DSGVO-konforme Buchungssoftware:
7 Pflichten und was wirklich zählt.

Ja. Buchungssoftware verarbeitet personenbezogene Daten (Name, E-Mail, Termin) im Auftrag des Dienstleisters — das begründet eine Auftragsverarbeitung nach Art. 28 DSGVO. Der Dienstleister bleibt Verantwortlicher, der Softwareanbieter wird zum Auftragsverarbeiter. Ein AVV (Auftragsverarbeitungsvertrag) ist Pflicht.

Gesundheitsdaten fallen unter Art. 9 DSGVO — besondere Kategorien mit erhöhten Anforderungen. Kläre vor der Auswahl drei Dinge schriftlich: Wo liegen die Daten? Welche Unterauftragnehmer setzt der Anbieter ein? Und gibt es einen AVV nach Art. 28 DSGVO? Ob ein konkretes Produkt für deinen Anwendungsfall zulässig ist, gehört in die Prüfung mit deinem Datenschutzbeauftragten — pauschal beantworten lässt sich das nicht. Slotara hostet in Deutschland und stellt einen AVV nach Art. 28 DSGVO bereit.

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag zwischen dir (Verantwortlicher) und dem Software-Anbieter (Auftragsverarbeiter), der regelt, wie deine Kundendaten verarbeitet werden. Er ist nach Art. 28 DSGVO zwingend erforderlich, wenn du einem Dienstleister personenbezogene Daten zur Verarbeitung übergibst. Ohne AVV kann ein Bußgeld bis 10 Mio. € oder 2 % des Jahresumsatzes drohen.

Nicht ohne explizite Einwilligung. Google Analytics überträgt Daten in die USA. Auf Buchungsseiten, wo Kunden aktiv personenbezogene Daten eingeben, ist das besonders heikel. Entweder: Cookie-Consent mit GA nur nach Einwilligung laden, oder auf ein DSGVO-konformes Analytics-Tool wechseln (z.B. Matomo mit eigenem Hosting).

DSGVO-Konformität ist kein Siegel, das ein Produkt trägt — sie ergibt sich aus dem Zusammenspiel von Anbieter, Konfiguration und deinen eigenen Prozessen. Konkret prüfbar sind aber: Gibt es einen AVV nach Art. 28 DSGVO, und ab wann gilt er? Wo liegen die Daten? Welche Unterauftragnehmer sind benannt? Lädt die Buchungsseite Skripte von Dritten? Wie viele Pflichtfelder verlangt das Buchungsformular? Slotara hostet in Deutschland, stellt den AVV ab Vertragsbeginn bereit, lädt keine Drittanbieter-Tracker in Dashboard und Buchungs-Widget und kommt mit wenigen Pflichtfeldern aus.

Rechnungsdaten müssen nach §147 AO 10 Jahre aufbewahrt werden. Reine Terminbuchungen ohne Rechnungsbezug sollten spätestens nach 2–3 Jahren gelöscht werden — es gibt keine einheitliche Frist, aber das Prinzip der Datensparsamkeit (Art. 5 DSGVO) verlangt eine begründete Speicherdauer. Praxistipp: Löschkonzept dokumentieren und im AVV festhalten.