Datenschutz für Kosmetikerinnen: Kundenkartei, WhatsApp & Co.

Sobald du Namen, Telefonnummern und Behandlungsnotizen deiner Kundinnen speicherst, gilt für dich die Datenschutz-Grundverordnung (DSGVO). Für Kosmetikerinnen ist das Thema heikler als für viele andere Selbstständige, weil Allergien, Hauterkrankungen oder Medikamente als Gesundheitsdaten gelten. Nach diesem Artikel weißt du, welche Unterlagen du brauchst, wie du deine Kundenkartei absicherst und worauf du bei WhatsApp achtest.

Warum Datenschutz für Kosmetikerinnen heikel ist

Die DSGVO unterscheidet zwischen normalen personenbezogenen Daten und besonderen Kategorien nach Artikel 9. Zu den besonderen Kategorien gehören Gesundheitsdaten. In deiner Kartei landen schnell solche Angaben:

• Allergien und Unverträglichkeiten
• Hauterkrankungen wie Neurodermitis oder Rosazea
• Schwangerschaft
• Medikamente, etwa Blutverdünner oder Isotretinoin
• Fotos, auf denen Hautzustände zu sehen sind

Gesundheitsdaten darfst du nur unter strengen Voraussetzungen verarbeiten. Für eine Kosmetikerin kommt in der Praxis die ausdrückliche Einwilligung der Kundin infrage (Art. 9 Abs. 2 lit. a DSGVO). Die Kundin unterschreibt also, dass du diese Angaben für ihre Behandlung speichern darfst.

Die Unterlagen, die du brauchst

1. Datenschutzhinweise für Kundinnen

Nach Artikel 13 DSGVO informierst du deine Kundinnen, wenn du ihre Daten erhebst. Ein einseitiges Blatt reicht oft. Es enthält:

• deinen Namen und deine Kontaktdaten
• welche Daten du speicherst und wofür
• auf welcher Rechtsgrundlage
• an wen du Daten weitergibst, etwa an deine Buchungssoftware
• wie lange du die Daten aufbewahrst
• die Rechte der Kundin: Auskunft, Berichtigung, Löschung, Widerruf der Einwilligung, Beschwerde bei der Aufsichtsbehörde

Für Hamburg ist das die Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

2. Einwilligung für Gesundheitsdaten

Die Einwilligung baust du am besten direkt in deinen Anamnesebogen ein. Eine Formulierungshilfe:

Ich willige ein, dass [Name] meine Angaben zu Gesundheit, Allergien und Hautzustand speichert, um meine Behandlung sicher zu planen. Ich kann diese Einwilligung jederzeit widerrufen.

Wie der ganze Bogen aussieht, liest du in Anamnesebogen und Einwilligung.

3. Verzeichnis von Verarbeitungstätigkeiten

Kleine Betriebe sind von dieser Pflicht nach Artikel 30 oft befreit. Die Befreiung greift aber nicht, wenn du regelmäßig Daten verarbeitest oder besondere Kategorien wie Gesundheitsdaten speicherst. Beides trifft auf eine Kosmetikerin mit Kundenkartei zu. Das Verzeichnis ist eine Tabelle: Was speicherst du, wozu, wo, wer hat Zugriff, wann löschst du?

4. Verträge mit Dienstleistern

Nutzt du ein Online-Buchungstool, eine Cloud oder eine Kassen-App, verarbeitet der Anbieter Daten in deinem Auftrag. Dafür brauchst du einen Auftragsverarbeitungsvertrag nach Artikel 28. Seriöse Anbieter stellen ihn im Kundenkonto bereit. Lade ihn herunter und leg ihn ab.

Kundenkartei sicher führen: Papier oder digital

Beide Wege sind erlaubt. Entscheidend ist der Schutz nach Artikel 32.

Papierkartei
- Abschließbarer Schrank oder abschließbare Box
- Karteikarten liegen nie offen auf dem Tisch, wenn die nächste Kundin hereinkommt
- Du nimmst die Kartei mit, wenn du in einem gemieteten Raum arbeitest

Digitale Kartei
- Gerät mit Passwort oder PIN und Bildschirmsperre
- Verschlüsselung des Geräts eingeschaltet
- Software mit Auftragsverarbeitungsvertrag, Server möglichst in der EU
- Kein Abfotografieren von Anamnesebögen in die normale Fotogalerie, die automatisch in eine private Cloud lädt

Arbeitest du stundenweise in einem Coworking, gilt: Deine Kundendaten bleiben bei dir. Leg keine Unterlagen in Gemeinschaftsschränke, und melde dich auf fremden Geräten nicht an.

WhatsApp und Messenger: was du beachten solltest

WhatsApp ist für Terminabsprachen bequem. Datenschutzrechtlich ist es umstritten. Mehrere Landesdatenschutzbehörden, etwa in Niedersachsen, sehen den geschäftlichen Einsatz kritisch. Der Hauptpunkt: Die App gleicht das Adressbuch ab und überträgt dabei auch Nummern von Menschen, die nie zugestimmt haben. Diese Kritik gilt auch für WhatsApp Business.

Wenn du WhatsApp trotzdem nutzt, verringerst du das Risiko so:

1. Eigenes Diensthandy oder eigenes Profil, getrennt von deinen privaten Kontakten.
2. Kontaktzugriff für WhatsApp in den Einstellungen des Handys abschalten, soweit dein Gerät das erlaubt.
3. Die Kundin schreibt dich zuerst an. Du speicherst keine Nummern aus deiner Kartei, um sie anzuschreiben.
4. Keine Gesundheitsdaten per WhatsApp: keine Fotos von Hautproblemen, keine Anamnese. Dafür nutzt du das Gespräch im Termin oder ein sicheres Formular.
5. Hinweis auf WhatsApp in deine Datenschutzhinweise aufnehmen.

Eine Alternative sind Messenger mit europäischem Fokus oder Terminbestätigungen per E-Mail oder SMS aus deinem Buchungstool.

Werbung per Nachricht

Terminbestätigungen und Erinnerungen sind Kommunikation zum Vertrag. Angebote, Rabattaktionen und Newsletter sind Werbung. Für Werbung per E-Mail, SMS oder Messenger brauchst du in der Regel die vorherige ausdrückliche Einwilligung der Kundin (§ 7 UWG). Hol sie mit einem eigenen Kästchen auf dem Kundenbogen ein, getrennt von der Einwilligung für Gesundheitsdaten.

Wie lange du Kundendaten aufbewahrst

Für eine Kundenkartei gibt es keine feste gesetzliche Frist. Du darfst Daten so lange speichern, wie du sie für den Zweck brauchst. Danach löschst du sie. Drei Fristen helfen dir bei der Entscheidung:

• Rechnungen und Buchungsbelege: acht Jahre (§ 147 AO, § 14b UStG). Seit 2025 gelten hier acht statt zehn Jahre. Die Rechnung bleibt, die Anamnese hängt nicht daran.
• Geschäftsbriefe, etwa E-Mails zu einem Auftrag: sechs Jahre (§ 147 AO).
• Mögliche Ansprüche der Kundin, etwa nach einer allergischen Reaktion: Die regelmäßige Verjährung beträgt drei Jahre ab Ende des Jahres, in dem die Kundin vom Schaden erfahren hat (§§ 195, 199 BGB). In Einzelfällen kann sie länger laufen.

Für Tätowier- und Piercingbetriebe empfiehlt die Hamburger Gesundheitsbehörde, schriftliche Einwilligungen mindestens zehn Jahre aufzubewahren. Für PMU und andere hautverletzende Behandlungen lohnt sich eine Rückfrage bei deinem Berufsverband oder einer Anwältin.

Leg deine Regel schriftlich fest, zum Beispiel: „Kundinnen, die drei Jahre keinen Termin hatten, lösche ich zum Jahresende, außer Belege mit gesetzlicher Frist.“ Trag einmal im Jahr einen Termin zum Aufräumen in deinen Kalender.

Wenn eine Kundin Auskunft oder Löschung verlangt

• Auskunft: Die Kundin hat das Recht zu erfahren, welche Daten du über sie speicherst. Du antwortest innerhalb eines Monats.
• Löschung: Du löschst die Daten, wenn keine Aufbewahrungspflicht dagegen spricht. Rechnungen bleiben bis zum Ende der Frist.
• Widerruf: Widerruft sie die Einwilligung für Gesundheitsdaten, speicherst du diese ab sofort nicht mehr. Ob du dann noch sicher behandeln kannst, entscheidest du selbst.

Geht ein Handy mit Kundendaten verloren, prüfst du, ob du den Vorfall der Aufsichtsbehörde melden musst. Die Frist dafür beträgt 72 Stunden.

Auf einen Blick

• Allergien, Hautzustand und Medikamente sind Gesundheitsdaten. Du brauchst die ausdrückliche Einwilligung der Kundin.
• Datenschutzhinweise, Verarbeitungsverzeichnis und Verträge mit Dienstleistern gehören in deinen Ordner.
• Kartei abschließen oder verschlüsseln, auch wenn du in einem gemieteten Raum arbeitest.
• WhatsApp nur mit getrenntem Gerät, ohne Adressbuch-Zugriff und ohne Gesundheitsdaten.
• Lösch-Regel festlegen und einmal im Jahr umsetzen.

Mehr zum Umgang mit Fotos liest du in Vorher-nachher-Fotos: Licht, Einwilligung, Wirkung. Fragen zum Ablauf bei BEAUTYSHAIRE beantwortet die Hilfe-Seite.

Dieser Artikel ersetzt keine Rechts- oder Steuerberatung.