Online-Terminbuchung für Praxen: Datenschutz und Einbindung

Warum Termindaten besonders geschützt sind

Die Datenschutz-Grundverordnung zählt Gesundheitsdaten zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter bestimmten Voraussetzungen erlaubt, zum Beispiel mit ausdrücklicher Einwilligung oder für Zwecke der Behandlung durch Fachpersonal, das dem Berufsgeheimnis unterliegt (Art. 9 Abs. 1 bis 3 DSGVO).

Ein Termin beim Hausarzt sagt für sich genommen wenig. Ein Termin in einer psychotherapeutischen oder onkologischen Praxis, verbunden mit einem Grund für den Besuch, sagt dagegen viel. Je genauer eine Buchung nach dem Anliegen fragt, desto mehr Gesundheitsdaten entstehen.

Den Anbieter mit Bedacht wählen

Nutzt die Praxis einen spezialisierten Buchungsdienst, verarbeitet der Anbieter die Daten Ihrer Patienten in Ihrem Auftrag. Die Datenschutz-Grundverordnung erlaubt das nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und auf Grundlage eines Vertrags, der Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt (Art. 28 Abs. 1 und 3 DSGVO).

Fragen Sie vor der Entscheidung nach diesem Vertrag zur Auftragsverarbeitung, nach dem Ort der Datenverarbeitung und danach, wie lange Termindaten gespeichert werden. Die Gebühren des Dienstes zahlen Sie direkt an den Anbieter; die Website stellt nur die Verbindung her.

• Vertrag zur Auftragsverarbeitung vorhanden und unterschrieben?
• Wo werden die Daten verarbeitet, und wer hat Zugriff?
• Wie lange bleiben Termindaten gespeichert, und wie werden sie gelöscht?

Nur fragen, was für den Termin nötig ist

Ein Buchungsformular braucht in der Regel Name, Kontaktweg und die Art des Termins, etwa Erstgespräch, Kontrolle oder Vorsorge. Ein freies Textfeld für den Grund des Besuchs lädt dagegen dazu ein, Beschwerden und Diagnosen hineinzuschreiben. Besser ist eine kurze Auswahl an Terminarten und der Hinweis, medizinische Einzelheiten erst in der Praxis zu besprechen.

Dasselbe gilt für das allgemeine Kontaktformular der Website. Bitten Sie dort ausdrücklich darum, keine Gesundheitsangaben zu schicken, und bieten Sie für dringende Fälle die Telefonnummer an.

Einbindung: Link statt eingebettetem Fremdinhalt

Viele Buchungsdienste bieten an, ihr Formular direkt in die eigene Website einzubetten. Dann lädt jede Seite, auf der das Formular steht, Inhalte vom Server des Anbieters, oft schon beim Aufruf und bevor ein Besucher überhaupt buchen will. Dabei können Daten an den Anbieter gehen, und setzt dessen Inhalt Cookies oder liest Informationen vom Gerät, braucht das nach § 25 TDDDG grundsätzlich eine Einwilligung, es sei denn, es ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich.

Einfacher ist ein deutlicher Link oder Knopf „Termin online buchen“, der zur Buchungsseite des Anbieters führt. Daten fließen dann erst, wenn jemand wirklich buchen möchte, und die Website selbst bleibt frei von fremden Skripten. Auf der Buchungsseite gilt die Datenschutzerklärung des Anbieters; in Ihrer eigenen Datenschutzerklärung beschreiben Sie, dass Sie diesen Dienst nutzen.

Patienten verständlich informieren

Informationen zum Datenschutz müssen präzise, transparent, verständlich und leicht zugänglich sein (Art. 12 Abs. 1 DSGVO). Auf der Buchungsseite heißt das: kurz sagen, wer die Daten erhält, wofür sie genutzt werden und wo die ausführliche Erklärung steht.

Bieten Sie außerdem immer einen zweiten Weg an. Nicht jeder möchte online buchen, und manche können es nicht. Telefonzeiten und eine Adresse für Rückrufwünsche gehören deshalb gleich neben den Buchungsknopf.

Klären Sie auch die Abläufe in der Praxis: Wer bestätigt Online-Termine, wer sagt sie ab, und wie erfahren Patienten von Änderungen?