Online-Terminbuchung in der Praxis. Was Datenschutz und Verschwiegenheit erlauben

Schon die Buchung eines Therapietermins ist ein Gesundheitsdatum. Welche Anforderungen ein Buchungstool erfüllen muss, welche Felder Sie abfragen dürfen und warum Calendly für eine Praxis heikel ist.

Von Christian Glatz · Zuletzt aktualisiert: Juli 2026

Eine Online-Buchungsseite spart Telefonate und Mailschleifen, und Klient:innen buchen gerne außerhalb der Bürozeiten. In einer psychotherapeutischen Praxis ist die Sache aber heikler als in einem Friseursalon, und zwar aus einem Grund, der oft übersehen wird.

Der Kern: Die Buchung selbst ist schon ein Gesundheitsdatum

Man denkt beim Datenschutz zuerst an Inhalte: Diagnosen, Sitzungsnotizen, Befunde. Bei der Terminbuchung gibt es davon nichts. Trotzdem fällt sie unter Art. 9 DSGVO, die besonderen Kategorien personenbezogener Daten.

Der Grund: Bereits die Information, dass eine bestimmte Person einen Termin bei einer Psychotherapeut:in wünscht, ist ein Gesundheitsdatum. Name plus Praxis plus Datum genügt. Es braucht keinen einzigen inhaltlichen Eintrag.

Daraus folgt alles Weitere. Ein Buchungstool in einer Therapiepraxis verarbeitet besonders schützenswerte Daten, auch wenn im Formular nur „Vorname, Nachname, E-Mail" steht.

Verschwiegenheit gilt auch gegenüber dem Anbieter

Die zweite Ebene wird noch häufiger übersehen. Die Verschwiegenheitspflicht nach § 45 PThG 2024 gilt gegenüber Dritten, und ein externer Dienstleister ist ein Dritter. Datenschutzrecht und Berufsrecht laufen hier parallel, und das Berufsrecht ist strenger.

Praktisch heißt das: Ein Anbieter, der technisch Zugriff auf Ihre Buchungsdaten hat, muss vertraglich so eingebunden sein, dass er ausschließlich weisungsgebunden verarbeitet. Ein Werbe- oder Tracking-Skript im Buchungsformular ist damit nicht vereinbar, weil dann Daten an Dritte abfließen, die niemand beauftragt hat.

Was ein Anbieter erfüllen muss

Vier Punkte, die sich vor der Auswahl klären lassen:

1. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ohne AV-Vertrag geht es nicht. Seriöse Anbieter stellen ihn ohne Nachfrage bereit. Wer keinen liefert, scheidet aus.
2. Verarbeitung in der EU. Ein Anbieter aus den USA bedeutet Drittlandübermittlung mit allem, was daran hängt. Bei Gesundheitsdaten ist das ein Risiko, das sich vermeiden lässt, weil es europäische Alternativen gibt.
3. Kein Tracking im Buchungsformular. Analyse- und Werbeskripte haben auf einer Seite, auf der jemand einen Therapietermin bucht, nichts verloren.
4. Löschkonzept. Wie lange bleiben Buchungsdaten beim Anbieter liegen, und wie werden sie gelöscht? Das gehört auch in Ihr Verarbeitungsverzeichnis.

Zu Calendly, das viele aus anderen Zusammenhängen kennen: Es ist ein US-Dienst, und für Gesundheitsdaten ist das die falsche Konstruktion. Dasselbe gilt für Buchungsfunktionen, die an Kalender großer US-Anbieter gekoppelt sind. Die Bequemlichkeit ist verlockend, das Risiko liegt aber genau bei Ihnen, nicht beim Anbieter.

Welche Felder Sie abfragen dürfen

Hier ist die Regel angenehm klar: so wenig wie möglich. Für eine Terminbuchung genügen in aller Regel:

• Vor- und Nachname
• eine Kontaktmöglichkeit für kurzfristige Absagen, also E-Mail oder Telefonnummer
• die gewünschte Leistung und der Termin

Was nicht ins Buchungsformular gehört: Beschwerden, Symptome, Diagnosen, Vorbehandlungen, Medikamente. Ein offenes Freitextfeld mit der Überschrift „Ihr Anliegen" ist gut gemeint und in der Praxis die häufigste Schwachstelle, weil Menschen dort erfahrungsgemäß sehr persönliche Dinge hineinschreiben. Wenn Sie ein Freitextfeld anbieten, beschriften Sie es eng, etwa „Anmerkungen zur Terminorganisation", und weisen Sie darauf hin, dass keine gesundheitlichen Angaben nötig sind.

Angaben, die für die Terminauswahl wirklich erforderlich sind, dürfen Sie erheben. Der Maßstab ist die Erforderlichkeit für die Terminvergabe, nicht das, was Sie ohnehin gerne vorab wüssten. Was Sie inhaltlich brauchen, klären Sie im Erstgespräch, nicht im Formular.

Terminerinnerungen brauchen eine eigene Einwilligung

Eine Erinnerung per SMS oder E-Mail ist praktisch und senkt die Ausfallquote spürbar. Sie ist aber eine eigene Verarbeitung und braucht eine gesonderte, freiwillige Einwilligung, die Klient:innen jederzeit widerrufen können.

Genauso wichtig ist der Inhalt der Erinnerung. Eine SMS, die auf einem Sperrbildschirm aufpoppt, kann von anderen mitgelesen werden. „Erinnerung an Ihren Termin morgen um 14:00" ist unbedenklich. Der Praxisname mit dem Zusatz „Psychotherapie" im Absender ist es nicht unbedingt. Fragen Sie im Erstgespräch, ob und auf welchem Weg Erinnerungen erwünscht sind, und halten Sie das fest.

Praktische Ausgestaltung

Ein paar Punkte, die sich in der Praxis bewähren:

Zugangscode für die Buchungsseite. Wenn Sie nur bestehende Klient:innen selbst buchen lassen wollen, schützt ein einfacher Code die Seite vor Fremdbuchungen und Spam. Für die Erstanfrage nehmen Sie dann besser ein getrenntes, offenes Formular.

Anfrage statt fixer Buchung. Gerade bei Erstkontakten ist eine Terminanfrage, die Sie bestätigen, der ruhigere Weg. Sie behalten die Kontrolle über die Auslastung, und niemand blockiert versehentlich einen Platz.

Pufferzeiten und Tageslimit. Beides verhindert, dass ein voller Tag entsteht, den Sie so nicht wollten.

Datenschutzinformation verlinken. Auf der Buchungsseite gehört ein Hinweis, wer verantwortlich ist, wozu die Daten verarbeitet werden und wie lange sie bleiben. Das ist die Informationspflicht nach Art. 13 DSGVO, keine Einwilligung.

Absagen ermöglichen. Ein Link zum Selbst-Absagen im Bestätigungsmail reduziert kurzfristige Ausfälle, und das wiederum entschärft die Frage nach dem Ausfallhonorar.

Checkliste

• AV-Vertrag mit dem Anbieter vorhanden
• Verarbeitung in der EU, keine Drittlandübermittlung
• Kein Tracking oder Werbeskript auf der Buchungsseite
• Formular auf Name, Kontakt, Leistung und Termin beschränkt
• Kein offenes Feld, das zu gesundheitlichen Angaben einlädt
• Terminerinnerungen nur mit gesonderter Einwilligung, Inhalt neutral gehalten
• Datenschutzinformation auf der Buchungsseite verlinkt
• Buchungstool im Verarbeitungsverzeichnis erfasst
• Löschfristen beim Anbieter geklärt

Quellen

• DSGVO, insbesondere Art. 9 (besondere Kategorien), Art. 13 (Information) und Art. 28 (Auftragsverarbeitung): eur-lex.europa.eu
• Psychotherapiegesetz 2024, § 45 (Verschwiegenheitspflicht): RIS
• Österreichische Datenschutzbehörde: dsb.gv.at
• Grundlagen zu den Formalpflichten der Praxis: Datenschutz in der psychotherapeutischen Praxis

Stand: Juli 2026. Dieser Artikel ist eine fachliche Orientierung und ersetzt keine individuelle Rechtsberatung.

Wie CuraDesk dabei hilft

Die Online-Buchungsseite ist in CuraDesk eingebaut und läuft auf demselben Server in Deutschland wie der Rest, ohne zusätzlichen Dienstleister. Sie lässt sich in die eigene Website einbetten, arbeitet auf Wunsch mit Terminanfragen statt fixer Buchungen, kennt Pufferzeiten, Tageslimit und einen optionalen Zugangscode. Wie die technischen Maßnahmen rundherum aussehen, steht im Artikel Datenschutz praktisch umsetzen.