DSGVO im Kosmetikstudio: was in deine Kundenkartei darf – und wie du mit Allergie-Daten umgehst
In jedem Studio entsteht eine Kundenkartei – auf Karteikarten, im Handy oder in einem Buchungsprogramm. Darin steht, wer die Kundin ist, wann sie kommt und was du gemacht hast. Oft steht dort auch etwas über ihre Gesundheit: eine Allergie, eine empfindliche Haut, eine Schwangerschaft, ein Medikament. Für diese Angaben gelten strengere Regeln als für den Rest. Dieser Text erklärt, welche. Stand: 10. November 2026.
Was du ohne Einwilligung speichern darfst
Für die Daten, die du brauchst, um einen Termin zu vereinbaren und die Behandlung zu machen, brauchst du keine Einwilligung. Die Rechtsgrundlage ist der Vertrag mit der Kundin (Art. 6 Abs. 1 Buchstabe b DSGVO). Dazu gehören ihr Name, eine Telefonnummer oder E-Mail-Adresse für die Terminabsprache, ihre Termine und was du gemacht hast. Rechnungen und Kassenbelege musst du ohnehin aufbewahren (§ 147 AO).
Speichere nur, was du wirklich nutzt. Die DSGVO nennt das Datenminimierung (Art. 5 Abs. 1 Buchstabe c DSGVO). Ein Geburtsdatum zum Beispiel brauchst du für eine Maniküre nicht – wenn du es für einen Geburtstagsgruß willst, frag die Kundin.
Allergien sind Gesundheitsdaten
Gesundheitsdaten sind nach Art. 4 Nr. 15 DSGVO Angaben über die körperliche oder geistige Gesundheit eines Menschen, aus denen etwas über den Gesundheitszustand hervorgeht. Eine Allergie, eine Hauterkrankung, eine Schwangerschaft oder ein Medikament, das die Haut empfindlich macht, gehören dazu.
Solche Daten zu verarbeiten ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt. Eine der Ausnahmen ist die ausdrückliche Einwilligung der Kundin für einen festgelegten Zweck (Art. 9 Abs. 2 Buchstabe a DSGVO). Für ein Studio ist das in der Regel der Weg.
Wie eine gute Einwilligung aussieht
- Ausdrücklich: Die Kundin kreuzt etwas an oder unterschreibt. Ein Satz in deinen AGB reicht nicht.
- Für einen Zweck: zum Beispiel „damit ich bei deiner Behandlung nichts verwende, worauf du reagierst“.
- Widerrufbar: Die Kundin kann ihre Einwilligung jederzeit widerrufen. Das muss so einfach sein wie das Einwilligen, und du sagst es ihr vorher (Art. 7 Abs. 3 DSGVO).
- Nachweisbar: Du musst zeigen können, dass sie eingewilligt hat (Art. 7 Abs. 1 DSGVO). Bewahre den Bogen oder den digitalen Eintrag auf.
Will eine Kundin dir ihre Allergien nicht nennen, ist das ihre Entscheidung. Ob du eine Behandlung dann trotzdem machst, ist deine. Sag ihr das vorher ehrlich.
Informieren, bevor du speicherst
Du musst deinen Kundinnen sagen, wer du bist, welche Daten du wozu speicherst, wie lange und welche Rechte sie haben (Art. 13 DSGVO). Das geht mit einem kurzen Infoblatt im Studio und einer Datenschutzerklärung auf deiner Website oder Buchungsseite.
Das Verzeichnis, das auch für kleine Studios gilt
Ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) müssen Unternehmen mit weniger als 250 Beschäftigten eigentlich nicht führen. Die Ausnahme gilt aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder wenn Gesundheitsdaten verarbeitet werden (Art. 30 Abs. 5 DSGVO). Wer eine Kundenkartei mit Allergie-Angaben führt, braucht deshalb eins. Es ist kein langes Dokument: eine Liste, was du wozu speicherst, wer Zugriff hat, wie lange du es aufbewahrst und wie du es schützt.
Wer außer dir die Daten sieht
Nutzt du ein Buchungsprogramm oder einen Cloud-Speicher, verarbeitet ein anderes Unternehmen die Daten deiner Kundinnen in deinem Auftrag. Dafür brauchst du mit ihm einen Vertrag zur Auftragsverarbeitung, kurz AVV (Art. 28 DSGVO). Frag den Anbieter danach, bevor du Daten eingibst. Gesundheitsangaben gehören nicht in Chats oder Notiz-Apps, für die du keinen solchen Vertrag hast.
Wie lange du was aufbewahrst
- Buchungsbelege wie Rechnungen: acht Jahre. Bücher und Aufzeichnungen: zehn Jahre. Geschäftsbriefe und geschäftliche E-Mails: sechs Jahre (§ 147 Abs. 3 AO).
- Allergie-Angaben und Behandlungsnotizen: so lange die Kundin zu dir kommt, und danach nur so lange, wie du sie noch brauchst. Leg dafür eine feste Regel fest und schreib sie in dein Verzeichnis.
- Löschen auf Wunsch: Verlangt eine Kundin die Löschung, löschst du alles, was du nicht aus einem anderen Grund aufbewahren musst (Art. 17 DSGVO). Die Rechnung bleibt, die Allergie-Angabe geht.
Fotos
Vorher-Nachher-Fotos in der Kundenkartei sind personenbezogene Daten. Willst du sie auf Instagram oder deiner Website zeigen, brauchst du dafür eine eigene Einwilligung der Kundin. Wie das bei Modellen aussieht, steht in einem eigenen Text. Fotos von Modellen: Einwilligung und Recht am eigenen Bild
Österreich
Die DSGVO gilt in Österreich genauso. Alles oben gilt dort ebenfalls, mit Ausnahme der Aufbewahrungsfristen nach § 147 AO, die deutsches Steuerrecht sind.
Wo Slotora steht
In Slotora gibt es für Allergien, Unverträglichkeiten und Medikamente ein eigenes Feld im Kundenprofil, getrennt von den normalen Notizen, damit du es vor der Behandlung siehst. Es ist im Export der Kundendaten enthalten, wird mit dem Kundenprofil gelöscht und geht nirgendwohin: nicht in Rundmails, nicht in Zielgruppen und nicht in Anfragen an unsere KI. Für die Daten deiner Kundinnen ist dein Studio verantwortlich, und Slotora verarbeitet sie in seinem Auftrag. Slotora gibt es auch in Deutschland. Die Kundenkartei kostet dich bei Slotora nichts, ein Abo gibt es nicht. Die digitale Kundenkartei in Slotora
