Online-Terminbuchung für die Physiotherapie-Praxis: Datenschutz

Welchen Weg sollen Patienten zum Termin in Ihrer Physiotherapie-Praxis nehmen: ein Buchungstool, ein Anfrageformular oder der Anruf? Die kurze Antwort: Ein externes Buchungstool ist erlaubt, wenn Sie es sauber einbinden. Dazu gehören ein Vertrag mit dem Anbieter, möglichst wenige abgefragte Daten und ein Hinweis in Ihrer Datenschutzerklärung. Ein Telefonweg bleibt zusätzlich bestehen. Dieser Beitrag erklärt, was die deutschen Datenschutzbehörden zur Online-Terminbuchung geschrieben haben und was das für die Website Ihrer Praxis heißt.

Die Datenschutzkonferenz hat die Online-Terminbuchung 2025 ausdrücklich behandelt

Am 16. Juni 2025 hat die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einen Beschluss gefasst: Datenschutz bei der Terminverwaltung durch Heilberufspraxen. Das Papier ist fünf Seiten lang und geht auf die Frage ein, die viele Inhaber stellen: Darf ein externes Unternehmen unsere Termine verwalten, und was müssen wir dafür tun?

Die DSK schreibt, ihre Positionen spiegelten die Rechtsauffassung der Aufsichtsbehörden wider und dienten als Maßstab für aufsichtsrechtliche Verfahren. Für Sie heißt das: Es ist die Linie, an der sich die Behörden orientieren.

Ein Hinweis zur Reichweite. Das Papier spricht von Heilberufspraxen und nennt Beispiele aus der Arztpraxis, etwa „Kontrolle“ oder „Röntgen“. Auch in einer Physiotherapie-Praxis gilt: Wer einen Termin bucht, verrät dabei, dass er Patient ist. Die Logik des Papiers liegt deshalb nahe. Ob die Aufsicht Ihre Praxis ausdrücklich unter den Begriff fasst, klären Sie im Zweifel bei Ihrer Landesdatenschutzbehörde.

Ein Termin ist ein Datum, das besonderen Schutz verdient

Die DSGVO kennt für Gesundheit eine eigene Kategorie. In Art. 4 Nr. 15 heißen Gesundheitsdaten „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“. Art. 9 untersagt ihre Verarbeitung grundsätzlich und lässt Ausnahmen zu.

Die DSK stützt das Eintragen eines Patienten in den Terminkalender auf Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. h DSGVO. Sie nennt es erforderlich, wenn jemand einen konkreten Termin vereinbart. Der Name im Kalender einer Physiotherapie-Praxis, mit Datum und Art der Behandlung, ist also kein harmloses Datum, sondern etwas, das Sie mit Sorgfalt behandeln.

Ein Buchungstool, ein Anfrageformular und der Anruf unterscheiden sich in dem, was Sie prüfen müssen

Weg	Was Sie klären müssen
Buchungstool eines Anbieters	Vertrag nach Art. 28 DSGVO, Anbieter in der Datenschutzerklärung nennen, Löschfristen, Serverstandort
Anfrageformular auf Ihrer Website	Wenige Felder, verschlüsselte Übertragung, wo die Anfrage landet (E-Mail oder Praxissystem)
Anruf	Nichts Technisches, aber Erreichbarkeit: Wer nimmt außerhalb der Sprechzeiten ab?

Keiner der drei Wege ist per se der richtige. Das Buchungstool spart Anrufe, das Formular ist leicht eingebaut und der Anruf ist der Weg, den manche Patienten ohnehin wählen. Viele Praxen fahren mit einer Mischung am besten, wie wir weiter unten beschreiben.

Der Anbieter braucht einen Vertrag, Ihre Patienten brauchen keine Einwilligung

Wenn ein Unternehmen Ihre Termine in seinem System verwaltet, verarbeitet es Patientendaten für Sie. Dafür verlangt Art. 28 DSGVO einen Vertrag. Im Gesetz heißt es:

Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet […]

— Art. 28 Abs. 3 DSGVO

Die DSK folgert daraus: Die Beauftragung eines Terminverwalters kann als Auftragsverarbeitung zulässig sein und braucht dann keine Einwilligung der Patienten. Die Praxis muss die Patienten aber informieren und den Dienstleister dabei namentlich als Empfänger der Daten nennen. Das gehört in Ihre Datenschutzerklärung. Wie sie aufgebaut ist, steht im Beitrag zu den Pflichtangaben auf der Praxis-Website.

Vier Fragen sollten Sie jedem Terminanbieter stellen

Die DSK listet auf, was Praxen vor der Beauftragung prüfen müssen. Daraus lassen sich vier Fragen machen, die Sie dem Anbieter schriftlich stellen:

1. Welche Daten werden verarbeitet? Die DSK erlaubt nur die Daten, die für den konkreten Termin erforderlich sind, zum Beispiel Name, Geburtsdatum, Art des Termins und eine Kontaktmöglichkeit für kurzfristige Absagen. Ein Anbieter, der pauschal alle Ihre Patientenstammdaten haben will, ist ein Warnzeichen. Das Papier sagt, eine solche Bereitstellung sei im Regelfall nicht nötig.
2. Nutzt der Anbieter die Daten für eigene Zwecke? Nach der DSK ist das unzulässig. Die Daten dürfen nur nach Ihren Weisungen und dem Vertrag verarbeitet werden. Erfahren Sie von einer eigenen Nutzung, müssen Sie auf Abhilfe bestehen.
3. Wie sicher ist das System? Die DSK nennt unter anderem die Sicherheit der Webanwendung, die Anbindung an Ihr Praxisverwaltungssystem und die Trennung der Daten verschiedener Praxen beim Anbieter (Mandantentrennung).
4. Wann werden Termine gelöscht? Nach der DSK sind Einträge im Terminkalender grundsätzlich innerhalb einer kurzen Frist nach dem Termin zu löschen. Sie sind nicht Teil der Behandlungsdokumentation. Was dokumentationspflichtig ist, gehört in die Dokumentation und nicht in den Kalender.

Dazu kommt eine fünfte Frage, wenn Teile des Betriebs außerhalb der EU laufen, etwa Support oder Wartung. Die DSK verweist dann auf die besonderen Anforderungen der Art. 44 ff. DSGVO. Fragen Sie den Anbieter, wo jeder Verarbeitungsschritt stattfindet.

Terminerinnerungen per Nachricht brauchen eine Einwilligung

Viele Tools erinnern Patienten per SMS oder E-Mail an den Termin. Das ist nach der DSK für den konkreten Termin nicht erforderlich, aber als Zusatzservice denkbar. Die Patienten müssen informiert sein und auf Nachfrage zustimmen, und die Praxis muss die Einwilligung nachweisen können. Ein vorangekreuztes Kästchen im Buchungsformular ist dafür keine gute Grundlage. Fragen Sie den Anbieter, wie die Einwilligung eingeholt und gespeichert wird.

Ein Anbieter mit eigenem Patientenkonto ist ein anderer Fall

Manche Plattformen bieten Patienten ein eigenes Nutzerkonto an. Die DSK trennt das klar: Für das Konto und den Vertrag mit der Plattform ist die Plattform selbst verantwortlich, nicht Ihre Praxis. Werden dabei Gesundheitsdaten verarbeitet, braucht sie im Regelfall eine wirksame Einwilligung der Nutzer. Patienten müssen bei jeder Interaktion erkennen können, wer für die jeweilige Verarbeitung verantwortlich ist.

Für Sie heißt das: Wer eine solche Plattform einbindet, sollte auf der Website deutlich machen, wann Patienten bei Ihrer Praxis sind und wann bei einem Dritten.

Der Telefonweg gehört weiterhin auf die Startseite

Zur digitalen Buchung schreibt die DSK einen Satz, der für die Gestaltung Ihrer Website zählt:

Neben der digitalen Terminvereinbarung sollte auch immer eine alternative Möglichkeit bestehen, einen Termin in der Heilberufspraxis vereinbaren zu können.

— DSK-Beschluss vom 16. Juni 2025, Abschnitt 1

Das ist eine Empfehlung, aber sie deckt sich mit dem Alltag. Manche Patienten rufen lieber an, etwa mit einer Frage zur Verordnung. Eine Telefonnummer, die auf dem Handy mit einem Tipp wählbar ist, gehört deshalb in den oberen Teil jeder Seite.

Unsere Empfehlung: Anfrageformular mit wenigen Feldern, daneben die Telefonnummer

Für die meisten Physiotherapie-Praxen, die gerade einen Neubau planen, empfehlen wir diesen Weg:

• Ein kurzes Anfrageformular: Name, Telefonnummer oder E-Mail, Wunschzeitraum und die Art des Termins, zum Beispiel Erstbehandlung oder Folgetermin. Sie rufen zurück und tragen den Termin selbst in Ihr System ein.
• Kein Freitext für Beschwerden: Schreiben Sie neben das Feld, dass Patienten bitte keine Diagnose angeben sollen. Das folgt dem Gedanken der DSK, nur erforderliche Daten zu erheben. Es ist unsere Empfehlung, keine Vorgabe aus dem Papier.
• Die Telefonnummer neben dem Formular, mit den Zeiten, zu denen jemand abnimmt.
• Ein Buchungstool nur, wenn Sie wirklich viel Anrufvolumen haben. Dann mit Vertrag, Namensnennung in der Datenschutzerklärung und geklärten Löschfristen.

Der Grund für diese Reihenfolge: Das Formular ist schnell gebaut, Sie bleiben Herr der Daten, und es entsteht kein zusätzlicher Dienstleister, den Sie prüfen, vertraglich binden und namentlich nennen müssen. Wächst die Praxis und das Telefon klingelt zu oft, lässt sich ein Buchungstool später ergänzen. Auf der Seite für Physiotherapie-Praxen sehen Sie, wie wir eine Praxis-Website aufbauen.

Beim Wechsel des Anbieters ändern Sie Website und Datenschutzerklärung gemeinsam

Wer das Buchungstool wechselt, ändert drei Dinge am selben Tag: den Einbindungs-Code auf der Website, den Namen in der Datenschutzerklärung und den Vertrag. Bleibt der alte Anbieter in der Erklärung stehen, nennen Sie einen Empfänger, der gar nicht mehr Ihre Daten bekommt, und den neuen nicht. Bei unseren Websites sind Änderungen in der Regel in unter 48 Stunden online, im Tarif Rundum-sorglos sind sie im Preis enthalten.

Wer die Vertragsseite beim Anbieter vergleichen will, findet Prüffragen im Beitrag Website mieten oder kaufen. Auch Ihr Google-Profil sollte zu dem passen, was die Website als Terminweg nennt. Wie Sie es pflegen, steht im Beitrag zum Google-Unternehmensprofil, der am Beispiel einer Zahnarztpraxis geschrieben ist.