Calendly
Calendly ist ein US-amerikanisches Terminplanungs-Tool, das Name, E-Mail-Adresse, Zeitzone und IP-Adresse von Einladenden verarbeitet. SCCs sind für EU-Nutzer erforderlich, da alle Daten in den USA gespeichert werden.
Was macht Calendly?
Was Calendly tatsächlich macht
Calendly ist der am weitesten verbreitete Scheduling SaaS und wird von Calendly LLC (Atlanta, Georgia) betrieben. Er stellt eine öffentliche Buchungsseite (calendly.com/ihr-name) oder einen eingebetteten Widget bereit, mit dem Eingeladene einen Termin aus dem Kalender des Hosts auswählen. Calendly integriert sich mit Google Workspace, Microsoft 365, iCloud, Zoom, Google Meet, Microsoft Teams, Stripe und Salesforce.
Cookies und Speicherzugriffe durch das Calendly Widget
Wenn der Publisher das Calendly Widget einbettet, lädt der iFrame von calendly.com und setzt dort folgende Cookies: __calendly_session (Sitzung, 30 Tage), _GRECAPTCHA (Google reCAPTCHA Token für Bot Erkennung), ajs_anonymous_id (Segment, 1 Jahr), ajs_user_id (eingeloggter Identifier) sowie _gid und _ga vom eingebetteten Google Analytics 4, sofern nicht blockiert. Die Publisher Domain erhält keine Calendly Cookies, da der iFrame auf der calendly.com Origin läuft.
Rechtsgrundlage und Einwilligung
Sobald der Eingeladene einen Termin bestätigt, ist die Rechtsgrundlage Vertragserfüllung oder Anbahnung (Art. 6(1)(b) DSGVO). Das Laden des Calendly iFrames setzt jedoch Drittanbieter Cookies und überträgt IP Adresse, User Agent und URL an Calendly vor jeder vertraglichen Beziehung; daher ist eine Einwilligung nach §25 TTDSG und Art. 6(1)(a) DSGVO für den Widget erforderlich. Der EuGH (Fashion ID, 2019) bestätigt, dass die einbettende Website für die mit dem iFrame ausgetauschten Daten gemeinsam Verantwortlicher ist.
Internationale Datenübermittlungen und EU Region
Calendly LLC ist seit dem 11. Oktober 2023 unter dem EU US Data Privacy Framework zertifiziert. Standardmäßig werden Kundendaten auf AWS US East und US West gehostet. 2023 hat Calendly eine EU Region Option (AWS Irland) für Enterprise Kunden eingeführt. Der Calendly AVV enthält die EU SCC (Modul 2) und führt Segment, Google Analytics, Stripe, Google reCAPTCHA, Sentry und Datadog als Unterauftragsverarbeiter auf.
Praktische Compliance Checkliste
Koppeln Sie die Calendly Einbettung an die Kategorie Produktivität oder Marketing Ihrer CMP. Ersetzen Sie den iFrame durch einen statischen Button, der die Einbettung erst nach Einwilligung lädt. Schließen Sie den Calendly AVV ab und aktivieren Sie die EU Region, falls in Ihrem Plan verfügbar. Deaktivieren Sie den eingebetteten Google Analytics 4 Tracker in den Calendly Einstellungen. Dokumentieren Sie Calendly LLC und seine Unterauftragsverarbeiter im Verarbeitungsverzeichnis (Art. 30 DSGVO) und in der Datenschutzerklärung. Bei kostenpflichtigen Beratungen beachten Sie das Widerrufsrecht der Verbraucherrechte Richtlinie.
Alternativen
Privacy first europäische Alternativen sind Cal.com (Open Source, US Hauptsitz mit EU Hosting Option), Doodle (Schweiz), TidyCal (USA), HubSpot Meetings (USA, EU Datenresidenz Add on), Microsoft Bookings (Microsoft 365 EU Data Boundary), Mixmax und Chili Piper für Vertriebsteams.
Calendly und die DSGVO
Calendly ist als „Präferenzen“ eingestuft. Auf einer Website für Besucher aus der EU darf der Dienst erst nach deren Einwilligung laden und muss in Ihrer Cookie-Richtlinie aufgeführt sein.
- Rechtsgrundlage
- For the actual booking transaction (name, email, calendar slot): performance of contract or pre contract (GDPR art. 6(1)(b)). For the embedded Calendly widget cookies, tracking pixels and any retargeting integration: consent under GDPR art. 6(1)(a) and ePrivacy art. 5(3) is required before loading the iframe or popup.
- Risikostufe
- medium
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive 2002/58/EC, EU US Data Privacy Framework, CCPA/CPRA, TTDSG (Germany), LOPDGDD (Spain), LIL (France), EU consumer rights directive when scheduling a paid consultation
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA wird in Healthcare, Recruiting oder Coaching empfohlen, wo Calendly sensible Metadaten verarbeiten kann. Datenfluss in die USA und Rechtsgrundlage dokumentieren.
Beispieltext für Ihr Banner
Wir setzen Calendly ein, eine US Scheduling Plattform der Calendly LLC, damit Sie einen Termin bei uns buchen können. Der Calendly Widget wird erst geladen, nachdem Sie die Kategorie Produktivität in unseren Cookie Einstellungen akzeptieren; anschließend werden die Cookies __calendly_session und _GRECAPTCHA auf calendly.com gesetzt. Bei der Bestätigung eines Termins werden Ihr Name, Ihre E Mail Adresse, die Terminwahl und individuelle Antworten von Calendly in den USA auf Grundlage des EU US Data Privacy Framework und der EU Standardvertragsklauseln verarbeitet. Sie können Ihre Einwilligung jederzeit widerrufen.
Was Calendly setzt und kontaktiert
- Tracking-Methode
- embedded_scheduling_widget_javascript_iframe
- Serverstandort
- Calendly runs primarily on AWS in the United States (US East Virginia, US West Oregon). Enterprise customers can opt for the EU region (Ireland) for primary data storage, available since 2023.
- Datenübermittlung außerhalb der EU
- Calendly LLC is established in Atlanta, Georgia. Customer scheduling data, invitee contact details and calendar integrations are processed in the United States by default. Calendly LLC is certified under the EU US Data Privacy Framework since 11 October 2023. EU Standard Contractual Clauses are appended to the Calendly DPA.
Gesetzte Cookies (7)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| __calendly_session | Third party (calendly.com) | Session | Maintains the booking session on calendly.com while the invitee is choosing a slot. |
| __calendly_session | session | Session | Calendly functional session cookie required for scheduling widget operation |
| _ga_calendly | persistent | 2 years | Calendly analytics cookie tracking widget usage, requires consent |
| __cf_bm | Third party (calendly.com) | 30 minutes | Cloudflare bot management cookie used by Calendly to filter malicious traffic. |
| _ga | Third party (calendly.com) | 2 years | Google Analytics visitor identifier used by Calendly for product analytics. |
| _gid | Third party (calendly.com) | 24 hours | Google Analytics session identifier used by Calendly. |
| AWSALB | Third party (calendly.com) | 7 days | AWS Application Load Balancer sticky cookie used to route the invitee to the same backend. |
Kontaktierte Drittanbieter-Domains (6)
calendly.comcalendly.comassets.calendly.comassets.calendly.comapi.calendly.comapi.calendly.com
Häufige Fragen zu Calendly
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Ist Calendly DSGVO-konform?
Calendly stellt einen DPA mit SCCs für EU-Kunden bereit. Die Kernfunktion der Terminplanung ist DSGVO-konform einsetzbar, wenn der DPA unterzeichnet wird und Eingeladene über die US-Datenübermittlung informiert werden. Das eingebettete Widget setzt Analytics-Cookies, die eine Einwilligung erfordern.
Welche personenbezogenen Daten erhebt Calendly von Eingeladenen?
Calendly erfasst Name, E-Mail-Adresse, Zeitzone, IP-Adresse und Antworten auf Intake-Formularfragen. Wenn der Veranstalter Integrationen wie Salesforce oder HubSpot aktiviert hat, werden diese Daten an die entsprechenden Drittdienste weitergeleitet.
Was ist die Rechtsgrundlage für Calendly?
Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) gilt für die Terminplanung als Teil eines Dienstleistungs- oder vorvertraglichen Verhältnisses. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) kann für interne Terminplanung gelten. Marketing-Follow-up erfordert stets eine separate ausdrückliche Einwilligung.
Erfordert Calendly SCCs für EU-Daten?
Ja. Alle Calendly-Daten werden in den USA verarbeitet. SCCs sind für die Übermittlung personenbezogener EU-Daten erforderlich. Laden Sie den Calendly-DPA im Admin-Portal herunter, unterzeichnen Sie ihn und überprüfen Sie, ob Calendly nach dem EU-US Data Privacy Framework zertifiziert ist.
Setzt Calendly Cookies?
Ja. Das eingebettete Calendly-Widget setzt Analytics- und funktionale Cookies. Analytics-Cookies verfolgen die Nutzung des Terminplanungstools und erfordern eine Einwilligung nach ePrivacy-Richtlinie. Verwenden Sie einen Link zum Calendly-Portal statt des Widgets, um die Cookie-Einwilligungspflicht zu umgehen.
Darf ich Calendly-Daten für Marketing-Follow-up verwenden?
Nur mit separater Einwilligung. Die Rechtsgrundlage für die E-Mail-Adresse der Eingeladenen via Terminplanung ist Vertragserfüllung oder vorvertragliche Maßnahmen, nicht Marketing. Für Marketing-Kommunikation ist eine separate, ausdrückliche Einwilligung der Eingeladenen erforderlich.
Wie bearbeite ich Löschungsanfragen von Eingeladenen für Calendly?
Calendly stellt Werkzeuge im Admin-Portal bereit, um Eingeladenen-Daten zu löschen. Suchen Sie den Eingeladenen nach E-Mail-Adresse und löschen Sie seine Buchungsdaten. Dokumentieren Sie die Löschung als Nachweis für die DSGVO-Nachweispflicht. Bei Integrationen (Salesforce, HubSpot) müssen Daten auch dort gelöscht werden.
Gibt es EU-basierte Alternativen zu Calendly?
EU-gehostete Terminplanungs-Alternativen sind Doodle (Schweiz), YouCanBook.me (EU-Option verfügbar) und Cal.com (selbst hostbar, Open Source). Für vollständig EU-basierte Verarbeitung ohne US-Datentransfer empfiehlt sich Cal.com mit Self-Hosting auf EU-Infrastruktur.
Welche Cookies setzt Calendly?
Drittanbieter Cookies auf calendly.com: __calendly_session (Sitzung), __cf_bm (Cloudflare Bot Schutz, 30 Minuten), _ga und _gid (Google Analytics), AWSALB (AWS Load Balancer Routing, 7 Tage).
Brauche ich für Calendly eine Einwilligung?
Ja. Das Embed setzt nicht erforderliche Analytics, Bot Management und Session Cookies und lädt Skripte von calendly.com. § 25 TDDDG / Art. 5 Abs. 3 ePrivacy verlangen eine vorherige Einwilligung.
Was ist die Rechtsgrundlage?
Einwilligung (Art. 6 Abs. 1 lit. a + § 25 TDDDG) für Cookies. Vertragserfüllung (lit. b) für die Buchungsdaten nach Auswahl des Termins.
Überträgt Calendly Daten in die USA?
Ja. Standardspeicherung in AWS US East. Enterprise Kunden können EU Residenz in Frankfurt anfordern. Transfers durch EU SCCs und die EU US Data Privacy Framework Zertifizierung der Calendly LLC abgesichert.
Brauche ich eine DSFA für Calendly?
Empfohlen in Healthcare, Recruiting oder Coaching mit sensiblen Metadaten oder bei hochvolumigen B2C Buchungen.
Wie setze ich Calendly rechtskonform um?
Calendly DPA unterzeichnen, EU Residenz auf Enterprise anfordern, Calendly als US Auftragsverarbeiter im Verzeichnis nach Art. 30 DSGVO eintragen, Embed hinter der CMP blockieren, eigene Fragen minimieren, Default Analytics Integrationen deaktivieren.
Welche Alternativen gibt es?
EU Alternativen: Cal.com (Open Source, Schweiz), Skej (Estland), Doodle (Schweiz), Microsoft Bookings (USA/EU), TidyCal (USA), SimplyBook.me (Estland), Vyte (Frankreich), Youcanbook.me (UK), Acuity Scheduling (USA, Squarespace).
Wie aktualisiere ich die Cookie Richtlinie?
Listen Sie jedes Calendly Cookie mit Name, Zweck, Speicherdauer und Rechtsgrundlage (Einwilligung). Erwähnen Sie calendly.com als Drittanbieter Domain und den US Transfer mit Verweis auf das EU US Data Privacy Framework.
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.