Online-Terminbuchung in der Arztpraxis: Anbieter und Datenschutz

Online-Terminbuchung entlastet die Anmeldung, reduziert Warteschleifen und ist für viele Patientinnen und Patienten inzwischen der bevorzugte Weg in die Praxis. Rechtlich ist sie zulässig, solange die Praxis die Regeln für Gesundheitsdaten, die Schweigepflicht und die Informationspflichten einhält. Dieser Artikel zeigt, welche Arten von Systemen es gibt, worauf es beim Datenschutz ankommt und wie Praxen eine tragfähige Auswahl treffen.

Warum Terminbuchung Gesundheitsdaten betrifft

Ein Termin wirkt zunächst wie eine organisatorische Angelegenheit. Datenschutzrechtlich ist er mehr: Wer bei einer Psychotherapeutin, einer Onkologin oder in einer Kinderwunschpraxis einen Termin bucht, gibt allein dadurch etwas über seine Gesundheit preis. Kommen Freitextfelder wie „Grund des Besuchs“ hinzu, entstehen sehr schnell Gesundheitsdaten im Sinne von Art. 9 DSGVO, die besonders geschützt sind.

Daneben gilt die ärztliche Schweigepflicht. Schon die Tatsache, dass jemand Patient einer Praxis ist, fällt darunter. Seit einer Reform des Strafgesetzbuchs dürfen Berufsgeheimnisträger externe Dienstleister einbinden, wenn das für deren Tätigkeit erforderlich ist und die Dienstleister ihrerseits zur Verschwiegenheit verpflichtet werden. Für die Praxis heißt das: Der Anbieter muss vertraglich zur Geheimhaltung verpflichtet sein, nicht nur zum Datenschutz.

Die Grundlagen zum Umgang mit Gesundheitsdaten fasst der Artikel Gesundheitsdaten und DSGVO Art. 9 zusammen.

Arten von Terminbuchungssystemen

Der Markt lässt sich grob in vier Gruppen einteilen. Die Grenzen verschwimmen, weil viele Anbieter mehrere Funktionen kombinieren.

Für gesetzlich Versicherte gibt es zusätzlich die Terminservicestellen der Kassenärztlichen Vereinigungen, die über die Rufnummer 116117 und online Termine vermitteln. Praxen melden dafür freie Termine an ihre KV. Das ersetzt kein eigenes Buchungssystem, kann aber ergänzend Kapazitäten füllen.

Konkrete Anbieter nennt diese Seite bewusst nicht. Funktionen, Preise und Datenschutzbedingungen ändern sich häufig, und eine Empfehlung ohne Prüfung der eigenen Praxisabläufe wäre wenig wert.

Datenschutz: die Pflichten der Praxis

Die Praxis bleibt in aller Regel Verantwortliche im Sinne der DSGVO, auch wenn ein Dienstleister die Technik betreibt. Daraus ergeben sich einige feste Aufgaben.

Vertrag zur Auftragsverarbeitung

Verarbeitet der Anbieter die Termindaten im Auftrag der Praxis, ist ein Vertrag nach Art. 28 DSGVO Pflicht. Er regelt, dass der Dienstleister nur nach Weisung handelt, welche technischen und organisatorischen Maßnahmen er trifft und welche Unterauftragnehmer er einsetzt. Seriöse Anbieter stellen diesen Vertrag von sich aus bereit. Fehlt er, ist das ein Ausschlusskriterium.

Anders liegt der Fall, wenn ein Portal Patientenkonten im eigenen Namen führt und die Daten auch für eigene Zwecke nutzt. Dann kann das Portal selbst Verantwortlicher sein, und die Rollen müssen in der Datenschutzerklärung entsprechend beschrieben werden.

Datenminimierung im Buchungsformular

Ein Buchungsformular sollte nur abfragen, was für den Termin wirklich nötig ist: Name, Kontaktweg, gewünschte Terminart und gegebenenfalls den Versicherungsstatus. Ein freies Feld für Beschwerden ist bequem, sammelt aber sensible Angaben, die oft gar nicht gebraucht werden. Besser sind vordefinierte Terminarten wie „Vorsorge“, „Akutsprechstunde“ oder „Kontrolltermin“.

Serverstandort und Sicherheit

Gesundheitsdaten sollten in der EU verarbeitet werden. Bei Anbietern mit Sitz oder Muttergesellschaft außerhalb der EU sind Übermittlungen in Drittländer zu prüfen. Wichtig sind außerdem Verschlüsselung bei Übertragung und Speicherung, eine Zwei-Faktor-Anmeldung für das Praxisteam, Rollen und Rechte sowie klare Löschfristen.

Für Leistungserbringer im Gesundheitswesen gibt es seit dem Digital-Gesetz eine eigene Regel zur Verarbeitung von Gesundheitsdaten in der Cloud. Sie knüpft unter anderem an ein aktuelles Testat nach dem Kriterienkatalog C5 des Bundesamts für Sicherheit in der Informationstechnik an. Ob und in welchem Umfang das für ein konkretes Buchungssystem gilt, sollte die Praxis beim Anbieter erfragen und sich die Nachweise zeigen lassen.

Information der Patienten

Die Datenschutzerklärung der Praxiswebsite muss das Buchungssystem nennen: Anbieter, verarbeitete Daten, Zwecke, Rechtsgrundlagen, Speicherdauer und gegebenenfalls Drittlandübermittlungen. Wird ein Widget eines Portals eingebettet, das beim Laden Cookies setzt oder Daten an das Portal überträgt, kann dafür eine Einwilligung nötig sein. Eine Zwei-Klick-Lösung oder ein Link auf die Buchungsseite ist dann die vorsichtigere Variante. Was sonst noch auf eine Praxiswebsite gehört, erklärt der Artikel Praxiswebsite: Pflichtangaben und Inhalte.

Erinnerungen, Wartelisten und No-Shows

Viele Systeme verschicken Terminerinnerungen per E-Mail oder SMS. Das senkt erfahrungsgemäß die Zahl versäumter Termine, ist aber ein zusätzlicher Verarbeitungszweck. Ein Hinweis bei der Buchung und eine einfache Möglichkeit, Erinnerungen abzubestellen, gehören dazu. Für SMS gilt: Der Text sollte möglichst neutral sein, etwa ohne Fachrichtung, weil Nachrichten auf dem Sperrbildschirm von Dritten gelesen werden können.

Wartelisten, über die frei werdende Termine automatisch angeboten werden, sind ein wirksames Mittel gegen Lücken im Kalender. Gegen wiederholtes Nichterscheinen setzen manche Praxen auf Ausfallhonorare. Ob das zulässig ist, hängt von den Umständen ab und ist in der Rechtsprechung nicht einheitlich geklärt. Ohne vorherige, klare Vereinbarung mit dem Patienten ist davon abzuraten.

Auswahl: so finden Praxen das passende System

Die beste Software nützt wenig, wenn sie nicht zu den Abläufen passt. Vor der Auswahl lohnt eine ehrliche Bestandsaufnahme: Welche Termine sollen online buchbar sein, welche bleiben dem Telefon vorbehalten? Neupatienten, Akutsprechstunden und Kontrolltermine haben unterschiedliche Anforderungen. Viele Praxen starten mit einem kleinen Kontingent und weiten es aus, wenn die Abläufe sitzen.

Einführung im Praxisalltag

Die Einführung gelingt am besten schrittweise. Das Team sollte vorher festlegen, wer Online-Buchungen prüft, wie mit Doppelbuchungen umgegangen wird und wann Kontingente freigegeben werden. Eine kurze Information im Wartezimmer und auf der Website hilft, dass Patienten das Angebot finden. Nach einigen Wochen lohnt ein Blick auf die Zahlen: Wie viele Termine werden online gebucht, wie viele davon nicht wahrgenommen, und hat sich die telefonische Erreichbarkeit verbessert?

Wichtig bleibt, dass das Telefon nicht ganz verschwindet. Gerade in der hausärztlichen Versorgung, bei älteren Patienten und in dringenden Fällen ist der direkte Kontakt unverzichtbar. Online-Buchung ergänzt die Erreichbarkeit, sie ersetzt sie nicht.

Online-Termine als Teil des Praxismarketings

Eine einfache Terminbuchung ist auch ein Argument bei der Arztwahl. Wer schon im Suchergebnis oder auf der Website einen freien Termin sieht, entscheidet sich schneller. Die Buchung sollte deshalb gut sichtbar auf der Startseite und im Unternehmensprofil der Praxis verlinkt sein. Zufriedene Patienten, die unkompliziert einen Termin bekommen, hinterlassen eher eine positive Rückmeldung. Wie Praxen mit Bewertungen umgehen, beschreibt der Artikel Google-Bewertungen für Arztpraxen. Den Gesamtüberblick über rechtssicheres Marketing für Heilberufe bietet der Bereich Praxismarketing.