Ob Hausarzt, Dermatologin oder Kinderarztpraxis: Die Online-Terminbuchung hat den Praxisalltag in den letzten Jahren stark verändert. Der Marktführer Doctolib wird nach Aussage des Deutschen Ärzteblatts allein in Deutschland von ca. 100.000 Ärztinnen, Ärzten und anderen Gesundheitsfachkräften genutzt. Die datenschutzrechtliche Verantwortlichkeit verbleibt dabei grundsätzlich bei den Praxen. Aktuelle Entwicklungen zeigen, dass sich zunehmend Gerichte und Verbraucherschützer mit diesen Plattformen befassen. Auch die Berliner Beauftragte für Datenschutz und Informationsfreiheit berichtet in ihrem Tätigkeitsbericht 2025, Ziff. B VIII Nr. 2 von häufig auftretenden Beschwerden zu Internetplattformen für die Onlinebuchung von Arztterminen.
Die DSK schafft Klarheit für Praxen
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat am 16. Juni 2025 ein Positionspapier zum datenschutzkonformen Einsatz von Dienstleistern für Online-Terminbuchung und das Terminmanagement beschlossen. Die Kernbotschaft: Die Einbindung externer Anbieter kann als Auftragsverarbeitung nach Art. 28 DSGVO unter Wahrung angemessener technischer und organisatorischer Maßnahmen sowie dem Grundsatz der Datenminimierung zulässig sein. Sofern die Datenverarbeitung für die medizinische Behandlung erforderlich ist, bedarf es keiner Einwilligung der Betroffenen.
Aus diesen Grundsätzen folgen mehrere konkrete Handlungsempfehlungen: Die Praxis darf nur die Daten als Pflichtfelder ausgestalten, die für den konkreten Termin unbedingt erforderlich sind. Als Beispiele werden Name, Geburtsdatum, behandelnde Ärztin oder behandelnder Arzt, Art des Termins und eine Kontaktmöglichkeit genannt. Eine pauschale Übermittlung des gesamten Patientenstamms im Vorfeld ist unzulässig. Termineintragungen sind innerhalb einer kurzen Frist nach dem Termin zu löschen. Für Erinnerungs-SMS oder -E-Mails ist eine Einwilligung erforderlich. Die eigenverantwortliche Verarbeitung von Patientendaten durch den Dienstleister ist auszuschließen.
Die DSK trifft außerdem eine wichtige Abgrenzung bezüglich der Verantwortlichkeiten. Sofern ein Patient bspw. über die Praxis-Webseite einen Termin bucht, handelt der Dienstleister im Auftrag der Praxis. Legt der Patient dagegen ein eigenes Nutzerkonto direkt auf der Plattform an, ist insoweit das Terminverwaltungsunternehmen selbst Verantwortlicher.
Das Weisungsrecht der Praxis im Falle einer Auftragsverarbeitung wird dabei über die Konfiguration in der Plattform ausgeübt, da der Vertragstext oftmals standardisiert vorliegt und nicht verhandelbar ist. Praxen sollten deshalb die Voreinstellungen in der Plattform anhand der beschriebenen Anforderungen der DSK vor dem Start prüfen und nicht ungeprüft übernehmen.
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat diese Grundsätze in seinem 15. Tätigkeitsbericht für 2025 (Ziff. 11.1) bestätigt und auf den DSK-Beschluss verwiesen. Praxen sollten insbesondere ihre Datenschutzinformation nach Art. 13 DSGVO prüfen. Der beauftragte Dienstleister muss dort als Empfänger genannt sein.
Wer haftet, wenn etwas schiefgeht?
Kommt es zu einer Datenpanne oder einem Datenschutzverstoß, regelt Art. 82 DSGVO den Schadensersatz. Sofern die Praxis als Verantwortliche fungiert, haftet sie grundsätzlich für Schäden aus einer rechtswidrigen Verarbeitung, auch wenn der Fehler beim Auftragsverarbeiter passiert ist. Der Auftragsverarbeiter haftet nur, wenn er seine speziellen Pflichten als Auftragsverarbeiter verletzt oder gegen rechtmäßige Weisungen der Praxis verstoßen hat. Sind beide für denselben Schaden verantwortlich, haften sie gegenüber der betroffenen Person gesamtschuldnerisch. Im Innenverhältnis kann die Praxis dann beim Dienstleister Rückgriff nehmen. Von der Haftung befreit ist nur, wer nachweist, dass er für den schädigenden Umstand in keinerlei Hinsicht verantwortlich ist.
Eine Ausnahme ergibt sich aus Art. 28 Abs. 10 DSGVO. Nutzt der Dienstleister die Daten für eigene Zwecke, gilt er insoweit selbst als Verantwortlicher. Wird der Praxis eine solche Nutzung bekannt, muss sie beim Dienstleister auf einen rechtmäßigen Zustand hinwirken. Für Praxen folgt daraus vor allem eines: Ein sorgfältig ausgewählter Dienstleister sowie sorgfältig ausgehandelter Auftragsverarbeitungsvertrag mit klaren Weisungen und Regelungen bspw. zu Löschfristen ist nicht nur Pflicht, sondern auch der wichtigste Schutz im Innenverhältnis.
Ausblick: Eine Alternative zu den großen Plattformen
Mit OpenReception ist Anfang Mai 2026 eine quelloffene Terminverwaltungssoftware als datenschutzfreundliche Alternative zu kommerziellen Terminbuchungssystemen erschienen. Sie kann von Praxen kostenfrei erworben und selbst betrieben werden. Damit findet kein Zugriff auf Patientendaten durch einen externen Anbieter statt. Außerdem ist der Datentransfer durch Ende-zu-Ende-Verschlüsselung abgesichert. Ob sich solche Lösungen am Markt durchsetzen, bleibt abzuwarten. Sie zeigen aber, dass das Terminmanagement in Arztpraxen rechtlich wie technisch in Bewegung bleibt.
Fazit für die Praxis
Wer als Praxisinhaber einen externen Terminverwaltungsdienstleister einsetzen möchte, sollte:
- einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen, der klare Weisungen enthält und die Datenweitergabe auf das für die Terminbuchung Erforderliche beschränkt,
- für Erinnerungsnachrichten eine gesonderte, nachweisbare Einwilligung einholen,
- den Dienstleister in der Datenschutzinformation nach Art. 13 DSGVO namentlich als Empfänger nennen und für Patienten erkennbar machen, wann sie mit der Praxis und wann direkt mit der Plattform zu tun haben,
- neben der Online-Buchung weiterhin eine telefonische oder persönliche Terminvereinbarung ermöglichen,
- die Konfiguration auf der Plattform überprüfen und ggf. anpassen,
- im Blick behalten, dass sich neben den Datenschutzaufsichtsbehörden inzwischen auch Gerichte, Verbraucherschützer und der Gesetzgeber mit Arztterminportalen befassen.
Keine Kommentare