Was die DSGVO von einem Salon oder Studio verlangt

Fast alles, was Sie über eine Kundin oder einen Kunden notieren, sind personenbezogene Daten: Name, Telefon, E-Mail, bisherige Besuche, Notizen zu Vorlieben, Antworten im Formular und Zahlungen. Eine Friseurin mit 400 Stammkunden führt 400 kleine Kundenakten, egal ob im Terminbuch, in einer Tabelle oder in einem Buchungssystem.

Manche Notizen sind heikler. Eine Allergie gegen ein Haarfärbemittel, eine Hauterkrankung vor einer kosmetischen Behandlung oder eine Verletzung vor einer Massage sind Gesundheitsdaten. Die DSGVO zählt Gesundheitsdaten zu den besonderen Kategorien mit strengeren Regeln. Erheben Sie sie also nur, wenn Sie sie für eine sichere Behandlung wirklich brauchen.

• Meist nötig: Name, Telefon oder E-Mail, gebuchte Dienstleistung und Uhrzeit.
• Nur manchmal nötig: Allergien oder Gegenanzeigen, Geburtsdatum bei einer Leistung mit Altersgrenze.
• Selten nötig: Wohnadresse, Ausweisnummern, Fotos.

Daten stecken auch außerhalb des Buchungssystems: Fotos vom Terminbuch auf dem Handy, ein WhatsApp-Chat mit einer Kundin, eine Tabelle mit Gutscheinen. Auch die zählen. Deshalb hilft es, Kundendaten an möglichst wenigen Orten zu führen.

Jede Nutzung personenbezogener Daten braucht eine Rechtsgrundlage. Die Europäische Kommission nennt sechs. Die Tabelle zeigt, wo vier davon im Salon vorkommen können – als Beispiele, nicht als Entscheidung über Ihren Fall:

Welche Grundlage zu Ihrer konkreten Situation passt, entscheiden Sie als das Unternehmen, das über die Daten bestimmt. Wenn Sie unsicher sind, fragen Sie Ihre Datenschutzbehörde oder eine Beraterin.

Beispiel: Eine Kundin bucht online eine Färbung. Ohne Namen, Telefonnummer und Uhrzeit können Sie die Buchung gar nicht durchführen. Ob sie Angebote per E-Mail möchte, ist eine andere Frage, und nach den Einwilligungsbedingungen der Kommission darf ein Nein sie nicht die Buchung kosten.

Eine Einwilligung zählt nur, wenn die Kundin sie aktiv für einen bestimmten Zweck gibt, weiß, wer Sie sind und was Sie mit den Daten tun, und ohne Nachteil Nein sagen kann. In der Praxis heißt das: ein leeres Kästchen, das die Kundin selbst anhaken muss, ein klarer Satz daneben und ein Nachweis, wann sie zugestimmt hat. Die Kommission ergänzt, dass der Widerruf so einfach sein muss wie die Zustimmung.

In Resovu richten Sie das unter Einstellungen → Einwilligungen ein, in jedem Plan:

• Marketing-Einwilligung ist ein eigenes, freiwilliges Kästchen. Wer es nicht anhakt, kann trotzdem buchen.
• Eigene Einwilligungen (zum Beispiel für Vorher-nachher-Fotos) fügen Sie mit Einwilligung hinzufügen hinzu, als Pflicht oder freiwillig.
• Ob und wann ein Kunde der DSGVO- und der Marketing-Einwilligung zugestimmt hat, sehen Sie im Kundendetail, ab dem Plan Starter auch im CSV-Export der Kunden.
• Die Version der Datenschutzrichtlinie, die Sie unter Einstellungen → Datenschutz / DSGVO eintragen, wird mit jeder Einwilligung gespeichert. So können Sie später zeigen, welchem Text die Kundin zugestimmt hat.

Die Texte der Einwilligungen sind vorausgefüllt und lassen sich bearbeiten; für den Wortlaut sind Sie verantwortlich.

Ein klarer Satz für die Marketing-Einwilligung kann kurz sein: „Ich möchte E-Mails mit Neuigkeiten und Angeboten von Salon Iris erhalten. Ich kann mich jederzeit abmelden.“ Koppeln Sie ihn nicht an die Buchungsbedingungen – wer einen Haarschnitt möchte, sollte keinem Newsletter zustimmen müssen.

Laut DSGVO sollen personenbezogene Daten nicht länger gespeichert werden, als es der Zweck erfordert, für den sie erhoben wurden. Eine feste Zahl von Jahren nennt sie nicht. Sie entscheiden also selbst und sollten die Entscheidung begründen können. Buchhaltungs- und Steuervorschriften können Sie verpflichten, Rechnungen mehrere Jahre aufzubewahren; Kundennotizen brauchen das selten.

Resovu macht aus Ihrer Entscheidung eine Einstellung. Tragen Sie unter Einstellungen → Datenschutz / DSGVO die Aufbewahrungsfrist personenbezogener Daten in Tagen ein, von 30 bis 3.650 (Standard 365). Ein wöchentlicher Lauf

• anonymisiert Kunden, deren letzte Buchung oder letzter Besuch älter als die Frist ist und die keinen aktiven Geschenkgutschein und keine Aktivität im Portal haben,
• entfernt Namen, Kontakte, Notizen und Formularantworten aus älteren Buchungen,
• behält Beträge, Daten und Dienstleistungen, damit Ihre Umsatzberichte und ausgestellten Rechnungen stimmen.

Beispiel mit 365 Tagen: Eine Kundin, die zuletzt im Oktober 2025 da war und keinen Gutschein hat, wird beim ersten wöchentlichen Lauf nach Oktober 2026 anonymisiert.

Kunden können eine Kopie ihrer Daten, eine Berichtigung oder die Löschung verlangen oder der Werbung widersprechen. Laut Kommission sollten Sie ohne unangemessene Verzögerung antworten, grundsätzlich innerhalb eines Monats, und die Anfrage kostenlos bearbeiten (außer sie ist offenkundig unbegründet oder exzessiv).

• Kopie der Daten: Öffnen Sie Kunden, klicken Sie auf die Kundin und wählen Sie Daten exportieren (DSGVO). Sie erhalten eine JSON-Datei, die Sie ihr schicken.
• Löschung: An derselben Stelle wählen Sie Daten löschen (DSGVO). Name, Kontakte, Formularantworten, Notizen und Treuepunkte werden endgültig entfernt; Ihre Rechnungen und anonyme Buchungsbeträge bleiben.
• Eigene Buchungen und Rechnungsdaten: Kunden sehen kommende und vergangene Buchungen im Kundenportal und können unter Persönliche Daten Rechnungsdaten für Rechnungen speichern.

Export und Löschung kann nur der Inhaber des Kontos ausführen. Resovu schreibt der Kundin keine E-Mail über die Löschung; geben Sie ihr selbst Bescheid, wenn sie erledigt ist.

Beispiel: Eine Kundin fragt am 3. März schriftlich, was Sie über sie gespeichert haben. Bis zum 3. April schicken Sie ihr den Export aus Resovu und alles, was Sie außerhalb des Systems führen, etwa Notizen im Terminbuch oder E-Mails.

Wenn Kinder zu einer Leistung kommen, kann ein Elternteil oder eine erziehungsberechtigte Person die Buchung bestätigen. Öffnen Sie in Resovu Dienstleistungen, dann die Dienstleistung, und schalten Sie Dieses Angebot richtet sich an Minderjährige ein. Das Formular fragt dann, ob die teilnehmende Person unter der Altersgrenze Ihres Landes liegt, sowie nach Name und E-Mail der erziehungsberechtigten Person. Die Buchung gilt als bestätigt, sobald diese per E-Mail zustimmt; der Platz wird 48 Stunden reserviert.

Beschränken Sie, wer Kundendaten sieht. In Resovu hat jedes Teammitglied eine Rolle (Eigentümer, Administrator, Mitarbeiter oder Nur Lesen), und die Kontaktdaten der Kunden sehen nur der Eigentümer und Administratoren.

Wenn Daten abhandenkommen – etwa weil ein Handy mit Kundenkontakten verloren geht –, sollen Sie laut Kommission die Aufsichtsbehörde ohne unangemessene Verzögerung und spätestens innerhalb von 72 Stunden informieren, wenn die Panne voraussichtlich ein Risiko für Menschen darstellt, und bei hohem Risiko auch die betroffenen Kunden selbst.

Jede Buchungsseite in Resovu erhält außerdem automatisch eine Datenschutzerklärung mit Ihren Unternehmensdaten und der Liste der Auftragsverarbeiter, die Resovu nutzt. Nehmen Sie sie als Ausgangspunkt und prüfen Sie, ob sie zu Ihrem tatsächlichen Umgang mit Daten passt. Die Daten liegen in der EU (Frankfurt), und Verantwortlicher für die Daten Ihrer Kunden bleiben Sie.