DSGVO-konforme Online-Terminbuchung: Worauf Salons und Praxen achten müssen

Vorab ehrlich: Wir sind Anbieter eines Buchungssystems und keine Rechtsanwälte — dieser Artikel ersetzt keine Rechtsberatung. Er fasst zusammen, was aus der DSGVO praktisch für Terminbuchung folgt und welche Fragen Sie jedem Anbieter stellen sollten, auch uns.

Braucht mein Salon eine Einwilligung für Online-Buchungen?

Für die Terminbuchung selbst: nein. Wenn eine Kundin einen Termin bucht, verarbeiten Sie Name, Kontaktdaten und Wunschtermin, um genau diesen Termin zu erfüllen — das erlaubt Art. 6 Abs. 1 lit. b DSGVO als Vertragserfüllung, ganz ohne Einwilligungs-Häkchen. Ein erzwungenes „Ich stimme der Datenverarbeitung zu"-Feld ist an dieser Stelle sogar irreführend, weil es eine Wahlfreiheit vortäuscht, die es für die Terminerfüllung nicht gibt.

Anders sieht es aus, sobald Sie die Daten für mehr als den Termin nutzen wollen: Newsletter, Geburtstagsaktionen oder Werbe-SMS brauchen eine echte, freiwillige Einwilligung — sauber getrennt von der Buchung und am besten per Double-Opt-in bestätigt. Seriöse Systeme trennen diese beiden Welten technisch.

Die 5-Punkte-Checkliste für DSGVO-konforme Terminbuchung

• Serverstandort: Wo liegen die Kundendaten? EU ist Pflichtniveau, Deutschland die einfachste Antwort — dann stellt sich die Drittland-Frage gar nicht erst.
• AV-Vertrag (Art. 28 DSGVO): Der Anbieter verarbeitet Daten in Ihrem Auftrag und muss Ihnen dafür einen Auftragsverarbeitungsvertrag geben. Kein AV-Vertrag = kein DSGVO-konformer Betrieb, egal wie gut der Rest ist.
• Datenminimierung: Für einen Haarschnitt braucht niemand Geburtsdatum und Postanschrift. Gute Systeme fragen nur ab, was für den Termin nötig ist.
• Verschlüsselung: Übertragung ausschließlich über HTTPS/TLS — heute Standard, trotzdem prüfenswert, gerade bei eingebetteten Buchungs-Widgets.
• Betroffenenrechte: Auskunft, Export und Löschung müssen praktisch machbar sein. Fragen Sie konkret: „Wie lösche ich alle Daten einer Kundin vollständig?" Wenn die Antwort ausweicht, Finger weg.

Warum US-Buchungstools eine Extra-Prüfung brauchen

Viele bekannte Terminbuchungs-Tools kommen aus den USA oder hosten dort. Das ist nicht automatisch verboten — aber es macht die Sache kompliziert: Die Datenübermittlung in die USA stützt sich auf das EU-US Data Privacy Framework oder Standardvertragsklauseln, deren rechtliche Haltbarkeit seit Jahren immer wieder vor Gericht landet. Kippt die Grundlage (wie schon zweimal geschehen), stehen Sie als Verantwortlicher in der Pflicht, nicht der US-Anbieter.

Für einen Salon im Westerwald ist das ein vermeidbares Risiko: Es gibt Systeme, die vollständig in Deutschland laufen. Dann ist die Drittland-Frage vom Tisch, die Datenschutzerklärung wird kürzer und bei einer Anfrage der Aufsichtsbehörde gibt es schlicht weniger zu erklären.

Wie MDE Booking diese Punkte löst

• Server in Deutschland: das komplette System läuft auf deutschen Servern — keine Drittlandübermittlung.
• AV-Vertrag inklusive: den Auftragsverarbeitungsvertrag stellen wir Ihnen beim Start, ohne Aufpreis.
• Buchung ohne Konto-Zwang: Ihre Kundschaft kann als Gast buchen — abgefragt wird nur, was für den Termin nötig ist.
• Newsletter strikt getrennt: Werbung nur mit echter Einwilligung per Double-Opt-in, sauber getrennt vom Buchungsvorgang.
• Export & Löschung eingebaut: Kundendaten lassen sich jederzeit exportieren und vollständig löschen — Ihre Daten bleiben Ihre.

Was Sie als Betrieb trotzdem selbst tun müssen

Auch das beste System nimmt Ihnen drei Dinge nicht ab: Ihre Datenschutzerklärung muss die Online-Terminbuchung erwähnen (welche Daten, wofür, wie lange), der AV-Vertrag mit dem Anbieter muss tatsächlich abgeschlossen sein — nicht nur „verfügbar" —, und Sie sollten eine einfache Löschroutine haben, etwa Kundendaten nach einer festen Frist ohne neuen Termin zu entfernen. Bei der Einrichtung gehen wir diese Punkte gemeinsam durch.

Fazit

DSGVO-konforme Terminbuchung ist keine Frage teurer Gutachten, sondern von fünf klaren Kriterien — und die wichtigste Weiche stellen Sie mit dem Serverstandort. Was ein System kosten darf, rechnen wir im Ratgeber zu den Terminbuchungs-Kosten vor. Welche Absätze eine Website darüber hinaus braucht, steht im Artikel Brauche ich eine Datenschutzerklärung?.