Datenschutz im Friseursalon: Kundendaten richtig schützen

Datenschutz im Friseursalon betrifft weit mehr als eine Datenschutzerklärung auf der eigenen Website. Schon die einfache Terminkartei mit Name, Telefonnummer und Behandlungsnotizen enthält personenbezogene Daten und unterliegt damit vollständig der DSGVO. Bei Verstößen drohen Bußgelder von bis zu 4 % des Jahresumsatzes, deshalb lohnt sich ein strukturierter Blick auf die eigenen Abläufe.

Dieser Artikel zeigt, welche Daten ein Salon typischerweise verarbeitet und wann dafür eine Einwilligung nötig ist. Er zeigt außerdem, wie sich die wichtigsten DSGVO-Pflichten mit vertretbarem Aufwand im Alltag umsetzen lassen, und ergänzt damit den Artikel Rechtliche Pflichten im Salon, der sich auf Hygiene und Arbeitsschutz konzentriert.

Datenschutz im Friseursalon: Diese Daten fallen im Alltag an

Schon ein einzelner Kundentermin bündelt mehrere Datenkategorien: Name, Telefonnummer oder E-Mail-Adresse, Termin und Zahlungsdaten gehören zur Grundausstattung jeder Terminverwaltung. Hinzu kommen häufig Behandlungsnotizen zu Allergien, Unverträglichkeiten oder dem Kopfhautzustand – rechtlich zählen solche Gesundheitsangaben zu den besonders geschützten Datenkategorien nach Artikel 9 DSGVO.

Auch Mitarbeitende sind betroffen: Arbeitsverträge, Gehaltsabrechnungen und Dienstpläne enthalten ebenfalls personenbezogene Daten. Wer zudem Vorher-Nachher-Fotos für Social Media plant, verarbeitet zusätzlich Bilddaten, die eine eigene rechtliche Grundlage brauchen.

Datenschutz im Friseursalon: Wann eine Einwilligung wirklich nötig ist

Anders als viele Salons annehmen, braucht nicht jede Datenverarbeitung eine gesonderte Einwilligung. Für die Terminverwaltung reicht meist die Vertragserfüllung nach Artikel 6 Absatz 1 lit. b DSGVO, denn Name und Kontaktdaten sind für die Dienstleistung notwendig. Die steuerliche Einzelaufzeichnungspflicht liefert zusätzlich eine rechtliche Verpflichtung als Rechtsgrundlage für Kassenbelege. Für Direktwerbung zu eigenen Dienstleistungen genügt oft ein berechtigtes Interesse, solange Kunden jederzeit widersprechen können.

Datenart	Übliche Rechtsgrundlage	Einwilligung nötig?
Name, Telefonnummer, Termin	Vertragserfüllung	Nein
Kassenbeleg, Rechnungsdaten	Rechtliche Verpflichtung	Nein
Direktwerbung per Post	Berechtigtes Interesse	Nein, Widerspruch möglich
Werbe-E-Mail oder SMS	Einwilligung	Ja
Veröffentlichte Kundenfotos	Einwilligung	Ja

Eine ausdrückliche Einwilligung bleibt dagegen für drei Fälle Pflicht: die Veröffentlichung erkennbarer Fotos oder Videos, elektronische Werbung per E-Mail oder SMS sowie die gezielte Erhebung umfassender Gesundheitsdaten über die eigentliche Behandlung hinaus. Zu breit formulierte Einwilligungsformulare schaffen dabei eher zusätzliche Risiken, als dass sie schützen.

Das Verzeichnis von Verarbeitungstätigkeiten führen

Artikel 30 DSGVO verlangt ein schriftliches Verzeichnis aller Verarbeitungstätigkeiten. Darin gehören mindestens der Verarbeitungszweck, die betroffenen Personen- und Datenkategorien, interne und externe Empfänger, die geplanten Löschfristen sowie die technischen und organisatorischen Sicherheitsmaßnahmen. Kleine Unternehmen unter 250 Beschäftigten sind hiervon zwar grundsätzlich befreit – die Ausnahme greift jedoch nur bei rein gelegentlicher Verarbeitung ohne besondere Datenkategorien.

Weil Salons regelmäßig Kundendaten verarbeiten und dabei häufig Gesundheitsangaben wie Allergien einbeziehen, entfällt diese Ausnahme in der Praxis meist. Ein einmal angelegtes Verzeichnis lässt sich danach mit wenig Aufwand pflegen, sobald sich Software oder Abläufe ändern.

Auftragsverarbeitung bei Kassensystem, Terminbuchung und Cloud-Diensten

Sobald ein externer Anbieter Kundendaten im Auftrag verarbeitet – etwa das Kassensystem, eine Terminbuchungssoftware oder ein Cloud-Backup –, schreibt Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Seriöse Anbieter stellen diesen meist automatisch im Kundenportal oder auf Anfrage bereit; ein Salon sollte ihn vor der eigentlichen Nutzung prüfen und archivieren. Worauf sich die Auswahl der passenden Software insgesamt stützen sollte, beschreibt der Artikel Digitale Terminbuchung im Salon ausführlicher.

Technische und organisatorische Maßnahmen im Salonalltag

Konkrete Schutzmaßnahmen entscheiden im Alltag oft mehr als jedes Formular. Dazu gehören ein passwortgeschützter Zugang zum Kassensystem, ein Bildschirm, der für wartende Kundschaft nicht einsehbar steht, sowie abschließbare Schränke für Papierkarteikarten. Ergänzend sollten Salons Zugriffsrechte klar auf die tatsächlich benötigten Personen begrenzen und Passwörter regelmäßig ändern.

Löschfristen und Auskunftsrechte im Überblick

Zwei Fristenlogiken gelten parallel: Steuerlich relevante Unterlagen wie Rechnungen und Kassenbelege müssen Salons nach der Abgabenordnung meist acht bis zehn Jahre aufbewahren. Alle übrigen Daten – etwa Behandlungsnotizen ehemaliger Kunden ohne weiteren Kontakt – sollten Salons dagegen löschen, sobald der ursprüngliche Zweck entfällt. Ein grober Richtwert für inaktive Kundendaten ohne steuerlichen Bezug liegt bei zwei bis drei Jahren, sofern kein anderer Grund für eine längere Speicherung besteht.

Kundinnen und Kunden können außerdem jederzeit Auskunft über ihre gespeicherten Daten verlangen, fehlerhafte Angaben berichtigen lassen oder die Löschung fordern. Eine Ausnahme gilt nur, wenn eine gesetzliche Aufbewahrungspflicht entgegensteht. Salons haben für eine Antwort in der Regel einen Monat Zeit, eine feste Ansprechperson im Team beschleunigt die Bearbeitung solcher Anfragen dabei erheblich.

Datenschutzbeauftragter: Ab wann ihn ein Salon braucht

Eine Pflicht zum Datenschutzbeauftragten entsteht aktuell erst, sobald mindestens 20 Personen im Salon regelmäßig automatisiert auf personenbezogene Daten zugreifen. Dazu zählen Inhaberin oder Inhaber, Vollzeit- und Teilzeitkräfte sowie Auszubildende mit Zugriff. Personal ohne Datenzugang, etwa eine externe Reinigungskraft, zählt dabei nicht mit. Die allermeisten Salons bleiben damit deutlich unter der Schwelle. Ein politischer Vorschlag sieht vor, diese Pflicht bis Ende 2026 abzuschaffen. Ein konkretes Gesetz liegt dafür bislang jedoch nicht vor, sodass die aktuelle Regelung bis auf Weiteres gilt.

Datenpannen richtig melden

Geht ein Laptop mit Kundendaten verloren oder greift jemand unbefugt auf das Kassensystem zu, gilt meist Artikel 33 DSGVO. Er verlangt in der Regel eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden. Betroffene Kundinnen und Kunden informiert der Salon zusätzlich direkt, wenn ein hohes Risiko für ihre Rechte besteht, etwa bei entwendeten Zahlungsdaten. Eine kurze interne Checkliste mit Meldeweg und Ansprechperson erspart im Ernstfall wertvolle Zeit.

Fazit: Datenschutz im Friseursalon als Teil der täglichen Organisation

Datenschutz im Friseursalon lässt sich mit klaren Rechtsgrundlagen, einem gepflegten Verzeichnis der Verarbeitungstätigkeiten und wenigen technischen Grundmaßnahmen praktikabel umsetzen. Wer diese Bausteine einmal sauber aufsetzt, reduziert damit sowohl das Bußgeldrisiko als auch den Aufwand für spätere Kundenanfragen. Weiterführende Hinweise für kleine und mittlere Unternehmen bietet die Landesbeauftragte für den Datenschutz Sachsen-Anhalt.