Bei Software für Arzt- und Therapiepraxen liegt ein Denkfehler nahe: mehr Datenfelder wirken auf den ersten Blick nützlicher. Für eine reine Terminverwaltung ist das genau falsch herum. Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung — es dürfen nur die Daten verarbeitet werden, die für den konkreten Zweck tatsächlich notwendig sind. Für die Organisation eines Termins ist das erstaunlich wenig.
Ein vollwertiges Praxisverwaltungssystem (PVS) verarbeitet zwangsläufig Gesundheitsdaten — Diagnosen, Behandlungsverläufe, Medikation. Das ist eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO mit entsprechend hohen Anforderungen an Rechtsgrundlage, Zugriffsschutz und Löschfristen. Eine reine Terminverwaltung braucht davon nichts. Für die Frage "Wer hat wann bei wem einen Termin?" reichen Name, Kontaktmöglichkeit und eine Einwilligung — mehr nicht.
Was bewusst fehlt: keine Diagnosen, keine Behandlungsnotizen, keine Krankengeschichte. Diese Trennung ist kein Kompromiss zulasten der Funktion — sie ist der Grund, warum eine reine Terminverwaltung mit einem deutlich schlankeren Datenschutz-Fußabdruck auskommt als ein volles PVS.
Weniger gespeicherte Daten bedeuten weniger Angriffsfläche bei einem Sicherheitsvorfall, eine kürzere Auskunfts- und Löschpflicht nach Art. 15 und 17 DSGVO, und eine einfachere Auftragsverarbeitungsvereinbarung mit dem Software-Anbieter — weil gar nicht erst über Gesundheitsdaten verhandelt werden muss, die im System nie anfallen. Datenminimierung ist hier kein Zusatzaufwand für die Compliance-Akte, sondern eine Vereinfachung, die sich durch das ganze System zieht.
Ein weiterer Datenschutz-relevanter Punkt: Muss eine Patientin oder ein Patient überhaupt ein dauerhaftes Konto anlegen, nur um einen Termin zu verschieben? In der Regel nicht. Ein signierter, zeitlich begrenzter Link in der Bestätigungs-E-Mail reicht, um genau diesen einen Termin selbstständig zu verwalten — ohne Passwort, ohne dauerhaft gespeichertes Nutzerkonto. Wer trotzdem alle eigenen Termine an einem Ort sehen möchte, kann sich optional per Magic-Link anmelden, ganz ohne Passwort.
Diese Trennung ist bei unserem eigenen Produkt MedBook eine bewusste Design-Entscheidung, keine nachträgliche Einschränkung: MedBook verarbeitet ausschließlich Terminorganisation — Name, E-Mail, Telefonnummer und einen dokumentierten Einwilligungs-Zeitstempel — und explizit keine Krankengeschichte. Für den Zugriff auf den eigenen Termin genügt ein signierter Link, für die Übersicht aller eigenen Termine ein passwortloser Magic-Link. Mehr zum Produkt auf der MedBook-Produktseite.
Datenminimierung ist bei einer Terminverwaltung kein Nice-to-have, sondern der naheliegende Zuschnitt: Ein System, das nur speichert, was für die Terminorganisation tatsächlich gebraucht wird, ist gleichzeitig einfacher zu betreiben, einfacher rechtlich zu bewerten und für Patient:innen einfacher zu vertrauen.