Datenschutz bei Online-Buchungen für Kursanbieter

Wer Kurse anbietet und Anmeldungen online entgegennimmt, verarbeitet personenbezogene Daten: Namen, E-Mail-Adressen, Buchungen und häufig auch Zahlungsinformationen. Ob Sprachschule, Akademie oder Unternehmen mit internen Schulungen – Datenschutz gehört deshalb zum normalen Buchungsprozess.

Die Aufgabe lässt sich pragmatisch angehen. Entscheidend sind verständliche Informationen, sparsame Formulare, klare Zugriffsrechte und nachvollziehbare Abläufe. Dieser Beitrag zeigt, worauf Kursanbieter in Deutschland, Österreich und der Schweiz achten sollten und wie ein Buchungssystem die Umsetzung unterstützen kann.

Das Wichtigste in Kürze

• Erheben Sie nur Daten, die Sie für einen klar definierten Zweck benötigen.
• Gesundheitsangaben und Daten von Kindern verlangen besondere Aufmerksamkeit.
• Ein datenschutzbewusst gestaltetes Buchungssystem unterstützt Ihre Arbeit; die Verantwortung für Ihre Prozesse bleibt bei Ihnen.
• Regeln Sie Auftragsverarbeitung, Zugriffsrechte sowie Aufbewahrung und Löschung.
• Prüfen Sie bei Cloud-Diensten auch die beteiligten Dienstleister und mögliche Datenübermittlungen ins Ausland.

Welche Regeln gelten im DACH-Raum?

Die grundlegenden Ziele sind ähnlich: Personendaten sollen zweckgebunden, transparent, sparsam und sicher verarbeitet werden. Die EU-Datenschutz-Grundverordnung und das Schweizer Datenschutzgesetz bleiben dennoch eigenständige Regelwerke.

Deutschland und Österreich

Für Kursanbieter in Deutschland und Österreich ist die Datenschutz-Grundverordnung (DSGVO) zentral. Ergänzend gelten nationale Regelungen, darunter das Bundesdatenschutzgesetz in Deutschland und das Datenschutzgesetz in Österreich.

Für die zur Buchung notwendigen Daten kann die Vertragserfüllung die passende Rechtsgrundlage sein. Das bedeutet jedoch nicht, dass jede zusätzliche Nutzung automatisch erlaubt ist. Newsletter, Fotos oder besonders geschützte Daten müssen gesondert betrachtet werden.

Schweiz und grenzüberschreitende Angebote

In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (DSG). Auch hier sind angemessene Sicherheitsmassnahmen, verständliche Informationen und eine kontrollierte Bearbeitung der Daten wichtig.

Bei grenzüberschreitenden Angeboten kann zusätzlich die DSGVO relevant sein. Entscheidend sind unter anderem Ihre Niederlassung und die Ausrichtung Ihres Angebots. Auch ein Schweizer Anbieter kann darunterfallen, wenn er gezielt Personen in der EU anspricht. Allein die Staatsangehörigkeit einer teilnehmenden Person beantwortet diese Frage nicht.

Ein Beispiel aus dem Buchungsalltag

Stellen Sie sich folgende Situation vor: Ein Bildungsinstitut fragt im Anmeldeformular neben Name, E-Mail-Adresse und Kurswahl auch Allergien für das Catering und Notfallkontakte bei Kinderkursen ab. Anschliessend wird eine gemeinsame Excel-Liste an sämtliche Kursleitenden versandt.

Das Problem entsteht bereits bei der Verteilung: Nicht jede Person benötigt alle Angaben. Eine Kursleitung braucht vielleicht die Teilnahmeliste, aber keine Rechnungsdetails. Gesundheitsangaben sollten nur den Personen zugänglich sein, die sie für den festgelegten Zweck tatsächlich benötigen.

Dieses veranschaulichende Beispiel zeigt, warum Datenschutz mehr als ein Formularhinweis ist. Datenerhebung, Weitergabe, Zugriffe und Löschung müssen zusammenpassen.

Wo entstehen Risiken bei Online-Buchungen?

Zu viele Felder ohne klaren Zweck

Anmeldeformulare wachsen oft mit neuen organisatorischen Wünschen. Prüfen Sie deshalb jedes Feld: Wozu benötigen wir diese Angabe? Müssen wir sie wirklich bei jeder Buchung erfassen? Ein Feld ohne nachvollziehbaren Zweck sollte entfallen. Auch eine freiwillige Angabe braucht einen zulässigen Verwendungszweck.

• Externe Kursanbieter: Ein Geburtsdatum kann bei einem altersabhängigen Angebot erforderlich sein. Eine Adresse kann beispielsweise für eine gesetzlich erforderliche Rechnung oder für den Postversand benötigt werden.
• Interne Schulungen: Abteilung, Funktion und Kompetenznachweise können für die Organisation wichtig sein. Legen Sie fest, wer diese Informationen für seine Aufgabe sehen muss.
• Kinderkurse: Beschränken Sie Angaben zu Kindern und Kontaktpersonen auf das, was für den jeweiligen Kurs und die Betreuung erforderlich ist.

Gesundheitsangaben und Daten von Kindern

Allergien oder körperliche Einschränkungen können Gesundheitsdaten sein. Für solche Angaben gelten zusätzliche Anforderungen; eine gewöhnliche Buchungsrechtsgrundlage allein genügt unter der DSGVO nicht automatisch.

Daten von Kindern verdienen ebenfalls besondere Sorgfalt. Sie gehören allerdings nicht allein aufgrund des Alters zu den besonderen Datenkategorien der DSGVO. Überlegen Sie bei jeder Angabe, wer sie benötigt, wie sie geschützt wird und wann sie wieder gelöscht werden kann.

Auch Zahlungsdaten, Prüfungsergebnisse und persönliche Support-Notizen sollten nur für zuständige Personen zugänglich sein. Eine gemeinsame Liste mit sämtlichen Informationen ist dafür häufig zu weit gefasst.

Zu breite Zugriffsrechte

Geteilte Passwörter, nicht deaktivierte Zugänge ehemaliger Mitarbeitender und unkontrolliert versandte Teilnehmerlisten erschweren den Datenschutz. Rollen helfen dabei, die Daten nach Aufgaben zugänglich zu machen.

• Kursleitende erhalten die für die Kursdurchführung nötigen Informationen.
• Die Buchhaltung erhält Zugriff auf die benötigten Rechnungs- und Zahlungsdaten.
• HR-Verantwortliche sehen erforderliche Schulungsnachweise, ohne automatisch sämtliche Kommunikationsverläufe zu erhalten.

Überprüfen Sie die Berechtigungen regelmässig und passen Sie sie bei Aufgabenwechseln oder Austritten an.

Cloud-Dienste und Datenübermittlungen ins Ausland

Prüfen Sie, wo Ihr Buchungssystem Daten verarbeitet und welche weiteren Dienstleister beteiligt sind. Dazu können beispielsweise Zahlungs- oder Kommunikationsdienste gehören. Der Sitz des Anbieters allein beschreibt noch nicht den gesamten Datenfluss.

Für Übermittlungen ins Ausland gelten je nach anwendbarem Recht zusätzliche Anforderungen. Ein angemessenes Datenschutzniveau oder geeignete Garantien können dabei entscheidend sein. Eine Datenhaltung in der Schweiz oder der EU ersetzt die Prüfung der tatsächlich eingesetzten Dienste nicht.

Ihre Checkliste für datenschutzbewusste Buchungsprozesse

1. Verständlich informieren: Erklären Sie, welche Daten Sie erheben, wozu Sie sie verwenden, wer sie erhält und nach welchen Kriterien sie aufbewahrt werden. Die Informationen sollten vor der Buchung leicht auffindbar sein.
2. Auftragsverarbeitung regeln: Wenn ein Dienstleister Daten in Ihrem Auftrag verarbeitet, müssen die Anforderungen an die Auftragsverarbeitung beziehungsweise Auftragsbearbeitung vertraglich geregelt sein. Der Vertrag zur Auftragsverarbeitung (AVV) regelt dieses Verhältnis; er ersetzt nicht die Prüfung, ob Ihre eigene Verarbeitung zulässig ist.
3. Formulare prüfen: Dokumentieren Sie den Zweck jedes Feldes. Entfernen Sie unnötige Angaben und prüfen Sie Gesundheitsinformationen oder Daten von Kindern besonders sorgfältig.
4. Rollen festlegen: Vergeben Sie persönliche Zugänge und beschränken Sie Berechtigungen auf die jeweilige Aufgabe. Legen Sie auch fest, wer Daten exportieren oder weitergeben darf.
5. Aufbewahrung und Löschung planen: Unterscheiden Sie zwischen Rechnungsunterlagen, Teilnehmerdaten und kurzzeitig benötigten Zusatzangaben. Definieren Sie, wer die Fristen überprüft und die Löschung umsetzt.
6. Technische und organisatorische Massnahmen umsetzen: Dazu gehören starke Passwörter, Zwei-Faktor-Authentifizierung, überprüfbare Zugriffe sowie Backups mit getesteter Wiederherstellung. Vermeiden Sie unkontrollierte Exporte auf private Geräte.

Aufbewahren heisst nicht alles gleich lange speichern

Für Rechnungen und Geschäftsunterlagen gelten gesetzliche Fristen. Rechnungen sind in Deutschland grundsätzlich acht Jahre aufzubewahren. In Österreich gilt grundsätzlich eine siebenjährige Aufbewahrungspflicht für die entsprechenden Buchhaltungsunterlagen; in der Schweiz sind es bei Geschäftsbüchern und Buchungsbelegen grundsätzlich zehn Jahre. Je nach Unterlage und Sonderfall können andere oder längere Fristen gelten.

Diese Vorgaben sind kein Grund, sämtliche Zusatzinformationen genauso lange zu behalten. Bei Allergieangaben oder Notfallkontakten ist zu prüfen, ob der Zweck nach dem Kurs entfällt. Für Teilnehmerdaten sollte ebenfalls feststehen, wann sie noch benötigt werden und wann eine Löschung erfolgen kann.

Häufige Irrtümer im Alltag

• «Ein Cookie-Banner reicht.» Ein Banner löst nicht die Fragen rund um Buchungsdaten, Auftragsverarbeitung, Berechtigungen und Löschung.
• «Das Tool ist konform, also ist unser Prozess automatisch korrekt.» Die Software kann unterstützen. Ihre Formulare, Einstellungen und internen Abläufe bleiben entscheidend.
• «Für jede Buchung ist eine Einwilligung nötig.» Für notwendige Buchungsdaten kommt häufig die Vertragserfüllung infrage. Zusätzliche Zwecke müssen separat geprüft werden.
• «Datenschutz betrifft nur grosse Organisationen.» Auch kleine Schulen und Akademien verarbeiten personenbezogene Daten und müssen ihre Abläufe entsprechend gestalten.

Wie edoobox Ihre Umsetzung unterstützt

Ein zentrales Buchungssystem kann helfen, Teilnehmerdaten, Buchungen, Zahlungen und Kommunikation geordnet zu verwalten. In edoobox unterstützen Rollen und automatisierte Abläufe die Organisation. Welche Angaben Sie abfragen und welche Personen darauf zugreifen dürfen, muss zu Ihrem Angebot passen.

Das primäre Plattform-Hosting von edoobox befindet sich in Zürich. Einzelne Auftragsverarbeiter können Daten im Ausland bearbeiten. Die aktuellen Informationen zur Datenverarbeitung und zu den Vereinbarungen finden Sie auf der Seite Datenschutz und Konformität bei edoobox sowie in der Datenschutzerklärung.

Die technische Grundlage entbindet Kursanbieter nicht von ihrer Verantwortung. Sie erleichtert aber, Zuständigkeiten, Zugriffe und Buchungsabläufe strukturiert zu organisieren.

Datenschutz Schritt für Schritt umsetzen

Beginnen Sie bei den Prozessen, die Sie täglich nutzen: Anmeldeformular, Teilnehmerliste, Rechnungsstellung und E-Mail-Kommunikation. Prüfen Sie die benötigten Daten, die Zugriffe und die Aufbewahrung. So wird aus einem abstrakten Thema eine überschaubare Reihe konkreter Aufgaben.

edoobox unverbindlich ausprobieren: Testen Sie das Online-Buchungssystem zehn Tage und prüfen Sie, wie Sie Ihre Kursbuchungen zentral und datenschutzbewusst organisieren können. Jetzt kostenlos testen.

Quellen und weiterführende Informationen

• Europäische Union: Datenschutz-Grundverordnung
• Europäischer Datenschutzausschuss: Grundlagen des Datenschutzes für kleinere Unternehmen (Englisch)
• EDÖB: Das neue Datenschutzgesetz
• EDÖB: Auftragsdatenbearbeitung
• EDÖB: Bekanntgabe von Personendaten ins Ausland
• EDÖB: Umgang mit Fotos

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Bei komplexen Datenschutzfragen empfehlen wir eine Beratung durch eine Fachperson.

Häufige Fragen zum Datenschutz bei Online-Buchungen

Brauchen wir für jede Buchung eine Einwilligung?

Für Daten, die zur Buchungsabwicklung erforderlich sind, kann nach der DSGVO die Vertragserfüllung die passende Rechtsgrundlage sein. Zusätzliche Zwecke wie Newsletter-Marketing oder bestimmte Tracking-Verfahren müssen gesondert geprüft werden. Für Gesundheitsdaten gelten weitere Anforderungen.

Dürfen wir Teilnehmerlisten an Kursleitende weitergeben?

Wenn die Weitergabe für die Kursdurchführung erforderlich und zulässig ist, sollten Kursleitende nur die dafür benötigten Angaben erhalten. Ein passender Rollen-Zugriff im System kann unkontrollierte E-Mail-Anhänge vermeiden. Gesundheits- und Rechnungsdaten gehören nicht automatisch in jede Teilnehmerliste.

Wann benötigen wir einen AVV?

Verarbeitet ein Dienstleister Buchungsdaten in Ihrem Auftrag, müssen die Anforderungen an die Auftragsverarbeitung beziehungsweise Auftragsbearbeitung vertraglich geregelt sein. Daneben bleibt die Prüfung erforderlich, ob Sie die jeweiligen Daten für Ihren Zweck verarbeiten dürfen.

Was gilt für Fotos und Videos im Kurs?

Klären Sie vor Aufnahme und Veröffentlichung den Zweck und die rechtliche Grundlage. Eine freiwillige, informierte und zweckbezogene Einwilligung ist für Kurs- und Werbefotos regelmässig der passende Weg. Bei Minderjährigen müssen die Anforderungen an die Zustimmung der Erziehungsberechtigten und die Rechte der Kinder berücksichtigt werden.

Reicht ein Buchungssystem, das mit DSGVO-Konformität wirbt?

Nein. Ein geeignetes System unterstützt Ihre Umsetzung. Ob der Buchungsprozess datenschutzgerecht ist, hängt auch von Ihren Formularen, Zwecken, Zugriffsrechten, Vereinbarungen und Löschprozessen ab.

Wie lange dürfen wir Teilnehmerdaten aufbewahren?

Das hängt vom Zweck und von gesetzlichen Aufbewahrungspflichten ab. Unterscheiden Sie Rechnungsunterlagen von organisatorischen Angaben und sensiblen Zusatzinformationen. Legen Sie passende Fristen fest und löschen Sie Daten, sobald sie nicht mehr benötigt werden und keine Aufbewahrungspflicht entgegensteht.

Wann ist eine juristische Prüfung sinnvoll?

Bei komplexen Konstellationen, etwa vielen Gesundheitsdaten, internationalen Datenflüssen oder umfangreichen Teilnehmerbeständen, ist eine fachliche Prüfung sinnvoll. Eine klare Dokumentation Ihrer Formulare, Dienstleister und Zugriffsregeln erleichtert diese Prüfung.