Kundenkartei im Friseursalon: Was die DSGVO wirklich verlangt

Fast jeder Friseursalon führt eine Kundenkartei: Name, Telefonnummer, letzte Termine, die Farbrezeptur vom letzten Besuch. Genau diese Kartei, ob als Karteikarte im Kasten an der Rezeption oder als Datensatz in einer Software, ist aus Sicht der Datenschutz-Grundverordnung (DSGVO) eine Verarbeitung personenbezogener Daten. Das klingt bedrohlicher, als es ist: Die DSGVO verbietet Ihre Kundenkartei nicht, sie verlangt nur, dass Sie ein paar Dinge geordnet erledigen.

Dieser Leitfaden erklärt, was im Oktober 2026 für einen Friseursalon in Deutschland tatsächlich gilt: auf welcher Rechtsgrundlage Sie Kundendaten speichern dürfen, wann Sie eine Einwilligung brauchen (seltener als gedacht), wie lange Sie Daten aufbewahren dürfen, was es mit dem Verzeichnis von Verarbeitungstätigkeiten auf sich hat, und worauf Sie achten müssen, wenn eine Software Ihre Kundenkartei verwaltet. Wer von Papierkarten auf eine kostenlose Software mit digitaler Kundenkartei umsteigen will, findet am Ende die Fragen, die er jedem Anbieter stellen sollte.

Ein Hinweis vorab: Dieser Artikel ist eine sorgfältig recherchierte Orientierung, keine Rechtsberatung. Alle genannten Vorschriften wurden im Oktober 2026 anhand der Originalquellen (EUR-Lex, gesetze-im-internet.de, Aufsichtsbehörden) geprüft. Im Zweifel fragen Sie Ihre zuständige Landesdatenschutzbehörde oder eine Anwältin.

Welche Daten in Ihrer Kundenkartei unter die DSGVO fallen

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. In einem Friseursalon betrifft das praktisch alles, was Sie über Ihre Kundinnen und Kunden notieren:

• Name, Telefonnummer, E-Mail-Adresse, gegebenenfalls Adresse und Geburtstag
• Terminhistorie: wann war die Kundin da, welche Leistung, bei wem
• Farbrezepturen, Schnitttechniken, Einwirkzeiten, Produktvorlieben
• Notizen wie "mag es kürzer am Nacken" oder "kommt immer samstags"
• Fotos von Frisuren, wenn die Person erkennbar ist

Wichtig: Die DSGVO gilt nicht nur für Software. Auch ein Karteikasten mit Papierkarten ist ein "Dateisystem" im Sinne von Art. 2 Abs. 1 DSGVO, sobald die Karten nach Kriterien geordnet sind, etwa alphabetisch nach Nachnamen. Die Vorstellung "solange wir auf Papier arbeiten, betrifft uns das nicht" ist ein Irrtum.

Besondere Vorsicht gilt bei Gesundheitsdaten. Eine Notiz wie "allergisch auf bestimmte Farbstoffe" oder "empfindliche Kopfhaut nach Behandlung" ist ein Gesundheitsdatum und fällt unter die besonderen Kategorien des Art. 9 DSGVO. Solche Angaben dürfen Sie in der Regel nur mit ausdrücklicher Einwilligung der Kundin speichern (Art. 9 Abs. 2 lit. a DSGVO). In der Praxis heißt das: Fragen Sie die Kundin, ob Sie den Hinweis notieren dürfen, halten Sie die Zustimmung fest und notieren Sie nur, was für die Behandlung wirklich nötig ist.

Rechtsgrundlagen: Sie brauchen seltener eine Einwilligung, als Sie denken

Ein verbreitetes Missverständnis nach Einführung der DSGVO war, dass jeder Salon von jedem Kunden eine unterschriebene Einwilligung für die Kundenkartei braucht. Das stimmt nicht. Die DSGVO kennt in Art. 6 Abs. 1 DSGVO mehrere gleichwertige Rechtsgrundlagen, und für den Salonalltag sind vor allem drei relevant:

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Termin ist ein Dienstleistungsvertrag. Alles, was Sie brauchen, um diesen Vertrag zu erfüllen und den nächsten Termin fachgerecht durchzuführen, dürfen Sie ohne Einwilligung verarbeiten: Name und Telefonnummer für die Terminvergabe, die gebuchte Leistung, die Farbrezeptur, damit das Ergebnis beim nächsten Mal wieder stimmt. Auch die Terminbestätigung und die Erinnerung an einen konkret gebuchten Termin gehören zur Vertragsabwicklung, dazu unten mehr.

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). Steuerrechtliche Aufbewahrungspflichten zwingen Sie, bestimmte Unterlagen zu behalten, etwa Rechnungen. Solange diese Pflicht läuft, dürfen und müssen Sie die betroffenen Daten speichern.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für Verarbeitungen, die nicht direkt zur Vertragserfüllung nötig sind, aber einem nachvollziehbaren Geschäftsinteresse dienen, kommt das berechtigte Interesse in Frage, etwa das Führen der Kundenhistorie über den einzelnen Termin hinaus. Hier müssen Sie Ihr Interesse gegen die Interessen der Kundin abwägen und das Ergebnis dokumentieren. Bei einer normalen Kundenkartei mit üblichen Daten fällt diese Abwägung regelmäßig zugunsten des Salons aus; die Kundin erwartet geradezu, dass ihre Stammfriseurin die Rezeptur noch hat.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) brauchen Sie dagegen vor allem in drei Fällen: für Werbung per E-Mail oder Messenger (dazu gleich), für Fotos der Kundin, die Sie etwa auf Social Media zeigen wollen, und für Gesundheitsnotizen wie Allergien (Art. 9). Fordern Sie keine Einwilligung für Dinge an, die bereits durch den Vertrag gedeckt sind: Eine überflüssige Einwilligung kann widerrufen werden und schafft dann Probleme, die Sie ohne sie gar nicht hätten.

Informationspflichten: Ihre Kundschaft muss wissen, was mit ihren Daten passiert

Nach Art. 13 DSGVO müssen Sie die Person bei der Datenerhebung informieren: wer verantwortlich ist (Ihr Salon mit Kontaktdaten), zu welchem Zweck Sie Daten verarbeiten, auf welcher Rechtsgrundlage, wie lange gespeichert wird, wer die Daten erhält (zum Beispiel Ihr Softwareanbieter) und welche Rechte die Betroffenen haben: Auskunft, Berichtigung, Löschung, Widerspruch.

Für den Salonalltag reicht eine pragmatische Lösung: ein kurzes, verständliches Datenschutz-Informationsblatt, das an der Rezeption aushängt oder ausliegt, plus eine Datenschutzerklärung auf Ihrer Website, wenn Kundinnen dort online buchen. Niemand verlangt, dass Sie jeder Laufkundschaft vor dem Haarschnitt ein Formular vorlesen. Aber die Information muss verfügbar und auffindbar sein.

Nehmen Sie auch die Betroffenenrechte ernst: Verlangt eine Kundin Auskunft über ihre gespeicherten Daten, müssen Sie antworten, in der Regel innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Mit einer digitalen Kundenkartei ist das ein Export auf Knopfdruck; bei Papierkarten heißt es suchen und abschreiben.

Aufbewahrung und Löschung: Wie lange darf die Karteikarte bleiben?

Die DSGVO nennt keine feste Frist wie "Kundendaten nach X Jahren löschen". Sie sagt stattdessen: Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO), und nach Art. 17 DSGVO sind sie zu löschen, wenn sie für die Zwecke nicht mehr benötigt werden.

Daraus folgt für den Salon ein zweistufiges Denken:

Steuerlich relevante Unterlagen unterliegen festen Fristen aus § 147 AO: Buchungsbelege, also etwa Ausgangsrechnungen und Kassenbelege, müssen seit dem 1. Januar 2025 acht Jahre aufbewahrt werden (vorher zehn), Bücher und Aufzeichnungen weiterhin zehn Jahre, sonstige Unterlagen sechs Jahre (geprüft auf gesetze-im-internet.de im Oktober 2026). Diese Pflichten betreffen die Belege, nicht Ihre gesamte Kundenkartei: Die Farbrezeptur ist kein Buchungsbeleg.

Die eigentliche Kundenkartei (Kontaktdaten, Historie, Rezepturen) dürfen Sie so lange führen, wie eine aktive Kundenbeziehung plausibel besteht. Kommt eine Kundin seit Jahren nicht mehr, entfällt der Zweck. Legen Sie dafür ein einfaches Löschkonzept fest und wenden Sie es konsequent an, zum Beispiel: Kundendatensätze werden drei Jahre nach dem letzten Termin gelöscht oder anonymisiert. Eine gesetzlich vorgeschriebene Zahl gibt es hier nicht; entscheidend ist, dass Sie eine begründbare Frist festlegen, sie dokumentieren und einhalten. Eine gute Software unterstützt das, indem sie inaktive Kundinnen filtern und Datensätze vollständig löschen kann; beim Karteikasten heißt es einmal im Jahr aussortieren und schreddern.

Verzeichnis von Verarbeitungstätigkeiten: Ja, auch für kleine Salons

Art. 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Viele Salonchefs haben gehört, Betriebe unter 250 Beschäftigten seien ausgenommen. Die Ausnahme in Art. 30 Abs. 5 DSGVO ist aber enger, als sie klingt: Sie gilt nur, wenn die Verarbeitung nur gelegentlich erfolgt, kein Risiko für die Betroffenen birgt und keine besonderen Datenkategorien einschließt.

Die deutschen Aufsichtsbehörden nennen die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten ausdrücklich als Beispiel für eine "nicht nur gelegentliche" Verarbeitung, so etwa der Landesbeauftragte für den Datenschutz Rheinland-Pfalz und die Datenschutzkonferenz in ihrem Kurzpapier Nr. 1 (beide geprüft im Oktober 2026). Eine Kundenkartei, die bei jedem Termin gepflegt wird, ist genau das: regelmäßig. In der Praxis sollte deshalb auch ein Zwei-Personen-Salon ein Verzeichnis führen.

Die gute Nachricht: Für einen Friseursalon ist das Verzeichnis ein überschaubares Dokument, oft zwei bis drei Seiten. Es listet pro Verarbeitungstätigkeit (Kundenkartei, Terminverwaltung, Personalakten, Videoüberwachung falls vorhanden): den Verantwortlichen mit Kontaktdaten, den Zweck, die Kategorien betroffener Personen und Daten, die Empfänger (etwa den Softwareanbieter), die geplanten Löschfristen und eine allgemeine Beschreibung der Schutzmaßnahmen. Mehrere Landesdatenschutzbehörden und Handwerkskammern stellen kostenlose Muster bereit. Einmal erstellt, muss es nur bei Änderungen aktualisiert werden, etwa wenn Sie die Software wechseln.

Papierkartei oder Software: Was ist datenschutzrechtlich besser?

Die DSGVO schreibt weder das eine noch das andere vor. Beide Formen haben typische Schwachstellen:

Wer bei Papier bleibt, sollte den Karteikasten zumindest abschließbar aufbewahren und den Zugriff auf das Team beschränken. Wer auf Software umsteigt, gewinnt bei Zugriffskontrolle, Export und Löschbarkeit, übernimmt aber eine neue Pflicht: die Auftragsverarbeitung sauber zu regeln. Wie ein Umstieg ohne Datenverlust gelingt, beschreibt unser Leitfaden zum Softwarewechsel im Friseursalon.

Auftragsverarbeitung: Der Vertrag, den Sie mit jedem Softwareanbieter brauchen

Sobald eine Software Ihre Kundendaten speichert, verarbeitet der Anbieter diese Daten in Ihrem Auftrag. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag (Auftragsverarbeitungsvertrag, kurz AVV oder AV-Vertrag), der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenkategorien und die Pflichten des Anbieters festlegt. Ohne diesen Vertrag verstoßen Sie gegen die DSGVO, selbst wenn der Anbieter technisch alles richtig macht. Seriöse Anbieter stellen den AVV standardmäßig bereit, oft direkt in den Kontoeinstellungen.

Stellen Sie jedem Anbieter, den Sie in Betracht ziehen, dieselben Fragen, und zwar ausdrücklich auch uns bei ViteUneCoupe:

1. Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und wo finde ich ihn?
2. Wo werden die Daten gehostet, und welche Subunternehmer (Subprozessoren) sind beteiligt?
3. Kann ich meine Kundendaten jederzeit vollständig exportieren?
4. Was passiert mit den Daten, wenn ich kündige? Werden sie nachweisbar gelöscht?
5. Gibt es Benutzerkonten mit eigenen Zugängen, damit nicht das ganze Team unter einem Login arbeitet?

ViteUneCoupe ist ein französischer Anbieter, dessen kostenlose Version eine digitale Kundenkartei mit Terminhistorie enthält, dauerhaft ohne Provision. Kundendaten lassen sich exportieren, der Zugriff läuft über das Salonkonto. Was wir Ihnen nicht versprechen, weil es kein seriöser Anbieter pauschal versprechen kann: dass ein Logo oder ein Schlagwort wie "DSGVO-konform" Ihre eigene Verantwortung ersetzt. Die DSGVO gilt für Sie als Verantwortlichen; die Software ist Werkzeug und Auftragsverarbeiter. Prüfen Sie die fünf Fragen oben bei jedem Anbieter selbst, auch bei uns.

Terminerinnerung oder Werbung? Der Unterschied, der teuer werden kann

Hier verwechseln viele Salons zwei völlig verschiedene Dinge:

Terminbezogene Nachrichten wie die Bestätigung einer Buchung oder die Erinnerung an einen konkret vereinbarten Termin sind keine Werbung. Sie dienen der Abwicklung des Vertrags, den die Kundin selbst geschlossen hat, und stützen sich auf Art. 6 Abs. 1 lit. b DSGVO. Dafür brauchen Sie keine Werbeeinwilligung. Automatische Terminerinnerungen per E-Mail sind also datenschutzrechtlich der unkritischste Weg, Terminausfälle zu reduzieren.

Werbliche Nachrichten wie ein Newsletter, Geburtstagsrabatte per E-Mail oder "Lange nicht gesehen, kommen Sie wieder!" sind elektronische Werbung. Nach § 7 Abs. 2 Nr. 2 UWG ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten eine unzumutbare Belästigung, die abgemahnt werden kann (Wortlaut geprüft auf gesetze-im-internet.de im Oktober 2026).

Es gibt eine eng gefasste Ausnahme für Bestandskunden in § 7 Abs. 3 UWG. Sie greift nur, wenn alle vier Bedingungen zusammen erfüllt sind: Sie haben die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von der Kundin erhalten, Sie bewerben nur eigene ähnliche Leistungen, die Kundin hat nicht widersprochen, und Sie haben sie bei der Erhebung der Adresse und in jeder einzelnen E-Mail klar auf ihr Widerspruchsrecht hingewiesen. Fehlt auch nur ein Punkt, etwa der Hinweis bei der Adresserhebung, ist die Ausnahme weg. Für die Praxis ist der sichere Weg ein sauberes Opt-in: ein Häkchen bei der Online-Buchung oder eine kurze Frage an der Kasse, dokumentiert in der Kundenkartei. Wie Sie mit sauber eingeholten Einwilligungen die Wiederbuchungsquote steigern, zeigt unser Artikel zur Kundenbindung und Wiederbuchung im Friseursalon.

Braucht Ihr Salon einen Datenschutzbeauftragten?

Für die allermeisten Friseursalons: nein. Nach § 38 BDSG müssen nichtöffentliche Stellen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten erst benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (Wortlaut geprüft auf gesetze-im-internet.de im Oktober 2026). Gezählt werden dabei nicht alle Mitarbeitenden, sondern diejenigen, die ständig mit automatisierter Datenverarbeitung befasst sind. Selbst ein großer Salon mit 15 Angestellten, von denen die meisten schneiden und färben statt Daten zu verwalten, liegt weit unter der Schwelle.

Unabhängig von der Personenzahl wird ein Datenschutzbeauftragter nur dann Pflicht, wenn Verarbeitungen anstehen, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wenn Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden. Beides trifft auf einen normalen Salonbetrieb nicht zu. Keinen Datenschutzbeauftragten zu brauchen heißt allerdings nicht, keine Pflichten zu haben: Informationspflichten, Verzeichnis, Löschkonzept und AV-Vertrag gelten trotzdem.

Ihre DSGVO-Checkliste für die Kundenkartei

1. Bestandsaufnahme: Welche Kundendaten speichern Sie wo, auf Papier und digital?
2. Rechtsgrundlagen zuordnen: Vertrag für Termindaten und Rezepturen, Einwilligung nur für Werbung, Fotos und Gesundheitsnotizen.
3. Informieren: Datenschutz-Information an der Rezeption und auf der Website.
4. Verzeichnis von Verarbeitungstätigkeiten anlegen (Muster der Aufsichtsbehörden nutzen).
5. Löschkonzept festlegen, dokumentieren, jährlich anwenden; steuerliche Fristen nach § 147 AO beachten.
6. AV-Vertrag mit jedem Softwareanbieter abschließen und die fünf Anbieterfragen stellen.
7. Werbung nur mit Opt-in oder unter strikter Einhaltung aller vier Bedingungen des § 7 Abs. 3 UWG.
8. Zugriff beschränken: abschließbarer Karteikasten oder Benutzerkonten in der Software.

Häufig gestellte Fragen

Brauche ich eine unterschriebene Einwilligung von jedem Kunden für meine Kundenkartei?

Nein. Daten, die Sie für Termine und Behandlungen brauchen (Name, Telefonnummer, Leistungen, Farbrezeptur), dürfen Sie auf Grundlage der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO speichern. Eine Einwilligung brauchen Sie vor allem für E-Mail-Werbung, Kundenfotos und Gesundheitsnotizen wie Allergien.

Gilt die DSGVO auch für meinen Karteikasten aus Papier?

Ja. Sobald Papierkarten nach Kriterien geordnet sind, etwa alphabetisch, gelten sie als Dateisystem im Sinne der DSGVO. Informationspflichten, Löschkonzept und das Verzeichnis von Verarbeitungstätigkeiten gelten damit auch für die Papierkartei.

Wie lange darf ich Kundendaten im Friseursalon speichern?

Die DSGVO nennt keine feste Frist: Daten dürfen bleiben, solange der Zweck besteht, also solange eine aktive Kundenbeziehung plausibel ist. Legen Sie ein eigenes Löschkonzept fest, zum Beispiel Löschung einige Jahre nach dem letzten Termin. Rechnungen und Buchungsbelege müssen nach § 147 AO davon unabhängig acht Jahre aufbewahrt werden (Stand der Prüfung: Oktober 2026).

Muss ein kleiner Salon ein Verzeichnis von Verarbeitungstätigkeiten führen?

In der Praxis ja. Die Ausnahme für Betriebe unter 250 Beschäftigten greift nur bei lediglich gelegentlicher Verarbeitung, und die deutschen Aufsichtsbehörden stufen die regelmäßige Pflege von Kundendaten ausdrücklich als nicht nur gelegentlich ein. Für einen Salon ist das Verzeichnis aber meist in wenigen Seiten erledigt.

Darf ich meinen Kundinnen ohne Einwilligung Terminerinnerungen schicken?

Ja, die Erinnerung an einen konkret gebuchten Termin ist Vertragsabwicklung, keine Werbung. Ein Newsletter oder Rabattaktionen per E-Mail sind dagegen Werbung und brauchen nach § 7 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung, von der engen Bestandskunden-Ausnahme des § 7 Abs. 3 UWG abgesehen.

Ab wann braucht ein Friseursalon einen Datenschutzbeauftragten?

Erst wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG), oder bei besonders risikoreichen Verarbeitungen. Auf typische Friseursalons trifft beides nicht zu; die übrigen DSGVO-Pflichten gelten trotzdem.