Was macht eTermin?
eTermin ist ein Online-Terminplaner, mit dem Unternehmen ihre Kunden online Termine einbuchen lassen können. Das Tool kann dabei automatisch Terminerinnerungen per SMS oder E-Mail verschicken. Handelt es sich um eine kostenpflichtige Dienstleistung, können Unternehmen über eTermin eine Bezahlmöglichkeit in den Buchungsprozess einbinden. Zu den Kunden des Anbieters zählen unter anderem Fitnessstudios, Arztpraxen, Beratungsunternehmen und Restaurants. Was müssen Unternehmen datenschutzrechtlich beachten, wenn sie eTermin verwenden?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellenWarum ist eTermin datenschutzrechtlich relevant?
Buchen Kunden einen Termin über eTermin ein, erheben Unternehmen von ihnen personenbezogene Daten. In der Regel handelt es sich dabei um Daten wie
- Namen,
- E-Mails und
- Telefonnummern.
Damit Unternehmen diese Daten datenschutzkonform erheben und verarbeiten, müssen sie verschiedene Pflichten der Datenschutz-Grundverordnung (DSGVO) des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) beachten.
So können Unternehmen eTermin datenschutzkonform nutzen
Für eine datenschutzkonforme Verwendung von eTermin macht das Gesetz diese Vorgaben:
Nutzer-Einwilligung in Cookies einholen
Unternehmen sammeln über eTermin personenbezogene Daten, wenn sie Kunden Termine eintragen lassen. Dabei ist derzeit unklar, welche Daten eTermin über Cookies erhebt und speichert. Unternehmen müssen daher die Einwilligung der User in die Datenerhebung einholen. Dafür können sie beispielsweise mit einem Cookie Consent Tool einen Cookie Banner erstellen, der datenschutzkonform das Einverständnis der Nutzer abfragt. Das Tool passt dann auch die Datenströme auf der Webseite an.
Vertrag zur Auftragsverarbeitung abschließen
Sobald Kunden ihre Daten für einen Termin in der Software eintragen, geben Unternehmen diese Daten an den hinter der Software stehenden Anbieter eTermin weiter. eTermin verarbeitet diese Daten. Unternehmen müssen mit dem Anbieter daher einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Der Vertrag muss regeln,
- welche Daten Unternehmen an eTermin weitergeben,
- wie lange eTermin diese Daten speichert,
- warum eTermin die Daten speichert und
- welche Rechte und Pflichten die Verantwortliche haben.
Unternehmen können den AV-Vertrag in ihrem eTermin-Account unter „Verwalten“ und dann unter „Datenschutz“ abschließen.
Datenschutzerklärung aktualisieren
Unternehmen müssen in ihrer Datenschutzerklärung darauf hinweisen, dass sie über eTermin personenbezogene Daten erheben, verarbeiten und an Dritte weitergeben. Dabei sollten sie in einer einfach verständlichen Sprache erklären,
- warum sie über eTermin personenbezogene Daten erheben,
- wie lange sie die personenbezogenen Daten speichern,
- welche Rechtsgrundlage das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO),
- warum sie die Daten an eTermin weitergeben,
- dass sie für die Datenweitergabe mit eTermin einen AV-Vertrag geschlossen haben und
- dass Nutzer der Datenerhebung jederzeit widersprechen können.
Um Usern einen besseren Einblick in die Datenverarbeitung zu geben, sollten Unternehmen in ihrer Datenschutzerklärung auch auf die Nutzungsbedingungen und Datenschutzbestimmungen von eTermin hinweisen.
Standardvertragsklauseln abschließen?
Der Anbieter eTermin hat seinen Sitz in der Schweiz. Die Schweiz ist kein Mitglied der EU. Damit gilt dort auch nicht die DSGVO. eTermin verfügt jedoch über einen Serverstandort in Frankfurt am Main. Das heißt: Die Daten bleiben in Deutschland. Die Schweiz gilt jedoch ohnehin als datenschutzsicheres Land. Denn: Die EU-Kommission geht davon aus, dass personenbezogene Daten dort einen adäquaten Datenschutz genießen. Unternehmen müssen daher mit eTermin keine Standardvertragsklauseln abschließen.
Rechtsprechung zu eTermin
Zu eTermin liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Für den Einsatz der Software sind jedoch diese Urteile wichtig:
Europäischer Gerichtshof zur Verwendung von Cookies
Unternehmen, die e-Termin verwenden, setzen automatisch Cookies in die Browser von Usern. Dabei könnte es sich um Tracking Cookies handeln. Diese sind einwilligungsbedürftig. Das stellte der Europäische Gerichtshof (EuGH) in einem Urteil vom 01.10.2019 fest (Az. C-673/17).
Bundesgerichtshof zur Verwendung von Cookies
Zum gleichen Schluss kam der Bundesgerichtshof (BGH) am 28.05.2020: Tracking Cookies benötigen eine Nutzer-Einwilligung. Nutzer müssen diese aktiv aussprechen. Das heißt: Unternehmen müssen ein Opt-In für die Einwilligung verwenden (I ZR 7/16).
Datenschutzbehörde Hamburg zum AV-Vertrag
Versäumen es Unternehmen, mit eTermin einen AV-Vertrag zu schließen, droht ihnen eine Strafe von bis zu 10 Millionen Euro oder von bis zu 2 Prozent ihres weltweiten Jahresumsatzes. Das ermöglicht Art. 83 Abs. 4 lit. a DSGVO. Die Hamburger Datenschutzbehörde sprach daher im Dezember 2018 ein Bußgeld gegen ein Versandunternehmen aus. Dies musste 5.000 Euro zuzüglich 250 Euro Gebühren zahlen, da es mit einem beauftragten Dienstleister keinen AV-Vertrag geschlossen hatte.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Weniger glimpflich kam der Fußballclub VfB Stuttgart davon. Dieser musste eine Strafe in Höhe von 300.000 Euro zahlen. Die Datenschutzbehörde Baden-Württemberg hatte zuvor festgestellt, dass der Verein mehrere Dienstleister zur Datenverarbeitung beauftragt hatte, ohne einen AV-Vertrag zu schließen. Das wertete die Behörde als schweren DSGVO-Verstoß.
