferdokumentation sagen

Calendly veröffentlicht ein DPA, das in die Customer Terms eingebunden ist. Es beschreibt Calendlys Rolle als Auftragsverarbeiter für Kundendaten sowie einzelne Verarbeitungen, bei denen Calendly selbst Verantwortlicher ist.

Für Übermittlungen personenbezogener EU-Daten in die USA nennt das aktuelle DPA das EU-US Data Privacy Framework; falls dieser Mechanismus ungültig wird oder nicht mehr als Transfergrundlage verfügbar ist, sieht es Standardvertragsklauseln vor. Das DPA ist eine Vertragsgrundlage für die Prüfung, aber keine pauschale Bestätigung jeder Nutzung.

Der Calendly AVV (Auftragsverarbeitungsvertrag) im Detail

Prüfen Sie im Calendly-DPA den Verarbeitungsumfang, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Meldung von Datenschutzverletzungen, Unterstützung bei Betroffenenanfragen und Löschregelungen. Die DPA-Anlage beschreibt auch die vorgesehenen Transfermechanismen.

Für sensible oder regulierte Abläufe sollten Sie außerdem prüfen, welche Kalender- und sonstigen Dienste eingebunden sind und welche Buchungsdaten diese erhalten. Ein EU-gehosteter Kerndienst kann die Bewertung des Speicherorts vereinfachen, ersetzt aber keine Prüfung der übrigen Datenflüsse.

Der kritische Punkt: die Drittlandübermittlung

Calendly erklärt, Nutzer- und Eingeladenendaten in US-Rechenzentren zu speichern. Für eine konkrete Nutzung sollten Verantwortliche nachvollziehen, welche Daten übermittelt werden, welche Transfergrundlage laut aktuellem DPA greift und welche Unterauftragsverarbeiter oder Integrationen beteiligt sind.

Eine EU-Datenhaltung beim Kerndienst kann den Speicherort und bestimmte Transferfragen vereinfachen. Sie beseitigt jedoch nicht die übrigen Pflichten des Verantwortlichen; auch angebundene Kalender-, E-Mail- und weitere Dienste gehören in die Datenflussprüfung.

Wann Termindaten besondere Vorsicht erfordern

Der Anlass eines Termins und benutzerdefinierte Buchungsfragen können mitunter sensible Informationen offenlegen. Beispielsweise kann ein Termintitel wie 'Erstgespräch Onkologie' Rückschlüsse auf den Gesundheitszustand einer Person zulassen und unterliegt daher den besonderen Anforderungen des Art. 9 DSGVO. Andere Termininhalte, wie vertrauliche M&A- oder Unternehmensgespräche, betreffen geschäftliche Vertraulichkeit, ohne zwingend besondere Kategorien personenbezogener Daten nach Art. 9 darzustellen.

Gesundheitswesen, Kanzleien, Personalabteilungen und der öffentliche Sektor sind Bereiche, in denen die Wahl des Buchungssystems eine sorgfältige datenschutzrechtliche Bewertung erfordert.

AVV-Checkliste nach Art. 28 DSGVO & Betriebsrat-Freigabe

Wenn ein Anbieter personenbezogene Daten im Auftrag verarbeitet, verlangt Art. 28 DSGVO eine entsprechende vertragliche Regelung. Prüfen Sie darin unter anderem Gegenstand und Dauer, Weisungen, Sicherheit, Unterauftragsverarbeiter, Unterstützung und Löschung. Ob bei Mitarbeiterkalendern Mitbestimmungsrechte nach § 87 BetrVG berührt sind, hängt von Funktionen und betrieblicher Nutzung ab.

Kalendarius stellt Business- und Enterprise-Kunden einen unterzeichneten AVV mit technisch-organisatorischen Maßnahmen bereit. Unternehmen sollten dessen Bedingungen und die tatsächlich aktivierten Kalenderdienste für ihren eigenen Ablauf prüfen.

Calendly Unternehmensdaten, Steuernummer (VAT ID) & Rechnungsstellung in der EU

Europäische Einkaufs- und Buchhaltungsabteilungen stehen bei der Einführung von Calendly regelmäßig vor der Frage nach offiziellen Registrierungsdaten und der steuerlichen Einstufung für die Buchhaltung.

Die Calendly-Vertragsbedingungen nennen Calendly LLC als Vertragspartner. Lieferantenanschrift, USt-IdNr. und steuerliche Behandlung können vom Bestell- und Rechnungsmodell abhängen. Einkaufsabteilungen sollten deshalb die aktuelle Bestellung oder Rechnung prüfen, statt aus der US-Rechtsform auf das Fehlen einer EU-Umsatzsteuerregistrierung zu schließen.

Kalendarius wird von Ugur Akcelik in Turin (Italien; USt-IdNr. 12938420010) betrieben. Kostenpflichtige Abonnements werden durch Paddle als Merchant of Record abgerechnet; Paddle nimmt die Zahlung entgegen, stellt die Rechnung aus und wendet die im Checkout ausgewiesene steuerliche Behandlung an.

Die europäische Alternative

Wer Anbieter vergleicht, sollte Speicherort, Unterauftragsverarbeiter, Kalenderintegrationen, Aufbewahrung und Vertragsbedingungen zusammen betrachten. Eine EU-gehostete Kerninfrastruktur beschreibt den Standort dieser Verarbeitung, ist aber allein kein Nachweis für eine vollständig DSGVO-konforme Nutzung.

Kalendarius hostet Kerndienst und Datenbank in der EU, lädt auf öffentlichen Buchungsseiten keine Drittanbieter-Tracker und bietet Business- und Enterprise-Kunden einen unterzeichneten AVV. Weitere Prüfschritte finden Sie in der Checkliste zur DSGVO-konformen Terminplanungssoftware; verbundene Google- und Microsoft-Kalender sind in der tatsächlich verwendeten Konfiguration gesondert zu bewerten.

Primärquellen und Prüfstand

Die Calendly-Angaben beruhen auf dem Data Processing Addendum, den Hinweisen zu Datenspeicherung und internationalen Übermittlungen, der Unterauftragsverarbeiterliste und den Customer Terms. Transferhinweise veröffentlichen die Europäische Kommission und der EDPB. Quellen geprüft am 25. September 2026.