lemniscus®
#terminbuchung verarbeitet gesundheitsdaten
#ein buchungskalender ist kein neutraler kalender
Wer Termine für eine Heilberufspraxis verwaltet, verarbeitet regelmäßig Patientydaten und damit häufig auch Gesundheitsdaten. Die Datenschutzkonferenz hat am 16. Juni 2025 konkretisiert, was Praxen und Terminverwaltungsunternehmen dabei beachten sollen.
Das Positionspapier gibt die gemeinsame Rechtsauffassung der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder wieder. Nach eigener Aussage dient es als Maßstab für aufsichtsrechtliche Bewertungen und als Orientierung für Heilberufspraxen, Terminverwaltungsunternehmen und Patientys.
Im Mittelpunkt stehen externe Dienstleistys, die einen Buchungsbutton, eine Buchungsplattform oder den Terminkalender einer Praxis betreiben. Dabei kommt es nicht auf die technische Oberfläche an, sondern auf die tatsächlichen Rollen: Wer entscheidet über Zweck und Mittel der Verarbeitung? Wer handelt nur auf Weisung? Und verarbeitet das Terminunternehmen Daten auch für eigene Zwecke?
Die Originalquelle
Grundlage dieses Orientierungspunkts ist der DSK-Beschluss „Datenschutz bei der Terminverwaltung durch Heilberufspraxen – Positionspapier zum datenschutzkonformen Einsatz von Dienstleistern für Online-Terminbuchungen und das Terminmanagement“ vom 16. Juni 2025.
Was ist die DSK – und wie verbindlich ist das Papier?
Die DSK ist keine Gesetzgeberin und kein Gericht. Ihre Veröffentlichungen zeigen aber sehr deutlich, wie die deutschen Datenschutzaufsichtsbehörden die DSGVO anwenden wollen.
Wer gehört zur DSK?
Die Datenschutzkonferenz ist das gemeinsame Gremium der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder. Sie stimmt Positionen zu grundsätzlichen Datenschutzfragen ab und veröffentlicht dazu unter anderem Beschlüsse, Entschließungen und Orientierungshilfen.
Ist das Positionspapier ein Gesetz?
Nein. Ein DSK-Positionspapier ist weder ein Gesetz noch eine Rechtsverordnung oder ein Gerichtsurteil. Es schafft nicht selbst neue Pflichten und bindet Gerichte nicht. Die rechtlichen Pflichten folgen weiterhin aus der DSGVO und den übrigen anwendbaren Vorschriften.
Warum ist es trotzdem so wichtig?
In der DSK sitzen genau die Behörden, die den Datenschutz beaufsichtigen. Im Papier erklären sie ausdrücklich, ihre Positionen als Maßstab in aufsichtsrechtlichen Verfahren zu verwenden. Wer davon abweicht, sollte seine rechtliche Bewertung daher besonders gut begründen können. Über einen Streit entscheiden am Ende die zuständigen Gerichte.
Praktisch maßgeblich, rechtlich überprüfbar
Das Positionspapier ist kein unmittelbar bindendes Regelwerk. Für die Praxis ist es dennoch die derzeit konkreteste gemeinsame Referenz der deutschen Aufsichtsbehörden für externes Terminmanagement in Heilberufspraxen. Behördliche Anordnungen oder Bußgelder beruhen auf den gesetzlichen Vorschriften und können gerichtlich überprüft werden.
Die wichtigsten Aussagen des Positionspapiers
Hinter den vielen Fachbegriffen steckt ein einfacher Gedanke: Für eine Terminbuchung sollen nur die Daten verwendet werden, die für diesen Termin wirklich gebraucht werden. Ein Terminunternehmen darf der Praxis dabei helfen – aber nicht automatisch alles tun, was technisch möglich wäre.
Darf meine Praxis einen externen Termindienst nutzen?
Ja. Eine Praxis darf ein anderes Unternehmen damit beauftragen, Termine anzunehmen und den Kalender technisch zu betreiben. Arbeitet dieses Unternehmen ausschließlich nach den Vorgaben der Praxis, spricht das Datenschutzrecht von einer „Auftragsverarbeitung“.
Das Patienty muss nicht allein deshalb einwilligen, weil die Praxis einen solchen Dienst nutzt. Die Praxis muss den Dienst aber vertraglich verpflichten und ihre Patientys darüber informieren, welches Unternehmen die Termindaten verarbeitet.
Welche Angaben dürfen bei der Buchung abgefragt werden?
Nur Angaben, die für den konkreten Termin wirklich notwendig sind. Die DSK nennt als Beispiele den Namen, das Geburtsdatum, die behandelnde Person, die Art des Termins und eine Kontaktmöglichkeit für eine eventuell notwendige kurzfristige Absage.
Das bedeutet nicht, dass jede Praxis immer alle diese Angaben braucht. Und es bedeutet auch nicht, dass jedes vorhandene Formularfeld ausgefüllt werden darf. Eine Terminart kann etwa nötig sein, um Dauer oder zuständige behandelnde Person zu bestimmen. Ein ausführlicher Besuchsgrund im Freitext ist dagegen nicht automatisch erforderlich. „Für uns hilfreich“ ist datenschutzrechtlich nicht dasselbe wie „für den Termin notwendig“.
Darf der Termindienst vorsorglich alle Patientydaten bekommen?
Im Regelfall nein. Ein Termindienst braucht nicht die vollständigen Stammdaten aller Menschen, die irgendwann einmal in der Praxis behandelt wurden. Für eine konkrete Terminvereinbarung genügen die Angaben, die zu genau diesem Termin gehören.
Ein automatischer Komplettabgleich der gesamten Patientykartei ist deshalb besonders kritisch. Die Praxis sollte genau prüfen, welche Daten tatsächlich an das Terminunternehmen übertragen werden und ob jede einzelne Angabe dafür notwendig ist.
Darf die Praxis einfach eine Terminerinnerung schicken?
Nicht ohne vorheriges Einverständnis. Eine Erinnerung per E-Mail, SMS oder über einen anderen Nachrichtenkanal ist nach Auffassung der DSK ein zusätzlicher Service. Für die eigentliche Terminvereinbarung ist sie nicht zwingend notwendig.
Das Patienty muss deshalb vorher ausdrücklich zustimmen und wissen, wofür die Kontaktdaten verwendet werden. Die Praxis muss später nachweisen können, dass diese Zustimmung vorlag. Ein bereits ausgefülltes Feld mit einer E-Mail-Adresse ersetzt diese Zustimmung nicht.
Darf das Terminunternehmen die Daten selbst weiterverwenden?
Nicht, wenn es die Daten im Auftrag der Praxis erhalten hat. Dann darf das Unternehmen nur das tun, was für den vereinbarten Terminservice notwendig ist und was die Praxis ihm vorgibt.
Eine zusätzliche Nutzung für eigene Werbung, eigene Auswertungen, den Aufbau eigener Patientyprofile oder andere Geschäftszwecke ist davon nicht gedeckt. Erfährt die Praxis von einer solchen Nutzung, muss sie gegenüber dem Dienst dafür sorgen, dass dieser Zustand beendet wird.
Müssen alle Patientys online buchen?
Nein. Nach Auffassung der DSK soll es neben der digitalen Buchung immer eine andere Möglichkeit geben, einen Termin mit der Praxis zu vereinbaren. Das kann zum Beispiel telefonisch oder persönlich geschehen.
Das ist besonders für Menschen wichtig, die keinen passenden Internetzugang haben, mit digitalen Angeboten nicht gut zurechtkommen oder den gewünschten Termin nicht online buchen können. Die Online-Terminbuchung darf ein zusätzlicher bequemer Weg sein, aber nicht die einzige Tür zur Praxis.
Drei Fachbegriffe in normaler Sprache
Auftragsverarbeitung: Ein Unternehmen verarbeitet Daten für die Praxis und nach deren Vorgaben. Dafür braucht es einen Vertrag nach Art. 28 DSGVO, häufig kurz „AVV“ genannt.
Einwilligung: Das Patienty bekommt vorher klare Informationen und entscheidet freiwillig, ob es der zusätzlichen Datenverwendung zustimmt. Die Praxis muss diese Zustimmung später belegen können.
Rechtsgrundlage: Die rechtliche Erlaubnis, auf die eine Datenverarbeitung gestützt wird. Eine Einwilligung kann eine solche Erlaubnis sein, ist aber nicht die einzige Möglichkeit.
Auftragsverarbeitung oder eigenes Nutzerkonto?
Diese Trennung ist einer der wichtigsten Punkte des Papiers. Ein Unternehmen kann in unterschiedlichen Situationen unterschiedliche datenschutzrechtliche Rollen haben.
Das Unternehmen arbeitet für die Praxis
Verarbeitet das Terminunternehmen die Daten ausschließlich im Auftrag und nach Weisung der Praxis, bleibt die Praxis datenschutzrechtlich verantwortlich. Zwischen beiden wird ein Auftragsverarbeitungsvertrag geschlossen. Der Dienst darf die Patientydaten nicht für eigene Zwecke verwenden.
Die Praxis muss dennoch selbst prüfen, ob die Verarbeitung zulässig ist, nur notwendige Daten umfasst und ausreichend geschützt wird. „Wir haben einen AVV“ ist deshalb noch kein vollständiges Datenschutzkonzept.
Das Patienty schließt einen eigenen Vertrag
Muss ein Patienty beim Terminunternehmen ein Nutzerkonto anlegen und dessen AGB zustimmen, verarbeitet das Unternehmen die Kontodaten nicht mehr nur im Auftrag der Praxis. Für diesen eigenen Vertrag ist es selbst datenschutzrechtlich verantwortlich. Werden dabei Gesundheitsdaten verarbeitet, ist nach dem Positionspapier im Regelfall eine wirksame Einwilligung erforderlich.
Beide Verantwortungsbereiche müssen sauber getrennt und für Patientys jederzeit klar erkennbar sein. Sie sollen bei jeder Interaktion erkennen können, wer die jeweilige Datenverarbeitung verantwortet.
Die Oberfläche entscheidet nicht
Ein Buchungsbutton auf der Praxiswebsite ist nicht automatisch datenschutzfreundlicher als eine Plattform – und eine Plattform nicht automatisch unzulässig. Maßgeblich sind die tatsächlichen Datenflüsse, Zwecke, Verträge und Verantwortlichkeiten hinter der Oberfläche.
Was passiert mit den Daten, wenn der Termin vorbei ist?
Die DSK verlangt, Eintragungen im Terminkalender grundsätzlich innerhalb einer kurzen Frist nach dem Termin zu löschen. Gemeint ist der Terminkalender in seiner Funktion als Planungswerkzeug – unabhängig davon, ob ihn die Praxis selbst oder ein beauftragtes Unternehmen betreibt. Dort wurden die Daten zunächst verarbeitet, um einen bevorstehenden Termin zu organisieren.
Ist der Termin verstrichen, entfällt dieser Zweck im Regelfall. Kalendereinträge sind nach Auffassung der DSK als solche kein Teil der Behandlungsdokumentation und unterliegen deshalb nicht automatisch der berufsrechtlichen Dokumentationspflicht. Ein reiner Buchungsdienst darf aus vergangenen Terminen also nicht nebenbei ein dauerhaftes Behandlungsprofil aufbauen.
Enthält ein Termin dokumentationspflichtige Informationen, müssen diese in die eigentliche Behandlungsdokumentation übernommen und dort ordnungsgemäß gespeichert werden. In einer integrierten Praxisverwaltung können Termindaten nach dem Termin außerdem für Dokumentation und Abrechnung benötigt werden. Sie bleiben dann nicht bloß deshalb gespeichert, weil sie einmal im Kalender standen, sondern werden im selben System für einen weiteren festgelegten Praxiszweck genutzt.
Ein neuer Zweck ist kein Freifahrtschein
Die Integration verhindert einen zweiten Datenbestand und unnötige Übertragungen. Sie macht aber nicht jede bei der Buchung erfasste Information automatisch zur notwendigen Dokumentation. Die Praxis muss weiterhin festlegen, welche Daten sie nach dem Termin für Dokumentation oder Abrechnung braucht und welche nicht mehr erforderlich sind.
Checkliste vor der Auswahl eines Terminunternehmens
Das Positionspapier nennt konkrete Prüfpflichten. Aus ihnen ergeben sich diese Fragen für die Praxis.
Daten und Rechtsgrundlagen
Welche Daten werden für welchen Zweck verarbeitet? Welche davon sind für den konkreten Termin wirklich notwendig, und wo wird eine Einwilligung gebraucht?
Vertrag und Zweckbindung
Handelt das Unternehmen ausschließlich im Auftrag der Praxis? Schließt der AVV eine Verwendung zu eigenen Zwecken aus? Gibt es daneben eigene Konten, Verträge oder Werbezwecke?
Technische und organisatorische Maßnahmen
Wie werden Webanwendung und Schnittstelle zur Praxissoftware geschützt? Ist eine wirksame Trennung der Praxen gewährleistet? Wie werden Vertraulichkeit und Zugriffsrechte abgesichert?
Systemgrenzen und Datenflüsse
Ist die Terminbuchung ein eigenes System oder Bestandteil der Praxisverwaltung? Werden Daten in einem zusätzlichen Kalender gespeichert, über eine Schnittstelle kopiert oder direkt in der Praxissoftware verarbeitet? Für jedes weitere System müssen Verträge, Schutzmaßnahmen, Zugriffe und Löschregeln gesondert geprüft werden.
Löschung
Werden vergangene Kalendereinträge innerhalb einer kurzen Frist gelöscht? Kann die Praxis die Frist festlegen und die Umsetzung kontrollieren?
Drittstaaten
Finden Verarbeitungsschritte wie Hosting, Support, Wartung oder Administration außerhalb von EU und EWR statt? Falls ja: Wie werden die Anforderungen der Art. 44 ff. DSGVO erfüllt?
Transparenz
Nennt die Datenschutzinformation der Praxis das konkrete Terminunternehmen als Empfänger? Können Patientys jederzeit erkennen, wer für welche Verarbeitung verantwortlich ist?
Konfiguration und Praxisablauf
Welche Angaben fragt die Praxis ab, für welche weiteren Zwecke werden sie benötigt und wie werden Patientys darüber informiert? Sind Einwilligungen für Terminbenachrichtigungen dokumentiert? Auch ein geeignetes Werkzeug muss passend eingesetzt werden.
Alternative Terminvereinbarung
Können Patientys weiterhin auf einem anderen Weg einen Termin vereinbaren, beispielsweise telefonisch oder persönlich?
Wie ordnet sich lemniscus ein?
Die Online-Terminvergabe my/OT ist kein eigenständiges Terminbuchungssystem neben lemniscus. Sie ist eine schlanke Schicht vor der Praxisverwaltung – oder bildlich gesprochen: eine digitale Tür, durch die Patientys ihre Terminwünsche und Angaben direkt in die Praxisverwaltung eintragen.
Keine zweite Speicherung, keine zweite Akte
Die über my/OT erfassten Informationen werden nicht zunächst in einem gesonderten Buchungssystem gespeichert und später mit lemniscus abgeglichen. Sie werden direkt in der Praxissoftware verarbeitet. Der gebuchte Termin steht sofort im regulären Terminplan, und die erfassten Angaben stehen dort zur Verfügung, wo die Praxis sie für ihre weiteren Abläufe braucht.
Damit gibt es keinen zusätzlichen Fremdkalender, keinen regelmäßigen Datenabgleich und keinen zweiten Datenbestand, aus dem unbemerkt eine parallele Patientyakte entstehen könnte. Terminplanung, Dokumentation und Abrechnung bleiben im selben System.
Keine zusätzliche Sicherheitsinsel
Weil my/OT Bestandteil von lemniscus ist, müssen für die Online-Terminvergabe nicht dieselben zusätzlichen Maßnahmen aufgebaut werden wie bei einem getrennten externen Tool. Es braucht keinen weiteren Auftragsverarbeitungsvertrag, kein eigenes Berechtigungskonzept für einen Fremddienst, keine zusätzliche Schnittstelle und kein zweites Lösch- oder Sicherheitskonzept.
Für my/OT gelten der bestehende lemniscus-Vertrag und dieselben technisch-organisatorischen Maßnahmen wie für die gesamte Praxisverwaltung. Das gilt ebenso für den Online-Terminzettel. Die lemniscus-Server stehen in Deutschland, konkret in der AWS-Region Frankfurt.
Mehr als reine Termindaten
Ein reines Buchungstool darf Angaben nur für seine Aufgabe als Buchungstool verarbeiten. my/OT öffnet dagegen einen direkten Weg in die Praxisverwaltung. Deshalb spricht grundsätzlich nichts dagegen, bei der Buchung weitere Informationen zu erfassen, die die Praxis anschließend für die Akte, die Dokumentation, die Vorbereitung der Behandlung oder die Abrechnung benötigt.
Diese Angaben werden nicht vorsorglich an ein zusätzliches Terminunternehmen übermittelt und dort aufbewahrt. Sie landen unmittelbar in dem System, in dem sie fachlich weiterverarbeitet werden. Die Praxis legt fest, welche Informationen sie auf diesem Weg erfassen möchte und für welche Praxisabläufe sie gebraucht werden.
Die digitale Tür ist klar beschriftet
Die my/OT-Buchungsseite zeigt im unteren Bereich das lemniscus-Logo sowie die Anbieter- und Datenschutzinformationen. Wird my/OT von der Praxis lediglich verlinkt, erfolgt die Aufklärung auf der Buchungsseite selbst. Für das Patienty ist erkennbar, wer die Seite technisch bereitstellt und die Daten im Auftrag der Praxis verarbeitet.
Kurz gesagt
- my/OT ist die digitale Tür zur lemniscus-Praxisverwaltung, kein getrenntes Buchungssystem.
- Termine und weitere Angaben werden unmittelbar in der Praxissoftware gespeichert.
- Es entstehen weder ein zweiter Kalender noch eine parallele Patientyakte.
- Für my/OT und Online-Terminzettel gelten dieselben Verträge und Schutzmaßnahmen wie für lemniscus.
- Zusätzliche Angaben können direkt für Akte, Dokumentation, Behandlungsvorbereitung und Abrechnung genutzt werden.
- Die Server stehen in Deutschland und lemniscus ist auf der Buchungsseite klar erkennbar.
Einordnung, keine Rechtsberatung
Dieser Orientierungspunkt fasst das DSK-Positionspapier allgemeinverständlich zusammen. Er ersetzt keine rechtliche Beratung und keine Prüfung des konkreten Praxisablaufs. Bei Zweifeln helfen das zuständige Landesamt für Datenschutz oder eine fachkundige Beratung.
#orientierungspunkte
Wir haben weitere Orientierungspunkte rund um Praxissoftware und Praxisorganisation für dich zusammengestellt. Sie helfen dir, typische Versprechen einzuordnen und fundierte Entscheidungen für deine Praxis zu treffen.