Online-Terminvergabe in der Arztpraxis: Was die Datenschutzbehörden 2025 klargestellt haben.

Die Datenschutzkonferenz – das gemeinsame Gremium der Datenschutzaufsichtsbehörden von Bund und Ländern – hat am 16. Juni 2025 ein Positionspapier zu Unternehmen beschlossen, die für Heilberufspraxen Termine verwalten. Es ist die bisher klarste Orientierung dazu, wie eine Praxis Online-Termine datenschutzkonform anbietet. Die wichtigsten Punkte, übersetzt in die Praxis.

Der Terminanbieter als Auftragsverarbeiter

Die Behörden halten es für zulässig, einen externen Dienstleister mit dem Terminmanagement zu beauftragen – als Auftragsverarbeitung nach Art. 28 DSGVO. Das bedeutet: Die Praxis bleibt verantwortlich, der Anbieter arbeitet in ihrem Auftrag und nach ihren Weisungen. Grundlage ist ein Vertrag zur Auftragsverarbeitung, den es vor dem Start geben muss.

Nur die Daten, die der Termin braucht

Die Datenschutzkonferenz zählt auf, was für einen konkreten Termin nötig ist: Name, Geburtsdatum, behandelnde Ärztin oder behandelnder Arzt, Art des Termins und eine Kontaktmöglichkeit. Mehr nicht.

Ausdrücklich nicht vorgesehen ist, dem Anbieter vorab pauschal die Stammdaten aller Patientinnen und Patienten zu übermitteln, die die Praxis je behandelt hat. Wer eine Terminlösung einführt, sollte also nicht „einfach mal die Patientenkartei synchronisieren“.

Vorsicht bei Patientenkonten

Legen Patienten beim Terminanbieter ein eigenes Konto an, wird der Anbieter für diese Daten nach Ansicht der Behörden selbst verantwortlich. Für die Verarbeitung von Gesundheitsdaten braucht er dann in der Regel eine wirksame Einwilligung der Patienten. Für die Praxis heißt das: Prüfen Sie, ob Patienten auch ohne Konto buchen können – und was der Anbieter mit Kontodaten tut.

Was die Praxis prüfen muss

Laut Positionspapier muss die Praxis unter anderem klären:

• welche Daten auf welcher Rechtsgrundlage verarbeitet werden,
• ob die Verarbeitung im Rahmen des Auftrags bleibt,
• ob die technischen und organisatorischen Sicherheitsmaßnahmen angemessen sind,
• wie und wann Daten gelöscht werden,
• ob Daten in Länder außerhalb der EU übermittelt werden – und falls ja, auf welcher Grundlage nach Art. 44 ff. DSGVO.

Barrierefreiheit: Wann das BFSG greift

Eine Online-Terminbuchung kann die Praxis-Website unter das Barrierefreiheitsstärkungsgesetz bringen. Die Ärztekammer Bremen nennt Online-Terminbuchung, Kontakt- und Anamneseformulare sowie Videosprechstunden als auslösende Funktionen; der Berufsverband der Kinder- und Jugendärzt*innen nennt verbindliche Terminbuchungen über Website oder App. Ausgenommen sind Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz oder Jahresbilanzsumme. Für größere Praxen und MVZ sollte das Buchungs-Widget deshalb barrierefrei bedienbar sein – fragen Sie den Anbieter danach.

Ein Blick auf die Patientenseite

Die Verbraucherzentrale Hamburg rät Patienten, bei Terminportalen nur die nötigen Angaben zu machen und optionale Einwilligungen abzulehnen. Sie weist außerdem darauf hin, dass Portale oft nicht alle freien Termine einer Praxis zeigen und sich ein direkter Anruf lohnen kann. Für Praxen ist das ein Argument, die Online-Buchung als zusätzlichen Weg anzubieten – nicht als einzigen.

Acht Fragen an jeden Terminanbieter

1. Gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO?
2. Welche Daten fragt das Buchungsformular ab – und lassen sich Felder abschalten?
3. Können Patienten ohne Konto buchen?
4. Wofür nutzt der Anbieter Kontodaten, etwa für Werbung oder Empfehlungen anderer Praxen?
5. Wo stehen die Server, und gibt es Übermittlungen in Drittländer?
6. Wann werden Termindaten gelöscht?
7. Ist das Widget barrierefrei bedienbar?
8. Lässt es sich so einbinden, dass beim bloßen Aufruf der Website noch keine Daten an den Anbieter fließen?

Dieser Beitrag ist eine Orientierung und keine Rechtsberatung. Verbindlich sind die Vorgaben Ihrer Datenschutzaufsicht.

Wie FIB Consulting vorgeht

Wir bauen Terminsysteme nicht selbst nach, sondern binden geprüfte Lösungen in die Praxis-Website ein – so, dass die Website selbst datensparsam bleibt und das Widget erst geladen wird, wenn ein Patient buchen will. Mehr zu unseren Websites und IT-Lösungen für Ärzte und zum Barrierefreiheitsstärkungsgesetz für Praxis-Websites – oder nehmen Sie Kontakt auf.

Quellen

Datenschutzkonferenz (DSK), Positionspapier zu Terminverwaltungsunternehmen, Beschluss vom 16. Juni 2025 · Art. 28 und Art. 44 ff. DSGVO · Ärztekammer Bremen, Merkblatt zum Barrierefreiheitsstärkungsgesetz (Juni 2025) · BVKJ, Mitgliederinformation Barrierefreiheitsstärkungsgesetz (18. Juli 2025) · Verbraucherzentrale Hamburg, „Terminvergabeportale: Das ist bei der Buchung von Arztterminen zu beachten“ (Stand 15. Januar 2026).