Eine gute Kundenkartei enthält nur Daten, die für Termin, sichere kosmetische Behandlung, Abrechnung und nachvollziehbare Kommunikation wirklich gebraucht werden. Allergien und andere Gesundheitsangaben sind besonders geschützte Daten. Vorher-Nachher-Fotos, Werbung und medizinische Notizen dürfen nicht mit einer einzigen pauschalen Zustimmung vermischt werden.
Eine Kundenkartei hilft, Mapping, Produkte und Reaktionen beim nächsten Termin nachzuvollziehen. Gleichzeitig macht jede zusätzliche Notiz das Studio für ihren Schutz verantwortlich. „Vielleicht später nützlich“ ist kein ausreichender Zweck.
Was in eine schlanke Behandlungskartei passt
Stammdaten
- Name und verlässlicher Kontaktweg
- Termin- und Stornohistorie, soweit erforderlich
- bevorzugte Ansprache
Geburtsdatum, Privatadresse oder Beruf werden nicht automatisch benötigt. Erhebe sie nur, wenn ein konkreter, rechtmäßiger Zweck besteht.
Behandlungsdaten
- Datum und Art der Leistung
- Mapping, Curl, Länge und verwendete Produkte
- Kleber mit Charge oder eindeutiger Produktzuordnung
- sichtbarer Ausgangszustand aus kosmetischer Sicht
- relevante Reaktion während oder nach dem Termin
- vereinbarte Pflege- und Kontrollhinweise
Schreibe beobachtbar und neutral. „Lidrand bei Termin sichtbar gerötet, Behandlung nicht durchgeführt“ ist besser als eine erfundene Diagnose.
Gesundheits- und Allergieangaben
Allergien, Augenkrankheiten, Schwangerschaft oder Medikamentenangaben können Gesundheitsdaten sein. Die österreichische Datenschutzbehörde ordnet Gesundheitsdaten den besonderen Kategorien nach Artikel 9 DSGVO zu; ihre Verarbeitung ist grundsätzlich verboten, sofern keine passende Ausnahme greift, etwa eine ausdrückliche Einwilligung für festgelegte Zwecke (DSB: Besondere Datenkategorien).
Ein Studio sollte deshalb mit Datenschutzberatung klären, welche Angaben für die konkrete Behandlung wirklich nötig sind, auf welcher Rechtsgrundlage sie verarbeitet werden und wie eine ausdrückliche Einwilligung nachweisbar gestaltet wird.
Drei Zwecke, drei getrennte Entscheidungen
Behandlung
Die Karte dokumentiert, was für Durchführung und Sicherheit benötigt wird. Dafür ist die passende Rechtsgrundlage vorab festzulegen und in der Datenschutzinformation zu erklären.
Vorher-Nachher-Fotos
Ein Behandlungsfoto zur internen Dokumentation ist nicht dasselbe wie eine Veröffentlichung auf Instagram. Lege Zweck, Ausschnitt, Speicherdauer und Zugriff fest. Für öffentliche Nutzung braucht es eine eigene, freiwillige und verständliche Vereinbarung.
Marketing
Termin-Erinnerung und Newsletter sind nicht dasselbe. Eine Mobilnummer aus der Buchung darf nicht automatisch für beliebige Werbung weiterverwendet werden. Einwilligungen müssen freiwillig, konkret, informiert und eindeutig sein und sich leicht widerrufen lassen (EDPB: Personenbezogene Daten rechtmäßig verarbeiten).
Was nicht in die Kartei gehört
- private Vermutungen über Beziehungen, Einkommen oder Persönlichkeit,
- medizinische Diagnosen durch die Lash Artist,
- Screenshots privater Chats ohne Zweck,
- komplette Ausweiskopien „für alle Fälle“,
- Social-Media-Fotos ohne dokumentierte Freigabe,
- unbegrenzte Freitextfelder, in die jede Mitarbeiterin alles schreibt.
Die DSGVO verlangt Datenminimierung: Daten müssen angemessen, relevant und auf das Notwendige beschränkt sein (Artikel 5 DSGVO auf EUR-Lex).
Zugriff, Aufbewahrung und Löschung
Papierkarten gehören in einen versperrten Schrank, digitale Daten hinter individuelle Zugänge mit starken Passwörtern und angemessenen Backups. Nicht jede Mitarbeiterin braucht Zugriff auf alle Angaben. Externe Buchungs-, Cloud- oder Newsletterdienste sind datenschutzrechtlich gesondert zu prüfen und vertraglich einzuordnen.
Lege für jede Datenkategorie eine Aufbewahrungslogik fest. Der Europäische Datenschutzausschuss betont, dass personenbezogene Daten nicht unbegrenzt gespeichert werden dürfen; sind sie für den Zweck nicht mehr nötig, müssen sie gelöscht oder anonymisiert werden (EDPB: How long can I store personal data?).
Übernimm nicht einfach die Aufbewahrungsfrist von Rechnungen für die gesamte Kundenkartei. Abrechnungsunterlagen, Behandlungsnotizen, Gesundheitsangaben, Marketingeinwilligungen und Fotos können unterschiedlichen Zwecken und Fristen unterliegen.
Der praktische Mindestprozess
- Zwecke und Rechtsgrundlagen je Datenart festlegen.
- Pflichtfelder auf das Notwendige reduzieren.
- Datenschutzinformation bei Erhebung bereitstellen.
- Einwilligungen nach Zweck trennen und Widerruf dokumentieren.
- Zugriffe und Dienstleister prüfen.
- Löschfristen definieren und regelmäßig anwenden.
- Auskunfts-, Berichtigungs- und Löschanfragen organisatorisch vorbereiten.
Die beste Kundenkartei ist nicht die längste. Sie ist fachlich nützlich, verständlich begründet und so sparsam, dass das Studio jede gespeicherte Information verantworten kann.
Stand: 29. Juli 2026 · Rechtlicher Hinweis: Dieser Ratgeber ersetzt keine individuelle Datenschutzberatung.