DSGVO-konforme Terminbuchung: Was Beratungsstellen beachten müssen

Jedes Mal, wenn ein Mandant einen Termin bucht, werden personenbezogene Daten verarbeitet: Name, E-Mail, Telefonnummer, manchmal sogar steuerlich relevante Angaben. Für Lohnsteuerhilfevereine gelten dabei besonders strenge Anforderungen.

Welche Daten werden bei der Terminbuchung verarbeitet?

• Vor- und Nachname
• E-Mail-Adresse und/oder Telefonnummer
• Gewünschter Termintyp (verrät Art der Beratung)
• Bei Neumitgliedern: Angaben zur Befugnisprüfung (Einkunftsarten)
• IP-Adresse und Zeitstempel (technisch bedingt)

Die 5 DSGVO-Pflichten bei der Terminbuchung

1. Rechtsgrundlage (Art. 6 DSGVO)

Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – der Termin ist Teil der Mitgliedschaftsleistung. Für Neumitglieder greift Art. 6 Abs. 1 lit. a (Einwilligung), da noch kein Vertragsverhältnis besteht.

2. Informationspflicht (Art. 13 DSGVO)

Bei der Buchung muss der Mandant informiert werden über: Verantwortlichen, Zweck der Verarbeitung, Speicherdauer, Rechte (Auskunft, Löschung, Widerspruch). Dies geschieht idealerweise durch einen Datenschutzhinweis direkt im Buchungsformular.

3. Auftragsverarbeitung (Art. 28 DSGVO)

Wenn Sie ein externes Buchungssystem nutzen, verarbeitet der Anbieter Daten in Ihrem Auftrag. Sie benötigen einen Auftragsverarbeitungsvertrag (AVV). Ohne AVV ist die Nutzung rechtswidrig.

4. Technische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: SSL/TLS für die Übertragung, Verschlüsselung at rest
• Serverstandort: EU, idealerweise Deutschland
• Zugriffskontrollen: Nur berechtigte Personen sehen Mandantendaten
• Backup & Wiederherstellung: Regelmäßige Sicherungen
• Löschkonzept: Automatische Löschung nach Zweckerfüllung

5. Einwilligung bei Erinnerungen (Art. 7 DSGVO)

Terminerinnerungen per E-Mail oder SMS sind keine reine Vertragserfüllung – sie erfordern eine separate Einwilligung. Diese muss freiwillig, informiert und widerrufbar sein.

Häufige Fehler in der Praxis

1. Kein AVV mit dem Buchungstool-Anbieter – häufigster Verstoß
2. US-Server ohne Angemessenheitsbeschluss – nach Schrems II problematisch
3. Fehlende Datenschutzerklärung im Buchungsformular
4. Keine Löschfristen definiert – Daten bleiben ewig gespeichert
5. Excel-Listen mit Mandantendaten auf privaten Geräten

So setzen Sie es richtig um

Ein DSGVO-konformes Buchungssystem sollte folgende Eigenschaften mitbringen:

• Server in Deutschland
• AVV als Standard-Bestandteil
• Integrierte Datenschutzzustimmung bei jeder Buchung
• Automatische Löschung abgelaufener Termine
• Verschlüsselung aller Daten
• Kein Tracking, keine Weitergabe an Dritte