Wie viele Klicks braucht ein einziges Terminbuchungstool, bis es wirklich DSGVO-konform auf einer Website landet? Diese Frage hat mich länger beschäftigt, als mir lieb war, seit ich als Solopreneur beschlossen hatte, Kennenlerngespräche nicht mehr per E-Mail-Ping-Pong, sondern über ein Buchungswidget zu organisieren. Für diesen Eintrag in meinem Datenschutz-Tagebuch habe ich mir genau angeschaut, welche Schritte zwischen „Tool installieren" und „Tool ist wirklich rechtssicher eingebunden" liegen – und warum die Antwort komplizierter ist, als jede Anleitung eines Tool-Anbieters glauben machen will.
Welches Terminbuchungstool ist überhaupt DSGVO-konform?
Bevor ich mich für einen Anbieter entschied, schickte mir Birgit Tönnis, eine befreundete Webdesignerin aus der Leipziger Freelancer-Szene, kommentarlos einen Link zu einem Vergleich verschiedener Terminbuchungstools – so wie sie es immer macht, in der festen Erwartung, dass ich mir den Rest selbst zusammenreime. Genau das musste ich dann auch: mir ansehen, was hinter der Oberfläche passiert, sobald jemand den Kalender öffnet. Steht der Server in der EU, oder baut das Widget beim Laden sofort eine Verbindung in ein Drittland auf? Diese Frage steckt im Kern der Datenschutz-Grundverordnung (DSGVO), sobald ein Tool per iFrame eingebettet wird: Die IP-Adresse der Besucherin wandert unter Umständen schon, bevor überhaupt ein Klick stattgefunden hat.
Genau deshalb gehört ein Auftragsverarbeitungsvertrag für mich inzwischen zur Grundausstattung jeder Tool-Einführung: Bevor der Kalender live ging, hatte ich geklärt, warum ich als Solopreneur für jedes Tool einen AV Vertrag brauche, und dabei gezielt auf Serverstandort und eingesetzte Unterauftragnehmer geachtet.
Der Unterschied zwischen iFrame und Zwei-Klick-Lösung
Ein direkt eingebetteter iFrame wirkt auf den ersten Blick nach der bequemsten Lösung, weil das Buchungstool ja komplett „woanders" läuft. In der Praxis ist er oft die riskantere Variante, weil die Verbindung zum Anbieter-Server sofort beim Seitenaufruf steht, unabhängig davon, ob die Besucherin überhaupt eine Buchung vorhat. Eine direkte API-Anbindung dagegen lässt sich so steuern, dass sie erst nach einer aktiven Handlung Kontakt zum Server aufnimmt. Es ist ein Unterschied, der sich anfühlt wie der zwischen einer offenen Bürotür und einer, die erst nach Klingeln aufgeht.
Diese Unterscheidung hätte mir früher einiges an Nacharbeit erspart. Bei einem meiner ersten Projekte hatte ich mich auf ein kostenloses Impressum-Generator-Tool aus dem Jahr 2019 verlassen, weil es schnell und gratis war – die Vorlage war so veraltet, dass ich hinterher jeden Satz einzeln gegen aktuelle Vorgaben prüfen musste. Seitdem teste ich jedes neue Tool erst in einer separaten Testumgebung, bevor es überhaupt in die Nähe der echten Website kommt.
Beim Terminbuchungstool habe ich mich am Ende für das sogenannte Zwei-Klick-Verfahren entschieden: Statt den Kalender sofort zu laden, zeigt die Seite erst ein Vorschaubild mit einem Hinweistext, dass mit dem nächsten Klick Daten an den Anbieter übertragen werden. Das kannte ich schon von anderen Dingen, zum Beispiel als ich lernte, wie ich einen Instagram Feed DSGVO konform ohne Tracking eingebunden habe – das gleiche Prinzip gilt genauso für eingebettete Videos oder andere Drittanbieter-Inhalte: erst der bewusste Klick, dann die Verbindung nach draußen.
Cookie-Consent richtig einstellen, bevor der Kalender lädt
Mein Cookie-Banner blockierte anfangs großzügig alles, auch nach dem Klick auf das Vorschaubild – die Einstellungen mussten so verfeinert werden, dass die Einwilligung für genau dieses eine Tool separat abgefragt und gespeichert wird, statt alles unter einer pauschalen Kategorie zu verstecken.
An meinem Laminatschreibtisch vor dem hohen Altbaufenster habe ich an manchen Nachmittagen gefühlt jede einzelne Kategorie im Consent-Tool einzeln durchgeklickt, während der zweite, ältere Monitor rechts von mir ein Dutzend offener Tabs mit Anbieter-Dokumentation stapelte. Wenn mir dabei die Gedanken ausgingen, half meistens nur ein kurzer Spaziergang die Karl-Liebknecht-Straße runter und wieder zurück.
Dass das Buchungstool im Hintergrund auch gleich Google Fonts nachladen wollte, ist mir erst beim zweiten Blick in die Netzwerk-Analyse aufgefallen – seitdem binde ich Schriften grundsätzlich lokal ein, statt sie bei jedem neuen Tool erneut von einem fremden Server laden zu lassen.
Nach der ersten Buchung ging die eigentliche Arbeit erst los
Mit dem Tool allein war es nicht getan: Die Datenschutzerklärung musste den neuen Anbieter als weitere verarbeitende Stelle nennen, sonst wäre die schönste Zwei-Klick-Lösung nur halb dokumentiert.
Als die Bestätigungsmail nach der ersten Testbuchung in meinem Postfach lag, war die Erleichterung fast identisch mit dem Moment, in dem die allererste Bestätigung meines Newsletter-Double-Opt-ins ankam: der stille Beweis, dass ein Prozess, den man vorher nur auf dem Papier durchdacht hatte, im echten Betrieb tatsächlich greift.
Nebenbei musste auch das Impressum einmal kurz überarbeitet werden, weil der neue Diensteanbieter dort mit aufgeführt gehört. In meinen eigenen AGB als Texterin habe ich außerdem ergänzt, wie und bis wann sich ein über das Tool gebuchter Termin wieder absagen lässt.
Was ich beim nächsten Tool schneller prüfen würde
Ganz allgemein hilft es, sich bei jedem neuen Tool kurz zu fragen, wer welche Daten zu welchem Zweck verarbeitet und auf welcher Grundlage laut DSGVO – die Details dazu gehören in eine eigene Checkliste, aber die Grundfrage stelle ich mir inzwischen automatisch, bevor irgendein Embed-Code auf der Website landet.
Wenn ich heute ein neues Tool prüfe, gehe ich eine feste Reihenfolge im Kopf durch, bevor ich einen einzigen Embed-Code einfüge: erst der Blick auf Serverstandort und Unterauftragnehmer, dann der Auftragsverarbeitungsvertrag, danach die Frage, ob sich die Verbindung hinter einem bewussten Klick verstecken lässt, und erst ganz zum Schluss die Anpassung von Datenschutzerklärung und Cookie-Consent. Diese Reihenfolge ist inzwischen mein persönlicher Testlauf für jedes neue Tool, egal ob Kalender, Formular oder Zahlungsdienst.
Kein Tool ist automatisch sauber, nur weil der Anbieter das Wort DSGVO-konform ins Marketing schreibt – geprüft wird trotzdem jedes Mal von vorn, und genau darüber schreibe ich in diesem Tagebuch, damit andere Solopreneurinnen sich nicht jeden Schritt selbst neu erarbeiten müssen.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.