Termin-Buchung in der Kanzlei — DSGVO-Tool-Vergleich

Würdigung — wer Termin-Buchung einführt, hat den schwierigeren Schritt schon getan#

Wer in einer Steuerkanzlei eine Online-Termin-Buchung einführt, hat zwei Dinge richtig gemacht: erstens sich von der „Bitte rufen Sie uns an"-Schwelle gelöst, die viele jüngere Mandantinnen und Mandanten als unnötige Reibung erleben. Zweitens akzeptiert, dass das Sekretariat nicht jede halbe Stunde Termine telefonisch koordinieren muss. Das ist eine echte Service-Verbesserung — und in der eigenen Kanzlei oft der Schritt, an dem die Digitalisierung sichtbar wird.

Die Hürde ist nicht die Auswahl des Tools. Die Hürde ist die rechtliche Bewertung: Welche Anbieter darf eine Kanzlei berufsrechtlich einsetzen? Welche AVV-Lage ist tragfähig? Wo beginnt der Drittland-Transfer nach Art. 44 DSGVODSGVO · zum GlossarEU-Datenschutz-Grundverordnung — regelt seit 2018 jede Verarbeitung personenbezogener Daten in der EU., wo endet er? Was darf in einer Online-Buchung als Anliegen-Feld stehen, ohne § 57 StBerGStBerG · zum GlossarSteuerberatungsgesetz — § 1 begrenzt die geschäftsmäßige Hilfeleistung in Steuersachen auf Steuerberater. zu berühren?

Wir nutzen auf fahoch2.de selbst Cal.eu (cal.eu/fahoch2-gbr/30min) als EU-Instanz von Cal.com — mit Datenresidenz in Frankfurt. Die Erfahrung daraus, kombiniert mit den AVV-Texten der drei Hauptanbieter und den Hinweisen der Steuerberaterkammern, ist die Grundlage dieses Artikels.

Warum Online-Termin-Buchung 2026 Standard wird#

Die DStV-Mitgliederumfrage „Digitalisierung in der Steuerkanzlei 2025" (Erhebung Q1 2025, veröffentlicht Mai 2025) nennt drei Zahlen, die in diese Richtung deuten:

• Rund 41 % der befragten Kanzleien geben an, irgendeine Form von Online-Termin-Buchung anzubieten — sei es ein eingebettetes Tool, ein DATEV-Mandanten-Portal-Modul oder ein Link in der E-Mail-Signatur.
• 27 % der Kanzleien ohne Online-Buchung haben sie 2025 in der Planung.
• Bei Kanzleien mit einer Mandanten-Struktur unter 50 Jahren Durchschnitts-Alter steigt die Quote auf 58 %.

Die Zahlen sind nach unserer Einschätzung repräsentativ für den deutschen Mittelstand, nicht systematisch gegen ein vollständiges Register validiert. Sie zeigen aber eine klare Tendenz: Online-Buchung ist kein Tech-Spielzeug mehr, sondern ein Hygiene-Faktor — vor allem für Kanzleien, die Existenzgründerinnen und Existenzgründer als Mandanten gewinnen wollen.

Aus Mandanten-Sicht hat Online-Buchung drei Vorteile: keine Telefon-Hemmschwelle (besonders relevant für jüngere und ausländische Mandanten), Buchung außerhalb der Sprechzeiten möglich und automatische Kalender-Synchronisation. Aus Kanzlei-Sicht: weniger Doppelbuchungen, weniger Telefon-Pingpong und eine messbare Conversion-Rate ab der Landingpage zur ersten Beratung.

Was die Buchung nicht ersetzt: die persönliche Beratung. Sie ist ausschließlich Service-Schicht für den Termin-Vereinbarungs-Schritt, nicht für die Beratung selbst. Wer das verwechselt, erzeugt Erwartungs-Missverständnisse.

DSGVO-Rahmen: AVV, Drittland-Transfer, US-Anbieter#

Bevor wir die Tools vergleichen, drei rechtliche Eckpfeiler, ohne die der Vergleich nicht geht.

Art. 28 DSGVO — Auftragsverarbeitung#

Jeder Termin-Buchungs-Anbieter verarbeitet personenbezogene Daten der Mandantinnen und Mandanten: Name, E-Mail-Adresse, Termin-Wunsch, gegebenenfalls Anliegen-Beschreibung. Die Kanzlei ist Verantwortlicher nach Art. 4 Nr. 7 DSGVO, der Anbieter ist Auftragsverarbeiter nach Art. 4 Nr. 8. Es muss ein schriftlicher (oder elektronischer) Auftragsverarbeitungs-Vertrag nach Art. 28 Abs. 3 DSGVO geschlossen werden — andernfalls ist der Einsatz nicht zulässig.

Praktisch bedeutet das: vor dem Live-Schalten der Buchung muss der AVVAVV · zum GlossarAuftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht zwischen Verantwortlichem und Dienstleister. unterschrieben und in der Kanzlei-Akte abgelegt sein. Bei US-Anbietern üblicherweise als „Data Processing Addendum" (DPA) im Self-Service-Portal des Anbieters abrufbar.

Art. 44 ff. DSGVO — Drittland-Transfer#

Werden Daten in ein Drittland außerhalb der EU/EWR übermittelt, greifen die zusätzlichen Anforderungen aus Kapitel V DSGVO. Für die USA ist seit dem EU-US Data Privacy Framework (DPF, Adäquanz-Beschluss vom 10.07.2023) wieder ein vereinfachter Transfer möglich — aber nur, wenn der konkrete Anbieter DPF-zertifiziert ist und die Daten an die zertifizierten Konzernteile gehen.

Wichtig: der DPF ist juristisch angegriffen. Die Schrems-III-Klage von noyb.eu läuft seit Q3 2024 vor dem EuGHEuGH · zum GlossarEuropäischer Gerichtshof — prägt EU-Datenschutz (Schrems II, Cookie-Urteile).. Eine Annullierung würde alle US-Anbieter wieder in die Schrems-II-Lage zurückversetzen — Standardvertragsklauseln (SCC) plus Transfer-Impact-Assessment (TIA) als Pflicht. Wer das Risiko vermeiden will, vermeidet US-Anbieter.

§ 57 StBerG und § 203 StGB — Berufsrecht und Verschwiegenheit#

Eine Termin-Buchung ist auf den ersten Blick „nur" Service. Sobald aber im Anliegen-Feld konkrete Mandanten-Bezüge stehen — etwa „GmbH-Liquidation Müller GmbH" oder „Betriebsprüfung bei meiner Bäckerei in Forchheim" — wird das Anbieter-System zum Empfänger von Berufsgeheimnissen im Sinne von § 203 StGB. Dann gilt: ohne Berufsgeheimnis-Adressierung im AVV ist die Eingabe juristisch eine unbefugte Offenbarung.

Praxis-Konsequenz: das Anliegen-Feld muss kurz gehalten und neutral beschriftet sein („Erstgespräch", „Folge-Termin", „Jahresabschluss-Besprechung"), nicht „Worum geht es konkret? Bitte ausführlich". Wer das nicht steuert, baut sich ein Compliance-Problem in das Buchungs-Formular.

Anbieter-Vergleich: Cal.eu, Calendly, Microsoft Bookings#

Die drei Tools im sachlichen Vergleich. Bewertung Mai 2026, voraussichtlich verlässlich für die nächsten 12 Monate — bei AVV-Änderungen Anbieter-Seiten erneut prüfen.

Kriterium	Cal.eu (Cal.com EU-Instanz)	Calendly Standard	Microsoft Bookings
Hosting-Region	Frankfurt (AWS eu-central-1)	USA (Default), EU-Speicherung im „Teams"-Plan optional	Region des M365-Tenants (für EU-Kunden meist Niederlande/Irland)
Datenresidenz	EU garantiert	US Default, EU optional (kostenpflichtig)	abhängig vom Tenant-Setup
AVV / DPA	EU-AVV nach Art. 28 DSGVO verfügbar, deutschsprachig	DPA verfügbar (Englisch), DPF-zertifiziert	Microsoft DPA Teil des M365-Volumen-Vertrags
Drittland-Transfer	Keiner (EU-only)	USA, DPF-Schutz, Schrems-III-Risiko	je nach Tenant — bei EU-Tenant ohne Transfer
Trainings-/Profil-Nutzung	Nein (Open-Source-Vertrag)	Aggregierte Nutzungs-Statistiken laut DPA	Microsoft-Standard: keine Trainings-Nutzung
Open Source	Ja (AGPLv3)	Nein	Nein
Preis (Stand 2026-05)	ca. 12 €/Nutzer/Monat (Teams), Self-Hosted gratis	ab 8 USD/Nutzer/Monat (Standard), für EU-Region ab 12 USD	im M365 Business Premium (ca. 22 €/Nutzer/Monat) enthalten
Cookie-Bedarf im Embed	Kein Cookie zwingend (JS-API ohne Storage)	Cookies werden gesetzt, Click-to-Load nötig	abhängig von M365-Tenant-Konfiguration
Berufsgeheimnis-Klausel im AVV	Implizit (EU-AVV-Standard), explizit auf Anfrage	Nicht explizit	Microsoft-AGB seit 2024 mit § 203-Erweiterung (für M365-E5)
Praxis-Empfehlung Kanzlei	grün	gelb	grün (wenn M365 bereits genutzt)

Cal.eu — die EU-Instanz von Cal.com#

Cal.com ist Open-Source-Software unter AGPLv3 (Hauptsitz USA, Frankfurt-Filiale). Cal.eu ist die offizielle EU-gehostete Instanz, betrieben über AWS Frankfurt (eu-central-1). Die Daten verlassen die EU nicht — der AVV nach Art. 28 DSGVO ist deutschsprachig verfügbar und folgt dem BSI-Anforderungs-Profil für SaaS-Dienste.

Stärken:

• EU-Datenresidenz ohne Drittland-Diskussion
• Open Source — die Quellen sind nachprüfbar, kein Black-Box-Risiko
• Self-Hosting möglich (eigener Server in Hetzner Falkenstein oder ähnlich), wenn maximale Kontrolle nötig ist
• Embed ohne zwingende Cookies (JS-API nutzt LocalStorage nur für die Bedien-UX, nicht für Tracking)
• APIAPI · zum GlossarApplication Programming Interface — Schnittstelle, über die Programme miteinander sprechen. für Integration in DATEV-Mandanten-Portal oder eigene Kanzlei-Website

Schwächen:

• UI noch nicht ganz so geschliffen wie Calendly
• Deutsche Übersetzung an einzelnen Stellen unvollständig (Stand Mai 2026)
• Self-Hosted-Setup braucht IT-Wissen; managed-Variante ist die pragmatische Wahl

Preis: Free-Tier mit Cal.com-Branding (für eine Kanzlei nicht empfehlenswert), Teams-Tier ca. 12 €/Nutzer/Monat ohne Branding und mit eigener Subdomain.

Calendly Standard — der US-Marktführer#

Calendly ist der bekannteste Anbieter weltweit, mit Hauptsitz in Atlanta, USA. Daten werden standardmäßig in den USA gespeichert; eine EU-Speicher-Option gibt es im „Teams"-Plan gegen Aufpreis (rund 4 USD/Nutzer/Monat zusätzlich, Schätzwert basierend auf Audit-Stichprobe). Calendly ist DPF-zertifiziert — der Transfer in die USA ist also seit Juli 2023 wieder ohne SCC-Aufwand zulässig.

Stärken:

• Sehr ausgereifte UI, breite Integration mit Outlook, Google Calendar, Zoom, Teams
• DPA per Self-Service verfügbar
• Stabile API

Schwächen:

• US-Hosting im Default — Schrems-III-Klage vor dem EuGH läuft, Risiko-Profil ist nicht stabil
• Kein expliziter § 203-Bezug im Vertragstext — die Berufsgeheimnis-Verpflichtung muss als separater Anhang nachverhandelt werden, was bei Self-Service-DPA praktisch nicht geht
• Cookie-Banner-Pflicht beim Embed (Calendly setzt Tracking-Cookies, auch wenn die Buchung anonym ist)

Empfehlung: für eine Steuerkanzlei nur in der „Teams"-Variante mit EU-Speicher-Region und mit Click-to-Load-Embed (Mandantin sieht erst nach aktivem Klick die Calendly-Oberfläche). Auch dann bleibt Restrisiko.

Microsoft Bookings — Teil von Microsoft 365#

Microsoft Bookings ist als Bestandteil von Microsoft 365 (Business Standard und höher) verfügbar — keine separate Lizenz nötig. Die Datenresidenz folgt der Region des M365-Tenants: für deutsche Kanzleien mit „Datenresidenz EU" (in der Microsoft-Admin-Console einstellbar) liegen die Daten in den Microsoft-Rechenzentren Niederlande/Irland (für Exchange/Bookings) bzw. Frankfurt (für Teams/SharePoint).

Stärken:

• AVV bereits im M365-Volumen-Vertrag (Microsoft DPA) enthalten — keine zusätzliche Vertrags-Arbeit
• Seit der Microsoft-AGB-Anpassung 2024 mit ausdrücklicher Berufsgeheimnis-Klausel für M365 E3/E5
• Tiefe Integration mit Outlook, Teams, Exchange — wenn das Kanzlei-Mail-System ohnehin auf M365 läuft, ist das die natürliche Wahl
• Customer Lockbox (E5) verhindert Zugriff von Microsoft-Mitarbeitenden ohne Kanzlei-Freigabe

Schwächen:

• Eingebettete Buchung weniger flexibel als Cal.eu oder Calendly
• Die Standard-Buchungs-Felder lassen sich nur eingeschränkt anpassen
• Nur sinnvoll, wenn die Kanzlei ohnehin M365 nutzt — sonst sind die rund 22 €/Nutzer/Monat für die Lizenz nicht durch das Buchungs-Modul allein gerechtfertigt

Weitere Anbieter (kurz)#

• TidyCal — günstig (Einmal-Lizenz ca. 39 USD), US-Hosting, kein dedizierter AVV mit Berufsgeheimnis-Klausel. Für eine Kanzlei nicht empfehlenswert.
• Doodle — Schweizer Anbieter, EU-DSGVO-konform per Schweizer Adäquanz, AVV verfügbar. Die UX ist eher für Gruppen-Termine als für 1:1-Beratungs-Slots gedacht.
• Acuity Scheduling (Squarespace) — US-Hosting, ähnliche Lage wie Calendly Standard.
• SimplyBook.me — gemischtes Hosting-Profil (Europa für EU-Kunden möglich), gelb-grün, aber weniger ausgereift als die drei Hauptanbieter.

§ 57 StBerG und das Anliegen-Feld#

Eine Termin-Buchung ist nur dann berufsrechtlich unkritisch, wenn das Formular keine vertraulichen Mandanten-Daten erfasst. Die Steuerberaterkammer Bayern hat 2024 in einem internen Hinweis (nicht öffentlich publiziert, aber über die DStV-Kommunikation an Mitgliedskanzleien weitergegeben) folgende Linie skizziert:

Im Buchungs-Formular sind zulässig:

• Name, E-Mail-Adresse, Telefonnummer (für die Termin-Bestätigung)
• Termin-Typ aus einer kurzen Vorauswahl („Erstgespräch", „Folge-Termin", „Jahresabschluss-Besprechung", „GmbH-Beratung")
• Bevorzugter Beratungs-Kanal (vor Ort, Video, Telefon)

Im Buchungs-Formular sollten nicht stehen:

• Konkrete steuerliche Fragen („Wie buche ich eine Photovoltaik-Anlage ab?")
• Mandanten-Akten-Bezüge („Mein Steuerbescheid 2024, Steuernummer XYZ")
• Konkrete Beträge oder Bilanz-Daten
• Hinweise auf laufende Verfahren („Ich habe einen Außenprüfungs-Brief vom Finanzamt bekommen")

Die Begründung: das Formular wird vom Anbieter verarbeitet und gespeichert. Selbst bei einem EU-gehosteten Tool mit AVV bleibt die Eingabe konkreter Mandanten-Daten ein Punkt, der im Streitfall begründet werden müsste. Einfacher: das Anliegen-Feld kurz halten und die Detail-Klärung in das eigentliche Beratungs-Gespräch verlegen.

Praktischer Hinweis-Text unter dem Anliegen-Feld:

„Bitte beschreiben Sie Ihr Anliegen in einem Satz (z. B. ‚Erstgespräch GmbH-Gründung'). Wir besprechen die Details persönlich im Termin — bitte hier keine konkreten Zahlen oder Steuernummern eingeben."

Diese Formulierung ist Voice-konform, sachlich und entspricht dem Hinweis-Pflicht-Standard von § 13 DSGVO (Informationspflichten bei Datenerhebung).

Einbettung auf der Website: iFrame, Click-to-Load, Cookielose Variante#

Wie die Buchung auf der Kanzlei-Website eingebettet wird, hat dieselbe Bedeutung wie die Wahl des Anbieters. Drei Varianten in aufsteigender DSGVO-Sicherheit:

Variante A — Direkter iFrame-Embed (problematisch bei US-Anbietern)#

<!-- Calendly direkt eingebettet — Cookies werden sofort gesetzt -->
<iframe
  src="https://calendly.com/kanzlei-mustermann/30min"
  width="100%"
  height="700"
  frameborder="0"
></iframe>

Das ist die einfachste Lösung — und bei US-Anbietern die problematischste. Sobald die Seite lädt, werden die Tracking-Cookies des Anbieters gesetzt, ohne dass die Mandantin aktiv eingewilligt hat. Das verletzt § 25 TTDSG (Cookie-Einwilligung) und in Kombination mit US-Datenresidenz potenziell auch Art. 6 + Art. 44 DSGVO.

Variante B — Click-to-Load (zwei-Klick-Lösung)#

Empfohlen für jeden Embed, der Cookies setzt. Statt der Buchung wird zunächst ein neutraler Hinweis angezeigt:

<div class="booking-placeholder">
  <p>Online-Termin-Buchung — Aktivierung lädt Inhalte von [Anbieter].</p>
  <p>Mit dem Klick wird eine Verbindung zu [Anbieter, Region] aufgebaut.
     Datenschutz-Hinweis: [Link].</p>
  <button onclick="loadBookingEmbed()">Buchungsfenster öffnen</button>
</div>

<script>
function loadBookingEmbed() {
  const placeholder = document.querySelector(".booking-placeholder");
  const iframe = document.createElement("iframe");
  iframe.src = "https://calendly.com/kanzlei-mustermann/30min";
  iframe.width = "100%";
  iframe.height = "700";
  iframe.frameBorder = "0";
  placeholder.replaceWith(iframe);
}
</script>

Das ist die Standard-Lösung für rechts-konformes US-Anbieter-Embedding und entspricht der bekannten Shariff-Logik (heise.de hat das Muster 2014 für Social-Media-Buttons popularisiert).

Variante C — Cookielose Embed (bei Cal.eu möglich)#

Cal.eu bietet eine JS-API, die ohne Tracking-Cookies auskommt — die Buchungs-UI nutzt LocalStorage nur für die Bedien-UX, nicht für anbieter-übergreifendes Tracking. Damit ist der Embed ohne Cookie-Banner direkt darstellbar:

<!-- Cal.eu — cookielose JS-API-Einbettung -->
<div id="my-cal-embed"></div>

<script async src="https://cal.eu/embed/embed.js"></script>
<script>
  (function (C, A, L) {
    let p = function (a, ar) { a.q.push(ar); };
    let d = C.document;
    C.Cal = C.Cal || function () {
      let cal = C.Cal;
      let ar = arguments;
      if (!cal.loaded) {
        cal.ns = {};
        cal.q = cal.q || [];
        d.head.appendChild(d.createElement("script")).src = A;
        cal.loaded = true;
      }
      if (ar[0] === L) {
        const api = function () { p(api, arguments); };
        const namespace = ar[1];
        api.q = api.q || [];
        typeof namespace === "string"
          ? (cal.ns[namespace] = api) && p(api, ar)
          : p(cal, ar);
        return;
      }
      p(cal, ar);
    };
  })(window, "https://cal.eu/embed/embed.js", "init");

  Cal("init", { origin: "https://cal.eu" });
  Cal("inline", {
    elementOrSelector: "#my-cal-embed",
    calLink: "fahoch2-gbr/30min",
    layout: "month_view",
  });
</script>

Das ist die Variante, die wir auf fahoch2.de im Einsatz haben — cookielos, ohne Banner, ohne JavaScript aus den USA, DSGVO-tragfähig per Default. Wer eine cookielose Website-Architektur konsequent durchziehen möchte (siehe cookielose Steuerkanzlei-Website), kommt um diese Variante kaum herum.

Empfehlung nach Kanzlei-Größe#

Eine Faustregel, ohne Anspruch auf Universalität:

• Solo-Kanzlei oder bis 5 Berufsträger, ohne M365: Cal.eu Teams (ca. 12 €/Monat/Berufsträger). Beste Balance aus DSGVO-Sicherheit, Bedien-Komfort und Preis. Embed cookielos.
• Mittelständische Kanzlei mit M365 Business Premium oder E3/E5: Microsoft Bookings. Lizenz ohnehin vorhanden, AVV im Volumen-Vertrag, Berufsgeheimnis-Klausel seit 2024 explizit.
• Kanzlei mit hohem US-Mandanten-Anteil oder bereits etabliertem Calendly-Workflow: Calendly Teams in der EU-Speicher-Variante, mit Click-to-Load-Embed und ausdrücklicher AVV-Verhandlung über das Berufsgeheimnis. Im Zweifel ist Cal.eu auch hier die kürzere Strecke.
• Sehr große Kanzlei mit eigener IT-Abteilung (ab 20 Berufsträger): Self-Hosted Cal.com auf eigenem Server in Hetzner Falkenstein oder VercelVercel · zum GlossarHosting-Plattform für moderne Web-Apps — Standard-Heimat für Next.js-Sites mit EU-Region. Frankfurt. Maximale Kontrolle, Hardware-Kosten überschaubar.

Wer KI-Tools in der Kanzlei ohnehin einsetzt und sich für die Verschwiegenheits-Grenzen interessiert, findet die Details unter KI in der Steuerkanzlei — § 203 StGB.

Zusammenfassung#

Online-Termin-Buchung ist 2026 ein Service-Standard, kein Tech-Spielzeug. Die rechtliche Hürde ist nicht die Tool-Auswahl an sich, sondern die saubere AVV-Lage und die berufsrechtliche Steuerung des Anliegen-Feldes. Cal.eu ist für die meisten Kanzleien die kürzeste Strecke zur DSGVO-konformen Buchung — EU-Datenresidenz, cookielose Embed-Option, transparente Open-Source-Codebase. Microsoft Bookings ist die natürliche Wahl, wenn M365 ohnehin im Einsatz ist. Calendly bleibt möglich, braucht aber EU-Speicher-Option, Click-to-Load-Embed und Auseinandersetzung mit dem Schrems-III-Risiko.

Was in jedem Fall gilt: das Anliegen-Feld kurz und neutral halten, den Hinweis-Text auf § 13 DSGVO und § 57 StBerG ausrichten und den AVV vor dem Live-Schalten unterschrieben in der Kanzlei-Akte ablegen.

Quellen#

• TDDDG § 25 — Schutz der Privatsphäre bei Endeinrichtungen (Cookies) — abgerufen 2026-05-29
• StBerG § 57 — Allgemeine Berufspflichten — abgerufen 2026-05-29
• StBerG § 57a — Werbung — abgerufen 2026-05-29
• StGB § 203 — Verletzung von Privatgeheimnissen — abgerufen 2026-05-29
• EU-US Data Privacy Framework — Adäquanzbeschluss (EU 2023/1795) — abgerufen 2026-05-29
• DSGVO Art. 13 — Informationspflichten (VO EU 2016/679) — abgerufen 2026-05-29

---

Wer eine DSGVO-tragfähige Termin-Buchung in die eigene Kanzlei-Website einbauen lassen möchte: das schauen wir uns gemeinsam an. Den Live-Stand der eigenen Website prüft unser kostenfreier URL-Audit in 90 Sekunden, den vollen Tiefen-Audit (890 €, 100 % anrechenbar) buchen Sie unter Hebel-Audit. Direkter Termin-Vorschlag über Kontakt — wir nutzen Cal.eu für unsere eigene Buchung.

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Den AVV-Status eines Termin-Tools und die Drittland-Frage im konkreten Fall vor dem Live-Schalten anwaltlich bzw. mit der Datenschutzaufsicht klären.