Kundenkartei und DSGVO: was Sie speichern dürfen

„Wie immer?“ – dieser Satz ist in vielen Salons ein kleines Versprechen. Der Kunde muss nichts erklären, denn Farbton, Schnitt und Lieblingsshampoo stehen in der Kartei. Eine gute Kundenkartei spart Zeit und sorgt dafür, dass sich Kunden gut aufgehoben fühlen.

Gleichzeitig sind das personenbezogene Daten, und damit gilt die Datenschutz-Grundverordnung (DSGVO). Keine Sorge: Für einen Salon, ein Studio oder einen Barbershop sind die Regeln gut zu bewältigen. Dieser Artikel zeigt die Grundsätze an Beispielen aus dem Alltag.

Warum dürfen Sie Kundendaten überhaupt speichern?

Die DSGVO erlaubt eine Verarbeitung, wenn es dafür eine Rechtsgrundlage gibt. Für kleine Betriebe sind drei wichtig:

• Vertrag: Wer einen Termin bucht, schließt mit Ihnen einen Vertrag. Name, Kontaktdaten und die gebuchte Leistung brauchen Sie dafür.
• Berechtigtes Interesse: Manches ist für Ihre Arbeit sinnvoll, ohne unbedingt nötig zu sein, etwa die Farbrezeptur für den nächsten Termin. Das ist in Maßen möglich, solange die Interessen des Kunden nicht überwiegen.
• Einwilligung: Für Fotos, Werbung per E-Mail und alles, was über das Übliche hinausgeht. Eine Einwilligung ist freiwillig und kann jederzeit widerrufen werden.

Grundsatz 1: Zweckbindung – wofür speichern Sie etwas?

Jede Angabe braucht einen Zweck. Fragen Sie sich bei jedem Feld: Wofür brauche ich das? Eine Übersicht mit typischen Beispielen:

Grundsatz 2: Datensparsamkeit – nur so viel wie nötig

Speichern Sie nur, was Sie wirklich nutzen. Das schützt Ihre Kunden und macht Ihnen weniger Arbeit. Drei praktische Regeln:

• Pflichtfelder klein halten: Für eine Online-Buchung reichen Name und E-Mail-Adresse. Die Telefonnummer machen Sie nur zur Pflicht, wenn Sie sie wirklich brauchen. Gute Buchungsprogramme lassen Sie das selbst einstellen.
• Sachlich schreiben: Notieren Sie so, als würde der Kunde mitlesen. Das kann tatsächlich passieren, denn Kunden haben ein Recht auf Auskunft.
• Eigene Felder mit Bedacht: Legen Sie nur Felder an, die Sie regelmäßig ausfüllen, zum Beispiel „Farbrezeptur“ oder „Bevorzugte Zeiten“.

Fotos: nur mit Einwilligung

Ein Foto vom fertigen Schnitt oder von den Nägeln ist praktisch, gerade bei Stammkunden. Sobald eine Person darauf erkennbar ist, brauchen Sie ihre Einwilligung. Unterscheiden Sie dabei zwei Fälle:

• Foto für die Kartei: nur intern, als Gedächtnisstütze. Fragen Sie vorher kurz und notieren Sie die Zustimmung.
• Foto für Instagram oder die Homepage: Das ist eine Veröffentlichung. Dafür brauchen Sie eine eigene Einwilligung, am besten schriftlich. Der Kunde kann sie jederzeit widerrufen, dann nehmen Sie das Bild herunter.

Speichern Sie Kartei-Fotos nicht in der privaten Galerie des Handys, sondern geschützt an einem Ort, auf den nur Sie und berechtigte Mitarbeiter zugreifen. Eine Kundenkartei im Terminprogramm eignet sich dafür besser als ein Chatverlauf.

Gesundheitsdaten: besonders vorsichtig

Angaben wie Allergien, Hauterkrankungen oder eine Schwangerschaft sind Gesundheitsdaten. Die DSGVO zählt sie zu den besonderen Kategorien personenbezogener Daten. Für sie gelten deutlich strengere Regeln, in der Regel braucht es eine ausdrückliche Einwilligung und besondere Schutzmaßnahmen.

Für die Terminplanung brauchen Sie solche Angaben nicht. Viele Terminprogramme sind dafür auch nicht gedacht. In buchIQ dürfen Gesundheitsangaben laut AGB nicht in Notizen, eigene Felder oder Fotos eingetragen werden. Klären Sie solche Fragen im persönlichen Gespräch. Wenn Sie sie aus fachlichen Gründen dauerhaft festhalten möchten, lassen Sie sich vorher beraten, zum Beispiel von Ihrer Innung oder einer Fachanwältin.

Wie lange dürfen Sie Kundendaten behalten?

Die DSGVO nennt keine feste Frist für eine Kundenkartei. Es gilt: so lange, wie Sie die Daten für den Zweck brauchen. Bei einem Stammkunden, der alle sechs Wochen kommt, ist das klar. Bei jemandem, der vor vier Jahren einmal da war, eher nicht mehr.

Legen Sie deshalb eine eigene Regel fest und schreiben Sie sie auf. Zum Beispiel: „Einmal im Jahr prüfen wir Karteien von Kunden, die seit drei Jahren nicht da waren, und löschen sie.“ Wichtig ist, dass Sie die Regel auch umsetzen.

Davon getrennt sind Rechnungen und Buchhaltungsunterlagen. Für sie gelten gesetzliche Aufbewahrungsfristen. Diese Unterlagen liegen aber in Ihrer Buchhaltung, nicht in der Kundenkartei.

In buchIQ hilft der Filter „Länger nicht da (6 Monate)“ in der Kundenliste beim Aufräumen. Beim Löschen einer Kartei werden Kontaktdaten, Notizen, Fotos und das E-Mail-Protokoll des Kunden entfernt. Die Termine bleiben ohne Namen für Ihre Statistik erhalten.

Welche Rechte haben Ihre Kunden?

• Auskunft: Kunden dürfen fragen, welche Daten Sie über sie speichern. Antworten Sie ohne unnötige Verzögerung, spätestens innerhalb eines Monats.
• Berichtigung: Falsche Angaben korrigieren Sie.
• Löschung: Wer keine Kartei mehr möchte, bekommt sie gelöscht, soweit keine Aufbewahrungspflicht entgegensteht.
• Widerspruch gegen Werbung: Wer keine Werbung mehr möchte, bekommt keine mehr.

Legen Sie fest, wer im Team solche Anfragen bearbeitet, und prüfen Sie, ob die Anfrage wirklich von der Person selbst kommt. Liegen alle Angaben an einem Ort, geht die Auskunft schnell. Zettel, Handy und Kalenderbuch durchsuchen dauert dagegen lange.

Wer darf die Kartei sehen?

Nicht jede Person im Team braucht Zugriff auf alles. Geben Sie Rechte nach Aufgabe. Lassen Sie am Tresen keinen Bildschirm mit offener Kartei stehen, wenn Kunden warten. Gute Terminprogramme bieten dafür Rollen je Zugang und eine eingeschränkte Ansicht für das gemeinsame Gerät am Tresen, in der Bearbeiten, Löschen und Einstellungen gesperrt sind.

Informieren und Verträge

Ihre Kunden müssen wissen, was mit ihren Daten passiert. Dafür sind die Datenschutzhinweise auf Ihrer Homepage da. Nutzen Sie ein Terminprogramm, verarbeitet dessen Anbieter die Daten in Ihrem Auftrag. Dafür brauchen Sie einen Vertrag zur Auftragsverarbeitung. Bei buchIQ schließen Sie ihn mit der Registrierung ab, und die Daten liegen auf Servern in Deutschland. Was sonst auf eine Homepage gehört, lesen Sie im Artikel Eigene Homepage für kleine Betriebe.

Ihre Checkliste

1. Für jedes Feld der Kartei einen Zweck benennen, überflüssige Felder löschen.
2. Notizen sachlich halten, keine Gesundheitsangaben.
3. Einwilligung für Fotos einholen, für Veröffentlichungen gesondert.
4. Eine Löschregel festlegen und einmal im Jahr umsetzen.
5. Festlegen, wer Auskunfts- und Löschanfragen bearbeitet.
6. Zugriffsrechte im Team prüfen.
7. Datenschutzhinweise auf der Homepage prüfen.