Ein Verarbeitungsverzeichnis (VVT) für eine Therapiepraxis beschreibt, zu welchen Zwecken personenbezogene Daten verarbeitet werden. Für die Terminverwaltung heißt die Tätigkeit zum Beispiel „Behandlungstermine vereinbaren und verwalten“. Ein gut lesbarer Eintrag macht diesen Zweck und die dazugehörigen Datenwege erkennbar; eine bloße Liste eingesetzter Programme zeigt den Ablauf nicht.
easymed führt Onlinebuchungen direkt in den gemeinsamen Praxiskalender; dort bearbeitet das Team auch Terminänderungen. Die Patientenakte hält Dokumente und Verlaufsnotizen zur jeweiligen Person bereit. Für das VVT beschreiben Sie den Terminweg und seinen Datenumfang. Die Behandlungsdokumentation bleibt mit ihrem eigenen Zweck erkennbar.
Das Beispiel T-01 begleitet diesen Beitrag: Eine Patientin fragt telefonisch oder online einen freien Termin an, erhält eine Vereinbarung und kann den Termin später ändern oder absagen. An diesem Ablauf lässt sich nachvollziehen, welche Angaben in den Eintrag gehören und wo Sie aktuelle Dienstunterlagen zuordnen.
Terminverwaltung als Tätigkeit beschreiben
Der Zweck von T-01 lautet: Behandlungstermine vereinbaren und verwalten. Dazu gehören Anfragen, das Zuordnen einer freien Zeit sowie spätere Änderungen und Absagen. Die Datenschutzkonferenz empfiehlt, die Tätigkeit ausgehend vom Verarbeitungszweck zu benennen; ein neuer Zweck wird als eigene Verarbeitungstätigkeit beschrieben (Hinweise der DSK zum Verzeichnis).
Für den VVT zählen die tatsächlichen Wege: Online-Buchung und Telefonanfrage führen in den gemeinsamen Kalender. Dort werden freie Zeiten zugeordnet, Buchungen bestätigt sowie Terminänderungen und Absagen bearbeitet. Beschreiben Sie die Wege zusammen, solange sie denselben Zweck erfüllen; ein neuer Verarbeitungszweck erhält eine eigene Tätigkeitsbeschreibung.
Artikel 30 Absatz 1 DSGVO nennt für den Eintrag unter anderem den Zweck, betroffene Personengruppen, Datenkategorien, Empfängerkategorien, gegebenenfalls Drittlandübermittlungen, wenn möglich Löschfristen sowie eine allgemeine Beschreibung technischer und organisatorischer Maßnahmen. Das Muster der Datenschutzkonferenz ordnet diese Punkte als Felder des Tätigkeitsblatts.
Kleine Praxis: Ausnahme nach Art. 30 Abs. 5 prüfen
Für Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten nennt Artikel 30 Absatz 5 eine Ausnahme, sofern die dort aufgeführten Auslöser nicht vorliegen. Die Ausnahme entfällt unter anderem, wenn eine Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Artikel 9 umfasst (Wortlaut von Artikel 30 DSGVO).
Der DSK-Hinweis beschreibt nicht nur gelegentliche Verarbeitung als fortlaufend, wiederholt oder in bestimmten Abständen auftretend. Die Terminverwaltung einer laufenden Therapiepraxis ist wiederkehrend. Eine Praxis unter 250 Beschäftigten kann daher regelmäßige Terminabläufe nicht allein wegen ihrer Größe aus dem VVT ausnehmen. Behandlungsdaten sind zusätzlich als besondere Kategorie zu erfassen, wenn sie im jeweiligen Ablauf verarbeitet werden.
Verantwortliche und Unterlagen zuordnen
Das Vorblatt des DSK-Musters erfasst Namen und Kontaktdaten der verantwortlichen Praxis sowie – falls einschlägig – gemeinsam Verantwortliche, einen Vertreter und den Datenschutzbeauftragten. Im T-01 ergänzen Sie die interne zuständige Stelle und einen erreichbaren Ansprechpartner, etwa die Praxisleitung.
Führen Sie die Version des Tätigkeitsblatts und das Datum seiner letzten Änderung als interne Orientierung. Wird die Buchung um einen Kontaktweg ergänzt, können Sie beim T-01 nachsehen, wer die Angaben pflegt und auf welche Unterlagen sie sich beziehen.
Verweisen Sie auf bestehende Dienstunterlagen, statt alle Vertrags- und Sicherheitsdetails in den Eintrag zu kopieren. Die Datenschutzkonferenz empfiehlt solche Referenzen, um Wiederholungen in der Dokumentation zu vermeiden.
Personen und Datenkategorien getrennt benennen
Die Personengruppe benennt, wer betroffen ist; die Datenkategorie beschreibt die Art der Angabe. Die Datenschutzkonferenz empfiehlt, besondere Kategorien nach Artikel 9 gesondert zu beschreiben. Sie können diese Angaben im selben T-01 aufführen, wenn der konkrete Ablauf sie umfasst.
Im Beispiel T-01 sind Patienten und Personen mit Terminwunsch die betroffenen Gruppen. Name und Rückrufnummer dienen Zuordnung und Kontakt; Terminwunsch, bestätigte Uhrzeit und Änderung sind Termindaten. Enthält eine Anfrage ein konkretes Behandlungsanliegen, führen Sie diese tatsächlich verarbeiteten Gesundheitsangaben als eigene besondere Datenkategorie auf.
Wer ist betroffen?
Patienten und Personen mit Terminwunsch
Welche Daten werden genutzt?
- Kontakt
- Name und Rückrufnummer
- Termin
- Wunsch, bestätigte Uhrzeit, Änderung
Konkrete Behandlungsanliegen in Anfragen: Gesundheitsangaben gesondert als besondere Datenkategorie aufführen.
Prüfen Sie Buchungsformular, Telefonleitfaden und Nachrichtentexte: Wird dort nach einem konkreten Behandlungsanliegen gefragt, kann die Antwort Gesundheitsangaben enthalten. Beschreiben Sie, was der Terminweg tatsächlich erfasst; Verlaufsnotizen und Befunde gehören zur Behandlungsdokumentation mit eigenem Zweck.
Empfänger und eingesetzte Dienste erfassen
Artikel 30 nennt die Kategorien von Empfängern, denen personenbezogene Daten offengelegt werden. Erfassen Sie deshalb die tatsächlichen externen Empfänger eines Buchungs- oder Nachrichtenwegs; der Name einer Anwendung allein verrät noch nicht, wer Daten erhält.
Die DSK empfiehlt zusätzlich, intern Zugriffsberechtigte nach Rolle oder Funktion zu beschreiben, ohne Namen aufzuführen. Trennen Sie daher im Tätigkeitsblatt den Empfang als interne Zugriffsfunktion von einem externen E-Mail- oder Buchungsdienst als Empfängerkategorie.
Prüfen Sie den tatsächlichen Kontaktweg und die aktuellen Dienstunterlagen. Ein Drittlandbezug lässt sich weder aus dem Namen des Produkts noch aus der Sprache der Oberfläche ableiten. Artikel 30 nennt gegebenenfalls das Zielland sowie passende Angaben zu Garantien; die DSK weist außerdem darauf hin, Hosting und Supportwege in die Prüfung einzubeziehen.
Löschregeln und Schutzmaßnahmen verknüpfen
Artikel 30 nennt, wenn möglich, vorgesehene Löschfristen für verschiedene Datenkategorien und eine allgemeine Beschreibung technischer und organisatorischer Maßnahmen. Ordnen Sie jede Regel dem jeweiligen Zweck und den betroffenen Angaben zu, statt eine gemeinsame Frist für alle Termindaten anzunehmen.
Eine offene Rückrufbitte, eine bestätigte Buchung und eine Behandlungsdokumentation können unterschiedlichen Regeln folgen. Halten Sie im Tätigkeitsblatt fest, auf welche Datenkategorie sich die vorhandene Löschregel bezieht und wo die ausführliche Unterlage liegt. Die DSK empfiehlt, die Regeln für unterschiedliche Datenkategorien eindeutig zuzuordnen.
easymed bietet Rechte je Mitarbeiter, mit denen die Praxis festlegt, wer welche Bereiche sehen oder bearbeiten darf. Beschreiben Sie im T-01 die tatsächlich vergebenen Zugriffe, etwa welche Rolle den Kalender bearbeitet. So passt die allgemeine Maßnahmenbeschreibung zu den Aufgaben und Daten im Eintrag.
Wenn ein ausführliches Sicherheits- oder Löschkonzept existiert, verweisen Sie darauf mit eindeutiger Bezeichnung. Das VVT zeigt den Bezug; die vollständige Regel bleibt in der jeweiligen Unterlage auffindbar.
Einen neuen Kontaktweg nachführen
Nimmt etwa ein E-Mail- oder Nachrichtendienst Terminwünsche oder Bestätigungen entgegen, prüfen Sie den tatsächlich übermittelten Inhalt, die Empfängerkategorie und die Unterlagen zu Hosting oder Support. Klären Sie anhand dieser Dienstinformationen, ob ein Drittlandbezug vorliegt.
Ergänzen Sie T-01 dort, wo sich der Ablauf ändert: betroffene Datenkategorien, Empfänger, einschlägige Drittlandangaben, Löschfristen und Schutzmaßnahmen. Bei einem Bestätigungsdienst gehört zum Beispiel der übermittelte Termininhalt in die Datenbeschreibung; eine leere technische Produktliste reicht dafür nicht.
Ein klar benannter Verweis auf Auftragsverarbeitungsvertrag, Anbieterinformationen und interne Löschregel hält die Fakten auffindbar. So bleibt der Zweck „Termine vereinbaren und verwalten“ im Eintrag sichtbar, auch wenn die Praxis einen Kontaktweg später ergänzt.
Beginnen Sie mit dem DSK-Muster für Verantwortliche und gleichen Sie jeden Eintrag mit dem Wortlaut von Artikel 30 DSGVO ab. Für den tatsächlichen Buchungsweg können Sie zusätzlich die easymed-Online-Terminbuchung für Therapeuten und den dazugehörigen gemeinsamen Praxiskalender heranziehen.
