DSGVO Kosmetikstudio und Friseur: Pflichten und Checkliste

Welche Daten du im Studio verarbeitest

Schon eine Terminbuchung ist Datenverarbeitung. Je nach Betrieb kommen schnell mehr Daten zusammen:

• Kontaktdaten: Name, Telefon, E-Mail, Adresse auf Rechnungen.
• Termin- und Kaufdaten: wann wer da war, was gemacht und gekauft wurde.
• Gesundheitsdaten: Allergien, etwa gegen Haarfarbe oder Kleber, Hautkrankheiten, Medikamente, Schwangerschaft. Diese Daten stehen unter besonderem Schutz (Art. 9 DSGVO).
• Fotos: Vorher-Nachher-Bilder, Fotos von Frisuren oder Nägeln für Instagram.
• Zahlungsdaten: bei Anzahlungen oder Gutscheinen.
• Marketing: E-Mail-Adressen für Newsletter, Einwilligungen.

Auch beim Friseur fallen Gesundheitsdaten an. Notierst du in der Kartei, dass eine Kundin auf einen bestimmten Farbstoff allergisch reagiert, ist das eine Gesundheitsangabe.

Die richtige Rechtsgrundlage für jeden Zweck

Jede Verarbeitung braucht eine Rechtsgrundlage. Für Studios und Salons sind es meist diese drei:

Die Einwilligung für Gesundheitsdaten muss ausdrücklich sein. Ein eigenes Kästchen oder eine eigene Unterschrift, nicht versteckt in den AGB. Die Kundin muss wissen, dass sie jederzeit widerrufen kann (Art. 7 Abs. 3 DSGVO). Ob für Kosmetikstudios auch die Ausnahme für die Gesundheitsversorgung greift, ist nicht geklärt. Mit der Einwilligung bist du auf der sicheren Seite.

Deine Pflichten als kleines Studio

Die DSGVO kennt kaum Ausnahmen für kleine Betriebe. Diese Pflichten treffen auch dich, wenn du allein arbeitest:

• Datenschutzhinweis (Art. 13 DSGVO): Informiere Kundinnen, wer verantwortlich ist, welche Daten du wofür nutzt, wie lange du sie speicherst und welche Rechte sie haben. Als Aushang, auf der Website und bei Online-Buchung.
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO): Eine Liste, welche Daten du wofür, wie lange und mit welchen Dienstleistern verarbeitest. Die Ausnahme für Betriebe unter 250 Beschäftigten greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder Gesundheitsdaten betrifft. Bei einer Kundenkartei ist das praktisch immer der Fall.
• Auftragsverarbeitungsverträge (Art. 28 DSGVO): Mit jedem Anbieter, der Kundendaten für dich verarbeitet: Buchungssoftware, Kassensystem, Newsletter-Tool, Cloud-Speicher, Steuerberater-Software.
• Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Passwörter, Bildschirmsperre, verschlossene Aktenschränke, Updates, Backups.
• Löschkonzept: Wann löschst du welche Daten? Schriftlich festhalten und umsetzen.
• Datenpannen melden (Art. 33 DSGVO): Wird zum Beispiel ein Laptop mit Kundendaten gestohlen, musst du das in der Regel unverzüglich und möglichst binnen 72 Stunden der Datenschutzbehörde melden.
• Auskunft und Löschung: Fragt eine Kundin, was du über sie gespeichert hast, musst du Auskunft geben und auf Wunsch löschen, soweit keine Aufbewahrungspflicht entgegensteht.

Einen Datenschutzbeauftragten brauchst du in der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Für die meisten Studios und Salons ist das nicht der Fall.

Typische Fehler im Alltag

Die meisten Datenschutzprobleme entstehen nicht in der Software, sondern zwischen zwei Terminen am Handy.

• Private WhatsApp für Kundinnen: Die normale App liest das Adressbuch aus und überträgt Daten an Meta. Für Kundenkommunikation gilt sie deshalb weithin als nicht DSGVO-konform. Ein Urteil, das das für Studios abschließend klärt, kennen wir nicht. Die Business-Lösung mit Auftragsverarbeitung und Einwilligung gilt als vertretbarer.
• Gesundheitsfragen per Instagram-DM: Kundinnen schicken Fotos von Hautreaktionen oder Allergien per DM. Diese Daten liegen dann bei Meta. Bitte darum, solche Angaben im Termin oder per Formular zu machen.
• Kundenfotos im privaten Handy-Album: Die Fotos landen automatisch in der privaten Cloud und werden mit Familienfotos vermischt. Speichere sie direkt in der Kundenakte und lösche sie vom Handy.
• Offene Terminbücher und Karteikarten am Empfang: Wer an der Theke steht, kann mitlesen.
• Excel-Liste ohne Passwort auf dem Familien-Laptop.
• Newsletter an alle, auch an Kundinnen, die nie eingewilligt haben.
• Fotos auf Instagram ohne gesonderte Einwilligung der Kundin.

Software richtig auswählen

Eine gute Studio-Software nimmt dir einen Teil der Arbeit ab, ersetzt aber nicht deine Verantwortung. Achte auf diese Punkte:

• Server in Deutschland oder der EU, auch für Backups.
• Auftragsverarbeitungsvertrag, den du online abschließen kannst.
• Zusätzliche Verschlüsselung für Gesundheitsangaben und Fotos.
• Rollen, damit Mitarbeitende nur sehen, was sie brauchen.
• Einwilligungen digital mit Datum speichern, getrennt nach Zweck.
• Newsletter nur mit Double-Opt-in.
• Vollständiger Datenexport, damit du Auskunftsanfragen beantworten und den Anbieter wechseln kannst.

In Praxsy sind zum Beispiel Server in Deutschland, ein AVV, zusätzliche Verschlüsselung sensibler Daten, ein Zugriffsprotokoll und Newsletter mit Double-Opt-in enthalten.

Checkliste: DSGVO im Studio

Geh die Punkte einmal durch und hake ab, was erledigt ist:

1. Datenschutzhinweis im Laden aushängen und auf der Website veröffentlichen.
2. Verzeichnis der Verarbeitungstätigkeiten anlegen (Termine, Kundenkartei, Rechnungen, Newsletter, Fotos, Website).
3. Alle Dienstleister auflisten und mit jedem einen AVV abschließen.
4. Anamnesebogen mit ausdrücklicher Einwilligung für Gesundheitsdaten und Widerrufshinweis einsetzen.
5. Getrennte Einwilligungen für Fotos (intern und Veröffentlichung) und Newsletter einholen.
6. Löschfristen festlegen und einmal im Jahr alte Daten löschen.
7. Passwörter, Bildschirmsperre und automatische Updates auf allen Geräten einrichten.
8. Karteikarten und Unterlagen abschließbar aufbewahren.
9. Private WhatsApp und private Fotoalben für Kundendaten abschaffen.
10. Ablauf für Datenpannen notieren: wer meldet, an welche Behörde, innerhalb von 72 Stunden.
11. Mitarbeitende auf Vertraulichkeit verpflichten und kurz schulen.

Ein Rechenbeispiel zum Aufwand: Für den ersten Durchgang brauchen die meisten kleinen Studios einen halben bis ganzen Tag. Danach reicht eine Stunde pro Jahr für die Prüfung, wenn Software und Formulare sauber eingerichtet sind.

Häufige Fragen