Kundenkartei im Salon: Datenschutz in Deutschland umsetzen
Kurz gesagt
Ein Salon in Deutschland darf in der Kundenkartei nur Daten speichern, die für einen festgelegten Zweck erforderlich sind, und nur so lange, wie der Zweck besteht (Art. 5 Abs. 1 Buchst. c und e DSGVO). Allergien und andere Gesundheitsangaben sind besondere Kategorien (Art. 9 DSGVO). Für die Kartei als Ganzes nennt das Gesetz keine feste Frist; Rechnungen und Buchungsbelege sind acht Jahre aufzubewahren.
Das Wichtigste
- Jedes Feld der Kartei braucht einen Zweck und eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO; Name, Telefonnummer und gebuchte Leistung dienen der Terminvereinbarung und Durchführung (Buchst. b).
- Angaben zu Allergien, Hauterkrankungen oder Schwangerschaft sind Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO; ihre Verarbeitung ist untersagt, soweit nicht ein Fall des Art. 9 Abs. 2 DSGVO vorliegt, zum Beispiel die ausdrückliche Einwilligung (Buchst. a).
- Rechnungen sind nach § 14b Abs. 1 UStG acht Jahre aufzubewahren, Buchungsbelege nach § 147 Abs. 1 Nr. 4, Abs. 3 AO ebenfalls acht Jahre; für die Kundenkartei als Ganzes haben wir in den geöffneten Quellen keine feste Frist gefunden.
- Bei der Erhebung ist der Kundschaft die Speicherdauer oder das Kriterium dafür mitzuteilen (Art. 13 Abs. 2 Buchst. a DSGVO).
- Verstöße gegen Art. 5, 6 und 9 DSGVO können mit Geldbußen bis 20 Millionen Euro oder bei Unternehmen 4 Prozent des weltweiten Jahresumsatzes des Vorjahres geahndet werden, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO).
Eine Kundenkartei ist die Sammlung der Daten, die ein Salon über seine Kundschaft führt, ob auf Papier, in der Kasse oder in einer Terminsoftware. Dieser Artikel behandelt die Kartei in Deutschland, soweit die Datenschutz-Grundverordnung (DSGVO) gilt. Zuständig für die Aufsicht über nicht-öffentliche Stellen sind nach § 40 Abs. 1 Bundesdatenschutzgesetz (BDSG) die nach Landesrecht zuständigen Behörden. Die Daten an der Kasse im Allgemeinen behandelt DSGVO im Laden: Kundendaten an der Kasse.
Was die DSGVO für die Kartei vorschreibt
Fünf Grundsätze des Art. 5 Abs. 1 DSGVO prägen die Kartei: Zweckbindung (Buchst. b), Datenminimierung (Buchst. c), Richtigkeit (Buchst. d), Speicherbegrenzung (Buchst. e) und Sicherheit (Buchst. f). Der Salon als Verantwortlicher muss ihre Einhaltung nachweisen können (Art. 5 Abs. 2 DSGVO). Jede Verarbeitung braucht außerdem mindestens eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO.
Die DSGVO selbst nennt keine Liste erlaubter Karteifelder. Welche Felder erforderlich sind, entscheiden Sie je Zweck und dokumentieren es.
Für wen die Pflichten gelten
Die Pflichten treffen jeden Salon, der personenbezogene Daten seiner Kundschaft in einer Datei oder einem System verarbeitet, unabhängig von der Größe. Für das Verzeichnis von Verarbeitungstätigkeiten sieht Art. 30 Abs. 5 DSGVO eine Ausnahme für Betriebe unter 250 Beschäftigten vor. Sie gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien nach Art. 9 Abs. 1 DSGVO einschließt. Eine laufend geführte Kartei erfolgt nicht nur gelegentlich.
Welche Daten wofür: Checkliste nach Zweck
Die Zuordnung zu Rechtsgrundlagen ist eine redaktionelle Einordnung nach dem Gesetzestext. Ob ein Feld im Einzelfall erforderlich ist, entscheiden Sie und halten es fest.
| Datenart | Zweck | Mögliche Rechtsgrundlage | Wie lange |
|---|---|---|---|
| Name, Telefon, E-Mail | Termine vereinbaren und durchführen | Art. 6 Abs. 1 Buchst. b DSGVO | Solange die Kundenbeziehung besteht; danach nur, soweit ein anderer Zweck bleibt (Art. 5 Abs. 1 Buchst. e) |
| Gebuchte Leistung, Datum, Preis | Abrechnung und Nachweis | Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit § 14b UStG und § 147 AO | Rechnungen und Buchungsbelege acht Jahre, beginnend mit Ablauf des Kalenderjahres |
| Farbrezept, Haartyp, Schnittwünsche | Durchführung eines gebuchten oder angefragten Termins | Art. 6 Abs. 1 Buchst. b DSGVO; für die Speicherung auf Vorrat für mögliche spätere Besuche ohne Anfrage eine andere tragfähige Grundlage prüfen, etwa Art. 6 Abs. 1 Buchst. a oder f | Solange der Termin oder die vereinbarte Leistung es erfordert; darüber hinaus nur mit eigener Begründung |
| Allergien, Hauterkrankungen, Schwangerschaft | Schutz vor Gesundheitsschäden bei der Behandlung | Art. 9 Abs. 1 DSGVO untersagt; Ausnahme zum Beispiel ausdrückliche Einwilligung, Art. 9 Abs. 2 Buchst. a | Bis zum Widerruf (Art. 7 Abs. 3) oder bis zum Wegfall des Zwecks |
| Fotos Vorher und Nachher | Dokumentation oder Werbung | Einwilligung, Art. 6 Abs. 1 Buchst. a DSGVO | Bis zum Widerruf, höchstens solange der Zweck besteht (Art. 5 Abs. 1 Buchst. e) |
| Geburtstag | Glückwunsch oder Aktion | Einwilligung, Art. 6 Abs. 1 Buchst. a DSGVO | Bis zum Widerruf, höchstens solange der Zweck besteht (Art. 5 Abs. 1 Buchst. e) |
Der Einwilligungsfall: Wer in die Verarbeitung einwilligt, kann sie jederzeit widerrufen; der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Ob eine Einwilligung freiwillig erteilt wurde, ist unter anderem danach zu beurteilen, ob die Leistung von der Freigabe von Daten abhängt, die für sie nicht erforderlich sind (Art. 7 Abs. 4 DSGVO).
Für Werbung per E-Mail, SMS und Treueprogramme siehe Kundenkarte und Treueprogramm nach DSGVO.
Wie lange speichern
Eine feste Aufbewahrungsfrist für die Kundenkartei als Ganzes haben wir in den geöffneten Quellen (DSGVO, AO, UStG) nicht gefunden. Es gelten drei Regeln.
- Speicherbegrenzung: Daten dürfen nur so lange gespeichert werden, wie es für ihren Zweck erforderlich ist (Art. 5 Abs. 1 Buchst. e DSGVO). Die Speicherdauer oder das Kriterium dafür ist bei der Erhebung mitzuteilen (Art. 13 Abs. 2 Buchst. a DSGVO).
- Löschung auf Verlangen: Entfällt der Zweck, besteht ein Löschanspruch (Art. 17 Abs. 1 Buchst. a DSGVO). Er gilt nicht, soweit eine rechtliche Verpflichtung die Verarbeitung erfordert (Art. 17 Abs. 3 Buchst. b DSGVO), zum Beispiel die Aufbewahrung von Belegen.
- Steuerliche Fristen: Rechnungen sind nach § 14b Abs. 1 UStG acht Jahre aufzubewahren, Buchungsbelege nach § 147 Abs. 1 Nr. 4, Abs. 3 Satz 1 AO ebenfalls acht Jahre. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt wurde beziehungsweise der Buchungsbeleg entstand (§ 14b Abs. 1 Satz 3 UStG; § 147 Abs. 4 AO).
Beispielrechnung mit erfundenem Datum: Ein Beleg entsteht am 14. März 2026. Die Frist beginnt mit dem Schluss des Jahres 2026 und endet frühestens mit Ablauf des 31. Dezember 2034. Die Fristen gelten für Rechnungen und Buchungsbelege; für ein Farbrezept in der Kartei nennt keine der geöffneten Vorschriften eine Frist.
Zum Löschkonzept gehört ein eigener Vorschlag: Soll die Kartei auch dazu dienen, sich gegen Ansprüche zu verteidigen, etwa nach einem Farbschaden, kann eine Frist begründbar sein, die an die dreijährige Regelverjährung anknüpft (§ 195 BGB; Beginn mit dem Schluss des Jahres, in dem der Anspruch entstand und die Umstände bekannt wurden, § 199 Abs. 1 BGB). Das ist keine Vorgabe einer Behörde; Sie müssen die Frist selbst begründen und dokumentieren.
Pflichten rund um die Kartei
| Pflicht | Norm | Was der Salon tut |
|---|---|---|
| Information bei der Erhebung | Art. 13 DSGVO | Datenschutzhinweis aushändigen oder aushängen: Verantwortlicher, Zwecke, Rechtsgrundlage, Speicherdauer, Rechte |
| Verzeichnis von Verarbeitungstätigkeiten | Art. 30 DSGVO | Zwecke, Datenkategorien, Empfänger und, wenn möglich, Löschfristen schriftlich festhalten |
| Auftragsverarbeitung | Art. 28 DSGVO | Mit Anbietern von Terminsoftware oder Cloud-Kasse, die in Ihrem Auftrag Daten verarbeiten, einen Vertrag schließen; siehe Cloud-Kasse und Datenschutz |
| Auskunft | Art. 15 DSGVO | Auf Verlangen Auskunft über die gespeicherten Daten erteilen |
| Löschung | Art. 17 DSGVO | Löschfristen festlegen und einhalten |
Was bei einem Verstoß droht
Die Aufsichtsbehörde kann Geldbußen verhängen; die Höhe bestimmt sie im Einzelfall nach Art. 83 Abs. 2 DSGVO. Die Obergrenzen betragen bei Verstößen gegen die Grundsätze der Verarbeitung, die Einwilligungsbedingungen und die Art. 5, 6, 7 und 9 sowie gegen die Betroffenenrechte der Art. 12 bis 22 bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 Prozent des weltweiten Jahresumsatzes des Vorjahres (Art. 83 Abs. 5 Buchst. a und b DSGVO). Bei Verstößen gegen Pflichten der Art. 25 bis 39, darunter Art. 28 und Art. 30, gelten bis zu 10 Millionen Euro oder 2 Prozent (Art. 83 Abs. 4 Buchst. a DSGVO); jeweils gilt der höhere Betrag. Das sind Obergrenzen, keine Regelsätze.
Checkliste für Ihren Salon
- Für jedes Feld der Kartei steht ein Zweck fest.
- Für Gesundheitsangaben liegt eine ausdrückliche Einwilligung vor, oder das Feld entfällt.
- Fotos und Geburtstag werden nur mit Einwilligung gespeichert.
- Der Datenschutzhinweis nennt die Speicherdauer oder das Kriterium dafür.
- Belege mit Kundennamen werden acht Jahre aufbewahrt; das Karteiblatt hat eine eigene Löschfrist.
- Verarbeitet der Anbieter der Terminsoftware oder Cloud-Kasse Daten in Ihrem Auftrag, besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).
- Ein Verzeichnis der Verarbeitungstätigkeiten ist angelegt.
- Wer wie Auskunft und Löschung bearbeitet, steht fest.