Microsoft Bookings und DSGVO: Datenstandort, Vertrag und Einstellungen
Microsoft Bookings steckt in vielen Microsoft-365-Abos und ist deshalb oft das erste Buchungstool im Unternehmen. Ob Ihr Einsatz DSGVO-konform ist, entscheidet nicht das Tool allein: Es kommt auch darauf an, was Sie abfragen, wie lange Sie es aufbewahren und was in Ihrem Vertrag mit Microsoft steht. Hier steht, was Microsoft selbst zu Bookings veröffentlicht.
Laut Microsoft liegen alle Bookings-Daten in Microsoft 365, genauer in Exchange Online; jede geteilte Buchungsseite bekommt dort ein eigenes Postfach. Für Kunden mit Anmeldeland in der EU oder EFTA gilt die EU-Datengrenze, mit begrenzten Ausnahmen. Die Buchungsseite kann eine Einwilligung abfragen und lässt sich auf Ihre Organisation beschränken. Aufbewahrung und Löschung regeln Sie über Exchange. Haben Sie Microsoft 365 und arbeiten alle in Outlook, reicht Bookings oft aus.
Microsoft Bookings und Kalendarius im Überblick (Angaben zu Bookings laut Microsoft, Stand November 2026)
| Kriterium | Kalendarius (EU) | Microsoft Bookings |
|---|---|---|
| So bekommen Sie es | Eigenes Abo. Der Tarif Persönlich ist kostenlos; Team kostet 9,90 € pro Organisator und Monat | In vielen Microsoft-365- und Office-365-Abos enthalten, etwa Business Basic, Business Standard, Business Premium, E3 und E5; nicht einzeln erhältlich |
| Speicherort der Buchungsdaten | Hetzner-Rechenzentren in Nürnberg und Falkenstein. Termine, die Kalendarius in Outlook einträgt, liegen bei Microsoft | Exchange Online in Microsoft 365; für Kunden in EU und EFTA gilt die EU-Datengrenze |
| AVV (Auftragsverarbeitungsvertrag) | Für Business und Enterprise in juristischer Prüfung | Datenschutznachtrag (DPA) als Teil Ihres Microsoft-Vertrags |
| Kalender der Beteiligten | ✓ Outlook, dazu Kolleginnen und Kollegen mit Google Kalender oder Zoho Calendar auf demselben Team-Link | Outlook-Kalender in Microsoft 365 |
| Verteilung im Team | ✓ Round-Robin an die freie Person mit den wenigsten Buchungen auf dem Link, ab dem Tarif Team | Zufällig unter den verfügbaren Personen; laut Microsoft ohne gleichmäßige Verteilung |
| Löschfrist | Einstellbar, je nach Tarif höchstens 90, 180 oder 365 Tage | Über die Compliance-Richtlinien für freigegebene Postfächer in Exchange |
| Einbetten in die Website | Nein, Sie verlinken Ihre Buchungsseite | Ja, per iFrame |
Wo Microsoft Bookings die Daten speichert
Laut Microsofts Übersicht zu Bookings liegen alle Bookings-Daten in der Microsoft-365-Plattform und in Exchange Online. Bookings nutzt freigegebene Postfächer in Exchange, um Kunden-, Mitarbeiter-, Dienst- und Termindaten zu speichern. Dazu gehört alles, was Ihre Kunden bei der Buchung eingeben.
Jede geteilte Buchungsseite legt laut den häufig gestellten Fragen zu Bookings ein eigenes Postfach in Exchange und einen Eintrag in Microsoft Entra ID an. Zugriff auf den Buchungskalender haben nur Personen, die als Mitarbeiter in der Rolle Administrator oder Viewer eingetragen sind; Mandanten-Administratoren sehen die Liste aller Bookings-Postfächer. Die persönliche Buchungsseite („Bookings with me“) speichert ihre Daten ebenfalls in Exchange, legt aber kein eigenes Postfach an.
Was die EU-Datengrenze abdeckt
Microsoft sagt für seine Unternehmensdienste, darunter Microsoft 365, zu, Kundendaten und personenbezogene Daten innerhalb der EU-Datengrenze zu speichern und zu verarbeiten, also in Ländern der EU und der EFTA. Bei Microsoft 365 fallen Kunden darunter, deren Anmeldeland in der EU oder EFTA liegt. Wer Multi-Geo-Funktionen gekauft hat, ist laut Microsoft ausgenommen.
Microsoft nennt selbst begrenzte Fälle, in denen Daten weiterhin außerhalb der EU-Datengrenze übertragen werden, und beschreibt sie in derselben Dokumentation. Lesen Sie diese Ausnahmen, bevor Sie in Ihrer Datenschutzerklärung schreiben, es gebe keine Übermittlung in Drittländer. Das Land Ihres Mandanten sehen Sie im Microsoft 365 Admin Center.
Der Vertrag mit Microsoft
Verarbeitet ein Anbieter Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung (AVV). Bei Microsoft ist das der Datenschutznachtrag zu den Produkten und Services (Data Protection Addendum, DPA), der zu den Produktbedingungen gehört. Für Bookings schließen Sie keinen eigenen Vertrag; es gilt Ihr Microsoft-365-Vertrag.
Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, hat am 24. November 2022 festgestellt, dass Verantwortliche auf Grundlage des Datenschutznachtrags vom 15. September 2022 nicht nachweisen können, Microsoft 365 datenschutzrechtskonform zu betreiben. Die Festlegung bezieht sich auf diese Fassung des Vertrags. Klären Sie mit Ihrem Datenschutzbeauftragten, welche Fassung für Sie gilt und wie Ihre Aufsichtsbehörde den Einsatz heute bewertet.
Einstellungen in Bookings, die für den Datenschutz zählen
Die Buchungsseite hat laut Microsoft eine Option für die Einwilligung zur Nutzung von Kundendaten. Ist sie aktiv, zeigt die Seite einen Text, den Sie selbst formulieren, und Kunden müssen das Kästchen ankreuzen, um zu buchen. Datum und Uhrzeit der Zustimmung werden laut Microsoft gespeichert. Ob Sie überhaupt eine Einwilligung brauchen, hängt von Ihrer Rechtsgrundlage ab; für die reine Terminvereinbarung kommt oft Art. 6 Abs. 1 lit. b DSGVO in Betracht.
Zwei Optionen regeln, wer die Seite sieht. Die eine verlangt zum Buchen ein Microsoft-365-Konto aus Ihrer Organisation; dann können nur Personen aus Ihrem Mandanten buchen. Die andere schaltet die direkte Indexierung durch Suchmaschinen ab und hält die Seite so aus Google und Bing heraus. Ohne die erste Einschränkung kann jeder buchen, der den Link kennt, auch ohne Microsoft-Konto.
Welche Felder das Formular abfragt, legen Sie pro Dienst fest. Fragen Sie nur ab, was Sie für den Termin brauchen: Jedes weitere Feld landet im Bookings-Postfach und muss aufbewahrt, geschützt und irgendwann gelöscht werden. Administratoren können Bookings für die ganze Organisation abschalten oder per Richtlinie festlegen, wer geteilte Buchungsseiten anlegen darf; das beschreibt Microsoft unter Bookings aktivieren oder deaktivieren.
Aufbewahrung, Auskunft und Löschung
Eine eigene Löschfrist für Bookings nennt Microsoft in diesen Dokumenten nicht. Stattdessen gelten laut Microsoft die Compliance-Richtlinien für freigegebene Postfächer in Exchange auch für Bookings-Postfächer. Wie lange Buchungen liegen bleiben, regeln Sie also dort.
Administratoren einer Buchungsseite können laut Microsoft eine Datei mit allen Buchungen der letzten 120 Tage herunterladen; das hilft bei Auskunftsersuchen. Einen ganzen Buchungskalender löschen Sie, indem Sie das zugehörige Postfach in Exchange löschen.
Wann Bookings reicht und wann ein eigener Buchungslink besser passt
Haben Sie eines der genannten Abos, arbeiten alle Beteiligten in Outlook und ist Microsoft 365 bei Ihnen datenschutzrechtlich schon geprüft, dann ist Bookings naheliegend: kein weiterer Anbieter, kein weiterer Vertrag, und die Buchungsseite lässt sich per iFrame in Ihre Website einbetten.
Ein Buchungslink von Kalendarius passt besser, wenn nicht alle Outlook nutzen: Im Tarif Team teilen sich Kolleginnen und Kollegen mit Google Kalender, Zoho Calendar und Outlook denselben Link. Round-Robin gibt die Buchung an die freie Person mit den wenigsten Buchungen auf dem Link; Bookings verteilt laut Microsoft zufällig und ohne gleichmäßige Verteilung. Ein Link kann eine Genehmigung verlangen, dann bleibt die Anfrage offen, bis Sie zustimmen. Bezahlt wird pro Organisator, nicht für alle, deren Kalender geprüft wird. Mehr dazu beim Team-Terminplaner; zum Ausprobieren gibt es den kostenlosen Tarif Persönlich.
Zur Einordnung beim Datenschutz: Kalendarius speichert Buchungen auf Servern von Hetzner in Nürnberg und Falkenstein, und abgeschlossene Termine werden nach einer Frist gelöscht, die Sie einstellen. Ein AVV für die Tarife Business und Enterprise ist in juristischer Prüfung; Anfrage an info@kalendarius.com. Verbinden Sie Outlook, bleibt Microsoft beteiligt: Den Termin, den Kalendarius mit Name, E-Mail-Adresse und Notizen des Gasts in Ihren Outlook-Kalender schreibt, verarbeitet Microsoft wie jeden anderen Kalendereintrag, und Outlook verschickt die Einladung aus Ihrem Postfach. Welche weiteren Dienste beteiligt sind, steht im Leitfaden Terminplanung nach DSGVO.
Was nicht geht
Kalendarius hat kein Widget zum Einbetten, bucht keine Räume oder Ressourcen und verschickt Erinnerungen nur per E-Mail, 24 Stunden und 1 Stunde vorher. Pro Microsoft-Verbindung prüft es einen Kalender. Zahlungen bei der Buchung gibt es bei Kalendarius nicht und laut Microsoft auch bei Bookings nicht.
Quellen
Die Angaben zu Microsoft Bookings stammen aus Microsofts Dokumentation, Stand November 2026: Übersicht zu Microsoft Bookings, häufig gestellte Fragen zu geteilten Buchungsseiten, häufig gestellte Fragen zu Personal Bookings, Buchungsseite anpassen und veröffentlichen und Was ist die EU-Datengrenze?. Die Festlegung der Datenschutzkonferenz stammt vom 24. November 2022.
Häufig gestellte Fragen
Ist Microsoft Bookings DSGVO-konform?
Pauschal lässt sich das nicht sagen, denn die DSGVO bewertet Ihren Einsatz und nicht das Tool. Microsoft speichert Bookings-Daten in Exchange Online und stellt mit dem Datenschutznachtrag (DPA) einen Vertrag zur Auftragsverarbeitung bereit. Was Sie abfragen, wie lange Sie es aufbewahren und wie Sie Microsoft 365 insgesamt bewerten, bleibt Ihre Aufgabe als Verantwortlicher.
Wo speichert Microsoft Bookings die Daten?
Laut Microsoft in der Microsoft-365-Plattform, in freigegebenen Postfächern in Exchange Online. Für Microsoft-365-Kunden mit Anmeldeland in der EU oder EFTA gilt die EU-Datengrenze; Microsoft nennt dazu begrenzte Ausnahmen.
Kann ich in Microsoft Bookings eine Einwilligung einholen?
Ja. Die Buchungsseite hat eine Option für die Einwilligung zur Nutzung von Kundendaten: Sie schreiben den Text selbst, Kunden müssen das Kästchen ankreuzen, und laut Microsoft werden Datum und Uhrzeit der Zustimmung gespeichert.
Brauchen Kunden ein Microsoft-Konto, um zu buchen?
Nein, solange Sie die Seite nicht auf Ihre Organisation beschränken. Die Buchungsseite steht dann jedem offen, der den Link hat.
Ist Microsoft Bookings in Microsoft 365 enthalten?
In vielen Abos, ja: laut Microsoft unter anderem in Microsoft 365 Business Basic, Business Standard und Business Premium sowie in E1, E3 und E5 (Stand November 2026). Einzeln gibt es Bookings nicht.
Funktioniert Kalendarius mit Outlook und Microsoft Teams?
Ja. Sie verbinden ein Microsoft-365- bzw. Outlook-Konto; Kalendarius prüft dort einen Kalender auf belegte Zeiten und trägt neue Buchungen ein. Wählen Sie Microsoft Teams als Ort, bekommt jede Buchung einen eigenen Teams-Link.
Weitere Leitfäden
Checkliste für Terminplanungssoftware nach DSGVO: Rechtsgrundlage, Formularfelder, Hosting, AVV, Kalenderintegrationen und Löschfristen.
Calendly und DSGVO: Was Calendlys AVV, die Speicherung in den USA und das Data Privacy Framework für Unternehmen in Deutschland bedeuten.
Online-Terminbuchung mit Google Kalender: Gäste buchen Ihre freien Zeiten, der Termin landet mit Google-Meet-Link im Kalender. Kostenlos starten.
Team-Terminplaner: gemeinsame Termine mit mehreren Kollegen oder Verteilung per Round-Robin. 9,90 € pro Organisator, Interviewer zahlen nichts.
Buchungslink für gemischte Teams ausprobieren
Der Tarif Persönlich ist kostenlos: ein Ereignistyp, 15 Buchungen im Monat, ohne Kreditkarte. Outlook, Google Kalender und Zoho Calendar lassen sich verbinden.
Kostenloses Konto erstellenMicrosoft, Microsoft 365, Outlook und Microsoft Bookings sind Marken der Microsoft-Unternehmensgruppe. Kalendarius ist ein unabhängiges Produkt von Ugur Akcelik (Turin, Italien) und steht in keiner Verbindung zu Microsoft. Die Angaben zu Microsoft stammen aus Microsofts öffentlicher Dokumentation, Stand November 2026. Diese Seite ist keine Rechtsberatung.