DSGVO im Kosmetikstudio — die fünf teuersten Fehler

Eine Prüfung beginnt selten mit der Datenschutzerklärung. Sie beginnt mit einer Frage: Auf welcher Rechtsgrundlage verarbeiten Sie Gesundheitsdaten? Fünf Antworten, die in der Praxis am häufigsten schiefgehen.

1. Eine Einwilligung für alles

Einwilligung in die Behandlung, Einwilligung in die Verarbeitung von Gesundheitsdaten und Einwilligung in die Veröffentlichung von Fotos sind drei Entscheidungen. Setzt die Kundin ein einziges Häkchen, ist keine davon freiwillig — und eine unfreiwillige Einwilligung ist unwirksam.

Der Test ist einfach: Kann die Kundin die Marketingeinwilligung verweigern und trotzdem behandelt werden? Wenn nicht, haben Sie ein Problem.

2. Gesundheitsfragen ohne Erlaubnistatbestand

Ein Anamnesebogen mit Fragen zu Schwangerschaft, Medikamenten und Hauterkrankungen enthält besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt; eine Rechtsgrundlage nach Art. 6 allein genügt nicht.

Im Kosmetikstudio trägt regelmäßig die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a, ergänzt durch § 22 BDSG. Wird die Behandlung durch Angehörige eines Heilberufs erbracht, gilt stattdessen Art. 9 Abs. 2 lit. h — und dann wird keine Einwilligung eingeholt, weil sie nicht die Rechtsgrundlage ist.

Klären Sie einmal schriftlich, zu welcher Gruppe Sie gehören.

3. Vorher-Nachher-Fotos

Ein Gesichtsfoto ist nicht automatisch ein biometrisches Datum. Dazu wird es erst durch eine technische Verarbeitung zur eindeutigen Identifizierung — im Studio also selten. Ein Foto einer Hautveränderung ist aber ein Gesundheitsdatum, und das genügt bereits.

Die Veröffentlichung ist eine eigene Frage. Die Einwilligung zur Dokumentation und die Einwilligung zur Veröffentlichung auf Instagram sind zwei verschiedene Erlaubnisse.

4. Aufbewahrung „für alle Fälle"

Karteien von vor acht Jahren, man weiß ja nie. Der Grundsatz der Speicherbegrenzung verlangt eine festgelegte Frist und deren Einhaltung.

Orientierung gibt die Verjährung: § 195 BGB sieht drei Jahre vor, beginnend mit dem Schluss des Jahres der Entstehung und der Kenntnis. Bei Personenschäden verlängert § 199 Abs. 2 BGB die Frist erheblich. Drei Jahre sind daher die Untergrenze, nicht die Regel.

Länger als nötig aufzubewahren ist für sich genommen ein Verstoß — und vergrößert den Schaden bei einer Panne.

5. Kein Auftragsverarbeitungsvertrag

Buchungssysteme, Karteisoftware, Steuerbüro, Cloud-Speicher für Fotos — jeder verarbeitet Daten in Ihrem Auftrag und jeder braucht einen Vertrag nach Art. 28 Abs. 3 DSGVO.

Danach wird zuerst gefragt, weil sein Fehlen sofort auffällt.

Was diese Woche zu tun ist

Trennen Sie die Einwilligungen in eigene Felder. Prüfen Sie, ob der Anamnesebogen eine eigene ausdrückliche Einwilligung hat. Legen Sie eine Aufbewahrungsfrist fest und halten Sie sie ein. Sammeln Sie die Auftragsverarbeitungsverträge Ihrer Dienstleister.

Zuständig ist die Landesdatenschutzbehörde Ihres Bundeslandes — dorthin geht die Beschwerde einer unzufriedenen Kundin, nicht an eine Bundesbehörde.