DSGVO-konforme Buchungssoftware:
7 Pflichten und was wirklich zählt.

Ja. Buchungssoftware verarbeitet personenbezogene Daten (Name, E-Mail, Termin) im Auftrag des Dienstleisters — das begründet eine Auftragsverarbeitung nach Art. 28 DSGVO. Der Dienstleister bleibt Verantwortlicher, der Softwareanbieter wird zum Auftragsverarbeiter. Ein AVV (Auftragsverarbeitungsvertrag) ist Pflicht.

Kritisch. Calendly speichert Daten auf US-Servern. Für Gesundheitsdaten (Art. 9 DSGVO — besondere Kategorien) ist US-Hosting ohne adäquaten Schutzrahmen unzulässig. Praxen sollten ausschließlich Anbieter mit EU/Deutschland-Hosting und explizitem Gesundheitsdaten-Schutz nutzen. Slotara hostet in Deutschland und bietet AVV gemäß Art. 28 DSGVO.

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag zwischen dir (Verantwortlicher) und dem Software-Anbieter (Auftragsverarbeiter), der regelt, wie deine Kundendaten verarbeitet werden. Er ist nach Art. 28 DSGVO zwingend erforderlich, wenn du einem Dienstleister personenbezogene Daten zur Verarbeitung übergibst. Ohne AVV kann ein Bußgeld bis 10 Mio. € oder 2 % des Jahresumsatzes drohen.

Eingeschränkt. Fresha ist ein britisches Unternehmen — Großbritannien hat nach dem Brexit einen Angemessenheitsbeschluss der EU-Kommission, der bis Mai 2025 galt und verlängert wurde. Das Risiko liegt in der Datenhaltung: Fresha nutzt US-Cloud-Infrastruktur (AWS). Für deutsche Dienstleister mit sensiblen Kundendaten empfehlen wir sicherheitshalber Anbieter mit nachweislichem EU-Hosting.

Nicht ohne explizite Einwilligung. Google Analytics überträgt Daten in die USA. Auf Buchungsseiten, wo Kunden aktiv personenbezogene Daten eingeben, ist das besonders heikel. Entweder: Cookie-Consent mit GA nur nach Einwilligung laden, oder auf ein DSGVO-konformes Analytics-Tool wechseln (z.B. Matomo mit eigenem Hosting).

Für volle DSGVO-Konformität in Deutschland empfehlen wir Slotara: Hosting in Deutschland, AVV nach Art. 28 DSGVO, keine US-Tracking-Skripte, konfigurierbare Datenschutzhinweise auf der Buchungsseite, minimale Pflichtfelder. Cituro ist ebenfalls ein deutsches Unternehmen. Calendly und Fresha haben Einschränkungen (US-Server bzw. UK-Infrastruktur).

Rechnungsdaten müssen nach §147 AO 10 Jahre aufbewahrt werden. Reine Terminbuchungen ohne Rechnungsbezug sollten spätestens nach 2–3 Jahren gelöscht werden — es gibt keine einheitliche Frist, aber das Prinzip der Datensparsamkeit (Art. 5 DSGVO) verlangt eine begründete Speicherdauer. Praxistipp: Löschkonzept dokumentieren und im AVV festhalten.