Kundenkartei und Datenschutz im Coiffeursalon: was das DSG in der Schweiz wirklich verlangt

Die Stammkundin kommt zum Ansatz, und bevor sie auf dem Stuhl sitzt, wirft die Coiffeuse einen Blick auf die Karte: 7.1 mit 6 %, 35 Minuten, "Pony nicht zu kurz", und ganz unten der Vermerk "reagiert auf PPD". Diese Kundenkartei, ob Karteikasten am Empfang, Excel-Tabelle oder Software, ist seit dem 1. September 2023 Sache des revidierten Bundesgesetzes über den Datenschutz (DSG, oft revDSG oder nDSG genannt). Es gilt für jeden Coiffeursalon in der Schweiz, vom Einfrauenbetrieb in Appenzell bis zum Salon mit acht Mitarbeitenden an der Zürcher Bahnhofstrasse.

Die gute Nachricht vorweg: Für einen Coiffeursalon ist das DSG deutlich leichter zu erfüllen, als es manche Beratungsofferte vermuten lässt. Keine Bewilligung, keine Meldung an eine Behörde, kein Datenschutzbeauftragter, und das Verzeichnis der Bearbeitungstätigkeiten müssen die allermeisten Salons nicht führen. Was bleibt, ist eine Handvoll konkreter Pflichten, die dieser Artikel der Reihe nach durchgeht.

Dieser Beitrag gilt für Coiffeursalons in der Schweiz, mit Blick auf die Deutschschweiz. Für Salons in Deutschland gelten andere Regeln, die wir im Artikel zur Kundenkartei und DSGVO im Friseursalon erklären; für Österreich gibt es den Beitrag zur Kundenkartei in Österreich nach DSGVO und DSG. Der Blog gehört zu ViteUneCoupe, einer kostenlosen Online-Terminbuchung ohne Provision für Coiffeursalons, deren Gratisversion eine Kundenkartei mit Terminhistorie enthält und die auch in der Schweiz genutzt wird; was das Tool beim Datenschutz leistet und was nicht, steht offen am Ende. Alle Gesetzesstellen wurden am 31. Oktober 2026 im Wortlaut auf Fedlex geprüft. Rechtsberatung ist dieser Text nicht.

Gilt das DSG auch für einen Salon mit einem einzigen Stuhl?

Ja. Art. 2 Abs. 1 des Datenschutzgesetzes (SR 235.1) erklärt das Gesetz für anwendbar auf die Bearbeitung von Personendaten natürlicher Personen durch private Personen. Eine Untergrenze nach Grösse, Umsatz oder Mitarbeitenden gibt es nicht. Ausgenommen sind nur Personendaten, die eine natürliche Person "ausschliesslich zum persönlichen Gebrauch" bearbeitet (Art. 2 Abs. 2 lit. a). Das Adressbuch auf Ihrem privaten Handy ist persönlicher Gebrauch; die Liste der Kundinnen, die Sie für den Salon führen, ist es nicht, auch wenn sie im selben Handy steckt.

Was zählt als Personendaten? Nach Art. 5 lit. a DSG "alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen". Ein Vorname mit einer +41-Nummer reicht. Und "Bearbeiten" umfasst nach Art. 5 lit. d jeden Umgang mit diesen Daten: beschaffen, speichern, aufbewahren, verwenden, bekanntgeben, löschen. Die Karteikarte aus Papier ist also genauso Bearbeitung wie der Datensatz in der Software.

Was das DSG nicht verlangt, sollte ebenso klar gesagt werden: Es gibt keine Anmeldung einer Datensammlung bei einer Behörde (die alte Registrierungspflicht ist mit der Revision weggefallen), der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) stellt keine "Konformitätsbescheinigung" aus, und eine Datenschutzberaterin ist für private Verantwortliche freiwillig (Art. 10 Abs. 1: "können"). Das Gesetz setzt auf Eigenverantwortung: Sie halten die Grundsätze ein und können das im Zweifel zeigen.

DSG oder DSGVO: welches Recht gilt für Ihren Salon?

Für einen Coiffeursalon mit Sitz in der Schweiz und Kundschaft, die zur Tür hereinkommt, gilt das DSG. Punkt. Die europäische Datenschutz-Grundverordnung (DSGVO) ist in der Schweiz kein geltendes Recht, und die meisten Vorlagen, die im Netz kursieren, sind für deutsche Betriebe geschrieben: Sie verlangen Dinge (Verarbeitungsverzeichnis, 72-Stunden-Meldefrist, Datenschutzbeauftragter ab 20 Beschäftigten), die ein Schweizer Salon nicht erfüllen muss.

Die DSGVO kann zusätzlich greifen, und zwar nach ihrem Art. 3 Abs. 2 (Verordnung (EU) 2016/679) nur in zwei Fällen: wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten, oder wenn Sie deren Verhalten in der EU beobachten. Das Wort "anbieten" ist entscheidend. Ein Salon in Basel, bei dem jede Woche Kundinnen aus Lörrach und Weil am Rhein im Stuhl sitzen, bietet deswegen noch keine Dienstleistung "in der EU" an: Die Leistung wird in Basel erbracht, die Buchungsseite ist auf Deutsch mit Preisen in Franken, und dass deutsche Kundinnen über die Grenze kommen, ist kein Ausrichten auf den deutschen Markt. Anders sieht es aus, wenn Sie gezielt für Deutschland werben: Preise in Euro, bezahlte Anzeigen mit Zielgebiet Landkreis Lörrach, ein Newsletter "für unsere Kundschaft aus dem Dreiland". Dann rücken Sie in den Anwendungsbereich der DSGVO, und es wäre vorsichtig, beide Regelwerke einzuhalten.

Keine Panik auch hier: Wer das DSG sauber umsetzt, hat den grössten Teil der DSGVO ohnehin erledigt. Die Unterschiede, die dann noch zählen, sind das Verarbeitungsverzeichnis (unter der DSGVO für einen Salon mit laufender Kundenkartei faktisch Pflicht), die 72-Stunden-Meldefrist bei Datenpannen und ein paar zusätzliche Angaben in der Datenschutzerklärung. Im Rest dieses Artikels geht es ausschliesslich um das Schweizer Recht.

Die Grundsätze: Zweckbindung, Verhältnismässigkeit, keine "magische Frist"

Das DSG kennt keinen Katalog erlaubter Daten für Coiffeursalons. Es kennt Grundsätze, und zwar in Art. 6:

• Rechtmässigkeit und Treu und Glauben (Abs. 1 und 2): Sie beschaffen Daten offen, nicht heimlich.
• Verhältnismässigkeit (Abs. 2): nur, was Sie für den Zweck brauchen. Name, Telefon, E-Mail, Terminhistorie, Rezeptur: ja. Geburtsdatum, Adresse, Beruf, Zivilstand: nur, wenn Sie einen konkreten Grund haben (eine Geburtstagsaktion ist einer, "könnte man mal brauchen" nicht).
• Zweckbindung (Abs. 3): Daten werden "nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft" und nur zweckvereinbar bearbeitet. Die Nummer, die die Kundin für die Terminbestätigung hinterlegt hat, ist für die Terminbestätigung da; für Werbe-SMS ist sie ein anderer Zweck (dazu unten mehr).
• Vernichtung oder Anonymisierung (Abs. 4): "sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind".
• Richtigkeit (Abs. 5): falsche Nummer, alter Name nach der Heirat: korrigieren.

Der vierte Punkt ist derjenige, nach dem am häufigsten gefragt wird: Wie lange darf ich die Karte einer Kundin behalten, die nicht mehr kommt? Die ehrliche Antwort: Das DSG nennt keine Frist in Jahren, und auch der EDÖB hat keine "Drei-Jahres-Regel" für Kundenkarteien aufgestellt. Wer eine solche Zahl irgendwo liest, liest meist eine deutsche oder französische Empfehlung. In der Schweiz legen Sie die Dauer selbst fest, nach dem Massstab der Verhältnismässigkeit, und müssen sie begründen können. Eine praktikable Regel für einen Coiffeursalon:

Die 10 Jahre für Buchhaltungsbelege nach Art. 958f OR betreffen die Belege, nicht die Kundenkarte: Dass Frau Müller am 3. März einen Ansatz für CHF 95 bezahlt hat, bleibt im Kassenbuch; ihre Rezeptur und ihre Telefonnummer müssen dafür nicht zehn Jahre bleiben. Praktischer Ablauf: einmal im Jahr die Kartei nach dem Datum des letzten Termins sortieren und die Karten jenseits Ihrer Frist löschen. Die genaue Zahl ist weniger wichtig als die Tatsache, dass Sie eine Regel haben und sie anwenden.

Allergie, Kopfhaut, Farbrezeptur: was in der Kartei besonders schützenswert ist

Hier lohnt sich Genauigkeit, weil die Begriffe oft durcheinandergeraten.

Die Farbrezeptur ist kein Gesundheitsdatum. "8.3 + 9.0 im Verhältnis 1:1 mit 6 %, 35 Minuten" sagt etwas über das Haar und über Ihre Arbeit, nichts über die Gesundheit der Person. Das sind gewöhnliche Personendaten, die Sie für die nächste Behandlung brauchen; dafür gelten die Grundsätze oben und sonst nichts Besonderes.

Eine Allergie oder Hautreaktion ist ein Gesundheitsdatum. Art. 5 lit. c Ziff. 2 DSG zählt "Daten über die Gesundheit" zu den besonders schützenswerten Personendaten. "Reagiert auf PPD", "Kopfhaut mit Psoriasis", "Ekzem nach der letzten Blondierung" fallen darunter. Das Gesetz verbietet Ihnen nicht, das zu notieren; im Gegenteil, vor einer Oxidationsfarbe ist diese Notiz eine Frage der Sorgfalt. Es verlangt aber drei Dinge:

1. Ausdrückliche Einwilligung. Nach Art. 6 Abs. 7 lit. a DSG muss die Einwilligung für die Bearbeitung besonders schützenswerter Personendaten "ausdrücklich erfolgen", und nach Abs. 6 freiwillig und "nach angemessener Information". Ein Satz an der Farbkonsole reicht dafür: "Darf ich notieren, dass Sie auf Haarfarbe reagiert haben, damit die Kolleginnen das beim nächsten Mal wissen?" Entscheidend ist, dass Sie das Ja festhalten, mit Datum und Kürzel, auf der Karte oder im Notizfeld der Software. Eine Unterschrift verlangt das Gesetz nicht; "ausdrücklich" heisst nicht "schriftlich", aber ein Ja, das Sie nachweisen können, ist mehr wert als eines, an das Sie sich erinnern.
2. Beschränkung auf das Nötige. "Reagiert auf PPD, Hautärztin empfohlen am 12.3." ist nötig. Die Diagnose der Hautärztin, die Medikamente, die Krankengeschichte sind es nicht.
3. Keine Weitergabe. An niemanden ausserhalb des Salons, auch nicht an den Produktelieferanten, auch nicht "zur Sicherheit" an den neuen Salon, in den die Kundin wechselt (das darf sie selbst mitnehmen, siehe Auskunftsrecht).

Wie Sie eine Kundenkarte handwerklich führen, von der reproduzierbaren Rezeptur bis zur dokumentierten Beratung vor der Färbung, steht im Praxisartikel zur Kundenkarte mit Farbrezeptur und Beratungsnotizen; die Handwerksregeln dort gelten in Zürich wie in Hamburg, nur die Rechtsgrundlagen sind andere.

Zwei weitere Punkte gehören in dieselbe Kategorie der Vorsicht. Freitextnotizen: Schreiben Sie nichts auf die Karte, was Sie der Kundin nicht vorlesen könnten, denn sie darf alles lesen (Art. 25 DSG, unten). "Wünscht Rücksprache vor jedem Schnitt" ist eine Notiz, "mühsam, reklamiert immer" ist ein Haftungsfall. Fotos: Ein Vorher-nachher-Bild in der Karte und dasselbe Bild auf Instagram sind zwei verschiedene Bearbeitungen mit zwei verschiedenen Einwilligungen; die Regeln für den zweiten Fall erklärt der Beitrag zu Kundenfotos auf Instagram und Facebook im Coiffeursalon.

Informationspflicht: die Datenschutzerklärung auf Website und Buchungsseite

Die sichtbarste Neuerung des revidierten DSG für kleine Betriebe ist Art. 19: Wer Personendaten beschafft, "informiert die betroffene Person angemessen" darüber, und zwar bei der Beschaffung. Der Mindestinhalt steht in Abs. 2 und ist kurz:

• Identität und Kontaktdaten des Verantwortlichen (Ihr Salon, Ihre Adresse, eine E-Mail-Adresse);
• der Bearbeitungszweck (Termine verwalten, Erinnerungen schicken, Rezepturen für die nächste Behandlung festhalten);
• gegebenenfalls die Empfängerinnen und Empfänger oder deren Kategorien (zum Beispiel "unser Anbieter für die Online-Terminbuchung");
• und, wenn Daten ins Ausland gehen, nach Abs. 4 auch der Staat (zum Beispiel "Server in Frankreich").

Eine Form schreibt das Gesetz nicht vor. Der EDÖB hält auf seiner Seite zur Informationspflicht fest: "Das DSG sieht keine Formvorschriften für diese Information" (geprüft am 31. Oktober 2026); möglich sind eine Datenschutzerklärung, ein Hinweis auf der Website, ein Aushang. Die Information muss aber leicht auffindbar und verständlich sein. In der Praxis sind das zwei Stücke:

• Auf Ihrer Website und auf der Buchungsseite eine Datenschutzerklärung von fünf bis zehn Sätzen, verlinkt dort, wo die Kundin ihre Daten eingibt. Beispiel: "Coiffeur Beispielname, Musterstrasse 1, 8000 Zürich, speichert Ihren Namen, Ihre Telefonnummer, Ihre E-Mail-Adresse und Ihre Termine, um Ihre Buchungen zu verwalten und Sie an Termine zu erinnern. Die Daten liegen bei unserem Buchungsanbieter [Name], Server in [Land]. Sie können jederzeit Auskunft, Berichtigung oder Löschung verlangen: [E-Mail-Adresse]." Was sonst noch auf eine Schweizer Buchungsseite gehört (Preise in Franken nach PBV, Angaben nach UWG), steht im Leitfaden zur Online-Terminbuchung im Coiffeursalon in der Schweiz.
• Im Salon ein kurzer Aushang am Empfang mit demselben Inhalt für die Kundschaft, die telefonisch oder spontan bucht.

Wichtig, weil es oft verwechselt wird: Informieren ist nicht dasselbe wie Einwilligen lassen. Für die normale Kundenkartei brauchen Sie keine Unterschrift; Termine verwalten gehört zur Leistung, die die Kundin selbst bestellt hat. Die Einwilligung ist für die Sonderfälle reserviert: Gesundheitsnotiz, Foto, Werbung. Nach Art. 20 Abs. 1 lit. a entfällt die Information zudem, wenn die Person "bereits über die entsprechenden Informationen verfügt": Die Stammkundin, die seit zehn Jahren kommt und den Aushang kennt, müssen Sie nicht bei jedem Besuch neu belehren.

Software und Cloud: Auftragsbearbeiter, Ausland und der Vertrag

Sobald Ihre Kartei in einer Software liegt, bearbeitet der Anbieter die Daten in Ihrem Auftrag: Er ist Auftragsbearbeiter nach Art. 5 lit. k, Sie bleiben Verantwortliche. Der EDÖB beschreibt auf seiner Seite zu Datenbearbeitungen in der Cloud (geprüft am 31. Oktober 2026) den Cloud-Anbieter in der Regel als Auftragsbearbeiter des Kunden und hält fest: "Als Verantwortlicher tragen Sie die Hauptverantwortung dafür, dass die Datenbearbeitung rechtmässig erfolgt."

Art. 9 DSG macht daraus drei Prüfpunkte, die Sie beim Anbieter abklären, bevor Sie Ihre Kundschaft hineinladen:

1. Der Anbieter bearbeitet nur so, wie Sie es selbst dürften (Art. 9 Abs. 1 lit. a), also nach Ihren Weisungen und für Ihre Zwecke. Ein Anbieter, der Ihre Kundinnen für seinen eigenen Marktplatz anschreibt, tut etwas anderes; prüfen Sie die AGB darauf, wem die Kundenbeziehung gehört.
2. Er gewährleistet die Datensicherheit (Art. 9 Abs. 2: Sie müssen sich "insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten"). Fragen Sie nach Verschlüsselung, Backups und danach, ob Sie Ihre Daten exportieren und am Vertragsende löschen lassen können.
3. Unterauftragsbearbeiter nur mit Ihrer Genehmigung (Art. 9 Abs. 3), in der Praxis über eine Liste in den Nutzungsbedingungen (Hosting-Anbieter, E-Mail-Versand).

Halten Sie das vertraglich fest. Bei einem SaaS-Tool sind das die Nutzungsbedingungen plus, wo angeboten, ein Auftragsbearbeitungsvertrag (oft noch "AVV" nach deutschem Vorbild genannt). Das DSG schreibt keine bestimmte Vertragsform vor, aber ohne Vertrag können Sie Art. 9 nicht nachweisen.

Server im Ausland: EU ja, USA nur mit Zertifizierung, Schweiz keine Pflicht

Der zweite Teil, der viele Salons beschäftigt: Dürfen die Daten die Schweiz verlassen? Art. 16 Abs. 1 DSG erlaubt die Bekanntgabe ins Ausland, "wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates einen angemessenen Schutz gewährleistet". Diese Liste steht in Anhang 1 der Datenschutzverordnung (DSV, SR 235.11): Sie umfasst alle EU-Staaten, darunter Deutschland, Frankreich, Österreich und Italien, dazu Island, Norwegen, Liechtenstein und das Vereinigte Königreich. Ein Anbieter mit Servern in Frankfurt oder Paris ist also aus Sicht des DSG so zulässig wie einer in Bern.

Die USA stehen ebenfalls auf der Liste, aber mit Einschränkung: Ein angemessenes Schutzniveau gilt nur für Organisationen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA (Swiss-U.S. Data Privacy Framework) zertifiziert sind; dieser Eintrag ist seit dem 15. September 2024 in Kraft. Bei einem US-Anbieter ohne Zertifizierung braucht es Garantien nach Art. 16 Abs. 2, in der Praxis Standarddatenschutzklauseln. Prüfen Sie das bei amerikanischen Terminsystemen, aber auch bei den Nebenwerkzeugen: dem Newsletter-Tool, dem Cloud-Speicher mit den Vorher-nachher-Fotos, dem Formulardienst.

Und das Missverständnis, das in der Branche am hartnäckigsten ist: Das DSG verlangt kein Hosting in der Schweiz. "Schweizer Server" ist ein legitimes Verkaufsargument und für manche Salons ein echtes Kriterium, aber keine gesetzliche Pflicht. Wo die einzelnen Anbieter hosten, von Klara und Posea in der Schweiz bis zu Shore in Deutschland, zeigt die Hosting-Spalte in unserem Vergleich der Coiffeur-Software in der Schweiz.

Verzeichnis der Bearbeitungstätigkeiten: die Ausnahme für Salons

Art. 12 DSG verlangt von Verantwortlichen ein Verzeichnis ihrer Bearbeitungstätigkeiten, lässt den Bundesrat aber Ausnahmen vorsehen (Abs. 5). Das hat er getan: Nach Art. 24 DSV sind "Unternehmen und andere privatrechtliche Organisationen, die am 1. Januar eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen, sowie natürliche Personen" von der Pflicht befreit, ausser sie bearbeiten besonders schützenswerte Personendaten "in grossem Umfang" oder führen ein Profiling mit hohem Risiko durch.

Ein Coiffeursalon mit ein paar Dutzend Allergienotizen in einigen hundert Kundenkarten bearbeitet Gesundheitsdaten nicht "in grossem Umfang"; der Begriff zielt auf Spitäler, Versicherer und Labore. Ihr Salon ist daher in praktisch allen Fällen vom Verzeichnis befreit. Das ist der auffälligste Unterschied zur DSGVO, unter der derselbe Salon in Deutschland das Verzeichnis führen müsste.

Trotzdem empfiehlt sich eine einzige Seite ohne Formalitäten: Welche Daten haben wir, wo liegen sie (Software, Karteikasten, Handy), wer hat Zugriff, wie lange bleiben sie. Nicht weil das Gesetz es verlangt, sondern weil Sie mit dieser Seite ein Auskunftsbegehren in zehn Minuten beantworten und bei einem Zwischenfall sofort wissen, was betroffen ist.

Datensicherheit: Passwörter, Zugriff pro Person, Karteikasten mit Schloss

Art. 8 DSG verpflichtet Verantwortliche und Auftragsbearbeiter zu "geeigneten technischen und organisatorischen Massnahmen" für "eine dem Risiko angemessene Datensicherheit". Die Mindestanforderungen stehen in Art. 1 bis 3 DSV, und sie lesen sich für einen Salon konkreter, als man denkt. Art. 3 Abs. 1 DSV verlangt, dass "berechtigte Personen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen" (Zugriffskontrolle), dass nur Berechtigte Zugang zu Räumen und Anlagen haben (Zugangskontrolle) und dass Unbefugte Systeme nicht über Datenübertragung nutzen können (Benutzerkontrolle). Abs. 2 verlangt Wiederherstellbarkeit nach einem Zwischenfall und Software "stets auf dem neusten Sicherheitsstand". Übersetzt in den Salonalltag:

• Ein eigenes Login pro Person, wo die Software das anbietet, statt eines Passworts auf dem Zettel am Bildschirm. Wo das nicht geht, gehört das Salonkonto der Inhaberin, und Mitarbeitende arbeiten an einem Gerät, das Sie kontrollieren.
• Starke Passwörter und, wo der Anbieter sie anbietet, die Zwei-Faktor-Anmeldung. Das Passwort wird am Tag gewechselt, an dem jemand den Salon verlässt.
• Rollen nach Aufgabe: Die Lernende braucht den Terminkalender, nicht den Export der ganzen Kartei.
• Tablet und Handy mit Sperre, Updates eingespielt, und Kundendaten nicht in private WhatsApp-Chats.
• Backups: Ein einzelner Karteikasten kann brennen, eine Excel-Datei auf einem einzigen Laptop ohne Kopie ist kaum besser. Bei einer Cloud-Software ist das Backup die Sache des Anbieters; fragen Sie trotzdem danach.
• Papierkarten im abschliessbaren Schrank, nicht offen am Empfang, wo jede wartende Kundin die Karte der vorherigen lesen kann. Das ist die Zugangskontrolle nach Art. 3 Abs. 1 lit. b DSV in ihrer einfachsten Form.
• Entsorgung: Alte Karten in den Schredder, nicht ins Altpapier.

Eine Protokollierung der Zugriffe (Art. 4 DSV) und ein Bearbeitungsreglement (Art. 5 DSV) verlangt die Verordnung nur bei besonders schützenswerten Daten in grossem Umfang oder Profiling mit hohem Risiko; für einen Salon entfallen beide.

Wenn eine Mitarbeiterin mit der Kundenliste geht

Der häufigste Datenschutzvorfall im Coiffeurgewerbe ist kein Hackerangriff, sondern die Kollegin, die kündigt, sich selbständig macht und "ihre" Kundinnen per WhatsApp informiert, wo sie jetzt arbeitet. Datenschutzrechtlich ist das eine Bekanntgabe von Personendaten für einen fremden Zweck, arbeitsrechtlich eine Verletzung der Treuepflicht: Nach Art. 321a Abs. 4 OR darf die Arbeitnehmerin Geschäftsgeheimnisse, von denen sie im Dienst Kenntnis erlangt hat, auch nach Ende des Arbeitsverhältnisses nicht verwerten, "soweit es zur Wahrung der berechtigten Interessen des Arbeitgebers erforderlich ist". Ein Konkurrenzverbot nach Art. 340 ff. OR muss schriftlich vereinbart und nach Ort, Zeit und Gegenstand begrenzt sein (Art. 340a) und fällt dahin, wenn Sie selbst ohne begründeten Anlass kündigen (Art. 340c Abs. 2). Was Sie bei Kündigung und Austritt sonst beachten müssen, von der Kündigungsfrist nach GAV bis zum Arbeitszeugnis, steht im Beitrag zu Kündigung, Probezeit und Arbeitszeugnis im Coiffeursalon. Unser Artikel über Kundendaten beim Mitarbeiterwechsel ist für Deutschland geschrieben; die praktischen Vorkehrungen (Zugänge am letzten Tag sperren, Export nur für die Inhaberin, Kundinnen über den Salon statt über die Mitarbeiterin informieren) passen auch für die Schweiz, die zitierten Gesetze nicht.

Die Rechte Ihrer Kundschaft: Auskunft in 30 Tagen, Berichtigung, Löschung

Jede Person kann von Ihnen verlangen zu erfahren, ob und welche Daten Sie über sie bearbeiten (Art. 25 Abs. 1 DSG). Sie erhält mindestens: Ihre Identität als Verantwortliche, "die bearbeiteten Personendaten als solche", den Zweck, die Aufbewahrungsdauer oder die Kriterien dafür, und allfällige Empfänger (Abs. 2). Die Auskunft ist kostenlos (Abs. 6) und muss nach Art. 18 DSV "innerhalb von 30 Tagen seit dem Eingang des Begehrens" erteilt werden; geht das nicht, teilen Sie innert derselben Frist mit, wann sie kommt. Das Begehren muss nach Art. 16 DSV grundsätzlich schriftlich gestellt werden, mündlich nur mit Ihrem Einverständnis; nichts hindert Sie, der Kundin am Waschbecken einfach zu helfen. Und: Sie bleiben auskunftspflichtig, auch wenn die Daten bei Ihrer Software liegen (Art. 25 Abs. 4).

"Alle Daten" heisst alle: Terminhistorie, Rezeptur, Notizen, Allergievermerk. Deshalb der Rat oben, nichts zu notieren, was Sie nicht zeigen würden. Für automatisiert bearbeitete Daten gibt Art. 28 DSG zudem einen Anspruch auf Herausgabe "in einem gängigen elektronischen Format", etwa wenn eine Kundin ihre Rezeptur zum neuen Salon mitnehmen will.

Berichtigung und Löschung laufen über Art. 32 DSG: Unrichtige Daten müssen berichtigt werden (Abs. 1), und wer die Löschung oder das Verbot einer Bearbeitung will, kann das nach Abs. 2 mit den Persönlichkeitsschutzklagen des ZGB durchsetzen. So weit muss es nicht kommen: Sagt eine Kundin "Löschen Sie meine Karte", löschen Sie Kontaktdaten, Historie und Notizen und behalten nur, was eine andere Vorschrift verlangt (die Buchhaltungsbelege nach Art. 958f OR, getrennt von der Kartei). Eine kurze schriftliche Bestätigung an die Kundin ist Ihr Nachweis.

Datenpanne: wann Sie den EDÖB informieren müssen

Laptop mit der Kartei gestohlen, Karteikasten nach dem Einbruch weg, Buchungssoftware gehackt: Art. 24 Abs. 1 DSG verpflichtet Sie, dem EDÖB "so rasch als möglich" eine Verletzung der Datensicherheit zu melden, "die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt". Zwei Dinge unterscheiden das von der DSGVO: keine feste 72-Stunden-Frist, und nur Vorfälle mit hohem Risiko. Eine verlorene Liste mit Vornamen und Terminzeiten erreicht diese Schwelle in der Regel nicht; eine komplette Kartei mit Adressen, Telefonnummern und Allergienotizen kann sie erreichen. Die Meldung nennt mindestens die Art der Verletzung, die Folgen und die getroffenen Massnahmen (Abs. 2); sie erfolgt über das Meldeformular auf der Website des EDÖB. Die betroffenen Kundinnen informieren Sie, "wenn es zu ihrem Schutz erforderlich ist" (Abs. 4), also zum Beispiel wenn Nummern und Gesundheitsnotizen in fremde Hände geraten sind.

Ihr Software-Anbieter wiederum muss Ihnen als Auftragsbearbeiter eine Verletzung "so rasch als möglich" melden (Abs. 3). Das ist ein Grund, bei der Anbieterwahl nach dem Prozess für solche Fälle zu fragen.

Erinnerungen, Newsletter, Bewertungen: drei verschiedene Regeln

Drei Alltagssituationen, die mit der Kundenkartei zusammenhängen, folgen je eigenen Regeln:

Terminbestätigung und Erinnerung sind Teil der bestellten Leistung: Die Kundin hat gebucht, Sie informieren sie über ihre Buchung. Dafür braucht es keine Werbeeinwilligung, nur die Information nach Art. 19 (die Buchungsseite sagt, dass die Nummer oder E-Mail für Bestätigung und Erinnerung genutzt wird). Was Erinnerungen in der Schweiz kosten, ob SMS oder E-Mail, und welche Texte funktionieren, steht im Artikel zu Terminerinnerungen im Coiffeursalon in der Schweiz.

Werbung (Herbstaktion, Geburtstagsrabatt, "Wir haben Sie lange nicht gesehen") ist Massenwerbung nach Art. 3 Abs. 1 lit. o des UWG und braucht die Einwilligung, mit einer Ausnahme für bestehende Kundschaft: Wer die Kontaktdaten beim Kauf einer Leistung erhalten und schon dabei auf die Ablehnungsmöglichkeit hingewiesen hat, darf eigene ähnliche Leistungen bewerben, solange jede Nachricht den Absender nennt und eine kostenlose Abmeldung enthält. Der EDÖB ergänzt auf seiner Seite zu Werbung und Marketing, dass die Annahme von AGB als Einwilligung nicht genügt. Die saubere Umsetzung, vom Häkchen auf der Buchungsseite bis zum Abmeldelink, beschreibt der Beitrag zum Newsletter im Coiffeursalon in der Schweiz.

Antworten auf Google-Bewertungen sind eine Bekanntgabe von Personendaten an die Öffentlichkeit. "Sie waren am 14. Mai bei uns, haben eine Blondierung gebucht und uns damals von Ihrer empfindlichen Kopfhaut erzählt" verletzt in einem Satz Zweckbindung und Gesundheitsdatenschutz, selbst wenn die Bewertung ungerecht war. Wie Sie auf Bewertungen reagieren und wann eine Löschung möglich ist, steht im Artikel zu Google-Bewertungen löschen lassen im Coiffeursalon.

Bussen bis CHF 250'000: wer haftet in der Einzelfirma, wer in der GmbH?

Die Zahl macht die Runde, also genau hinsehen. Art. 60 und 61 DSG drohen mit Busse bis zu CHF 250'000, aber:

• Nur gegen private Personen, also natürliche Personen, nicht gegen das Unternehmen als solches. Der EDÖB schreibt auf seiner Seite zu den Strafbestimmungen: "Es werden in erster Linie natürliche Personen bestraft" (geprüft am 31. Oktober 2026). Das ist das Gegenteil der DSGVO mit ihren umsatzbezogenen Unternehmensbussen.
• Nur bei Vorsatz. Alle Tatbestände setzen vorsätzliches Handeln voraus; der EDÖB: "Es geht nur um vorsätzlich begangene strafbare Handlungen." Wer aus Nachlässigkeit die Datenschutzerklärung vergisst, macht sich nicht strafbar; wer eine Kundin, die Auskunft verlangt, bewusst falsch informiert, schon.
• Nur für bestimmte Pflichten: vorsätzlich falsche oder unterlassene Information (Art. 19) und Auskunft (Art. 25), Bekanntgabe ins Ausland ohne Garantien, Auftragsbearbeitung ohne die Voraussetzungen von Art. 9, Missachtung der Mindestanforderungen an die Datensicherheit (Art. 61), Verletzung der beruflichen Schweigepflicht (Art. 62). Die meisten davon werden nur auf Antrag verfolgt.
• Verfolgt durch die Kantone (Art. 65), also durch die Staatsanwaltschaften, nicht durch den EDÖB, der Verfügungen erlassen, aber keine Bussen aussprechen kann.

Wer haftet konkret? In der Einzelfirma sind Sie als Inhaberin die handelnde natürliche Person: Die Busse träfe Sie persönlich, so wie jede Verbindlichkeit der Einzelfirma. In der GmbH oder AG verweist Art. 64 DSG auf das Verwaltungsstrafrecht: Bestraft wird, wer die Widerhandlung begangen hat oder als Geschäftsführerin anordnen oder verhindern konnte; die Rechtsform schützt also nicht vor der persönlichen Busse. Nur wenn höchstens CHF 50'000 in Frage kommen und die Ermittlung der verantwortlichen Person unverhältnismässig wäre, kann die Behörde stattdessen das Unternehmen zur Zahlung verurteilen (Art. 64 Abs. 2).

Unabhängig von der Busse gibt es die zivilrechtliche Seite: Die Kundin, deren Allergienotiz öffentlich wurde, kann nach Art. 28 ff. ZGB auf Unterlassung und Schadenersatz klagen, ohne Obergrenze. Für einen Salon, der informiert, Auskunft gibt und seine Kartei schliesst, ist das realistische Risiko aber nicht das Strafverfahren, sondern das Vertrauen: die Kundin, die nach einem Auskunftsbegehren nie eine Antwort bekommt, oder die Kartei, die beim Wechsel einer Mitarbeiterin mitwandert.

Die DSG-Checkliste für Ihren Coiffeursalon

1. Inventar auf einer Seite: welche Daten, wo (Software, Karteikasten, Handy), wer hat Zugriff, wie lange.
2. Datenschutzerklärung auf Website und Buchungsseite, dazu ein Aushang am Empfang: Verantwortliche, Zweck, Empfänger, Land des Anbieters.
3. Gesundheitsnotizen nur mit ausdrücklichem, datiertem Ja, nur das Nötige, nie weitergeben; Farbrezepturen sind davon nicht betroffen.
4. Eigene Löschregel: einmal jährlich inaktive Karten nach Ihrer Frist löschen, Belege zehn Jahre getrennt aufbewahren.
5. Anbieter geprüft: Nutzungsbedingungen oder Auftragsbearbeitungsvertrag, Serverland auf der Liste in DSV Anhang 1 (EU/EWR, Schweiz; USA nur mit Zertifizierung), Export und Löschung möglich.
6. Sicherheit: eigene Logins oder kontrollierte Geräte, starke Passwörter, Sperre und Updates, Karteikasten abgeschlossen, Zugänge am Austrittstag gekappt.
7. Rechte: Sie wissen, wie Sie innert 30 Tagen Auskunft geben, berichtigen und löschen.
8. Zwischenfall: Sie kennen Art. 24 DSG und die Meldung beim EDÖB, und Ihr Anbieter hat zugesagt, Sie zu informieren.
9. Werbung getrennt von Erinnerungen: Erinnerungen ohne Einwilligung, Newsletter nur mit Einwilligung oder Bestandskunden-Ausnahme und Abmeldelink.
10. Verzeichnis: nicht nötig unter 250 Mitarbeitenden, das Inventar aus Punkt 1 genügt.

Kein Punkt braucht eine Anwältin, und keiner dauert länger als einen Nachmittag. Wer von Deutschland aus Vorlagen übernimmt, streiche vorher das Verarbeitungsverzeichnis, die 72-Stunden-Frist und den Datenschutzbeauftragten: Das sind DSGVO-Pflichten, keine Schweizer.

Und ViteUneCoupe: was die Kundenkartei dort kann und was nicht

Weil dieser Blog zu ViteUneCoupe gehört, hier ohne Umschweife, wie das Tool zu den Punkten oben steht, Stand 31. Oktober 2026:

• Kundenkartei in der kostenlosen Version: Name, E-Mail, Telefonnummer (auch +41) und Terminhistorie jeder Kundin, zusammen mit Online-Buchung, Buchungsseite, Leistungskatalog, Einsatzplänen und Kalender, mit 0 % Provision, dauerhaft. Einzelne Kundinnen können Sie selbst aus der Kartei löschen, wenn eine Löschung verlangt wird. Für den Export der gesamten Kartei, etwa beim Wechsel des Anbieters, wenden Sie sich an den Support; einen Exportknopf in der Oberfläche gibt es heute nicht. Was beim Anbieterwechsel sonst zu beachten ist, steht im Beitrag zum Wechsel der Coiffeur-Software in der Schweiz.
• Hosting in Frankreich, bei Scaleway (siehe Impressum), nicht in der Schweiz. Frankreich steht in Anhang 1 DSV; die Bekanntgabe ist nach Art. 16 Abs. 1 DSG zulässig, und in Ihrer Datenschutzerklärung nennen Sie "Frankreich" als Staat nach Art. 19 Abs. 4.
• Ein Konto pro Salon. Ihre Mitarbeitenden legen Sie mit Verfügbarkeiten für die Buchung an, sie haben aber keine eigenen Logins mit abgestuften Rechten. Für die Zugriffskontrolle nach Art. 3 DSV heisst das: Das Konto gehört der Salonleitung, und das Passwort wird nicht herumgereicht. Eine Zwei-Faktor-Anmeldung bietet das Tool nicht.
• Erinnerungen per E-Mail, keine SMS, im Standard-Plan ab 29 € zzgl. MwSt. pro Monat, ohne Vertragsbindung; die Abrechnung erfolgt in Euro, nicht in Franken. Keine Gesundheitsfelder in der Buchungsmaske: Was die Kundin online eingibt, sind Kontaktdaten und Termin, nichts Besonders Schützenswertes.

Ob diese Grenzen für Ihren Salon passen, entscheiden Sie am besten anhand der Checkliste oben und des Hosting-Vergleichs. Wer vor allem eine kostenlose Kundenkartei mit Terminhistorie und eine Buchungsseite ohne Provision will und mit Servern in der EU leben kann, ist hier richtig; wer Schweizer Hosting oder Logins pro Mitarbeiterin zwingend braucht, findet im Vergleich die Alternativen.

Häufig gestellte Fragen

Muss mein Coiffeursalon ein Verzeichnis der Bearbeitungstätigkeiten führen?

Nein, in praktisch allen Fällen nicht. Art. 24 DSV befreit Unternehmen mit weniger als 250 Mitarbeitenden und natürliche Personen davon, solange sie nicht besonders schützenswerte Daten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko betreiben. Ein paar Allergienotizen in der Kundenkartei sind kein grosser Umfang. Eine einseitige Übersicht als Arbeitshilfe ist trotzdem sinnvoll.

Ist die Farbrezeptur ein Gesundheitsdatum?

Nein. Die Rezeptur beschreibt das Haar und Ihre Arbeit, nicht die Gesundheit. Ein Gesundheitsdatum und damit besonders schützenswert nach Art. 5 lit. c DSG ist die Notiz über eine Allergie, eine Hautreaktion oder eine Kopfhauterkrankung. Dafür braucht es nach Art. 6 Abs. 7 DSG die ausdrückliche Einwilligung der Kundin, Beschränkung auf das Nötige und keine Weitergabe.

Brauche ich eine Datenschutzerklärung für meine Buchungsseite?

Ja. Art. 19 DSG verlangt, dass Sie die Kundin bei der Erhebung ihrer Daten über Ihre Identität, den Zweck und die Empfänger informieren, bei Servern im Ausland auch über das Land. Eine Form ist nicht vorgeschrieben; eine kurze Datenschutzerklärung mit fünf bis zehn Sätzen, verlinkt auf der Buchungsseite, erfüllt die Pflicht. Ergänzen Sie sie mit einem Aushang im Salon.

Gilt die DSGVO für meinen Basler Salon, weil deutsche Kundinnen kommen?

Nicht allein deswegen. Die DSGVO gilt für Schweizer Betriebe nach ihrem Art. 3 Abs. 2 nur, wenn sie Personen in der EU gezielt Dienstleistungen anbieten oder deren Verhalten beobachten. Kundinnen aus Lörrach, die nach Basel kommen, sind kein Ausrichten auf den deutschen Markt. Wer dagegen mit Euro-Preisen und Anzeigen gezielt in Deutschland wirbt, sollte beide Regelwerke einhalten.

Darf meine Kundenkartei auf Servern im Ausland liegen?

Ja, wenn das Land in Anhang 1 der Datenschutzverordnung steht, was für alle EU- und EWR-Staaten und das Vereinigte Königreich gilt. Für die USA gilt das nur für Anbieter, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, sonst braucht es Standarddatenschutzklauseln. Ein Hosting in der Schweiz ist nach DSG keine Pflicht.

Wie lange darf ich die Karte einer Kundin behalten, die nicht mehr kommt?

Das DSG nennt keine Frist in Jahren. Art. 6 Abs. 4 verlangt, Daten zu vernichten oder zu anonymisieren, sobald sie für den Zweck nicht mehr nötig sind; die Frist legen Sie selbst nach dem Grundsatz der Verhältnismässigkeit fest, etwa zwei bis drei Jahre nach dem letzten Termin, und wenden sie bei einer jährlichen Bereinigung an. Buchhaltungsbelege bleiben nach Art. 958f OR davon unabhängig zehn Jahre.