AVV nach Art. 28 DSGVO bei Einbindung von Terminbuchungssystemen als Auftragsverarbeiter

Die Nutzung eines Online-Terminbuchungssystems entlastet Ordinationen und verbessert die Erreichbarkeit für Patient:innen. Sobald jedoch ein externer Dienstleister personenbezogene Daten – insbesondere Gesundheitsdaten – verarbeitet, greift eine klare rechtliche Pflicht: der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO.

Viele Praxen unterschätzen diese Anforderung oder verwenden unvollständige Vorlagen. Das birgt Risiken für Bußgelder und Datenschutzverstöße. Dieser Beitrag zeigt praxisnah, was ein AVV bei Terminbuchungssystemen leisten muss, welche Inhalte zwingend sind und wie Ordinationen den Prozess rechtssicher gestalten.

Warum ein AVV bei Online-Terminbuchung unverzichtbar ist

Ein Terminbuchungssystem auf der Praxis-Website nimmt in der Regel Name, Geburtsdatum, Kontaktdaten, behandelnden Arzt und Art des Termins entgegen. Das sind personenbezogene Daten, bei sensiblen Angaben sogar Gesundheitsdaten im Sinne von Art. 9 DSGVO.

Wer diese Daten an einen externen Anbieter weitergibt, damit dieser die Buchung technisch abwickelt, überträgt eine Verarbeitung. Der Anbieter wird damit zum Auftragsverarbeiter. Ohne schriftlichen AVV fehlt die notwendige Rechtsgrundlage für diese Weitergabe. Die DSGVO-konforme Website für die Ordination setzt daher voraus, dass alle eingebundenen Dienste vertraglich abgesichert sind.

Laut dem Positionspapier der Datenschutzkonferenz (DSK) vom 16. Juni 2025 ist die Beauftragung externer Dienstleister für das Terminmanagement grundsätzlich zulässig – aber nur, wenn ein AVV nach Art. 28 DSGVO besteht und Patient:innen transparent informiert werden.

Rechtliche Grundlage: Art. 28 DSGVO und besondere Kategorien von Daten

Artikel 28 DSGVO regelt die Beziehungen zwischen Verantwortlichem (der Ordination) und Auftragsverarbeiter. Der Verantwortliche bleibt für die Einhaltung der DSGVO zuständig, muss aber den Auftragsverarbeiter sorgfältig auswählen und vertraglich binden.

Bei Gesundheitsdaten gelten verschärfte Anforderungen. Die Verarbeitung ist nur unter engen Voraussetzungen erlaubt (Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit nationalem Recht). Ein AVV allein reicht nicht aus – er muss die Weisungsgebundenheit, die Zweckbindung und die technischen Schutzmaßnahmen konkretisieren.

Muster und Informationen stellt die Ärztekammer für Niederösterreich zur Verfügung. Wichtig ist jedoch, diese an den konkreten Dienstleister und die tatsächlich verarbeiteten Daten anzupassen. Ein pauschales Muster ohne Anpassung erfüllt die Anforderungen oft nicht. Siehe dazu auch die Häufigen Fragen der Ärztekammer Wien zum Datenschutz im Ordinationsalltag.

Wann liegt eine Auftragsverarbeitung bei Terminbuchung vor?

Eine Auftragsverarbeitung liegt vor, wenn der Dienstleister die Daten weisungsgebunden und im Auftrag der Praxis verarbeitet. Das ist bei den meisten auf der Website eingebetteten Buchungstools der Fall.

Nicht immer ist ein AVV nötig: Wenn Patient:innen direkt auf einer externen Plattform ein Konto anlegen und dort buchen, ohne dass die Praxis die Plattform als Auftragsverarbeiter nutzt, kann eine andere Konstellation vorliegen (z. B. Joint Controllership oder eigenständige Verantwortlichkeit des Patienten gegenüber dem Anbieter). Die Online-Terminbuchung für die Ordination: Systeme im Vergleich erläutert die Unterschiede zwischen integrierten und externen Lösungen.

Entscheidend ist die tatsächliche Vertragsgestaltung und Datenfluss. Praxen sollten prüfen, ob der Anbieter Daten für eigene Zwecke nutzt (z. B. Marketing oder Verbesserung der eigenen Dienste). In diesem Fall liegt keine reine Auftragsverarbeitung vor und ein AVV reicht nicht aus.

Die acht Mindestinhalte eines AVV nach Art. 28 Abs. 3 DSGVO

Ein vollständiger AVV muss mindestens folgende Punkte regeln:

1. Gegenstand und Dauer der Verarbeitung
2. Art und Zweck der Verarbeitung
3. Kategorien personenbezogener Daten
4. Kategorien betroffener Personen
5. Pflichten und Rechte des Verantwortlichen
6. Weisungsgebundenheit des Auftragsverarbeiters
7. Vertraulichkeit der mit der Verarbeitung betrauten Personen
8. Technische und organisatorische Maßnahmen (TOMs)

Zusätzlich sind Regelungen zu Subunternehmern (Unterauftragsverarbeitern), zur Unterstützung bei Betroffenenanfragen, zur Rückgabe oder Löschung der Daten nach Vertragsende und zur Haftung sinnvoll oder vorgeschrieben.

Bei Gesundheitsdaten müssen die TOMs besonders hoch sein. Die DSK betont in ihrem Positionspapier, dass nur die für die konkrete Terminvergabe erforderlichen Daten übermittelt werden dürfen. Eine pauschale Übermittlung des gesamten Patientenstamms aus dem Praxisverwaltungssystem ist unzulässig.

Technische und organisatorische Maßnahmen (TOMs) als zentrale Anlage

Der AVV verweist in der Regel auf eine Anlage mit den TOMs nach Art. 32 DSGVO. Diese müssen nach dem Stand der Technik angemessen sein und die Risiken für die Rechte und Freiheiten natürlicher Personen berücksichtigen.

Typische TOMs für Terminbuchungssysteme umfassen:

• Verschlüsselung der Datenübertragung (TLS)
• Verschlüsselung ruhender Daten
• Zugriffskontrollen und Authentifizierung (z. B. MFA)
• Protokollierung von Zugriffen
• Regelmäßige Sicherheitsupdates und Penetrationstests
• Physische Sicherheit der Rechenzentren
• Verfahren zur Erkennung und Meldung von Datenschutzverletzungen

Praxen sollten vom Anbieter eine konkrete, nicht nur allgemeine Beschreibung der TOMs einfordern. Viele seriöse Anbieter stellen C5-Testate oder ISO-27001-Zertifikate zur Verfügung. Diese sind hilfreich, ersetzen aber nicht die individuelle Prüfung im AVV.

Praktische Schritte zur Umsetzung in der Ordination

1. Bestandsaufnahme: Welche Systeme verarbeiten derzeit Patientendaten (Terminbuchung, Formulare, Newsletter, Hosting, Analyse-Tools)?
2. AVV beim Anbieter anfordern: Seriöse Anbieter stellen diese standardmäßig zur Verfügung. Bei Fehlen oder Unvollständigkeit nachbessern lassen.
3. Inhalte prüfen: Stimmen die acht Punkte? Sind Subunternehmer transparent aufgelistet? Ist der Serverstandort in der EU/EWR?
4. Anpassen und unterschreiben: Bei Bedarf mit Rechtsberatung oder Ärztekammer abstimmen.
5. In die Datenschutzerklärung aufnehmen und Patient:innen informieren (Art. 13 DSGVO).
6. Verarbeitungsverzeichnis (VVT) aktualisieren.
7. Regelmäßige Überprüfung: AVV bei Vertragsänderungen oder neuen Subunternehmern anpassen.

Ein Website-Check kann helfen, fehlende oder unzureichende AVV mit eingebundenen Diensten aufzudecken.

Häufige Fehler und Risiken

• Fehlender oder nur mündlicher AVV
• Unvollständige TOM-Beschreibung
• Keine Regelung zu Subunternehmern
• Datenübermittlung in Drittstaaten ohne geeignete Garantien (z. B. ohne SCC + zusätzliche Maßnahmen nach Schrems II)
• Fehlende Information der Patient:innen in der Datenschutzerklärung
• Verwendung von Daten durch den Anbieter für eigene Zwecke ohne separate Rechtsgrundlage

Die Aufsichtsbehörden prüfen zunehmend auch die Einbindung von Dienstleistern bei Beschwerden. Ein fehlender AVV kann zu Abmahnungen und Bußgeldern führen.

Wie Ordion Praxis-Websites AVV-konform unterstützt

Bei der Entwicklung von Praxis-Websites achtet Ordion darauf, dass eingebundene Terminbuchungssysteme und andere Dienste von vornherein mit einem AVV abgesichert werden. Hosting erfolgt in der EU, es wird ein eigener AVV mit dem Hosting-Provider geschlossen und die Einbindung bleibt datensparsam. Patient:innen sehen in der Datenschutzerklärung genau, welche Dienste mit welchen Daten arbeiten.

Zusätzlich unterstützt Ordion bei der Erstellung oder Überarbeitung der Datenschutzerklärung und beim Website-Check auf fehlende Vertragswerke. So entsteht eine technisch und rechtlich belastbare Grundlage statt nachträglicher Nachbesserungen.

Fazit: AVV als integraler Bestandteil der digitalen Praxisorganisation

Ein ordnungsgemäßer AVV ist keine bürokratische Hürde, sondern notwendiger Schutz für Patient:innen und die Ordination. Wer Online-Terminbuchung einsetzt, muss den Vertrag mit dem Anbieter prüfen, anpassen und dokumentieren. Die Anforderungen der DSK und der Ärztekammern geben klare Leitplanken.

Ordinationen, die ihre Website neu gestalten oder bestehende Systeme überprüfen, sollten AVV-Themen frühzeitig in das Projekt einbeziehen. Ein strukturierter Website-Check und die Abstimmung mit dem Web-Partner schaffen Transparenz und Rechtssicherheit.

Quellen und weiterführende Informationen sind direkt in den Text eingearbeitet. Für individuelle Verträge oder Unsicherheiten empfiehlt sich die Konsultation der zuständigen Ärztekammer oder einer Datenschutzexpertin.