DSGVO-freundliche Calendly-Alternative: Worauf Unternehmen wirklich achten müssen

Bei einer Online-Terminbuchung werden personenbezogene Daten verarbeitet. Selbst ein einfacher Beratungstermin enthält mindestens Name, E-Mail-Adresse, Zeitpunkt und den Anlass des Gesprächs. Je nach Formular kommen Telefonnummer, Unternehmen, Position, Gesundheitsdaten oder andere sensible Informationen hinzu.

Deshalb suchen viele Unternehmen nach einer "DSGVO-konformen Calendly-Alternative".

Der Begriff ist verständlich, aber zu einfach. Kein Tool macht ein Unternehmen automatisch DSGVO-konform. Entscheidend ist, wie die Software eingesetzt wird, welche Daten verarbeitet werden, welche Verträge bestehen und wohin Informationen übertragen werden.

Dieser Leitfaden zeigt, welche Punkte bei der Auswahl tatsächlich relevant sind.

Hinweis: Dieser Artikel ist eine technische und organisatorische Orientierung und keine Rechtsberatung.

DSGVO-Prüfung in zehn Punkten

• Anbieter

  • Kernfrage: Wer ist rechtlich verantwortlich?

  • Erwarteter Nachweis: Impressum, Vertragsdaten und Kontakt

• Auftragsverarbeitung

  • Kernfrage: Wird ein AVV angeboten?

  • Erwarteter Nachweis: Vertrag nach Art. 28 DSGVO

• Datenstandort

  • Kernfrage: Wo liegen Anwendung, Datenbank und Backups?

  • Erwarteter Nachweis: Sicherheits- oder Infrastrukturübersicht

• Drittlandtransfer

  • Kernfrage: Werden Daten außerhalb des EWR verarbeitet?

  • Erwarteter Nachweis: Transfergrundlage, Empfänger und Schutzmaßnahmen

• Datenminimierung

  • Kernfrage: Welche Felder werden wirklich benötigt?

  • Erwarteter Nachweis: Konfigurierbares Formular und dokumentierter Zweck

• Kalenderzugriff

  • Kernfrage: Welche Berechtigungen verlangt die Integration?

  • Erwarteter Nachweis: OAuth-Scopes und technische Dokumentation

• Cookies und Tracking

  • Kernfrage: Lädt die Buchungsseite nicht notwendige Dienste?

  • Erwarteter Nachweis: Cookie- und Trackingübersicht

• Löschung und Export

  • Kernfrage: Können Daten gefunden, exportiert und gelöscht werden?

  • Erwarteter Nachweis: Admin-Funktionen und dokumentierter Prozess

• Sicherheit

  • Kernfrage: Welche technischen Maßnahmen bestehen?

  • Erwarteter Nachweis: TOMs, Verschlüsselung, Zugriffsschutz und Backups

• Integrationen

  • Kernfrage: Welche zusätzlichen Empfänger entstehen?

  • Erwarteter Nachweis: Liste der Unterauftragsverarbeiter und Datenflüsse

Eine strukturierte Übersicht ersetzt keine Datenschutzprüfung. Sie verhindert aber, dass die Bewertung auf der unpräzisen Aussage "Server in Europa" stehen bleibt.

1. Wer ist Anbieter und Vertragspartner?

Der erste Blick gehört ins Impressum.

Prüfe:

• In welchem Land sitzt der Betreiber?

• Welche Rechtsform besteht?

• Wer ist Ansprechpartner für Datenschutz?

• Gibt es eine ladungsfähige Anschrift?

• Welches Recht gilt für den Vertrag?

Ein deutscher oder europäischer Anbieter kann Beschaffung und Kommunikation vereinfachen. Er garantiert aber nicht automatisch, dass alle Daten ausschließlich in der EU verarbeitet werden.

Ordinus wird von einem deutschen Einzelunternehmen mit Sitz in Hagen betrieben. Zeeg und meetergo werden von deutschen GmbHs betrieben. Bei internationalen Anbietern ist häufig eine europäische Niederlassung oder ein ausländischer Vertragspartner beteiligt.

2. Ist ein Auftragsverarbeitungsvertrag verfügbar?

Wenn ein Terminplaner personenbezogene Daten im Auftrag deines Unternehmens verarbeitet, ist regelmäßig ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO relevant.

Artikel 28 verlangt, dass Verantwortliche nur Auftragsverarbeiter einsetzen, die ausreichende technische und organisatorische Garantien bieten. Die Verarbeitung muss vertraglich geregelt werden.

Ein brauchbarer AVV sollte unter anderem abdecken:

• Gegenstand und Dauer der Verarbeitung

• Art und Zweck der Verarbeitung

• Kategorien personenbezogener Daten

• betroffene Personengruppen

• technische und organisatorische Maßnahmen

• Unterstützung bei Betroffenenrechten

• Löschung und Rückgabe von Daten

• Kontrollrechte

• Unterauftragsverarbeiter

Die Aussage "AVV verfügbar" reicht nicht. Prüfe, ob er für deinen Tarif gilt und wie er abgeschlossen wird.

Ordinus verweist auf seiner Sicherheitsseite auf einen anforderbaren AVV. Bei Zeeg nennt die aktuelle Preisseite einen AVV ausdrücklich für Business-Kunden. meetergo wirbt mit einem deutschen AVV.

3. Wo werden Daten verarbeitet?

Der Begriff "Hosting in Deutschland" kann mehrere Dinge bedeuten.

Frage getrennt nach:

• Anwendung

• Datenbank

• Dateispeicher

• Backups

• E-Mail-Versand

• Supportsystem

• Analyse

• Videokonferenz

• KI-Funktionen

• Zahlungsabwicklung

Ein Anbieter kann Anwendung und Datenbank in Frankfurt betreiben, aber E-Mails über einen internationalen Dienst versenden. Bei Zahlungen ist fast immer ein zusätzlicher Zahlungsanbieter beteiligt.

Ordinus nennt Hetzner Cloud in Deutschland für Application Hosting und selbstverwaltetes PostgreSQL. Verschlüsselte Backups verbleiben laut Sicherheitsseite in der EU. Resend wird für Transaktions-E-Mails und Stripe für Zahlungen genannt. Umami Analytics wird selbst gehostet und cookieless betrieben.

Diese Transparenz ist wichtiger als ein pauschales Logo mit der Aufschrift "EU hosted".

4. Gibt es Datenübermittlungen außerhalb des EWR?

Datenübermittlungen in Drittländer sind nicht automatisch verboten. Sie benötigen jedoch eine Rechtsgrundlage und einen zulässigen Übermittlungsmechanismus.

Mögliche Mechanismen sind:

• Angemessenheitsbeschluss der Europäischen Kommission

• EU-US Data Privacy Framework für zertifizierte US-Unternehmen

• Standardvertragsklauseln

• verbindliche interne Datenschutzvorschriften

• weitere Garantien nach Artikel 46 DSGVO

Der Europäische Datenschutzausschuss weist darauf hin, dass Standardvertragsklauseln ein verbreitetes Instrument für Übermittlungen in Staaten ohne Angemessenheitsbeschluss sind.

Für Unternehmen bedeutet das: Ein US-Anbieter ist nicht automatisch unzulässig. Ein EU-Anbieter ist nicht automatisch frei von Drittlandbezug. Die konkrete Lieferkette entscheidet.

5. Welche Daten fragt das Buchungsformular ab?

Datensparsamkeit beginnt nicht beim Anbieter, sondern bei deiner Konfiguration.

Frage nur Daten ab, die für den Termin wirklich benötigt werden.

Für ein Erstgespräch genügen häufig:

• Name

• geschäftliche E-Mail-Adresse

• Unternehmen

• kurzer Gesprächsanlass

Problematisch werden unnötige Pflichtfelder. Ein Terminplaner sollte nicht zum versteckten CRM-Fragebogen werden, nur weil zusätzliche Felder technisch möglich sind.

Besondere Vorsicht gilt bei:

• Gesundheitsdaten

• politischen oder religiösen Angaben

• Gewerkschaftszugehörigkeit

• biometrischen Daten

• Angaben zur sexuellen Orientierung

• vollständigen Ausweisdaten

• vertraulichen Rechts- oder Personalthemen

Für solche Daten können zusätzliche Anforderungen und Schutzmaßnahmen gelten.

6. Welche Kalenderberechtigungen werden verlangt?

Ein Terminplaner muss wissen, wann ein Kalender belegt ist. Dafür sollte er möglichst wenig Daten lesen.

Prüfe:

• Wird nur Frei-/Gebucht-Information gelesen?

• Werden Titel und Beschreibungen externer Termine gespeichert?

• In welchen Kalender werden neue Buchungen geschrieben?

• Können Berechtigungen auf einzelne Kalender begrenzt werden?

• Werden gelöschte Verbindungen vollständig entfernt?

Ordinus erklärt in der FAQ, belegte Zeiten zur Verfügbarkeitsberechnung zu lesen und nur bestätigte eigene Buchungen zu schreiben. Externe Kalendereinträge würden nicht gespeichert, und Berechtigungen blieben auf das Nötigste beschränkt.

Solche konkreten Aussagen sind hilfreicher als ein allgemeines Sicherheitsversprechen.

7. Welche Cookies und Tracker nutzt die Buchungsseite?

Eine Buchungsseite ist häufig öffentlich in die Unternehmenswebsite eingebettet. Dadurch können zusätzliche Tracking- oder Cookie-Fragen entstehen.

Prüfe im Inkognito-Modus und mit Browser-Entwicklertools:

• Werden Cookies gesetzt, bevor eine Einwilligung vorliegt?

• Werden Analyseanbieter geladen?

• Werden Marketing-Pixel eingebunden?

• Lädt das Widget Inhalte aus Drittländern?

• Funktioniert die Buchung ohne Tracking?

• Kann Analyse deaktiviert werden?

Die datenschutzfreundlichste Konfiguration ist häufig eine funktionale Buchungsseite ohne Marketing-Tracking. Conversion-Messung kann serverseitig oder über datensparsame eigene Analytics erfolgen.

8. Wie funktionieren Löschung, Export und Aufbewahrung?

Ein Terminplaner sollte Daten nicht unbegrenzt speichern.

Wichtige Funktionen sind:

• Export von Buchungen und Kontakten

• Löschung einzelner Datensätze

• Löschung des gesamten Kontos

• konfigurierbare Aufbewahrungsfristen

• Protokollierung von Löschungen

• Behandlung von Backups

• Weitergabe von Löschanforderungen an Unterauftragsverarbeiter

Die DSGVO verlangt nicht für jede Terminart dieselbe Löschfrist. Unternehmen benötigen ein eigenes Löschkonzept, das rechtliche Aufbewahrungspflichten und den ursprünglichen Zweck berücksichtigt.

9. Sind technische und organisatorische Maßnahmen dokumentiert?

Ein seriöser Anbieter sollte mindestens grundlegende Sicherheitsmaßnahmen erklären.

Dazu gehören:

• Verschlüsselung bei der Übertragung

• Verschlüsselung von Backups

• Zugriffskontrollen

• Rollen und Berechtigungen

• Zwei-Faktor-Authentifizierung

• Monitoring

• Sicherheitsupdates

• Wiederherstellungstests

• Incident-Prozess

• verantwortungsvolle Meldung von Schwachstellen

Ordinus nennt tägliche Backups, Monitoring, Alarmierung, Sicherheitsupdates und eine Kontaktadresse für Schwachstellenmeldungen. Das ist ein guter Ausgangspunkt. Für größere Beschaffungen können zusätzliche Nachweise erforderlich sein.

10. Was passiert bei Integrationen?

Jede Integration erweitert den Datenfluss.

Typische Beispiele:

• Google Calendar

• Microsoft Outlook

• Zoom

• Google Meet

• Microsoft Teams

• Stripe

• PayPal

• HubSpot

• Salesforce

• Zapier

• E-Mail- und SMS-Anbieter

Ein europäischer Terminplaner kann datenschutzfreundlich betrieben werden und trotzdem Daten an einen US-Kalender, ein US-CRM oder eine internationale Videoplattform übertragen, wenn du diese Verbindung aktivierst.

Das ist kein Fehler des Terminplaners. Es muss aber im Verzeichnis von Verarbeitungstätigkeiten und in der Datenschutzerklärung berücksichtigt werden.

Typische Datenflüsse einer Terminbuchung

• Datenfluss: Buchungsformular

  • Typische Daten: Name, E-Mail, Antworten und Nachricht

  • Mögliche Empfänger: Terminplaner

  • Prüffrage: Sind alle Felder für den Zweck erforderlich?

• Datenfluss: Kalenderabgleich

  • Typische Daten: Frei-/Belegt-Zeiten, Terminmetadaten

  • Mögliche Empfänger: Google, Microsoft oder anderer Kalenderanbieter

  • Prüffrage: Werden nur notwendige Kalenderdaten gelesen?

• Datenfluss: Videokonferenz

  • Typische Daten: Name, E-Mail und Meetinglink

  • Mögliche Empfänger: Google Meet, Teams, Zoom oder eigener Videodienst

  • Prüffrage: Wann wird der Raum erstellt und wer erhält Daten?

• Datenfluss: E-Mail-Benachrichtigung

  • Typische Daten: Kontaktdaten und Termininhalte

  • Mögliche Empfänger: Transaktionaler E-Mail-Dienst

  • Prüffrage: In welcher Region wird zugestellt?

• Datenfluss: Zahlung

  • Typische Daten: Betrag, Status und Zahlungsreferenz

  • Mögliche Empfänger: Stripe, PayPal oder anderer Zahlungsanbieter

  • Prüffrage: Welche Zahlungsdaten speichert der Terminplaner selbst?

• Datenfluss: Analyse

  • Typische Daten: Seitenaufruf, Gerät und Conversion

  • Mögliche Empfänger: Analytics-Anbieter oder selbstgehostete Analyse

  • Prüffrage: Ist Tracking notwendig und einwilligungspflichtig?

• Datenfluss: CRM-Übergabe

  • Typische Daten: Kontakt-, Firmen- und Qualifizierungsdaten

  • Mögliche Empfänger: CRM und Automatisierungsplattform

  • Prüffrage: Welche Felder werden automatisch übertragen?

Ist Calendly DSGVO-konform?

Calendly erklärt, sein Datenschutzprogramm auf die DSGVO ausgerichtet zu haben. Das Unternehmen bietet einen Data Processing Addendum, Löschprozesse und weitere Datenschutzfunktionen.

Die korrekte Aussage lautet daher nicht: "Calendly ist illegal."

Die bessere Frage lautet:

• Welche Calendly-Gesellschaft ist Vertragspartner?

• Welche Unterauftragsverarbeiter werden genutzt?

• Welche Datenübermittlungen entstehen?

• Welcher Transfermechanismus gilt?

• Passt das zum Risikoprofil des Unternehmens?

• Ist eine europäische Alternative organisatorisch einfacher?

Für manche Unternehmen ist Calendly mit sauberer Dokumentation vertretbar. Andere bevorzugen einen deutschen Anbieter, um Datenflüsse, Verträge und Support zu vereinfachen.

Ordinus als DSGVO-freundliche Alternative

Ordinus ist für europäische Unternehmen interessant, weil mehrere Auswahlkriterien zusammenkommen:

• deutscher Betreiber

• EU-Cloud-Infrastruktur

• Anwendung und PostgreSQL bei Hetzner in Deutschland

• verschlüsselte Backups in der EU

• öffentliche Liste wichtiger Unterauftragsverarbeiter

• anforderbarer AVV

• Datenexport und Löschung

• selbstgehostete, cookielose Produktanalyse

• beschränkter Kalenderzugriff laut FAQ

Trotzdem muss jedes Unternehmen den eigenen Einsatz prüfen. Werden Stripe, Google, Microsoft oder andere Dienste angebunden, entstehen zusätzliche Datenbeziehungen.

Calendly und Ordinus aus Datenschutzsicht einordnen

• Aspekt: Anbieter

  • Calendly: US-Unternehmen

  • Ordinus: Deutsches Einzelunternehmen

• Aspekt: Datenschutzvertrag

  • Calendly: Data Processing Addendum verfügbar

  • Ordinus: AVV wird angeboten

• Aspekt: Infrastruktur

  • Calendly: Internationale SaaS-Infrastruktur

  • Ordinus: EU-Cloud; Hetzner in Deutschland für Anwendung und Datenbank

• Aspekt: Internationale Übermittlungen

  • Calendly: Je nach Verarbeitung und Unterauftragsverarbeiter zu prüfen

  • Ordinus: Stripe wird mit EU-/US-Bezug genannt; weitere Lieferkette ist öffentlich dokumentiert

• Aspekt: Datenexport und Löschung

  • Calendly: Datenschutzfunktionen und Prozesse dokumentiert

  • Ordinus: Auskunft, Export und Löschung auf Sicherheitsseite beschrieben

• Aspekt: Integrationsökosystem

  • Calendly: Sehr breit, dadurch mehr mögliche Datenflüsse

  • Ordinus: Kleiner und übersichtlicher, aber ebenfalls integrationsabhängig

• Aspekt: Beschaffungsaufwand

  • Calendly: Etablierte Enterprise-Dokumentation, jedoch Drittlandprüfung relevant

  • Ordinus: Deutscher Vertragspartner und kürzere sichtbare Lieferkette

Der Vergleich ist keine Aussage, dass eines der Produkte automatisch zulässig oder unzulässig ist. Der konkrete Einsatz, die aktivierten Integrationen und die eigene Rechtsgrundlage bleiben entscheidend.

Praktische Checkliste

• Vor dem Go-live: AVV abschließen

  • Erledigt, wenn ...: Vertragspartner und Unterauftragsverarbeiter korrekt dokumentiert sind

• Vor dem Go-live: Verzeichnis der Verarbeitungstätigkeiten aktualisieren

  • Erledigt, wenn ...: Zweck, Datenarten, Empfänger und Löschfristen eingetragen sind

• Vor dem Go-live: Datenschutzerklärung ergänzen

  • Erledigt, wenn ...: Terminbuchung, Kalender, E-Mail, Video und Zahlung transparent beschrieben sind

• Vor dem Go-live: Formular minimieren

  • Erledigt, wenn ...: Jedes Pflichtfeld einen nachweisbaren Zweck hat

• Vor dem Go-live: Rollen und Zugriffe prüfen

  • Erledigt, wenn ...: Nur erforderliche Mitarbeiter Buchungs- und Kontaktdaten sehen können

• Vor dem Go-live: Löschprozess testen

  • Erledigt, wenn ...: Ein Testkontakt vollständig gefunden, exportiert und gelöscht werden kann

• Vor dem Go-live: Cookie-Verhalten testen

  • Erledigt, wenn ...: Buchungsseite und Embed ohne unerwartete Tracker geprüft wurden

• Vor dem Go-live: Integrationen dokumentieren

  • Erledigt, wenn ...: Jeder angebundene Dienst mit Datenfluss und Rechtsgrundlage erfasst ist

• Vor dem Go-live: Sicherheitsunterlagen ablegen

  • Erledigt, wenn ...: TOMs, Infrastrukturinformationen und Ansprechpartner intern verfügbar sind

Vor der Einführung sollten diese Punkte dokumentiert sein:

Vertrag

• Impressum geprüft

• AVV abgeschlossen

• Unterauftragsverarbeiter geprüft

• Änderungen an Unterauftragsverarbeitern abonnierbar

Daten

• Pflichtfelder minimiert

• besondere Datenkategorien vermieden oder gesondert abgesichert

• Löschfristen definiert

• Export getestet

Technik

• Kalenderberechtigungen geprüft

• Zwei-Faktor-Authentifizierung aktiviert

• Rollen eingeschränkt

• Tracking deaktiviert oder sauber eingebunden

• Website-Embed getestet

Dokumentation

• Datenschutzerklärung ergänzt

• Verzeichnis von Verarbeitungstätigkeiten aktualisiert

• Rechtsgrundlage dokumentiert

• Drittlandtransfers bewertet

• interne Verantwortlichkeiten festgelegt

Fazit

Eine DSGVO-freundliche Calendly-Alternative zeichnet sich nicht durch einen einzelnen Standort-Sticker aus.

Entscheidend sind ein belastbarer AVV, transparente Unterauftragsverarbeiter, nachvollziehbare Datenflüsse, sparsame Kalenderberechtigungen, Löschmöglichkeiten und eine Konfiguration, die nur notwendige Daten erhebt.

Deutsche Anbieter wie Ordinus, Zeeg und meetergo können die Prüfung vereinfachen. Sie ersetzen aber nicht die Verantwortung des einsetzenden Unternehmens.

Ordinus bietet eine transparente europäische Grundlage und verbindet diese mit Terminplanung, Zahlungen, Teamfunktionen und Routing. Damit ist die Plattform besonders für Unternehmen interessant, die Datenschutz nicht als Zusatzfunktion, sondern als Teil der Beschaffung behandeln.

Häufige Fragen

Muss Terminsoftware in Deutschland gehostet werden?

Nein. Die DSGVO schreibt keinen allgemeinen deutschen Serverstandort vor. Ein EU-Standort kann Datenübermittlungen vereinfachen, ist aber nur ein Teil der Gesamtprüfung.

Brauche ich mit einem Terminplaner einen AVV?

Wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ist regelmäßig ein AVV nach Artikel 28 DSGVO erforderlich. Die konkrete Rollenverteilung sollte geprüft werden.

Ist ein US-Anbieter automatisch nicht DSGVO-konform?

Nein. Für internationale Übermittlungen können Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework, Standardvertragsklauseln oder andere Garantien relevant sein.

Darf ich Gesundheitsdaten im Buchungsformular abfragen?

Solche Daten gehören zu besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung benötigt eine passende Rechtsgrundlage und erhöhte Schutzmaßnahmen. Für eine normale Terminvereinbarung sollten sie möglichst nicht über ein allgemeines Formular erhoben werden.

Quellen und redaktionelle Hinweise

• DSGVO Artikel 28: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX%3A02016R0679-20160504

• EDPB zu internationalen Datentransfers: https://www.edpb.europa.eu/sme/be-compliant/international-data-transfers_en

• EU-Kommission zu Angemessenheitsbeschlüssen: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en

• EU-Kommission zu EU-US-Datentransfers: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en

• EU-Kommission zu Standardvertragsklauseln: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en

• Ordinus Sicherheit: https://ordinus.io/de/security

• Ordinus FAQ: https://ordinus.io/de/faq

• Calendly Datenschutz: https://calendly.com/help/your-privacy-and-security

• Calendly DPA: https://calendly.com/legal/data-processing-addendum

• Stand: 30. Juli 2026