Was dieser Ratgeber ist und was nicht
Dieser Artikel bietet allgemeine Informationen zur Datenschutz-Grundverordnung der EU, der DSGVO, so wie sie üblicherweise für kleine Betriebe mit Terminvergabe gilt. Er ist keine Rechtsberatung und kann Ihre konkrete Situation nicht abdecken. Nationale Gesetze ergänzen eigene Regeln, in Deutschland etwa das Bundesdatenschutzgesetz, das BDSG, in Österreich das Datenschutzgesetz, und die Aufsichtsbehörden veröffentlichen Hinweise, die sich mit der Zeit ändern können.
Wenn Sie sensible Informationen verarbeiten, Personal beschäftigen, grenzüberschreitend arbeiten oder einfach Sicherheit haben möchten, sprechen Sie mit einer qualifizierten Datenschutzfachperson oder einer Anwältin beziehungsweise einem Anwalt. Viele Berufsverbände, Kammern sowie Industrie- und Handelskammern bieten ihren Mitgliedern außerdem Vorlagen und Beratung an. Nutzen Sie diesen Ratgeber, um die Begriffe zu verstehen und bessere Fragen vorzubereiten, nicht als Ersatz für professionelle Unterstützung.
Warum ist das für einen Salon, eine Praxis oder einen Coach wichtig? Weil jede Buchung personenbezogene Daten enthält: einen Namen, eine Telefonnummer, eine E-Mail-Adresse, die Terminhistorie und manchmal Notizen zu Vorlieben oder Gesundheit. Die DSGVO gilt für all das, egal ob es in einer Software, einer Tabelle, einem Papierkalender oder einem WhatsApp-Chat auf Ihrem Handy steht.
Nur das Nötige erheben, und zu einem klaren Zweck
Ein Kerngrundsatz der DSGVO ist die Datenminimierung: Erheben Sie nur die personenbezogenen Daten, die Sie für einen bestimmten Zweck tatsächlich brauchen. Für eine Buchung sind das meist ein Name, eine Kontaktmöglichkeit und die gewünschte Leistung. Wer „sicherheitshalber“ nach Geburtsdatum, Wohnadresse oder Ausweisnummer fragt, erhöht seine Verantwortung, ohne dass es dem Termin hilft.
Jede Verwendung personenbezogener Daten braucht eine Rechtsgrundlage. Für die Annahme und Verwaltung einer Buchung stützen sich Betriebe häufig darauf, dass die Verarbeitung für die vom Kunden gewünschte Leistung erforderlich ist, was die DSGVO als Vertragserfüllung bezeichnet. Marketing, Newsletter oder Werbeangebote sind ein anderer Zweck und erfordern meist eine gesonderte Einwilligung, die Kunden verweigern können, ohne ihren Termin zu verlieren.
Trennen Sie die Zwecke auch in der Praxis. Eine Telefonnummer, die für Terminerinnerungen angegeben wurde, sollte nicht automatisch auf einer Werbeliste landen. Gestalten Sie die Einwilligung in Marketing als eigene, nicht vorausgewählte Option, dokumentieren Sie, wann und wie sie erteilt wurde, und machen Sie den Widerruf so einfach wie die Erteilung. Eine klare Trennung erhält das Vertrauen Ihrer Kunden und macht Ihre Unterlagen leichter erklärbar.
Gesundheitsdaten und andere sensible Informationen
Art. 9 DSGVO legt besondere Kategorien personenbezogener Daten fest, darunter Gesundheitsdaten. Bei Physiotherapeuten, Psychologinnen, Ernährungsberatern, Zahnärztinnen und ähnlichen Berufen kann schon die Tatsache, dass jemand eine Behandlung gebucht hat, zusammen mit Notizen zu Beschwerden oder Erkrankungen ein Gesundheitsdatum sein. Die Verarbeitung ist grundsätzlich verboten, sofern keine bestimmte Ausnahme greift, weshalb besondere Sorgfalt nötig ist.
Auch außerhalb des Gesundheitswesens tauchen sensible Angaben auf: eine Allergie, die eine Kosmetikerin notiert, eine Verletzung, die ein Personal Trainer erfährt, oder eine Schwangerschaft, die vor einer Massage vermerkt wird. Fragen Sie sich, ob Sie das wirklich festhalten müssen, wer es sehen kann und wie es geschützt ist. Wenn Sie solche Informationen aufbewahren müssen, klären Sie mit einer Fachperson, welche Rechtsgrundlage und Schutzmaßnahmen für Ihre Tätigkeit gelten.
Unabhängig von den rechtlichen Details helfen praktische Maßnahmen: Beschränken Sie, wer Kundennotizen öffnen kann, schreiben Sie keine sensiblen Informationen in Buchungskommentare oder Chatnachrichten, nutzen Sie starke Passwörter und, wo verfügbar, eine Anmeldung in zwei Schritten, und lassen Sie gemeinsam genutzte Geräte nicht entsperrt liegen. Gesundheitsberufe haben oft zusätzliche Berufs- und Dokumentationspflichten; ein Buchungstool sollte daher nicht als Patientenakte dienen.
Softwareanbieter, Speicherdauer und Rechte der Kunden
Wenn ein Softwareunternehmen Kundendaten für Sie speichert oder verarbeitet, handelt es in der Regel als Auftragsverarbeiter, und Art. 28 DSGVO verlangt einen schriftlichen Vertrag, den Auftragsverarbeitungsvertrag oder kurz AVV, der festlegt, was der Anbieter mit den Daten tun darf. Lesen Sie vor der Wahl von Buchungs-, E-Mail- oder Messaging-Tools die Datenschutzerklärung jedes Anbieters, fragen Sie, ob er einen AVV anbietet, und prüfen Sie, wo Daten gespeichert werden und welche Unterauftragsverarbeiter beteiligt sind. Verarbeitet ein Anbieter Daten außerhalb der EU bzw. des EWR, fragen Sie, welche Garantie für die Übermittlung gilt, etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln.
Legen Sie fest, wie lange Sie Daten aufbewahren und warum. Termindaten können eine Zeit lang für Buchhaltung, Streitfälle oder Nachsorge nötig sein, aber nicht für immer. Bestimmen Sie Speicherfristen je nach Art der Daten, halten Sie sie schriftlich fest und löschen oder anonymisieren Sie inaktive Kundendaten nach Ablauf der Frist. Denken Sie an alte Kopien in Tabellen, E-Mail-Anhängen und auf Handys, die man leicht vergisst.
Kunden haben Rechte an ihren Daten, darunter Auskunft, Berichtigung, in vielen Fällen Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Legen Sie einen einfachen Ablauf fest: Wer nimmt Anfragen entgegen, wie prüfen Sie die Identität, und wie finden Sie die Daten einer Person in all Ihren Tools? Antworten sind grundsätzlich innerhalb eines Monats fällig. Wenn Sie Kundendaten in Ihrer Buchungssoftware schnell finden und löschen können, wird das deutlich einfacher.
Kunden bei der Buchung klar informieren
Die DSGVO verlangt Transparenz: Menschen müssen erfahren, wer ihre Daten erhebt, warum, auf welcher Grundlage, wer sie erhält, wie lange sie gespeichert werden und wie sie ihre Rechte ausüben können. Für Betriebe mit Terminvergabe ist der natürliche Moment dafür die Buchung selbst. Ein kurzer Hinweis neben dem Buchungsformular mit Link zu Ihrer vollständigen Datenschutzerklärung deckt die meisten Situationen ab.
Schreiben Sie die Datenschutzerklärung in einfacher Sprache und passend zu dem, was Sie tatsächlich tun. Nennen Sie die Tools, die Sie für Buchung, Erinnerungen und Nachrichten nutzen, und kopieren Sie keine Vorlage voller Tätigkeiten, die Sie gar nicht ausüben. Überarbeiten Sie sie, wann immer Sie ein neues Tool einführen, eine neue Art von Nachricht verschicken oder ändern, wie lange Sie Informationen aufbewahren.
Ihre Buchungssoftware ist Teil dieses Bildes, die Verantwortung für die Daten Ihrer Kunden bleibt aber bei Ihrem Betrieb. SkedEz veröffentlicht wie jeder Anbieter eine eigene Datenschutzerklärung und Nutzungsbedingungen, die Sie vor Ihrer Entscheidung lesen sollten; fragen Sie bei Bedarf, ob der Anbieter einen Auftragsverarbeitungsvertrag anbietet. Egal, für welches Tool Sie sich entscheiden: Kombinieren Sie dessen Funktionen mit Ihren eigenen Abläufen und lassen Sie Ihre Einrichtung im Zweifel von einer Datenschutzfachperson prüfen.