Kundenkartei und DSGVO im Salon: was du notieren darfst

Die DSGVO gilt auch für Karteikarten

Die Datenschutz-Grundverordnung gilt nicht nur für Software. Auch eine Kundenkartei auf Papier fällt darunter, wenn sie geordnet geführt wird, zum Beispiel alphabetisch im Karteikasten. Ob du mit Papier, einer Tabelle oder einem Programm arbeitest, spielt also keine Rolle: Die Regeln sind dieselben.

Für die Daten deiner Kundschaft bist du als Salon „Verantwortlicher“ im Sinne der DSGVO. Das heißt: Du entscheidest, was gespeichert wird, und du musst begründen können, warum.

Was du notieren darfst

Jede Speicherung braucht eine Rechtsgrundlage. Für die normale Kundenkartei kommen vor allem zwei infrage:

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Name und Kontaktdaten brauchst du, um Termine zu vereinbaren, zu bestätigen und bei Änderungen Bescheid zu geben.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Notizen, die deiner Arbeit dienen und mit denen die Kundin rechnet, etwa die Farbrezeptur vom letzten Mal oder die Länge, die sie gern trägt.

Typischerweise unproblematisch sind:

• Name, Telefonnummer, E-Mail-Adresse,
• Termine und gebuchte Leistungen,
• Farbrezeptur, Mischverhältnis, Einwirkzeit,
• Haarstruktur, Schnittwünsche, gewünschte Länge,
• praktische Hinweise wie „kommt lieber vormittags“.

Die Faustregel: Notier nur, was du für die nächste Behandlung wirklich brauchst. Weniger Daten heißt weniger Risiko und weniger Arbeit, wenn jemand Auskunft oder Löschung verlangt.

Was nicht in die Kartei gehört

• Wertungen über Personen wie „schwierig“, „nervig“ oder „zahlt ungern“. Deine Kundin kann Auskunft verlangen und sieht dann jeden Eintrag. Schreib nur, was du ihr auch zeigen würdest.
• Private Details ohne Bezug zur Behandlung, etwa Beziehung, Arbeitgeber oder Familienstreit, auch wenn sie im Gespräch erzählt wurden.
• Ausweis- oder Kontodaten, wenn du sie nicht für einen konkreten Zweck brauchst.
• Gesundheitsangaben ohne Einwilligung. Dazu gleich mehr.

Sachliche Angaben, etwa ein Termin mit dem Status „nicht erschienen“, sind etwas anderes als Wertungen über einen Menschen.

Allergien und Gesundheitsdaten: besonders sensibel

Gerade beim Färben sind Allergien wichtig: Eine bekannte Reaktion auf bestimmte Farbstoffe solltest du kennen, bevor du anmischst. Rechtlich sind das aber Gesundheitsdaten, und die gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich verboten, außer es greift eine Ausnahme. Im Salon ist das in der Regel die ausdrückliche Einwilligung der Kundin (Art. 9 Abs. 2 lit. a DSGVO).

Praktisch heißt das:

1. Frag, bevor du es aufschreibst: „Darf ich mir notieren, dass du auf diesen Farbstoff reagierst? Dann weiß es beim nächsten Mal auch meine Kollegin.“
2. Halte die Einwilligung fest, am besten schriftlich, mindestens mit Datum in der Kartei. Du musst sie später nachweisen können.
3. Notier nur das Nötige. „Keine Farbe mit PPD“ reicht. Eine Krankengeschichte gehört nicht in die Kartei.
4. Sag dazu, dass die Einwilligung jederzeit widerrufen werden kann. Dann löschst du den Eintrag.

Das gilt auch für andere Gesundheitsangaben, etwa Probleme mit der Kopfhaut oder eine Schwangerschaft, wenn sie für die Behandlung wichtig sind.

Wenn du eine Software nutzt, überleg, wer solche Notizen sehen kann. In Kammzeit gibt es im Gratis-Plan einen Login pro Salon. Mit Pro bekommen Mitarbeiter eigene Logins: Sie sehen die ganze Kundenkartei mit allen Notizen, können aber keine Kunden löschen und die Kartei nicht exportieren. Einzelne Notizen vor dem Team verbergen kannst du nicht. Wenn jemand den Salon verlässt, entfernst du seinen Zugang.

Kundschaft informieren

Nach Art. 13 DSGVO musst du Menschen informieren, wenn du ihre Daten erhebst: wer verantwortlich ist, wofür die Daten genutzt werden, wie lange sie gespeichert bleiben und welche Rechte die Person hat. Im Salon geht das gut mit einem Aushang oder einem Blatt an der Kasse, dazu kommt die Datenschutzerklärung auf deiner Website.

Bei der Online-Buchung gehört die Information ebenfalls dazu. Die Buchungsseite von Kammzeit verlinkt Hinweise zum Datenschutz, in denen steht, dass der Salon für die Buchungen verantwortlich ist und Kammzeit die Daten in seinem Auftrag verarbeitet. Erwähne die Online-Buchung und Kammzeit als Dienstleister auch in deiner eigenen Datenschutzerklärung.

Auskunft und Löschung

Auskunft

Jede Kundin kann nach Art. 15 DSGVO fragen, welche Daten du über sie gespeichert hast. Antworten musst du grundsätzlich innerhalb eines Monats; in schwierigen Fällen ist eine Verlängerung möglich. Die Auskunft ist in der Regel kostenlos. Prüf vorher, ob die Anfrage wirklich von der Kundin kommt, vor allem bei einer unbekannten Mailadresse.

In Kammzeit stehen Kontaktdaten, Notizen und Termine einer Person auf ihrer Karteikarte. Diese Angaben kannst du ausdrucken oder abschreiben und herausgeben, inklusive der Notizen.

Löschung

Wenn du Daten nicht mehr brauchst oder die Kundin die Löschung verlangt (Art. 17 DSGVO), löschst du sie, soweit keine Aufbewahrungspflicht entgegensteht. Steuerliche Pflichten, etwa für Rechnungen und Kassenbelege, gelten weiter. Was davon deine Unterlagen betrifft, klärst du im Zweifel mit deiner Steuerberatung.

In Kammzeit löschst du eine Kundin über „Kunde löschen“ auf ihrer Karteikarte, zusammen mit ihren Terminen. Auch ohne Anfrage lohnt es sich, einmal im Jahr aufzuräumen. Wer seit Jahren nicht mehr da war, braucht keine Karteikarte mehr. Leg dir selbst eine Frist fest und halte dich daran.

Software-Anbieter und AVV

Wenn ein Anbieter die Daten deiner Kundschaft für dich speichert, etwa ein Buchungssystem oder eine Kartei in der Cloud, ist das in der Regel eine Auftragsverarbeitung. Dafür schreibt Art. 28 DSGVO einen Vertrag vor, den Auftragsverarbeitungsvertrag (AVV). Darin steht unter anderem, dass der Anbieter die Daten nur nach deinen Weisungen verarbeitet, wie er sie schützt und welche Unterauftragnehmer beteiligt sind.

Darauf achtest du:

• Gibt es einen AVV, und kannst du ihn vor Vertragsschluss lesen?
• Wo werden die Daten gespeichert? Stehen die Server in der EU?
• Welche Unterauftragnehmer gibt es?
• Kannst du deine Daten exportieren und am Ende vollständig löschen lassen?

Bei Kammzeit gilt der AVV ab der Registrierung. Die Daten liegen auf Servern in einem Rechenzentrum in Eygelshoven in den Niederlanden. Die Kundenkartei kannst du als CSV exportieren, alle Daten des Salons als JSON, und dein Konto kannst du selbst löschen.

Checkliste

• Nur notieren, was du für die Behandlung brauchst.
• Keine Wertungen und nichts, was du der Kundin nicht zeigen würdest.
• Allergien und andere Gesundheitsdaten nur mit ausdrücklicher Einwilligung, und die Einwilligung festhalten.
• Datenschutzhinweis im Salon und auf der Website.
• Auskunft innerhalb eines Monats geben.
• Alte Karteikarten regelmäßig löschen.
• AVV mit jedem Anbieter, der Kundendaten für dich speichert.
• Zugang zur Kartei nur für Personen, die ihn brauchen.

Hinweis: Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Bei konkreten Fragen wende dich an eine Anwältin oder einen Anwalt, an deine Innung oder an die Datenschutz-Aufsichtsbehörde deines Bundeslandes.