Datenschutzerklärung für eTermin

Warum ist eTermin datenschutzrechtlich relevant?

Buchen Kunden einen Termin über eTermin ein, erheben Unternehmen von ihnen personenbezogene Daten. In der Regel handelt es sich dabei um Daten wie

• Namen,
• E-Mails und
• Telefonnummern.

Damit Unternehmen diese Daten datenschutzkonform erheben und verarbeiten, müssen sie verschiedene Pflichten der Datenschutz-Grundverordnung (DSGVO) des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG)  beachten.

So können Unternehmen eTermin datenschutzkonform nutzen

Für eine datenschutzkonforme Verwendung von eTermin macht das Gesetz diese Vorgaben:

Nutzer-Einwilligung in Cookies einholen

Unternehmen sammeln über eTermin personenbezogene Daten, wenn sie Kunden Termine eintragen lassen. Dabei ist derzeit unklar, welche Daten eTermin über Cookies erhebt und speichert. Unternehmen müssen daher die Einwilligung der User in die Datenerhebung einholen. Dafür können sie beispielsweise mit einem Cookie Consent Tool einen Cookie Banner erstellen, der datenschutzkonform das Einverständnis der Nutzer abfragt. Das Tool passt dann auch die Datenströme auf der Webseite an.

Vertrag zur Auftragsverarbeitung abschließen

Sobald Kunden ihre Daten für einen Termin in der Software eintragen, geben Unternehmen diese Daten an den hinter der Software stehenden Anbieter eTermin weiter. eTermin verarbeitet diese Daten. Unternehmen müssen mit dem Anbieter daher einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Der Vertrag muss regeln,

• welche Daten Unternehmen an eTermin weitergeben,
• wie lange eTermin diese Daten speichert,
• warum eTermin die Daten speichert und
• welche Rechte und Pflichten die Verantwortliche haben.

Unternehmen können den AV-Vertrag in ihrem eTermin-Account unter „Verwalten“ und dann unter „Datenschutz“ abschließen.

Datenschutzerklärung aktualisieren

Unternehmen müssen in ihrer Datenschutzerklärung darauf hinweisen, dass sie über eTermin personenbezogene Daten erheben, verarbeiten und an Dritte weitergeben. Dabei sollten sie in einer einfach verständlichen Sprache erklären,

• warum sie über eTermin personenbezogene Daten erheben,
• wie lange sie die personenbezogenen Daten speichern,
• welche Rechtsgrundlage das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO),
• warum sie die Daten an eTermin weitergeben,
• dass sie für die Datenweitergabe mit eTermin einen AV-Vertrag geschlossen haben und
• dass Nutzer der Datenerhebung jederzeit widersprechen können.

Um Usern einen besseren Einblick in die Datenverarbeitung zu geben, sollten Unternehmen in ihrer Datenschutzerklärung auch auf die Nutzungsbedingungen und Datenschutzbestimmungen von eTermin hinweisen.

Standardvertragsklauseln abschließen?

Der Anbieter eTermin hat seinen Sitz in der Schweiz. Die Schweiz ist kein Mitglied der EU. Damit gilt dort auch nicht die DSGVO. eTermin verfügt jedoch über einen Serverstandort in Frankfurt am Main. Das heißt: Die Daten bleiben in Deutschland. Die Schweiz gilt jedoch ohnehin als datenschutzsicheres Land. Denn: Die EU-Kommission geht davon aus, dass personenbezogene Daten dort einen adäquaten Datenschutz genießen. Unternehmen müssen daher mit eTermin keine Standardvertragsklauseln abschließen.

Rechtsprechung zu eTermin

Zu eTermin liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Für den Einsatz der Software sind jedoch diese Urteile wichtig:

Europäischer Gerichtshof zur Verwendung von Cookies

Unternehmen, die e-Termin verwenden, setzen automatisch Cookies in die Browser von Usern. Dabei könnte es sich um Tracking Cookies handeln. Diese sind einwilligungsbedürftig. Das stellte der Europäische Gerichtshof (EuGH) in einem Urteil vom 01.10.2019 fest (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Zum gleichen Schluss kam der Bundesgerichtshof (BGH) am 28.05.2020: Tracking Cookies benötigen eine Nutzer-Einwilligung. Nutzer müssen diese aktiv aussprechen. Das heißt: Unternehmen müssen ein Opt-In für die Einwilligung verwenden (I ZR 7/16).

Datenschutzbehörde Hamburg zum AV-Vertrag

Versäumen es Unternehmen, mit eTermin einen AV-Vertrag zu schließen, droht ihnen eine Strafe von bis zu 10 Millionen Euro oder von bis zu 2 Prozent ihres weltweiten Jahresumsatzes. Das ermöglicht Art. 83 Abs. 4 lit. a DSGVO. Die Hamburger Datenschutzbehörde sprach daher im Dezember 2018 ein Bußgeld gegen ein Versandunternehmen aus. Dies musste 5.000 Euro zuzüglich 250 Euro Gebühren zahlen, da es mit einem beauftragten Dienstleister keinen AV-Vertrag geschlossen hatte.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Weniger glimpflich kam der Fußballclub VfB Stuttgart davon. Dieser musste eine Strafe in Höhe von 300.000 Euro zahlen. Die Datenschutzbehörde Baden-Württemberg hatte zuvor festgestellt, dass der Verein mehrere Dienstleister zur Datenverarbeitung beauftragt hatte, ohne einen AV-Vertrag zu schließen. Das wertete die Behörde als schweren DSGVO-Verstoß.