AVV nach Art. 28 DSGVO bei Einbindung von Terminbuchungssystemen als Auftragsverarbeitung

Warum ein AVV bei Online-Terminbuchung unverzichtbar ist

Ein Terminbuchungssystem auf der Kanzleiwebsite nimmt in der Regel Name, Kontaktdaten, Mandant:innennummer und das Thema des gewünschten Gesprächs entgegen. Das sind personenbezogene, oft wirtschaftlich sensible Daten, die zusätzlich der berufsrechtlichen Verschwiegenheitspflicht nach dem Wirtschaftstreuhandberufsgesetz 2017 (WTBG 2017) unterliegen. Gibt eine Kanzlei diese Daten an einen externen Anbieter weiter, damit dieser die Buchung technisch abwickelt, überträgt sie eine Verarbeitung – der Anbieter wird zum Auftragsverarbeiter. Ohne schriftlichen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO fehlt dafür die Rechtsgrundlage.

Viele Kanzleien unterschätzen diese Anforderung oder verwenden unvollständige Vorlagen. Das birgt Risiken für Bußgelder und Verstöße gegen die Verschwiegenheitspflicht. Wer sein Terminsystem über die Kanzleiwebsite einbindet (siehe Systeme im Vergleich), sollte das Vertragswerk daher von Anfang an mitdenken.

Rechtliche Grundlage und wann eine Auftragsverarbeitung vorliegt

Artikel 28 DSGVO regelt die Beziehung zwischen Verantwortlichem – der Kanzlei – und Auftragsverarbeiter. Die Kanzlei bleibt für die Einhaltung der DSGVO zuständig, muss den Dienstleister aber sorgfältig auswählen und vertraglich binden. Eine Auftragsverarbeitung liegt vor, wenn der Anbieter die Daten weisungsgebunden und ausschließlich im Auftrag der Kanzlei verarbeitet – das ist bei den meisten auf der Website eingebetteten Buchungstools der Fall.

Anders kann es sich verhalten, wenn Mandant:innen direkt auf einer externen Plattform ein eigenes Konto anlegen und dort buchen, ohne dass die Kanzlei die Plattform weisungsgebunden steuert. Entscheidend ist in jedem Fall die tatsächliche Vertragsgestaltung: Nutzt der Anbieter die Daten auch für eigene Zwecke, etwa Marketing, liegt keine reine Auftragsverarbeitung mehr vor, und ein AVV allein genügt nicht.

Die acht Mindestinhalte eines AVV nach Art. 28 Abs. 3 DSGVO

Ein vollständiger AVV muss mindestens regeln:

1. Gegenstand und Dauer der Verarbeitung
2. Art und Zweck der Verarbeitung
3. Kategorien personenbezogener Daten
4. Kategorien betroffener Personen
5. Pflichten und Rechte der Kanzlei als Verantwortlicher
6. Weisungsgebundenheit des Auftragsverarbeiters
7. Vertraulichkeit der mit der Verarbeitung betrauten Personen
8. Technische und organisatorische Maßnahmen (TOMs)

Zusätzlich sinnvoll oder vorgeschrieben sind Regelungen zu Subunternehmern, zur Unterstützung bei Betroffenenanfragen, zur Rückgabe oder Löschung der Daten nach Vertragsende und zur Haftung. Eine pauschale Übermittlung des gesamten Mandantenstamms aus der Kanzleisoftware an den Buchungsanbieter ist in jedem Fall unzulässig – übermittelt werden sollten nur die für die Terminvergabe tatsächlich erforderlichen Daten.

TOMs als zentrale Anlage

Der AVV verweist üblicherweise auf eine Anlage mit den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Typisch sind Verschlüsselung der Datenübertragung und ruhender Daten, Zugriffskontrollen und Authentifizierung, Protokollierung von Zugriffen, regelmäßige Sicherheitsupdates sowie Verfahren zur Erkennung und Meldung von Datenschutzverletzungen. Kanzleien sollten vom Anbieter eine konkrete Beschreibung der TOMs einfordern, nicht nur allgemeine Formulierungen. Zertifikate wie ISO 27001 sind hilfreich, ersetzen aber nicht die individuelle Prüfung im Vertrag.

Praktische Schritte zur Umsetzung

1. Bestandsaufnahme: Welche Systeme verarbeiten derzeit Mandantendaten – Terminbuchung, Kontaktformulare, Hosting, Analyse-Tools?
2. AVV beim Anbieter anfordern und bei Lücken nachbessern lassen
3. Inhalte prüfen: Sind alle acht Punkte abgedeckt, Subunternehmer transparent gelistet, Serverstandort in der EU/EWR?
4. Anpassen und unterschreiben, bei Bedarf mit rechtlicher Beratung oder der KSW abstimmen
5. Datenschutzerklärung aktualisieren und Mandant:innen nach Art. 13 DSGVO informieren
6. Verarbeitungsverzeichnis (VVT) ergänzen und bei Vertragsänderungen laufend aktualisieren

Fazit

Ein ordnungsgemäßer AVV ist keine bürokratische Hürde, sondern notwendiger Schutz für Mandant:innen und Kanzlei gleichermaßen. Wer Online-Terminbuchung einsetzt, muss den Vertrag mit dem Anbieter prüfen, anpassen und dokumentieren. Kanzleien, die ihre Website neu gestalten oder bestehende Systeme überprüfen, sollten dieses Thema frühzeitig einplanen – ein Kontakt mit uns schafft dafür einen strukturierten Ausgangspunkt.

Quellen und weiterführende Informationen

• Datenschutzgesetz (DSG) – RIS
• DSGVO-Informationspflichten und Datenschutzerklärung – WKO
• Österreichische Datenschutzbehörde