Was dieser Ratgeber ist und was nicht
Dieser Artikel bietet allgemeine Informationen zur Datenschutz-Grundverordnung der EU, der DSGVO, so wie sie üblicherweise für kleine Betriebe mit Terminvergabe gilt. Er ist keine Rechtsberatung und kann deine konkrete Situation nicht abdecken. Nationale Gesetze ergänzen eigene Regeln, in Deutschland etwa das Bundesdatenschutzgesetz, das BDSG, in Österreich das Datenschutzgesetz, und die Aufsichtsbehörden veröffentlichen Hinweise, die sich mit der Zeit ändern können.
Wenn du sensible Informationen verarbeitest, Personal beschäftigst, grenzüberschreitend arbeitest oder einfach Sicherheit haben möchtest, sprich mit einer qualifizierten Datenschutzfachperson oder einer Anwältin beziehungsweise einem Anwalt. Viele Berufsverbände, Kammern sowie Industrie- und Handelskammern bieten ihren Mitgliedern außerdem Vorlagen und Beratung an. Nutze diesen Ratgeber, um die Begriffe zu verstehen und bessere Fragen vorzubereiten, nicht als Ersatz für professionelle Unterstützung.
Warum ist das für einen Salon, eine Praxis oder einen Coach wichtig? Weil jede Buchung personenbezogene Daten enthält: einen Namen, eine Telefonnummer, eine E-Mail-Adresse, die Terminhistorie und manchmal Notizen zu Vorlieben oder Gesundheit. Die DSGVO gilt für all das, egal ob es in einer Software, einer Tabelle, einem Papierkalender oder einem WhatsApp-Chat auf deinem Handy steht.
Nur das Nötige erheben, und zu einem klaren Zweck
Ein Kerngrundsatz der DSGVO ist die Datenminimierung: Erhebe nur die personenbezogenen Daten, die du für einen bestimmten Zweck tatsächlich brauchst. Für eine Buchung sind das meist ein Name, eine Kontaktmöglichkeit und die gewünschte Leistung. Wer „sicherheitshalber“ nach Geburtsdatum, Wohnadresse oder Ausweisnummer fragt, erhöht seine Verantwortung, ohne dass es dem Termin hilft.
Jede Verwendung personenbezogener Daten braucht eine Rechtsgrundlage. Für die Annahme und Verwaltung einer Buchung stützen sich Betriebe häufig darauf, dass die Verarbeitung für die vom Kunden gewünschte Leistung erforderlich ist, was die DSGVO als Vertragserfüllung bezeichnet. Marketing, Newsletter oder Werbeangebote sind ein anderer Zweck und erfordern meist eine gesonderte Einwilligung, die Kunden verweigern können, ohne ihren Termin zu verlieren.
Trenne die Zwecke auch in der Praxis. Eine Telefonnummer, die für Terminerinnerungen angegeben wurde, sollte nicht automatisch auf einer Werbeliste landen. Gestalte die Einwilligung in Marketing als eigene, nicht vorausgewählte Option, dokumentiere, wann und wie sie erteilt wurde, und mache den Widerruf so einfach wie die Erteilung. Eine klare Trennung erhält das Vertrauen deiner Kunden und macht deine Unterlagen leichter erklärbar.
Gesundheitsdaten und andere sensible Informationen
Art. 9 DSGVO legt besondere Kategorien personenbezogener Daten fest, darunter Gesundheitsdaten. Bei Physiotherapeuten, Psychologinnen, Ernährungsberatern, Zahnärztinnen und ähnlichen Berufen kann schon die Tatsache, dass jemand eine Behandlung gebucht hat, zusammen mit Notizen zu Beschwerden oder Erkrankungen ein Gesundheitsdatum sein. Die Verarbeitung ist grundsätzlich verboten, sofern keine bestimmte Ausnahme greift, weshalb besondere Sorgfalt nötig ist.
Auch außerhalb des Gesundheitswesens tauchen sensible Angaben auf: eine Allergie, die eine Kosmetikerin notiert, eine Verletzung, die ein Personal Trainer erfährt, oder eine Schwangerschaft, die vor einer Massage vermerkt wird. Frage dich, ob du das wirklich festhalten musst, wer es sehen kann und wie es geschützt ist. Wenn du solche Informationen aufbewahren musst, kläre mit einer Fachperson, welche Rechtsgrundlage und Schutzmaßnahmen für deine Tätigkeit gelten.
Unabhängig von den rechtlichen Details helfen praktische Maßnahmen: Beschränke, wer Kundennotizen öffnen kann, schreibe keine sensiblen Informationen in Buchungskommentare oder Chatnachrichten, nutze starke Passwörter und, wo verfügbar, eine Anmeldung in zwei Schritten, und lass gemeinsam genutzte Geräte nicht entsperrt liegen. Gesundheitsberufe haben oft zusätzliche Berufs- und Dokumentationspflichten; ein Buchungstool sollte daher nicht als Patientenakte dienen.
Softwareanbieter, Speicherdauer und Rechte der Kunden
Wenn ein Softwareunternehmen Kundendaten für dich speichert oder verarbeitet, handelt es in der Regel als Auftragsverarbeiter, und Art. 28 DSGVO verlangt einen schriftlichen Vertrag, den Auftragsverarbeitungsvertrag oder kurz AVV, der festlegt, was der Anbieter mit den Daten tun darf. Lies vor der Wahl von Buchungs-, E-Mail- oder Messaging-Tools die Datenschutzerklärung jedes Anbieters, frage, ob er einen AVV anbietet, und prüfe, wo Daten gespeichert werden und welche Unterauftragsverarbeiter beteiligt sind. Verarbeitet ein Anbieter Daten außerhalb der EU bzw. des EWR, frage, welche Garantie für die Übermittlung gilt, etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln.
Lege fest, wie lange du Daten aufbewahrst und warum. Termindaten können eine Zeit lang für Buchhaltung, Streitfälle oder Nachsorge nötig sein, aber nicht für immer. Bestimme Speicherfristen je nach Art der Daten, halte sie schriftlich fest und lösche oder anonymisiere inaktive Kundendaten nach Ablauf der Frist. Denke an alte Kopien in Tabellen, E-Mail-Anhängen und auf Handys, die man leicht vergisst.
Kunden haben Rechte an ihren Daten, darunter Auskunft, Berichtigung, in vielen Fällen Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Lege einen einfachen Ablauf fest: Wer nimmt Anfragen entgegen, wie prüfst du die Identität, und wie findest du die Daten einer Person in all deinen Tools? Antworten sind grundsätzlich innerhalb eines Monats fällig. Wenn du Kundendaten in deiner Buchungssoftware schnell findest und löschen kannst, wird das deutlich einfacher.
Kunden bei der Buchung klar informieren
Die DSGVO verlangt Transparenz: Menschen müssen erfahren, wer ihre Daten erhebt, warum, auf welcher Grundlage, wer sie erhält, wie lange sie gespeichert werden und wie sie ihre Rechte ausüben können. Für Betriebe mit Terminvergabe ist der natürliche Moment dafür die Buchung selbst. Ein kurzer Hinweis neben dem Buchungsformular mit Link zu deiner vollständigen Datenschutzerklärung deckt die meisten Situationen ab.
Schreibe die Datenschutzerklärung in einfacher Sprache und passend zu dem, was du tatsächlich tust. Nenne die Tools, die du für Buchung, Erinnerungen und Nachrichten nutzt, und kopiere keine Vorlage voller Tätigkeiten, die du gar nicht ausübst. Überarbeite sie, wann immer du ein neues Tool einführst, eine neue Art von Nachricht verschickst oder änderst, wie lange du Informationen aufbewahrst.
Deine Buchungssoftware ist Teil dieses Bildes, die Verantwortung für die Daten deiner Kunden bleibt aber bei deinem Betrieb. SkedEz veröffentlicht wie jeder Anbieter eine eigene Datenschutzerklärung und Nutzungsbedingungen, die du vor deiner Entscheidung lesen solltest; frage bei Bedarf, ob der Anbieter einen Auftragsverarbeitungsvertrag anbietet. Egal, für welches Tool du dich entscheidest: Kombiniere dessen Funktionen mit deinen eigenen Abläufen und lass deine Einrichtung im Zweifel von einer Datenschutzfachperson prüfen.
SkedEz-Team
Geschrieben und geprüft vom Team, das SkedEz entwickelt – auf Grundlage des Produkts und der öffentlichen Seiten der genannten Tools. Wird aktualisiert, wenn sich Angaben ändern.