Fachanwalt für Urheber- und Medienrecht und Spezialist für Arbeitsrecht, Zertifizierter Datenschutzbeauftragter (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
| KI-Recht
Blog News
Die digitale Terminbuchung ist im Gesundheitswesen mittlerweile Alltag, bleibt rechtlich jedoch heikel. Wer Patientendaten als Leistungserbringer, darunter Ärztinnen und Ärzte, Zahnärzte, Psychotherapeutinnen, Apotheker, Pflegepersonal sowie Krankenhäuser, MVZs, Apotheken, Pflegedienste und Vorsorge- und Rehaeinrichtungen, verarbeitet, muss Datenschutz, Schweigepflicht und sichere Technik konsequent zusammenbringen. In diesem Beitrag ordnen wir die Vorgaben einmal genauer ein und zeigen, wie Akteure praxisnahe Mindeststandards umsetzen können.
Mit der digitalen Terminbuchung lassen sich heute schon zahlreiche Abläufe in Praxen und Kliniken wesentlich schlanker halten. Patientinnen und Patienten reservieren selbstständig ihren Wunschslot, Wartezeiten sinken, die Vergabe wird standardisiert und häufig automatisiert. Einsatz findet das Tool aktuell in der ambulanten Versorgung, in Krankenhäusern und in der arbeitsmedizinischen Betreuung.
Dabei prägen zwei Grundmodelle den Markt. Erstens: eigenständige Drittplattformen mit Patientenaccount, bei denen ein Direktvertrag zwischen Patienten und Plattformanbieter besteht. Und zweitens praxisintegrierte Tools auf der Webseite des Leistungserbringers, welche das Vertragsverhältnis zwischen Leistungserbringer und Toolanbieter definieren, meist ohne Vertrag zwischen Patienten und Toolanbieter.
Diese Trennung ist vor allem für den Datenschutz und das Vertragsrecht wesentlich. Sie legt Verantwortlichkeiten fest (Verantwortlicher vs. Auftragsverarbeiter), steuert Informationspflichten, die Rechtsgrundlagen, die Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen sowie Haftungsfragen.
Für Patient:innen schafft die Online-Terminierung den Vorteil, dass sie unabhängig von Öffnungszeiten flexibel und rund um die Uhr Termine vereinbaren können. Damit entfallen lange Telefonwarteschleifen und durch eine transparente Übersicht über verfügbare Zeitfenster lässt sich schneller ein passender Termin finden. Automatische Erinnerungen per SMS oder E-Mail reduzieren zudem das Risiko von Terminversäumnissen, was wiederum Zeit, Wege und Stress spart.
Für Ärzt:innen und Praxen erleichtert die Online-Terminierung das gesamte Praxismanagement, da Telefonaufwand und organisatorische Tätigkeiten deutlich sinken. Die automatische Vergabe sorgt für eine gleichmäßigere Auslastung, während No-Shows dank Erinnerungssystemen abnehmen. Darüber hinaus gewinnen Ärzt:innen und Praxisteams mehr Zeit für die medizinische Versorgung, da administrative Prozesse effizienter gestaltet werden. Durch eine digitale Terminverwaltung kann zudem die Patientenzufriedenheit nachhaltig erhöht werden.
Fest steht: Online-Terminmanagementsysteme verarbeiten Gesundheitsdaten. Und genau diese Daten gehören zu den besonderen Kategorien unter dem Schutzmantel der DS-GVO und erfordern einen besonders hohen Schutz. Eine Verarbeitung ist nur mit einer klaren Rechtsgrundlage zulässig, etwa mit einer freiwilligen Einwilligung oder einer einschlägigen Ausnahme nach Artikel 9 Absatz 2 DS-GVO. Neben dem Datenschutzrecht greifen ferner berufsrechtliche Pflichten zur Verschwiegenheit und strafrechtliche Verbote nach § 203 StGB. Zugriff auf Patientendaten ist nur berechtigten Personen gestattet. Artikel 5 Absatz 1 Buchstabe a DS-GVO verlangt Rechtmäßigkeit in jeder Hinsicht. Wer gegen Berufsrecht oder Strafrecht verstößt, handelt ebenso datenschutzwidrig. Artikel 5 Absatz 1 Buchstabe f DS-GVO fordert letztlich Integrität und Vertraulichkeit.
Termine im medizinischen Bereich gelten fast immer als Gesundheitsdaten. Maßstab ist hier Artikel 4 Nummer 15 DS-GVO. Schon die Information, dass jemand einen Termin bei einer Hausärztin, einem Zahnarzt oder einer Fachklinik gebucht hat, verrät etwas über seinen Gesundheitszustand oder die geplante Behandlung. Das gilt auch dann, wenn die Angabe nicht zur betroffenen Person selbst gehört, sondern zu einer dritten Person.
Wichtig ist: Auch scheinbar neutrale Details können zusammengenommen sensibel werden. Name, Kontakt, Datum und der Ort der Praxis ergeben im Paket ein klares Bild. Ein Eintrag „Termin in der Onkologie am 10. Mai“ macht den gesamten Datensatz besonders schutzbedürftig.
Für solche Daten gelten strenge Regeln der Datenschutz-Grundverordnung gemäß Artikel 9 DS-GVO. Sie dürfen nur verarbeitet werden, wenn dafür ein klarer rechtlicher Grund vorliegt, etwa eine ausdrückliche Einwilligung oder eine speziell vorgesehene Ausnahme. Wer Termin- und Patientendaten verarbeitet, muss sie besonders vertraulich behandeln und technisch wie organisatorisch gut absichern.
Art. 4 DSGVO Begriffsbestimmungen
Art. 9 DSGVO Verarbeitung besonderer Kategorien personenbezogener Daten
Wie im vorangegangenen Abschnitt bereits angedeutet, dürfen Gesundheitsdaten nur mit passender Rechtsgrundlage verarbeitet werden. Aber welche kommt hierbei infrage? Im Behandlungsverhältnis kann Artikel 9 Absatz 2 Buchstabe h DSGVO in Verbindung mit Artikel 6 Absatz 1 Buchstabe b greifen, wenn eine Ärztin, ein Arzt oder eine andere Angehörige eines Gesundheitsberufs die Daten verarbeitet und dies für den Behandlungsvertrag nach § 630a BGB nötig ist. Drittanbieter ohne Status als Gesundheitsberuf können sich hierauf in der Regel nicht stützen. Entscheidend ist zudem die Erforderlichkeit. Weil Termine auch telefonisch oder vor Ort vergeben werden können, ist ein Online-Tool häufig nicht zwingend. In vielen Fällen trägt daher erst eine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a die Verarbeitung.
Mit der Dokumentation nach § 630f BGB hat die Terminplanung nur am Rande zu tun. In die Patientenakte gehören vor allem medizinisch relevante Inhalte wie Befunde, Maßnahmen, Aufklärungen und Einwilligungen. Reine Terminabsprachen zählen nicht dazu. Daraus folgt, dass die Aufbewahrungsfristen der Patientenakte nicht als Grundlage für das Speichern von Terminkalenderdaten dienen. Für diese Daten gelten die allgemeinen Vorgaben der DS-GVO wie Zweckbindung, Datenminimierung und Löschung nach Wegfall des Zwecks.
Wer Online-Terminbuchung mit Patientendaten einsetzt, muss Sicherheit von Beginn an mitplanen. Hierfür kommt der Ansatz Privacy by Design zum Tragen. Zudem sind klare Nachweise zur Erforderlichkeit des Datenzugriffs zwingend. Im Folgenden haben wir Ihnen die wichtigsten technischen und organisatorischen Maßnahmen gelistet, die Sie in diesem Zusammenhang einsetzen sollten.
Patientinnen und Patienten mit Behinderung dürfen bei der medizinischen Versorgung nicht benachteiligt werden. Online-Terminmanagement muss daher barrierefrei gestaltet sein. In Deutschland verpflichten BGG und BITV vor allem öffentliche Stellen und deren Beteiligungen. Auch wenn die EU-Richtlinie 2016/2102 primär den öffentlichen Sektor adressiert, ergeben sich Pflichten mittelbar aus der UN BRK. Für Beschaffung und Umsetzung empfiehlt sich die Ausrichtung an EN 301 549 nach Durchführungsbeschluss EU 2018/2048.
Der Nutzen digitaler Terminbuchung entsteht durch eine klare Betriebsstrategie. Sinnvoll ist ein Umsetzungsplan mit schlanken Datenflüssen, eindeutigen Zuständigkeiten, geprüften Anbietern und einer Exit‑Strategie. Trennen Sie Terminverwaltung und Patientenakte konsequent, definieren Sie kurze Löschfristen und halten Sie Barrierefreiheit nach EN 301 549 ein, ergänzt um einen einfachen Telefonkanal. Sicherheit gehört in den Alltag: Datenschutz-Folgenabschätzung mit Probeläufen, getestete Meldewege, wirksame Zugriffskontrollen und regelmäßige Schulungen. Messen Sie Erfolg mit wenigen Kennzahlen wie No‑Show‑Rate, Buchungsdauer, Supportanfragen, Fristen-Compliance und Sicherheitsvorfällen und verbessern Sie quartalsweise. So wird Terminbuchung zum stabilen Baustein einer patientenorientierten, rechtssicheren Versorgung.
Suchen Sie Klarheit zu den Themen DS-GVO und Gesundheitsdaten in Online-Terminbuchungen? Benötigen Sie belastbare Einwilligungen, einen rechtssicheren AV-Vertrag oder eine Datenschutz-Folgenabschätzung? Planen Sie internationale Datentransfers, wollen Sie Abmahnungen abwehren oder fragen Sie sich, wie Barrierefreiheit nach EN 301 549 und Transparenzpflichten sauber umgesetzt werden?
Wir erstellen passgenaue Datenschutzerklärungen für Webseiten, Apps und Social Media, prüfen und gestalten Verträge inklusive Auftragsverarbeitung und Joint Controller Agreements, sichern internationalen Datentransfer und Datennutzung rechtlich ab und beraten zu Online-Business, E-Commerce und PR-Maßnahmen wie Werbemails, Umfragen, Gewinnspielen und Fotoaufnahmen. Wir prüfen, ob ein Datenschutzbeauftragter oder -vertreter zu bestellen ist, wehren Abmahnungen, einstweilige Verfügungen und Bußgeldverfahren ab und führen Datenschutz-Audits im Unternehmen durch. Zudem erstellen wir erforderliche Rechtstexte und Einwilligungen, entwickeln Compliance-Richtlinien und verpflichten Mitarbeitende auf den Datenschutz, damit Ihr Unternehmen praxisnah, effizient und rechtskonform arbeitet.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie die Rechtsberatung von dem erfahrenen Team aus Fachanwälten und Spezialisten von SBS LEGAL?