030 – 606 97 75
Bei Fragen einfach Anrufen!
Fünf Dinge braucht jedes Kosmetikstudio sofort: eine Datenschutzerklärung mit korrekten Verantwortlichen-Angaben, ein Verzeichnis von Verarbeitungstätigkeiten, AV-Verträge für Buchungssoftware und Cloud-Tools, dokumentierte technische und organisatorische Maßnahmen sowie schriftliche Einwilligungen für Vorher-Nachher-Fotos. Wer Gesundheitsdaten wie Anamnesebögen verarbeitet, braucht zusätzlich eine besondere Rechtsgrundlage nach Art. 9 DSGVO. Und ob ein Datenschutzbeauftragter Pflicht wird, entscheidet sich meist an der Mitarbeiterzahl nach § 38 BDSG.
Kurz gesagt:
- Ohne konkrete AV-Verträge verarbeitest du Kundendaten in deinem Studio rechtswidrig, insbesondere bei Cloud-Tools und Buchungssoftware.
- Gesundheitsdaten im Anamnesebogen erfordern eine ausdrückliche Einwilligung, da sie unter die besondere Kategorie der Verarbeitung fallen.
- Ein Verzeichnis der Verarbeitungstätigkeiten lässt sich leicht als Tabelle führen und ist bei Kontrollen ein wichtiger Nachweis.
- Fotoeinwilligungen müssen klar getrennt nach Verwendungszweck erfolgen und bei Widerruf sofort entfernt werden.
- Bei externen Anbietern und WhatsApp sind AV-Verträge und datenschutzkonforme Nutzung entscheidend, um Strafen zu vermeiden.
Kurz gesagt: Du bist der Verantwortliche. Nicht dein Buchungssystem, nicht deine Steuerberaterin, nicht die Software-Firma, die deine Kundendaten hostet. Du entscheidest, wofür die Daten erhoben werden – und genau das macht dich zur verantwortlichen Stelle im Sinne der DSGVO.
Deine Datenschutzerklärung muss auf der Website und idealerweise auch im Studio (Aushang oder Aufnahmebogen) folgende Angaben enthalten:
Ein Satz, der oft fehlt: der Hinweis, dass sich Kundinnen und Kunden bei der zuständigen Landesdatenschutzbehörde beschweren dürfen, wenn sie sich unfair behandelt fühlen. Das steht nicht als nette Geste da, das ist Pflicht. Die BfDI ist zwar die Bundesbehörde, für dein Studio ist aber meist die Landesbehörde zuständig, je nach Bundesland.
Wichtig: Verantwortlicher und Auftragsverarbeiter sind zwei verschiedene Rollen. Dein Buchungstool verarbeitet Daten in deinem Auftrag, trägt aber keine eigene Entscheidungsgewalt darüber, was mit den Daten passiert. Deshalb brauchst du mit jedem Dienstleister, der Kundendaten anfasst, einen separaten Vertrag. Dazu später mehr im Abschnitt zur Software.
Mehr, als die meisten Betreiberinnen auf Anhieb sagen können. Ein typischer Datensatz in einem Kosmetikstudio umfasst:
Der Anamnesebogen ist der heikelste Punkt. Fragst du nach Diabetes, Herzproblemen, Schwangerschaft oder Hautkrankheiten, verarbeitest du Gesundheitsdaten – und die fallen unter Art. 9 DSGVO, die besondere Kategorie personenbezogener Daten. Für diese Daten reicht eine normale Einwilligung nicht, du brauchst eine ausdrückliche Einwilligung, die klar auf den Gesundheitsbezug hinweist.
Wichtig zu wissen: Es gibt keinen pauschalen “Schwellenwert”, ab dem Gesundheitsdaten erst zählen. Schon die einfache Frage “Nehmen Sie Blutverdünner?” auf dem Anamnesebogen reicht, um in den Anwendungsbereich von Art. 9 zu fallen. Praxisleitfäden für Dienstleistungsbetriebe empfehlen deshalb, den Anamnesebogen strikt auf das zu begrenzen, was für die Behandlung tatsächlich relevant ist.
Was solltest du gar nicht erst erfassen? Alles, was für die Behandlung irrelevant ist. Familienstand, politische Einstellung, Religion – das hat auf keinem Anamnesebogen etwas zu suchen. Wer trotzdem “auf Verdacht” mehr Felder abfragt, sammelt Risiko ohne Gegenwert. Datensparsamkeit ist hier kein bürokratisches Modewort, sondern der einfachste Schutz gegen Bußgelder bei einer Kontrolle.
Drei Rechtsgrundlagen decken fast alles ab, was in einem Kosmetikstudio passiert. Die Kunst liegt darin, die richtige der jeweiligen Verarbeitung zuzuordnen – nicht pauschal “Einwilligung” über alles zu stülpen, wie es viele Studios tun.
Vertragserfüllung (Art. 6 Abs. 1 lit. b) greift für alles, was zur Behandlung selbst gehört: Terminvereinbarung, Rechnungsstellung, Speicherung der Behandlungshistorie. Dafür brauchst du keine separate Einwilligung, das ergibt sich aus dem Behandlungsvertrag.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) trägt zum Beispiel die Erinnerungs-SMS an einen Termin oder die interne Auswertung, welche Behandlungen am meisten gebucht werden.
Einwilligung (Art. 6 Abs. 1 lit. a, bei Gesundheitsdaten Art. 9 Abs. 2 lit. a) ist zwingend für: Fotos, Newsletter, Marketing-SMS, Weitergabe an Dritte, Gesundheitsdaten im Anamnesebogen.
Eine Formulierung, die in der Praxis funktioniert:
Profi-Tipp: Führe eine einfache Excel-Liste oder ein Ordnerfach mit dem Vermerk, wann welche Kundin welche Einwilligung unterschrieben hat und wann ein Widerruf einging. Bei einer Kontrolle willst du das in fünf Minuten zeigen können, nicht in fünf Stunden suchen.
Fotos sind der Klassiker, an dem fast jedes Studio irgendwann strauchelt. Ein Bild vom Hautbefund vor der Behandlung, eins danach, beides landet auf Instagram, weil das Ergebnis so gut aussieht. Rechtlich ist das ohne saubere Einwilligung ein Problem, und zwar ein doppeltes: Es sind Fotos einer Person UND oft Gesundheitsdaten im Bild (Akne, Rötungen, Hautzustand).
Eine belastbare Fotoeinwilligung braucht folgende Bestandteile, wie Praxisleitfäden für die Branche zeigen:
Beim Widerruf gilt: Was einmal auf der Website oder auf Instagram stand, muss aktiv entfernt werden, sobald die Kundin widerruft. Das kostet dich vielleicht eine halbe Stunde Suche im Archiv, aber genau diese halbe Stunde erwartet die Aufsichtsbehörde im Ernstfall auch von dir.
Bei Minderjährigen braucht es die Einwilligung der Erziehungsberechtigten, nicht die des Teenagers selbst. Und Social Media ist ein eigenes Kapitel: Wer Fotos bei Meta-Plattformen hochlädt, gibt Daten in ein Ökosystem, dessen Verarbeitung außerhalb deiner Kontrolle liegt. Erwähne das in der Einwilligung ruhig konkret, das schafft Vertrauen statt Kleingedrucktes.
Hier liegt der größte blinde Fleck, den ich in Studios sehe. Die Datenschutzerklärung ist meist okay, aber wie die Terminbuchungs-App im Hintergrund arbeitet, hat noch niemand geprüft.
Jeder externe Anbieter, der Kundendaten verarbeitet, ganz egal ob Buchungssoftware, Cloud-Speicher oder E-Mail-Marketing-Tool, braucht einen Auftragsverarbeitungsvertrag (AV-Vertrag). Ohne diesen Vertrag verarbeitest du Daten formal ohne Rechtsgrundlage, selbst wenn die Kundin eingewilligt hat. Der AV-Vertrag muss unter anderem regeln:
Der Serverstandort entscheidet oft mehr als das Vertragsdokument selbst. Liegt der Server in der EU, ist die Sache meist unkompliziert. Liegt er in den USA oder einem anderen Drittstaat, brauchst du zusätzliche Garantien, etwa Standardvertragsklauseln. Das ist lösbar, aber zusätzlicher Aufwand, den kleine Studios oft unterschätzen.
Bei der Kommunikation mit Kundinnen wird WhatsApp gern genutzt, weil es einfach ist. Rechtlich heikel bleibt es trotzdem: Der Dienst gehört zu Meta, und Compliance-Checklisten für die Branche raten, entweder auf datenschutzfreundlichere Business-Alternativen mit EU-Serverstandort zu setzen oder WhatsApp nur mit expliziter, dokumentierter Einwilligung der Kundin einzusetzen.
Profi-Tipp: Frag deinen Softwareanbieter direkt: “Wo steht der Server und stellen Sie einen AV-Vertrag zum Download bereit?” Wenn die Antwort zögerlich kommt, ist das ein Warnsignal, kein Zufall.
Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, klingt nach Bürokratiemonster. Ist es aber nicht, wenn man es einfach als Tabelle führt. Fast jedes Studio kommt mit einer Excel-Datei mit sechs bis acht Zeilen aus, eine pro Verarbeitungsvorgang.
Jede Zeile im VVT sollte folgende Angaben enthalten, orientiert an der Struktur, die Branchenleitfäden empfehlen:
Bei den Fristen orientierst du dich an gesetzlichen Vorgaben, wo es sie gibt, und an sachlicher Notwendigkeit, wo es sie nicht gibt. Rechnungen müssen zehn Jahre aufbewahrt werden, das ist steuerrechtlich vorgeschrieben und hat mit der DSGVO wenig zu tun. Behandlungsunterlagen und Anamnesebögen werden oft mehrere Jahre aufbewahrt, weil im Streitfall (etwa bei einer allergischen Reaktion) die Dokumentation als Nachweis dient. Fotos ohne fortlaufenden Nutzen sollten dagegen deutlich früher gelöscht werden, wenn kein aktueller Zweck mehr besteht.
Das VVT ist kein einmaliges Projekt. Immer, wenn du eine neue Software einführst oder ein neues Angebot startest, aktualisierst du die Tabelle. Wer das der Inhaberin selbst überlässt, statt es an eine Person im Team zu delegieren, vergisst es meistens nach drei Monaten.
TOMs klingen nach IT-Abteilung. Für ein Kosmetikstudio mit drei Behandlungsräumen sind sie aber machbar, wenn man sie priorisiert statt alles auf einmal zu wollen.
Zu den organisatorischen Maßnahmen gehört auch, dass jede Mitarbeiterin eine Verpflichtungserklärung zum Datenschutz unterschreibt. Darin steht, dass sie Kundendaten vertraulich behandelt und nicht privat weitergibt, auch nicht “nur kurz an die Freundin”. Diese Erklärung ist schnell erstellt und gehört in jede Personalakte.
Schulung muss nicht aufwendig sein. Ein einstündiges Briefing beim Onboarding, dann eine kurze Auffrischung einmal jährlich, reicht für die meisten Studios völlig aus.
Profi-Tipp: Fang mit dem Schrank an, nicht mit der Software. Ein abschließbares Fach für Anamnesebögen kostet 30 Euro und schließt die häufigste Lücke, die ich bei Studiobesuchen sehe: offen liegende Formulare am Empfangstresen.
Ein Datenschutzvorfall ist nicht nur der große Hackerangriff. Auch ein verlorenes USB-Stick mit Kundendaten, eine falsch adressierte E-Mail mit Anamnesedaten oder ein gestohlenes Tablet zählen dazu.
Sobald ein Vorfall wahrscheinlich ein Risiko für die betroffenen Personen darstellt, greift die 72-Stunden-Meldepflicht an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO. Diese Frist beginnt, sobald du vom Vorfall Kenntnis erlangst, nicht erst, wenn du dir sicher bist, wie schlimm es ist.
Was intern sofort passieren sollte:
Eine Formulierung für die Kundinneninformation, falls nötig: „Wir informieren Sie, dass am [Datum] ein Datenschutzvorfall aufgetreten ist, bei dem möglicherweise Ihre [Datenart] betroffen war. Wir haben folgende Maßnahmen ergriffen: […]. Bei Fragen erreichen Sie uns unter [Kontakt].“
Wichtig: Nicht jeder Vorfall muss gemeldet werden. Ein Zettel, der zwei Minuten unbeaufsichtigt auf dem Tresen lag, ist ärgerlich, aber selten meldepflichtig. Die Einschätzung des Risikos entscheidet, nicht die reine Panik.
Meistens nicht, aber prüfen solltest du es trotzdem, denn die Kriterien sind konkret. Nach § 38 BDSG wird ein Datenschutzbeauftragter Pflicht, wenn in der Regel eine gewisse Anzahl von Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für die meisten Einzelstudios mit wenigen Angestellten greift diese Schwelle nicht.
Zusätzlich verpflichtet Art. 37 DSGVO zur Bestellung, wenn die Kerntätigkeit in der umfangreichen, regelmäßigen und systematischen Überwachung von Personen besteht, oder wenn im großen Umfang besondere Datenkategorien verarbeitet werden. Ein einzelnes Studio mit Anamnesebögen erreicht diesen “großen Umfang” in der Regel nicht, eine Kette mit mehreren Filialen und zentraler Datenverarbeitung schon eher.
Wenn du an der Grenze stehst, hilft die Einschätzung der IHK weiter. Praktisch spricht einiges für einen externen Datenschutzbeauftragten statt einer internen Lösung:
Ein externer DSB muss bei Bestellung der zuständigen Landesbehörde gemeldet werden, inklusive Kontaktdaten. Achte im Vertrag auf klare Reaktionszeiten und die Zusicherung, dass der DSB auch bei einem akuten Vorfall innerhalb von Stunden erreichbar ist, nicht erst nächste Woche.
Genug Theorie. Hier die Reihenfolge, in der ich es jedem Studio empfehlen würde, das heute bei null anfängt:
| Priorität | Maßnahme | Risiko bei Verzicht |
|---|---|---|
| Hoch | Fotoeinwilligung mit Checkbox | Bußgeld bei Beschwerde, Bildlöschung erforderlich |
| Hoch | AV-Vertrag mit Buchungssoftware | Verarbeitung ohne Rechtsgrundlage |
| Mittel | VVT als Tabelle | Nachweispflicht bei Kontrolle nicht erfüllbar |
| Mittel | Anamnesebogen reduzieren | Unnötige Gesundheitsdaten im Umlauf |
| Niedrig | Schulung der Mitarbeitenden | Fehler im Alltag, meist ohne akute Strafe |
Wer sich das strukturierter aneignen will, statt allein durch Formulare zu wühlen, findet in NINON-Schulungen zur Studioorganisation und im begleitenden Vorlagenpaket eine Abkürzung, dazu gleich mehr.
Nach dreißig Jahren im eigenen Studio sehe ich immer dieselben drei Fehler. Erstens: Der Anamnesebogen wächst über die Jahre, weil man “sicherheitshalber” immer mehr Felder ergänzt, bis er aussieht wie ein medizinischer Fragebogen. Weniger fragen, gezielter fragen, das reicht fast immer.
Zweitens: Fotos werden gemacht, bevor überhaupt jemand nach Einwilligung fragt. Ich habe das früher selbst so gehandhabt, ganz ehrlich. Heute liegt die Checkbox am Empfang, bevor die Kamera überhaupt aus der Schublade kommt.
Drittens, und das unterschätzen viele: WhatsApp-Gruppen mit Kundinnen, spontan eingerichtet, nie wieder aufgeräumt. Da sammeln sich über Jahre Telefonnummern und private Nachrichten, ohne dass irgendwer je eine Einwilligung dafür eingeholt hat.
Was ich priorisieren würde? Fotoeinwilligung zuerst, AV-Verträge direkt danach. Der Rest folgt mit etwas Ruhe. Datenschutz ist am Ende kein Papierkram für die Schublade, sondern ein Vertrauenssignal an jede Kundin, die dir ihre Hautprobleme und ihre Daten anvertraut.
— Selin Arowolo
Bei einigen Kosmetikschulen ist Datenschutz ein fester Bestandteil von Business-Trainings für angehende Selbstständige in der Kosmetikbranche. Wer ohnehin plant, ein Studio zu eröffnen oder sich mit einer neuen Spezialisierung wie Microneedling oder Permanent Make-up selbstständig zu machen, bekommt die rechtlichen Grundlagen gleich mit vermittelt, statt sie sich später mühsam zusammensuchen zu müssen.
Viele Ausbildungskurse im Kosmetikbereich können AZAV-zertifiziert sein und sind damit theoretisch über Bildungsgutscheine förderfähig, was beim Einstieg finanziell hilfreich sein kann. Wer wissen möchte, welches Kursformat zum eigenen Vorhaben passt, ob als Quereinsteigerin, als Fachkraft mit Zusatzqualifikation oder auf dem Weg in die Selbstständigkeit, findet einen guten Überblick auf der Seite Warum Weiterbildung in der Kosmetik die Karriere stärkt. Schau dir dort die passenden Formate an und finde heraus, welcher Kurs zu deinem nächsten Schritt passt.
Für die Feinarbeit an deiner Datenschutzerklärung oder im Zweifelsfall lohnt sich der direkte Blick in die Originalquellen statt in dritte Zusammenfassungen:
Bei akuten Vorfällen gilt: Die Meldung geht an die Aufsichtsbehörde deines Bundeslandes, nicht pauschal an die BfDI.
Die DSGVO gilt nicht für rein private oder familiäre Tätigkeiten, etwa wenn jemand privat Fotos von Freunden verwaltet. Sobald du als Studiobetreiberin Kundendaten geschäftlich verarbeitest, greift die Verordnung uneingeschränkt, unabhängig von der Studiogröße.
Ein Datenschutzvorfall liegt vor, wenn personenbezogene Daten unbefugt offengelegt, verändert, verloren oder zerstört werden, etwa ein gestohlenes Tablet mit Kundendaten oder eine falsch versendete E-Mail mit Anamnesedaten. Besteht ein Risiko für die betroffenen Personen, greift die 72-Stunden-Meldepflicht an die Aufsichtsbehörde.
Neben der Gewerbeanmeldung brauchst du von Anfang an eine DSGVO-konforme Datenschutzerklärung, ein VVT und Einwilligungsformulare für Fotos und Gesundheitsdaten. Wer diese Punkte gleich beim Start mitdenkt, spart sich später aufwendige Nachbesserungen.
Anonymisierte Daten, aus denen keine Rückschlüsse auf eine Person mehr möglich sind, fallen nicht unter die DSGVO. Rein statistische Auswertungen ohne Personenbezug, etwa “wie viele Behandlungen im Monat”, sind unproblematisch, solange sie keine Rückverfolgung auf einzelne Kundinnen erlauben.
Melde dich jetzt zu unserem Newsletter an und erhalte das kostenlose E-Book in einer der ersten E-Mails!
Melde dich jetzt zu unserem Newsletter an und erhalte das kostenlose E-Book in einer der ersten E-Mails!
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Google Maps. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Google Maps. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Mapbox. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von OpenStreetMap. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen