DSGVO in der Kundenkartei: Was du speichern darfst — und wie lange

Welche Daten darf deine Kundenkartei enthalten?

Alles, was du brauchst, um den Vertrag mit deiner Kundin zu erfüllen — und dafür ist in der Regel keine Einwilligung nötig. Ein Friseurtermin ist rechtlich ein Vertrag, und Art. 6 Abs. 1 lit. b DSGVO (abgerufen 26.08.2026) erlaubt die Verarbeitung von Daten, die für die Erfüllung dieses Vertrags oder für vorvertragliche Schritte erforderlich sind. Auch die IHK ordnet die Vertragsanbahnung und -erfüllung als zentrale Rechtsgrundlage ein, die keine gesonderte Zustimmung braucht (IHK Rhein-Neckar: Rechtmäßige Datenverarbeitung, abgerufen 26.08.2026).

Konkret heißt das: Name, Telefonnummer, E-Mail-Adresse, gebuchte Leistungen, Terminhistorie, Preise und die fachlichen Notizen zur Behandlung — welche Farbformel beim letzten Mal auf dem Ansatz war, welche Schnitttechnik gewählt wurde, welches Produkt der Kundin nicht gefallen hat. Die Farbformel ist kein Datenschutz-Luxus, sondern der Kern des Handwerks: Ohne sie kannst du das Ergebnis vom letzten Besuch nicht wiederholen. Genau diese Erforderlichkeit ist der Maßstab — gespeichert wird, was der Auftrag braucht, nicht alles, was interessant wäre.

Die Grenze verläuft bei Daten, die mit dem Auftrag nichts zu tun haben. Familienstand, Arbeitgeber oder private Anekdoten haben in einer Kartei nichts verloren, nur weil sie im Gespräch gefallen sind. Und für Werbung gilt eine eigene Rechtslage mit eigenen Regeln — die steht im Beitrag Einwilligung für Kundendaten.

Wann brauchst du doch eine Einwilligung — Gesundheitsdaten und Fotos?

Sobald Gesundheitsbezug ins Spiel kommt, wechselt die Rechtsgrundlage: Angaben wie Allergien, Kopfhautzustand, Unverträglichkeiten oder eine Schwangerschaft sind Gesundheitsdaten und gehören zu den besonderen Kategorien nach Art. 9 DSGVO (abgerufen 26.08.2026). Ihre Verarbeitung ist grundsätzlich untersagt; im Salonalltag bleibt in der Regel nur die Ausnahme der ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a — also ein bewusstes, dokumentiertes Ja der Kundin zu genau diesem Zweck. Die Fachpresse des Handwerks kommt zum selben Ergebnis: Einwilligungen sind im Salon meist unnötig, für Gesundheitsdaten aber Pflicht (Friseur-Unternehmer.de, abgerufen 26.08.2026).

Das ist weniger Bürokratie, als es klingt. Ein Vermerk wie „reagiert empfindlich auf Blondierpulver“ schützt die Kundin bei jedem künftigen Termin — er braucht nur einmal ihr ausdrückliches Einverständnis, sauber festgehalten mit Datum und Wortlaut. Für Fotos gilt Ähnliches: Vorher-nachher-Bilder in der Kartei brauchen eine eigene Einwilligung, und wer sie veröffentlichen will, zusätzlich die Einwilligung nach § 22 Kunsturhebergesetz (abgerufen 26.08.2026). Musterformulierungen für beides findest du im Beitrag Einwilligung für Kundendaten.

Worüber musst du deine Kundinnen informieren?

Bei der Erhebung der Daten — also spätestens beim ersten Termin oder bei der Online-Buchung — muss die Kundin erfahren, wer ihre Daten verarbeitet, wozu, auf welcher Rechtsgrundlage, wie lange, und welche Rechte sie hat. Das verlangt Art. 13 DSGVO (abgerufen 26.08.2026), und zwar unabhängig davon, ob eine Einwilligung im Spiel ist oder nicht: Informieren musst du immer, auch wenn du nicht fragen musst.

Praktisch heißt das zweierlei. In der Online-Buchung gehören die Datenschutzhinweise gut erreichbar in die Buchungsstrecke. Im Salon reicht in der Regel ein Aushang oder ein Hinweisblatt an der Rezeption, das auf die vollständigen Hinweise verweist — niemand muss vor dem Waschbecken ein Vertragswerk unterschreiben. Wichtig ist, dass die Hinweise stimmen: Wenn dort steht, Daten würden nach zwei Jahren gelöscht, muss das auch passieren.

Was gilt bei Auskunft und Löschung?

Jede Kundin kann Auskunft über ihre gespeicherten Daten verlangen — und du musst in der Regel innerhalb eines Monats vollständig antworten. Das Auskunftsrecht steht in Art. 15 DSGVO (abgerufen 26.08.2026), die Monatsfrist in Art. 12 Abs. 3. Die Auskunft umfasst die Daten selbst, die Zwecke, die Empfänger und die geplante Speicherdauer. Daneben steht die Datenübertragbarkeit nach Art. 20: die Daten in einem gängigen, maschinenlesbaren Format zum Mitnehmen.

Das Löschrecht aus Art. 17 DSGVO (abgerufen 26.08.2026) greift, wenn die Daten für ihren Zweck nicht mehr nötig sind oder eine Einwilligung widerrufen wurde. Es ist aber kein absolutes Recht: Solange eine gesetzliche Aufbewahrungspflicht besteht, geht sie vor (Art. 17 Abs. 3 lit. b). Eine Kundin kann also verlangen, dass ihre Kartei verschwindet — ihre Rechnungen der letzten Jahre bleiben trotzdem im Archiv, bis die steuerliche Frist abläuft. Sauber gelöst wird das durch Anonymisieren des Karteiteils bei gleichzeitigem Aufbewahren der Belege.

Wie lange musst du aufbewahren — und wann musst du löschen?

Für steuerlich relevante Unterlagen gibt es feste Fristen aus § 147 AO (abgerufen 26.08.2026): Buchungsbelege und Rechnungen sind seit dem 1. Januar 2025 acht Jahre aufzubewahren — vorher waren es zehn —, sonstige Geschäftsunterlagen wie Geschäftsbriefe sechs Jahre, Bücher und Jahresabschlüsse weiterhin zehn (IHK Köln: Aufbewahrung von Geschäftsunterlagen, abgerufen 26.08.2026). In dieser Zeit darfst du nicht löschen, selbst wenn die Kundin es möchte.

Für die Kartei selbst — Kontaktdaten, Farbformeln, Notizen — gibt es dagegen keine gesetzliche Aufbewahrungsfrist. Hier gilt die Gegenrichtung: Ohne Zweck keine Speicherung. Kommt eine Kundin seit Jahren nicht mehr und meldet sich auch nicht, fehlt irgendwann die Grundlage, ihre Daten weiter zu führen. Eine feste gesetzliche Jahreszahl dafür existiert nicht; entscheidend ist, dass du eine Regel definierst, sie in deinen Datenschutzhinweisen nennst und sie tatsächlich anwendest. Genau dieses Auseinanderfallen — Belege lange aufheben, Kartei aktiv aufräumen — ist der Punkt, an dem Papierkarteien in der Praxis scheitern.

Brauchst du einen AVV mit deinem Softwareanbieter?

Ja, in der Regel — sobald deine Kundendaten auf den Servern eines Softwareanbieters liegen, ist der Anbieter dein Auftragsverarbeiter, und Art. 28 DSGVO (abgerufen 26.08.2026) verlangt dafür einen Vertrag zur Auftragsverarbeitung, kurz AVV. Er regelt, dass der Anbieter die Daten nur nach deiner Weisung verarbeitet, sie technisch schützt, Unterauftragnehmer offenlegt und die Daten am Ende zurückgibt oder löscht. Verantwortlich für die Daten bleibst du — der AVV ändert daran nichts, er macht die Arbeitsteilung nur rechtlich sauber.

Für die Auswahl einer Salonsoftware ist der AVV deshalb ein ehrlicher Prüfstein: Ein Anbieter, der ihn erst auf Nachfrage oder gar nicht herausrückt, hat seine Hausaufgaben nicht gemacht. Genauso aufschlussreich ist die Frage, wo die Server stehen und welche Unterauftragnehmer im Spiel sind — das steht in einem ordentlichen AVV drin, samt der technischen und organisatorischen Maßnahmen.

Wie bildet Calendio diese Pflichten ab?

• Auskunft und Export eingebaut: Die Auskunft nach Art. 15 und der Datenexport nach Art. 20 sind feste Funktionen der Kundenkartei — zwei getrennte Wege mit dem jeweils passenden Umfang, statt Handarbeit in Tabellenkalkulationen.
• Löschen mit Fristverstand: Beim Löschen zeigt Calendio, welche Daten wegen gesetzlicher Fristen noch aufzubewahren sind, und anonymisiert den Rest — es löscht nicht ungefragt, aber es lässt dich auch nicht versehentlich Belege vernichten.
• Einwilligungen als unveränderliche Nachweise: Jede Einwilligung wird mit Zeitpunkt und Herkunft gespeichert und kann nachträglich nicht verändert werden; ein Widerruf ist ein neuer Eintrag, kein Überschreiben.
• Fotos nur mit eigener Einwilligung: Kundenfotos lassen sich erst speichern, wenn die eigene Foto-Einwilligung vorliegt, und sind nur über kurzlebige signierte Links abrufbar.
• AVV vor der Registrierung: Den Vertrag zur Auftragsverarbeitung kannst du als PDF herunterladen und lesen, bevor du dich registrierst — nicht erst danach auf Nachfrage.

Ehrlich bleibt: Software nimmt dir die Verantwortung nicht ab. Verantwortliche Stelle für deine Kundendaten bist du, und ob deine Datenschutzhinweise zu deinem Salon passen, prüft kein Programm. Was gute Software leisten kann, ist der Teil, an dem Papier und Bastellösungen regelmäßig scheitern: Fristen sichtbar machen, Nachweise fälschungssicher führen und Auskunft auf Knopfdruck statt in Wochenendarbeit.

Häufige Fragen

Die Kundenkartei ist kein Datenschutzrisiko, sondern gelebte Handwerkspraxis — solange drin steht, was der Auftrag braucht, und du Auskunft, Löschung und Fristen im Griff hast. Calendio baut genau diese Pflichten in die Kundenkartei ein: Auskunft und Export auf Knopfdruck, Löschung mit Fristanzeige, unveränderliche Einwilligungsnachweise und den AVV zum Download vor der Registrierung. Ob deine Datenschutzhinweise und Einwilligungstexte zu deinem Salon passen, bleibt eine Frage für deine Rechtsberatung — das kann und will keine Software entscheiden.

Weiterlesen

• Salonsoftware auswählen: der große Vergleichs-Ratgeber
• Einwilligung für Kundendaten: Wann du sie brauchst — mit Mustern
• Die Calendio-Kundenkartei mit Farbformeln und DSGVO-Funktionen
• Kassenpflicht für Friseure: Was heute gilt und was 2028 kommen soll