Datenschutz bei der Terminverwaltung in Arztpraxen
Online-Terminverwaltung, externe Dienstleister und verschärfte Anforderungen an den Datenschutz: Wer heute Termine im Gesundheitswesen digital organisiert, muss Patientendaten, Compliance und neue Vorgaben wie NIS2 zugleich im Blick behalten. Der folgende Beitrag zeigt, worauf Arztpraxen beim Einsatz von Terminverwaltungsdiensten konkret achten sollten – und wie sie typische Risiken pragmatisch in den Griff bekommen.
Datenschutz bei der digitalen Terminvergabe
Die Terminverwaltung in Arztpraxen hat sich in den letzten Jahren stark verändert: Online- Terminbuchungen, automatisierte Terminerinnerungen und cloudbasierte Kalender gehören inzwischen zum beruflichen Alltag… nicht nur im Gesundheitswesen. Was auf den ersten Blick wie eine reine Komfortfrage wirkt, ist datenschutzrechtlich hochrelevant: Bei jeder Terminvereinbarung werden personenbezogene Daten von Patientinnen und Patienten verarbeitet – oft einschließlich Gesundheitsdaten, die nach DSGVO als besonders sensibel eingestuft sind. Diese „besonderen Kategorien personenbezogener Daten“ dürfen gemäß Artikel 9 DSGVO nur in sehr engen Grenzen verarbeitet werden.
Sobald eine Praxis einen externen Anbieter mit der Terminverwaltung beauftragt, findet eine Auslagerung dieser Datenverarbeitung statt. Genau hier entstehen Unsicherheiten: Welche Daten dürfen an den Dienstleister übermittelt werden? Ist eine Einwilligung erforderlich? Wie lässt sich sicherstellen, dass der Dienstleister die Daten nicht zu eigenen Zwecken nutzt? Und was bedeutet das vor dem Hintergrund zunehmender Compliance‑Anforderungen und europäischer Sicherheitsvorgaben wie NIS2?
Was die Datenschutz-Aufsichtsbehörden sagen
Die Datenschutzkonferenz (DSK; Zusammenschluss der deutschen Datenschutz-Aufsichtsbehörden) hat mit ihrem Positionspapier wichtige Leitplanken gesetzt: Online- Terminmanagement kann als Auftragsverarbeitung nach Art. 28 DSGVO zulässig gestaltet werden – vorausgesetzt, die Praxis bleibt steuernd „am Ruder“ und setzt klare vertragliche und technische Grenzen.
Was Praxen bei externer Terminverwaltung dürfen – und was nicht
Die gute Nachricht zuerst: Die Nutzung externer Terminverwaltungsdienste ist grundsätzlich zulässig. Die Beauftragung eines Dienstleisters für Online-Terminbuchungen wird als Auftragsverarbeitung nach Art. 28 DSGVO eingeordnet. Das bedeutet: Eine gesonderte Einwilligung der Patientinnen und Patienten allein für die Einschaltung des Dienstleisters ist nicht erforderlich, solange die Praxis als Verantwortliche die Kontrolle behält und ihre Informationspflichten erfüllt.
Zentral ist die Zweckbindung: Erlaubt ist nur die Verarbeitung der Daten, die für die konkrete Terminvergabe erforderlich ist – etwa Name, Geburtsdatum, behandelnde Ärztin oder behandelnder Arzt, Art des Termins (z. B. Kontrolle, Röntgen) und Kontaktdaten für Rückfragen oder Absagen. Eine pauschale Übermittlung aller Patientenstammdaten an den Dienstleister „auf Vorrat“ ist datenschutzrechtlich unzulässig. Daten dürfen nicht weitergegeben werden, nur weil es technisch bequem wäre.
Kritisch ist außerdem jede Nutzung von Patientendaten zu eigenen Zwecken des Terminverwaltungsunternehmens, etwa für Marketing oder Produktentwicklung. Die DSK stellt klar: Im Rahmen der Auftragsverarbeitung ist eine solche Zweckänderung nicht erlaubt. Praxen müssen vertraglich festschreiben und überwachen, dass der Dienstleister sich strikt an die Weisungen der Praxis hält. Für zusätzliche Services wie Terminerinnerungen per SMS oder E-Mail ist regelmäßig eine ausdrückliche, nachweisbare Einwilligung der betroffenen Personen erforderlich.
Wie Sie Patientendaten im Terminmanagement wirksam schützen
Die datenschutzkonforme Terminverwaltung ist nicht nur eine Vertragsfrage, sondern vor allem eine Frage der „Hausaufgaben“ bei Technik und Organisation. Als Verantwortliche im Sinne der DSGVO müssen Heilberufspraxen sicherstellen, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden – sowohl in der eigenen Praxis‑IT als auch beim Dienstleister.
Im Mittelpunkt steht die Datensicherheit: Die Webanwendung für die Online-Terminbuchung muss dem Stand der Technik entsprechen, von der verschlüsselten Übertragung über Zugriffskontrollen bis hin zu einer sauberen Mandantentrennung beim Anbieter. Besonders heikel ist die Verzahnung des Terminverwaltungssystems mit dem Praxisverwaltungssystem: Hier dürfen keine unnötigen Schnittstellen oder Synchronisationen eingerichtet werden, die zu einer unkontrollierten Vermehrung oder einem unkontrollierten Abfluss von Patientendaten führen.
Ebenso wichtig ist das Thema Löschung: Terminkalender sind in der Regel nicht Teil der medizinischen Behandlungsdokumentation. Sobald der Termin verstrichen ist und die Inhalte, soweit nötig, in die Dokumentation übernommen wurden, müssen die Einträge im Terminkalender innerhalb kurzer Frist gelöscht werden. Diese Löschvorgaben gelten auch für beauftragte Dienstleister – und die Heilberufspraxis trägt die Verantwortung dafür, dass diese Vorgaben technisch umsetzbar und vertraglich abgesichert sind. Werden Verarbeitungsschritte in Drittstaaten durchgeführt, greifen zusätzlich die Anforderungen der Art. 44 ff. DSGVO, was eine besonders sorgfältige Anbieterprüfung erfordert.
Transparenz und Rollenklärung: Wer ist wofür verantwortlich?
Ein häufig unterschätzter Aspekt des Datenschutzes im Gesundheitswesen ist die klare Trennung der Verantwortlichkeiten – insbesondere, wenn Terminverwaltungsunternehmen neben der Auftragsverarbeitung zusätzliche Dienste anbieten. Erstellen Patientinnen und Patienten beispielsweise ein Nutzerkonto direkt bei einem Terminverwaltungsunternehmen, entsteht neben der Auftragsverarbeitung für die Praxis ein eigenes Vertragsverhältnis zwischen Patient und Dienstleister.
Für diese eigene Beziehung ist das Terminverwaltungsunternehmen datenschutzrechtlich Verantwortlicher. Werden in diesem Zusammenhang Gesundheitsdaten verarbeitet, benötigt das Unternehmen in der Regel eine wirksame Einwilligung der Nutzenden. Für Patientinnen und Patienten muss jederzeit erkennbar sein, mit wem sie es gerade zu tun haben: Handelt es sich um eine Terminbuchung im Auftrag der Praxis oder um eine eigenständige Nutzung des Dienstleisterportals?
Gleichzeitig haben Praxen umfangreiche Informationspflichten nach Art. 13 DSGVO: Sie müssen über die Einbindung externer Dienstleister, die Kategorien der verarbeiteten Daten, die Rechtsgrundlagen und insbesondere das konkret beauftragte Terminverwaltungsunternehmen informieren. Diese Informationen sollten leicht auffindbar und verständlich auf der Praxiswebsite, in der Datenschutzerklärung und – je nach Prozess – ergänzend im Terminbuchungsdialog bereitgestellt werden. Eine alternative Möglichkeit zur Terminvereinbarung, etwa telefonisch, sollte ebenfalls bestehen bleiben, um eine echte Wahlmöglichkeit zu gewährleisten.
Handlungsempfehlung: So setzen Sie datenschutzkonforme Terminverwaltung in der Praxis um
Um Datenschutz, Compliance und künftige Anforderungen – auch im Lichte von NIS2 und steigender Erwartungen an Informationssicherheit im Gesundheitswesen – praxistauglich zu vereinen, empfiehlt sich ein strukturiertes Vorgehen in fünf Schritten:
Ist‑Analyse und Datenminimierung
Erfassen Sie, welche Patientendaten aktuell im Rahmen der Terminvergabe erhoben und an Dienstleister übermittelt werden. Reduzieren Sie die Daten auf das wirklich Erforderliche und vermeiden Sie jede pauschale Stammdatenübermittlung.
Auswahl und Prüfung des Dienstleisters
Prüfen Sie technische und organisatorische Maßnahmen des Anbieters, Mandantentrennung, Verschlüsselung, Hosting-Standort und etwaige Drittlandbezüge. Verlangen Sie nachvollziehbare Nachweise (z. B. Zertifizierungen im Bereich Informationssicherheit wie ISO 27001) oder führen Sie ein Audit beim Dienstleister durch.
Auftragsverarbeitungsvertrag und Weisungen
Schließen Sie einen DSGVO‑konformen Auftragsverarbeitungsvertrag, der Zweckbindung, Löschfristen, Subdienstleister, Supportzugriffe und Kontrollen konkret regelt. Stellen Sie sicher, dass der Dienstleister die Daten nicht zu eigenen Zwecken nutzt.
Prozesse für Einwilligungen und Löschung etablieren
Richten Sie klare Prozesse für optionale Dienste wie Terminerinnerungen ein – inklusive dokumentierter Einwilligungen. Definieren Sie technische Routinen für die fristgerechte Löschung von Termindaten im Kalender und prüfen Sie deren Umsetzung regelmäßig. Schulen Sie Ihre Mitarbeitenden.
Transparente Information und alternative Kontaktwege
Aktualisieren Sie Ihre Datenschutzhinweise, benennen Sie das Terminverwaltungsunternehmen namentlich und stellen Sie sicher, dass Patientinnen und Patienten jederzeit erkennen können, wer für welche Datenverarbeitung verantwortlich ist (bitte beachten Sie hierbei auch die Schwerpunktprüfung der Aufsichtsbehörden in 2026). Halten Sie parallel einen nicht digitalen Weg der Terminvereinbarung bereit.
Wer diese Punkte systematisch umsetzt, schafft die Grundlage für datenschutzkonforme Terminverwaltung, stärkt das Vertrauen der Patientinnen und Patienten und positioniert die Praxis zugleich zukunftsfest in einem Gesundheitswesen, in dem Datenschutz, Informationssicherheit und europäische Vorgaben wie NIS2 immer stärker zusammenwachsen.
