Sie haben Preise, Kalender, Formulare und Erinnerungen verglichen. Die Software scheint zu Ihrem Unternehmen zu passen. Eine wichtige Frage bleibt jedoch offen: Was geschieht mit den Daten der Personen, die einen Termin buchen?
Eine Buchung kann einen Namen, eine E-Mail-Adresse und eine Telefonnummer enthalten. Hinzu kommen möglicherweise Formularantworten, Informationen für einen externen Kalender oder – wenn Sie zusätzliche Funktionen aktivieren – Aufzeichnungen und Transkripte des Gesprächs.
Um den Datenschutz zu beurteilen, müssen Sie diesen Ablauf verstehen. Dabei sollten Sie prüfen, was der Anbieter bereitstellt und was Ihr Unternehmen selbst einrichten und organisieren muss.
Dieser Leitfaden enthält praktische Fragen, Dokumente und Beispiele, die Ihnen helfen, die DSGVO bei der Auswahl und Einrichtung eines Online-Terminbuchungssystems zu berücksichtigen.
Checkliste: Was Sie vor Vertragsabschluss prüfen sollten
Nutzen Sie diese Tabelle, um Anbieter zu vergleichen und Fragen für eine Produktdemo vorzubereiten.
| Was Sie prüfen sollten | Welche Unterlagen oder Informationen helfen | Was Sie im eigenen Unternehmen klären sollten |
|---|---|---|
| Erhobene Daten | Formularfelder und Einstellungsmöglichkeiten | Ob jede Frage für die Terminverwaltung erforderlich ist |
| Verantwortlichkeiten | Vertrag und Nutzungsbedingungen | Wofür Sie die Daten verwenden und wer darüber entscheidet |
| Auftragsverarbeitung | Vereinbarung nach Artikel 28, sofern erforderlich | Ob sie die gebuchte Leistung abdeckt |
| Hosting und Dienstleister | Verarbeitungsorte und Angaben zu Unterauftragsverarbeitern | Welche zusätzlichen Dienste Sie verbinden möchten |
| Informationen für Kunden | Datenschutzhinweise und Formularoptionen | Ob diese die tatsächliche Verarbeitung beschreiben |
| Zugriff und Sicherheit | Verfügbare Schutzmaßnahmen und Einstellungen | Wer welche Informationen benötigt |
| Aufbewahrung und Betroffenenrechte | Löschbedingungen und Unterstützungsleistungen | Fristen, Zuständigkeiten und Verfahren für Anfragen |
| Aufzeichnungen und KI | Besondere Bedingungen dieser Funktionen | Zweck, Rechtsgrundlage, Transparenz und Zugriffsrechte |
Die Tabelle hilft Ihnen, die Prüfung zu strukturieren. Die konkreten Anforderungen hängen von Ihrer Verarbeitung und Ihrem Geschäftskontext ab.
1. Beginnen Sie mit den Daten, die Sie tatsächlich benötigen
Bevor Sie fragen, wo Informationen gespeichert werden, sollten Sie festlegen, welche Informationen Sie überhaupt erheben müssen.
Die DSGVO enthält den Grundsatz der Datenminimierung: Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein. Für ein Buchungsformular bedeutet das, dass Sie die zusätzlichen Fragen begründen können sollten.
Stellen Sie sich ein Erstgespräch bei einer Beratung vor:
| Feld | Frage zur Prüfung |
|---|---|
| Name und E-Mail-Adresse | Benötige ich diese Angaben, um die Person zuzuordnen und den Termin zu bestätigen? |
| Telefonnummer | Nutze ich sie für einen konkreten Zweck im Zusammenhang mit der Buchung? |
| Gewünschte Leistung | Hilft diese Angabe, die Anfrage zur passenden Terminart weiterzuleiten? |
| Postanschrift | Ist sie für diese Leistung erforderlich oder kann ich sie später erfragen? |
| Freie Beschreibung des Anliegens | Könnten Auswahlmöglichkeiten unnötige Angaben vermeiden? |
Anstelle von "Schildern Sie uns Ihre Situation mit allen Einzelheiten" könnten Sie eine Auswahl an Leistungen anbieten und weitere Informationen zum passenden Zeitpunkt erfragen.
Für Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten gelten zusätzliche Voraussetzungen. Achten Sie deshalb besonders auf Freitextfelder im Gesundheitsbereich und in anderen Situationen, in denen sensible Informationen mitgeteilt werden könnten.
Mit den intelligenten Formularen von TuCalendi können Sie Fragen anpassen und bedingte Logik einsetzen. Ausgangspunkt sollte die Information sein, die für den jeweiligen Buchungsablauf notwendig ist.
2. Klären Sie, wer über die Nutzung der Daten entscheidet
Wenn Ihr Unternehmen bestimmt, warum Buchungsdaten erhoben und wie sie verwendet werden, handelt es normalerweise als Verantwortlicher.
Ein Anbieter, der diese Informationen in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, kann als Auftragsverarbeiter tätig sein. Für eigene Verarbeitungsvorgänge kann derselbe Anbieter jedoch eine andere Rolle haben, beispielsweise bei bestimmten Abrechnungsdaten oder der Verwaltung seiner Geschäftsbeziehung mit Ihnen.
Die Rolle der Beteiligten hängt davon ab, was sie tatsächlich mit den Daten tun. Der Europäische Datenschutzausschuss erläutert diese Unterscheidung in seinen Informationen zu Verantwortlichen und Auftragsverarbeitern.
Fragen Sie bei der Prüfung einer Software:
- Welche Daten verarbeitet der Anbieter im Auftrag meines Unternehmens?
- Für welche Zwecke handelt er als Verantwortlicher?
- Welche weiteren Dienstleister sind beteiligt?
- Welche Unterstützung bietet er, wenn Kunden ihre Rechte ausüben?
Die Auswahl des Anbieters ist ein Teil der Prüfung. Zusätzlich müssen Sie festlegen, wie Ihr Team die Informationen verwendet.
3. Prüfen Sie den Auftragsverarbeitungsvertrag
Handelt der Anbieter als Auftragsverarbeiter, muss der nach Artikel 28 DSGVO erforderliche Vertrag oder ein entsprechendes anderes Rechtsinstrument vorliegen.
Prüfen Sie, ob die Vereinbarung die geplante Nutzung abdeckt. Sie sollte unter anderem Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter sowie die Rückgabe oder Löschung der Daten nach Ende der Zusammenarbeit regeln.
So greifen Sie in TuCalendi auf den Vertrag zu
TuCalendi stellt seinen Nutzern den Auftragsverarbeitungsvertrag sowohl im kostenlosen Tarif als auch in den kostenpflichtigen Tarifen zur Verfügung.
Der dokumentierte Ablauf ist:
- Melden Sie sich bei TuCalendi an.
- Öffnen Sie Konto → GDPR.
- Folgen Sie den Hinweisen, um das Dokument einzusehen und herunterzuladen.
- Prüfen Sie den Inhalt und schließen Sie den Vorgang über die Schaltfläche zur Vertragsunterzeichnung ab.
Weitere Informationen finden Sie in der Anleitung zum Unterzeichnen und Herunterladen des Auftragsverarbeitungsvertrags.
Bewahren Sie den Vertrag zusammen mit Ihren Dienstleisterunterlagen auf und prüfen Sie ihn erneut, wenn sich die genutzten Leistungen ändern.
4. Prüfen Sie Hosting und Integrationen
Der Hosting-Standort ist wichtig. Sie sollten aber auch die verbundenen Dienste kennen.
Ein Buchungsprozess kann Kalender, Zahlungsdienste, Videokonferenzen, Nachrichten oder ein CRM einbeziehen. Prüfen Sie, welche Informationen jeder Dienst erhält und zu welchem Zweck.
Verfolgen Sie beispielsweise eine Testbuchung durch diesen Ablauf:
Formular → Buchungsplattform → Kalender → Bestätigungs-E-Mail → Videokonferenz.
Ergänzen Sie anschließend die Dienste, die Sie tatsächlich aktiviert haben. Diese Übersicht hilft zu erkennen, wo Informationen gespeichert oder weitergegeben werden.
TuCalendi ist ein europäisches Unternehmen mit Sitz in Spanien und Servern in Deutschland und Spanien. Weitere Hintergründe finden Sie in unserem Artikel über europäische Online-Buchungssoftware und DSGVO.
Die europäische Herkunft allein belegt keine vollständige Konformität. Ebenso bedeutet die Nutzung eines Anbieters außerhalb des Europäischen Wirtschaftsraums nicht automatisch einen Verstoß: Internationale Datenübermittlungen müssen die jeweils geltenden Voraussetzungen erfüllen.
Der Europäische Datenschutzausschuss bietet dazu Informationen über internationale Datenübermittlungen.
Fragen Sie Ihren Anbieter, wo Daten verarbeitet werden und welche Unterlagen diesen Ablauf dokumentieren, einschließlich möglicher internationaler Übermittlungen.
5. Informieren Sie Kunden und unterscheiden Sie die Zwecke
Personen, die einen Termin buchen, müssen verständliche Informationen über die Verarbeitung ihrer Daten erhalten.
Prüfen Sie, ob Ihre Datenschutzhinweise den Verantwortlichen, die Zwecke, die Rechtsgrundlage, die Empfänger, die Aufbewahrung und die Ausübung der Rechte sowie weitere erforderliche Angaben enthalten. Die Informationen müssen zum tatsächlichen Ablauf passen.
Außerdem benötigen Sie für jeden Zweck eine passende Rechtsgrundlage. Die Einwilligung ist nicht die einzige Rechtsgrundlage der DSGVO. Ein allgemeines Kontrollkästchen mit „Ich akzeptiere die Datenschutzerklärung“ klärt für sich genommen nicht sämtliche Verarbeitungsvorgänge.
Unter bestimmten Umständen kann die Verwaltung eines angefragten Termins für vorvertragliche Maßnahmen oder die Vertragserfüllung erforderlich sein. Prüfen Sie, welche Rechtsgrundlage für Ihre Situation zutrifft. Wenn Sie sich auf eine Einwilligung stützen, muss diese die entsprechenden Anforderungen erfüllen.
Der Europäische Datenschutzausschuss erläutert die Grundlagen in seinem Leitfaden zur rechtmäßigen Verarbeitung personenbezogener Daten.
Unterscheiden Sie beispielsweise zwischen:
- Der Verwaltung der Buchung und dem Versand dazugehöriger Informationen.
- Dem Versand von Newslettern oder Werbenachrichten.
- Der Aufzeichnung und Analyse des Gesprächs.
Gehen Sie nicht davon aus, dass eine Terminbuchung jede spätere Nutzung der Daten erlaubt.
6. Organisieren Sie Zugriffe und Sicherheitsmaßnahmen
Die Sicherheit hängt von den Funktionen des Anbieters und deren Nutzung durch Ihr Unternehmen ab. Die Maßnahmen müssen den Risiken der Verarbeitung angemessen sein.
Prüfen Sie in der Praxis:
- Vermeiden Sie gemeinsam genutzte Zugangsdaten.
- Nutzen Sie die verfügbaren Authentifizierungsfunktionen.
- Klären Sie, welche Teammitglieder Zugriff benötigen.
- Entfernen Sie Zugänge und Integrationen, wenn diese nicht mehr gebraucht werden.
- Kontrollieren Sie die Informationen in Termintiteln und Benachrichtigungen.
Ein Titel wie "Beratung zum sensiblen Fall von Maria …" könnte auf Bildschirmen oder in Kalendern erscheinen, für die diese Einzelheiten nicht erforderlich sind. Ein zurückhaltender Titel wie "Beratungsgespräch" kann die sichtbaren Informationen reduzieren.
Fragen Sie vor der Aktivierung einer Funktion, welche Zugriffsmöglichkeiten sie bietet und wer die entstehenden Daten sehen kann.
Weitere Hinweise finden Sie in den Empfehlungen des Europäischen Datenschutzausschusses zum Schutz personenbezogener Daten.
7. Legen Sie Aufbewahrung und Verfahren für Betroffenenanfragen fest
Bestimmen Sie, wie lange Sie die jeweiligen Informationen aufbewahren und warum. Die Absage eines Termins bedeutet nicht zwangsläufig, dass alle zugehörigen Daten gelöscht werden.
Für Buchungen, Rechnungen, Formularantworten und Aufzeichnungen können unterschiedliche Kriterien erforderlich sein. Bestimmte gesetzliche Pflichten können außerdem eine Aufbewahrung über einen festgelegten Zeitraum verlangen.
Fragen Sie den Anbieter, wie die Löschung funktioniert, was mit Sicherungskopien geschieht und was bei der Schließung Ihres Kontos passiert.
Bereiten Sie auch ein Verfahren für Anfragen auf Auskunft, Berichtigung oder Löschung vor, soweit diese Rechte im jeweiligen Fall anwendbar sind. Der Anbieter muss die ihm obliegende Unterstützung leisten. Ihr Unternehmen muss jedoch wissen, wer solche Anfragen entgegennimmt und bearbeitet.
Der Europäische Datenschutzausschuss stellt praktische Informationen zur Wahrung der Betroffenenrechte bereit.
Führen Sie einen internen Test durch: Könnten Sie die Informationen einer Buchung und deren Kopien in den verbundenen Diensten finden?
8. Was ändert sich durch Aufzeichnungen, Transkripte und KI?
Gesprächsinhalte erweitern den Umfang der Verarbeitung. Eine Aufzeichnung kann Stimmen, Namen, Kundeninformationen und Themen enthalten, die in der Buchung selbst nicht vorkamen.
Klären Sie vor der Aktivierung dieser Funktionen:
- Warum Sie das Gespräch aufzeichnen, transkribieren oder analysieren möchten.
- Welche Rechtsgrundlage gilt und welche Informationen die Teilnehmenden erhalten.
- Welche Anbieter und Modelle beteiligt sind und ob diese Inhalte für eigene Zwecke nutzen.
- Wer auf die Ergebnisse zugreifen kann und wie lange sie aufbewahrt werden.
- Wie Sie mögliche Fehler in Transkripten oder Zusammenfassungen prüfen.
Der Hinweis auf eine Aufzeichnung und das Vorliegen einer Rechtsgrundlage müssen jeweils bewertet werden. Eine technische Benachrichtigung klärt nicht automatisch beides.
Das Ökosystem von TuCalendi und Meetfy.ai
Meetfy.ai gehört zum TuCalendi-Ökosystem und unterstützt Meetings vor, während und nach dem Gespräch – durch Vorbereitung, KI-Coaching, Analysen und Zusammenfassungen.
TuCalendi-Nutzer können ihre Buchungen in der Meetfy.ai-App sehen und über das KI-Center im Dashboard auf Aufzeichnungen, Transkripte und Analysen zugreifen. Meetfy.ai kann auch unabhängig von TuCalendi verwendet werden.
Prüfen Sie bei der Einführung dieser Funktionen die jeweiligen Bedingungen. Hosting-Angaben und Unterlagen zur Buchungsplattform sollten nicht automatisch auf alle verbundenen KI-Dienste oder Verarbeitungsprozesse übertragen werden.
Ein Test, bevor Sie die ersten Buchungen entgegennehmen
Erstellen Sie eine Testbuchung mit erfundenen Daten und prüfen Sie:
- Welche Fragen erscheinen und welche Angaben verpflichtend sind.
- Welche Datenschutzinformationen der Kunde erhält.
- Wohin Informationen kopiert werden und wer sie sehen kann.
- Welche Inhalte Bestätigungen und Erinnerungen enthalten.
- Wie Absagen und Löschanfragen bearbeitet werden.
- Was sich ändert, wenn Sie Aufzeichnungen oder KI-Funktionen aktivieren.
Dokumentieren Sie Ihre Ergebnisse und klären Sie offene Fragen mit dem Anbieter. Dieser Test hilft Ihnen, die Nutzungsbedingungen in einen Ablauf zu übersetzen, den Ihr Team versteht und verwalten kann.
Möchten Sie die Einrichtung Ihrer Unternehmensbuchungen besprechen?
Vereinbaren Sie eine Demo mit dem TuCalendi-Team. Wir zeigen Ihnen, wie Sie Buchungen organisieren, Formulare anpassen und Termine verteilen und wo Sie die Unterlagen zur Auftragsverarbeitung finden.
Außerdem können Sie erfahren, wie TuCalendi mit Meetfy.ai verbunden ist, um Ihre Meetings vor, während und nach dem Gespräch zu unterstützen.
Dieser Leitfaden enthält allgemeine Informationen zum Datenschutz. Die Anwendung ist anhand der Verarbeitungsvorgänge, der Branche und der für Ihre Organisation geltenden Rechtsvorschriften zu beurteilen.