Online-Terminbuchung in der Praxis:Was die Aufsicht 2025 geklärt hat.

Die Frage stellt sich in jeder Praxis, die darüber nachdenkt: Darf man Patienten überhaupt online Termine buchen lassen, oder ist das wegen der Gesundheitsdaten ein Minenfeld?

Seit Juni 2025 gibt es darauf eine Antwort von den Aufsichtsbehörden selbst — und sie ist an einer Stelle entspannter, als die meisten denken, und an einer anderen strenger.

Das Papier, das die Sache klärt

Die Datenschutzkonferenz, also das Gremium aller deutschen Datenschutzaufsichtsbehörden, hat am 16. Juni 2025 ein Positionspapier beschlossen: „Datenschutz bei der Terminverwaltung durch Heilberufspraxen". Es behandelt genau diesen Fall: eine Praxis, die einen externen Dienstleister für Online-Terminbuchung einsetzt.

Der erste wichtige Satz daraus:

„Die Beauftragung von externen Unternehmen zum Terminmanagement durch Heilberufspraxen kann als Auftragsverarbeitung im Sinne von Art. 28 DSGVO zulässig sein."

Damit ist die Grundfrage beantwortet: Die Auslagerung ist nicht verboten. Sie kann ohne zusätzliche Einwilligung zulässig sein, wenn sie als echte Auftragsverarbeitung organisiert ist. Die Frage ist also, wie.

Du brauchst keine Einwilligung deiner Patienten

Das ist der Punkt, an dem die meisten falsch liegen. Für die Terminbuchung selbst braucht es keine Einwilligung. Die DSK schreibt:

„Datenverarbeitungen, die für die medizinische Behandlung erforderlich sind, können Heilberufspraxen auf Art. 6 Abs. 1 Satz 1 lit. b und Art. 9 Abs. 2 lit. h DS-GVO stützen."

Übersetzt: Der Behandlungsvertrag trägt die Verarbeitung, und für die Gesundheitsdaten greift die Ausnahme für die Gesundheitsversorgung. Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a wird in diesem Zusammenhang gar nicht genannt.

Das ist eine gute Nachricht. Einwilligungen sind lästig, widerrufbar und müssen dokumentiert werden. Für den Kern der Terminbuchung brauchst du sie nicht.

Aber: Die Terminerinnerung braucht eine

Und hier wird es strenger. Die DSK schreibt ausdrücklich, dass „die Versendung einer an die Patientinnen und Patienten gerichteten Terminnachricht (z. B. Terminerinnerung)" eine ausdrückliche Einwilligung erfordert.

Das heißt: Der Termin selbst läuft ohne Einwilligung, die SMS „Ihr Termin ist morgen um 9 Uhr" nicht. Wer die Erinnerungsfunktion seines Buchungstools einfach mitlaufen lässt, hat genau an dieser Stelle ein Problem — und es ist die Funktion, die Praxen am liebsten nutzen, weil sie Ausfälle reduziert.

Nur die Daten, die der Termin braucht

Die DSK wird hier konkret und nennt die Felder:

„Eingetragen werden dürfen nur diejenigen Patientendaten, die zur Wahrnehmung des konkreten Termins erforderlich sind, also insbesondere Name, Geburtsdatum, behandelnde Ärztin oder behandelnder Arzt, Art des Termins (z. B. Kontrolle, Röntgen) und eine Kontaktmöglichkeit zur eventuell notwendigen kurzfristigen Absage des Termins."

Eine pauschale Vorab-Übermittlung aller Patientenstammdaten an den Dienstleister ist nach Auffassung der DSK im Regelfall nicht erforderlich — und damit nicht zulässig. Wer sein Praxisverwaltungssystem mit dem Buchungstool koppelt, muss also prüfen, was da eigentlich synchronisiert wird. „Alles, der Einfachheit halber" ist keine zulässige Antwort.

Der Weg ans Telefon muss bleiben

Ein Satz, der leicht überlesen wird, aber praktische Folgen hat:

„Neben der digitalen Terminvereinbarung sollte auch immer eine alternative Möglichkeit bestehen, einen Termin in der Heilberufspraxis vereinbaren zu können"

Online-Buchung darf also nicht der einzige Weg sein. Wer das Telefon abschaffen will, weil das Tool so schön funktioniert, geht an dieser Stelle über die Erwartung der Aufsicht hinweg.

Der Unterschied, der über alles entscheidet

Jetzt zum wichtigsten Teil des Papiers. Die DSK unterscheidet zwei Konstellationen, und sie führen zu völlig verschiedenen Pflichten.

Fall A: Das Tool arbeitet für dich

Der Dienstleister verarbeitet die Daten ausschließlich in deinem Auftrag, nach deinen Weisungen, auf Basis eines Auftragsverarbeitungsvertrags. Er darf die Daten nicht für eigene Zwecke nutzen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b in Verbindung mit Art. 9 Abs. 2 lit. h. Keine Patienteneinwilligung nötig.

Fall B: Die Plattform hat eigene Nutzerkonten

Legt der Patient bei dem Anbieter ein eigenes Konto an und stimmt dessen AGB zu, ist das etwas anderes. Die DSK schreibt:

„Für die Verarbeitung personenbezogener Daten von Patientinnen und Patienten im Zusammenhang mit dem Vertrag, den sie mit dem Terminverwaltungsunternehmen schließen, ist das Terminverwaltungsunternehmen datenschutzrechtlich Verantwortlicher."

Für dessen eigene Verarbeitung von Gesundheitsdaten braucht es „im Regelfall eine wirksame Einwilligung" — also Art. 9 Abs. 2 lit. a.

Die praktische Konsequenz: Bei den großen Plattformen mit Patientenkonto läuft neben deiner Auftragsverarbeitung eine zweite Verarbeitung, für die der Anbieter selbst verantwortlich ist und über die du keine Kontrolle hast. Das ist nicht automatisch unzulässig — aber du solltest wissen, dass es passiert, bevor du es einbaust.

Was die DSK nicht sagt — und trotzdem gilt

Das Positionspapier ist rein datenschutzrechtlich. § 203 StGB kommt darin nicht vor. Das ist bemerkenswert, denn die Schweigepflicht ist für Heilberufe die schärfere Klinge: DSGVO-Verstöße kosten Geld, Verstöße gegen die Schweigepflicht sind Strafrecht.

Seit der Neuregelung von 2017 ist die Einbindung externer Dienstleister grundsätzlich möglich — § 203 Abs. 3 StGB erlaubt die Offenbarung gegenüber „sonstigen mitwirkenden Personen", soweit sie erforderlich ist. Aber es hängt eine Pflicht daran.

Bundesärztekammer und Kassenärztliche Bundesvereinigung formulieren es in ihren Hinweisen und Empfehlungen zur ärztlichen Schweigepflicht (Stand 1. Oktober 2025) so:

„der Arzt [hat] dafür zu sorgen, dass die für ihn tätigen sonstigen mitwirkenden Personen zur Geheimhaltung verpflichtet werden (§ 203 Abs. 4 S. 2 Nr. 1 StGB)"

Wer das unterlässt, kann sich nach § 203 Abs. 4 S. 2 Nr. 1 StGB selbst strafbar machen — vorausgesetzt, es wird tatsächlich ein Geheimnis offenbart. Die unterlassene Verpflichtung allein ist noch keine Straftat, sie nimmt dir aber den Schutz, falls doch etwas passiert. Die Empfehlung lautet, das schriftlich zu tun, zu Beweiszwecken. Das sind zwei verschiedene Pflichten aus zwei Rechtsgebieten — ob sie in zwei Dokumenten oder in einem Vertragswerk mit passenden Klauseln geregelt werden, ist zweitrangig. Bundesärztekammer und KBV halten beides für möglich und empfehlen aus Beweisgründen die schriftliche Form. Du kannst den Dienstleister auch verpflichten, seinerseits seine Mitarbeitenden zu verpflichten.

Die Hürde, die kaum jemand auf dem Schirm hat

Für Leistungserbringer nach dem SGB V — dazu zählen neben Ärzten auch Heilmittelerbringer wie Podologen und Physiotherapeuten — gilt zusätzlich § 393 SGB V für die Verarbeitung von Gesundheitsdaten in Cloud-Diensten. Die Voraussetzungen gelten kumulativ:

1. Verarbeitung im Inland, in der EU, einem gleichgestellten Staat oder einem Drittstaat mit Angemessenheitsbeschluss
2. Die datenverarbeitende Stelle muss eine Niederlassung im Inland haben
3. Nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen zur Informationssicherheit (§ 393 Abs. 3 Nr. 1). Für Heilmittelerbringer wie Podologen bemisst sich das nach § 393 Abs. 6 Satz 1 — die Maßnahmen müssen denen des § 391 gleichwertig sein; die Erleichterung des Absatzes 5 gilt nur für die vertrags(zahn)ärztliche Versorgung, zugelassene Krankenhäuser und Krankenkassen
4. Ein aktuelles C5-Testat — und seit dem 1. Juli 2025 muss es Typ 2 sein (§ 393 Abs. 4 SGB V). Zwei Ausnahmen gehören dazu. Die erste betrifft Systeme, die nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurden: Dort soll in den ersten 18 Monaten weiterhin Typ 1 genügen. Sie steht als Satz 3 in § 393 Abs. 4 SGB V, eingefügt durch Artikel 3 des Gesetzes vom 22. Dezember 2025 (BGBl. 2025 I Nr. 371) und in Kraft seit dem 2. Januar 2026: Typ 1 genügt für die ersten 18 Monate, ab dem 19. Monat muss es Typ 2 sein. Die zweite ist die C5-Gleichwertigkeitsverordnung (C5GleichwV): Sie erkennt ISO/IEC 27001, ISO 27001 auf Basis IT-Grundschutz und die Cloud Controls Matrix 4.0 als gleichwertige Nachweise an — aber nur zusammen mit einem Maßnahmenplan, der die Lücken dokumentiert und Meilensteine setzt. Wenn dir ein Anbieter so etwas vorlegt, ist das kein Ausweichen: frag nach dem Plan und danach, bis wann welches Testat kommen soll
5. Umsetzung der kundenspezifischen Anforderungen aus dem Prüfbericht

Das ist in der Praxis die härtere Hürde als der Drittlandtransfer. Ein US-Anbieter kann über das EU-US Data Privacy Framework formal die Standortfrage lösen und scheitert trotzdem an der Niederlassung im Inland oder am C5-Testat.

Zum Data Privacy Framework selbst, weil danach oft gefragt wird: Der Angemessenheitsbeschluss von Juli 2023 gilt. Das Gericht der EU hat die Klage dagegen am 3. September 2025 vollständig abgewiesen (Rechtssache T-553/23). Im Sommer 2026 hat der Europäische Datenschutzausschuss die Kommission allerdings gebeten zu prüfen, ob eine Entscheidung des US Supreme Court zur Unabhängigkeit der FTC den Beschluss berührt. Das Verfahren läuft; bis zu einer Änderung durch die Kommission oder ein Gericht bleibt der Beschluss in Kraft.

Sind Termindaten überhaupt Gesundheitsdaten?

Dazu eine ehrliche Einordnung, weil die Antwort oft zu schnell gegeben wird.

Erwägungsgrund 35 der DSGVO zählt zu den Gesundheitsdaten ausdrücklich auch Informationen, die „im Zuge der Anmeldung für sowie der Erbringung von Gesundheitsdienstleistungen" erhoben werden. Das ist der stärkste Textanker. Und der EuGH hat am 4. Oktober 2024 in der Sache Lindenapotheke (C-21/23) entschieden, dass auch Bestelldaten nicht verschreibungspflichtiger Arzneimittel Gesundheitsdaten sein können — weil sich „mittels gedanklicher Kombination oder Ableitung" auf den Gesundheitszustand schließen lässt.

Überträgt man das: Wer weiß, dass jemand einen Termin bei einem Podologen hat, kann daraus etwas ableiten — podologische Behandlung läuft häufig auf Heilmittelverordnung, typischerweise beim diabetischen Fußsyndrom. Das ist ein naheliegendes Argument, aber es ist meine Ableitung. Der EuGH hat über Arzttermine nicht entschieden, und auch das DSK-Papier stellt nirgends wörtlich fest, dass Termindaten Gesundheitsdaten sind — es behandelt sie nur durchgehend so, indem es Art. 9 Abs. 2 lit. h als Rechtsgrundlage nennt.

Praktisch ist die Frage ohnehin entschieden: Wenn die Aufsichtsbehörden Art. 9 anwenden, richtet man sich danach.

Die Checkliste für die Anbieterauswahl

Ich verlinke hier bewusst keine Anbietertabelle mit Serverstandorten. Solche Listen veralten schneller, als man sie pflegen kann, und was im Netz dazu steht, stammt fast durchweg von den Anbietern selbst. Stattdessen die Fragen, die du stellen solltest:

1. Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und steht darin, dass meine Daten nicht für eigene Zwecke genutzt werden?
2. Wo sitzt das Unternehmen, und gibt es eine Niederlassung im Inland?
3. Wer sind die Unterauftragsverarbeiter, und wo sitzen die?
4. Welcher Sicherheitsnachweis liegt vor, und von wann? Falls eine Ausnahme oder ein gleichwertiges Zertifikat genutzt wird: Welche Fristen und Maßnahmenpläne gelten dafür?
5. Wie ist die Mandantentrennung gelöst? Die DSK nennt das ausdrücklich.
6. Legen meine Patienten dort ein eigenes Konto an? Dann ist der Anbieter für diesen Teil selbst verantwortlich.
7. Werden Terminerinnerungen verschickt, und wie wird die Einwilligung dafür eingeholt und dokumentiert?
8. Welche Felder gehen aus meinem Praxisverwaltungssystem an das Tool?
9. Welche Löschfristen gelten für die Kalenderdaten, und wie setzt der Dienstleister sie um?
10. Wo informiere ich meine Patienten über die Auslagerung, und ist der Anbieter dort namentlich als Empfänger genannt?

Zwei Pflichten, die gern untergehen

Löschen. Nach dem Termin sind die Einträge im Terminkalender grundsätzlich kurzfristig zu löschen, soweit kein weiterer Zweck besteht. Der Kalender ist keine Behandlungsdokumentation — was dokumentationspflichtig ist, gehört in die Akte, nicht in das Buchungstool. Eine feste Tageszahl nennt die DSK nicht.

Informieren. Keine Einwilligung heißt nicht keine Information. Die Praxis muss über die ausgelagerte Verarbeitung informieren und das beauftragte Unternehmen namentlich als Empfänger benennen. Das gilt unabhängig davon, dass die Terminverwaltung selbst ohne Einwilligung läuft.

Das Fazit

Online-Terminbuchung ist zulässig, und die Aufsichtsbehörden haben seit Juni 2025 aufgeschrieben, wie. Die Einwilligung, vor der alle Angst haben, brauchst du für den Termin selbst nicht — wohl aber für die Erinnerung. Die eigentliche Arbeit liegt woanders: im Auftragsverarbeitungsvertrag, in der Verpflichtung der Dienstleister-Mitarbeiter nach § 203 StGB, in der Frage, welche Felder übertragen werden, und beim C5-Testat.

Und wenn der Anbieter deine Patienten ein eigenes Konto anlegen lässt, läuft neben deiner Verarbeitung eine zweite, über die du nichts zu sagen hast. Das sollte man wissen, bevor man unterschreibt.

Dieser Artikel ist eine Orientierung, keine Rechtsberatung. Bei der konkreten Auswahl eines Anbieters und bei der Verpflichtung nach § 203 StGB gehört jemand dazu, der dafür haftet.