In diesem Ratgeber
Praxisfall: Die Software möchte zuerst alle Patienten importieren
Bei der Einrichtung schlägt der Anbieter vor, die gesamte Patientenliste zu synchronisieren. Das soll spätere Buchungen erleichtern. Die Praxis sollte vor der Aktivierung klären, welche konkreten Funktionen welche Datensätze benötigen. Eine bequeme Suchfunktion beantwortet noch nicht, warum auch Personen ohne bevorstehenden Termin extern gespeichert werden sollen.
Lassen Sie sich die Schnittstelle demonstrieren: Welche Felder werden übertragen, in welche Richtung und bei welchem Auslöser? Werden Daten nur für den gebuchten Termin übergeben oder laufend alle Stammdaten gespiegelt? Diese technische Unterscheidung ist für die Bewertung wichtiger als die Bezeichnung ‚sichere Synchronisation‘.
Die DSK trennt Terminverwaltung von Zusatzfunktionen
Das Positionspapier der Datenschutzkonferenz vom 16. Juni 2025 beschreibt die Anforderungen an externe Terminverwaltung. Erforderliche Daten für konkrete Termine können im Rahmen einer Auftragsverarbeitung verarbeitet werden. Ein pauschaler Vorabexport aller jemals behandelten Patienten ist regelmäßig nicht erforderlich. Terminnachrichten wie Erinnerungen verlangen eine ausdrückliche, nachweisbare Einwilligung. Daten im Auftrag dürfen nicht einfach für eigene Anbieterzwecke verwendet werden.
Außerdem unterscheidet die DSK den Praxiskalender von einem eigenen Nutzerkonto bei der Plattform. Für dessen Verarbeitung kann der Plattformanbieter selbst verantwortlich sein. Patienten müssen diese Rollen erkennen können. Terminkalenderdaten sind grundsätzlich zeitnah zu löschen, wenn sie nicht mehr benötigt werden; notwendige Behandlungsdokumentation wird getrennt in der Akte geführt.
Jede Funktion einzeln auf den Tisch legen
| Funktion | Was die Praxis klären sollte |
|---|---|
| Buchung eines konkreten Termins | Welche Angaben benötigt die Praxis wirklich zur Terminvergabe und Kontaktaufnahme? |
| Freitext zum Behandlungsgrund | Ist das Feld nötig, wie wird es begrenzt und wer kann den Inhalt lesen? |
| SMS- oder E-Mail-Erinnerung | Wie werden Einwilligung, gewünschter Kanal und Widerruf dokumentiert und umgesetzt? |
| Eigenes Plattformkonto | Wer ist verantwortlich, welche Bedingungen gelten und was sieht die Praxis davon? |
| Statistik und Produktverbesserung | Werden Patientendaten dafür verwendet und ist dieser Zweck von der Terminverwaltung getrennt? |
| PVS-Schnittstelle | Welche Datenfelder werden wann übertragen und wie werden Änderungen und Löschung abgeglichen? |
Für die Einführung empfiehlt sich ein kleines Funktionspaket. Prüfen Sie Zusatzangebote einzeln, bevor sie aktiviert werden. Das ist besonders bei Funktionen sinnvoll, die neue Kommunikationskanäle, Freitextanalysen oder zusätzliche Datenempfänger mitbringen.
Vom Vertrag zur tatsächlich freigegebenen Konfiguration
Checkliste vor dem Start
- Vertragsrolle je Funktion bestimmen und passende Vereinbarungen sowie Geheimhaltung prüfen.
- Datenfelder und Synchronisation gemeinsam mit Anbieter und PVS-Betreuung festlegen.
- Unterauftragnehmer, Supportzugriffe und mögliche Drittlandverarbeitung nachvollziehen.
- Rollen im Team, sichere Anmeldung und Zugriff für ausgeschiedene Mitarbeitende regeln.
- Einwilligungs- und Widerrufsablauf für Erinnerungen mit einem Testfall durchspielen.
- Löschregeln für Kalender, Plattform und Schnittstelle festlegen und ihre Umsetzung prüfen.
- Patienteninformationen und Websiteeinbindung auf die freigegebenen Funktionen abstimmen.
Dokumentieren Sie die Startkonfiguration mit Datum und zuständiger Person. Ein Vertrag kann in Ordnung sein, während ein voreingestellter Vollimport oder eine automatisch aktivierte Erinnerung trotzdem nicht zum vorgesehenen Verfahren passt. Prüfen Sie deshalb den tatsächlichen Ablauf mit erfundenen Patientendaten, bevor Sie produktiv starten.
Löschung und Behandlungsdokumentation auseinanderhalten
Ein Kalender wird nicht allein dadurch zur zehn Jahre aufzubewahrenden Behandlungsakte, dass dort Patientennamen stehen. Umgekehrt dürfen medizinisch relevante Angaben nicht verloren gehen, nur weil ein Termin gelöscht wird. Legen Sie fest, welche Informationen in die Behandlungsdokumentation gehören und wer sie übernimmt. Für begründete weitere Zwecke können gesonderte Speicherregeln erforderlich sein; eine unbegrenzte Kalenderhistorie sollte nicht der Standard sein.
Bei einem Anbieterwechsel müssen Export, notwendige Dokumentation und Löschung koordiniert werden. Prüfen Sie auch alte Konten und Schnittstellen. Ein gekündigter Vertrag beendet nicht automatisch jeden Zugang oder entfernt jede zuvor übertragene Kopie.
Patienten sollen den Weg zur Praxis verstehen
Benennen Sie den eingebundenen Dienstleister und erklären Sie die wesentlichen Abläufe dort, wo Patienten sie brauchen. Bieten Sie einen praktikablen alternativen Terminweg an. Die Mitarbeitenden am Telefon sollten erklären können, warum eine Erinnerung optional ist und wie sie wieder abgeschaltet wird. Antworten darauf dürfen nicht ausschließlich in den AGB der Plattform versteckt sein.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.