Kundenkartei Friseursalon: DSGVO in Österreich

Die Stammkundin hat im Jänner einen Termin ausgemacht, und bevor sie auf dem Stuhl sitzt, wirft ihre Friseurin einen Blick auf die Karte: letzte Farbe, Mischverhältnis, Einwirkzeit, "Pony nicht zu kurz". Genau diese Kundenkartei, ob als Karteikasten an der Rezeption oder als Datensatz in einer Software, ist rechtlich eine Verarbeitung personenbezogener Daten. Dafür gelten die Datenschutz-Grundverordnung (DSGVO), die als EU-Verordnung in ganz Europa einheitlich gilt, und ergänzend das österreichische Datenschutzgesetz (DSG). Zuständige Aufsichtsbehörde ist in Österreich die Datenschutzbehörde in Wien.

Das klingt nach Amtsdeutsch, ist aber für einen Friseursalon gut zu bewältigen. Dieser Leitfaden erklärt, was im Oktober 2026 für Salons in Österreich tatsächlich gilt: auf welcher Rechtsgrundlage Sie Kundendaten speichern dürfen, wann Sie wirklich eine Einwilligung brauchen, wie die 7-jährige Aufbewahrungspflicht der Bundesabgabenordnung mit der Löschpflicht der DSGVO zusammenpasst, was in das Verzeichnis von Verarbeitungstätigkeiten gehört und worauf Sie achten müssen, wenn eine kostenlose Terminsoftware mit digitaler Kundenkartei Ihre Daten verwaltet. Dazu kommt die Praxisfrage, die kaum ein Ratgeber beantwortet: Was gehört eigentlich in eine gute Beratungsnotiz, und was besser nicht?

Ein Hinweis vorab: Dieser Artikel ist sorgfältig recherchierte Orientierung, keine Rechtsberatung. Alle genannten Quellen (Datenschutzbehörde, WKO, RIS, EUR-Lex) wurden am 11. Oktober 2026 geprüft. Im Zweifel helfen die Rechtsberatung Ihrer WKO-Landesinnung oder eine Anwältin. Für Salons in Deutschland gelten teils andere Detailregeln; die haben wir im eigenen Beitrag zur Kundenkartei nach deutschem Recht zusammengefasst.

Welche Daten in Ihrer Kundenkartei unter die DSGVO fallen

Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare Person. Im Salonalltag ist das praktisch alles, was Sie über Ihre Kundschaft notieren:

Name, Telefonnummer, E-Mail-Adresse, eventuell Adresse und Geburtstag
Terminhistorie: wann war die Kundin da, welche Leistung, bei welcher Mitarbeiterin
Farbrezepturen, Schnitttechniken, Einwirkzeiten, Produktvorlieben
Freitextnotizen wie "mag es am Nacken kürzer" oder "kommt immer samstags"
Fotos von Frisuren, wenn die Person erkennbar ist

Zwei Missverständnisse halten sich hartnäckig. Erstens: "Wir arbeiten mit Papierkarten, uns betrifft das nicht." Falsch. Sobald Karteikarten nach Kriterien geordnet sind, etwa alphabetisch nach Nachnamen, sind sie ein Dateisystem im Sinne von Art. 2 Abs. 1 DSGVO und voll erfasst. Zweitens: "Die DSGVO ist ein deutsches Thema." Nein, sie gilt EU-weit unmittelbar; Österreich hat sie lediglich im Datenschutzgesetz (DSG) ergänzt, und durchgesetzt wird sie hierzulande von der Datenschutzbehörde.

Besondere Vorsicht gilt bei Gesundheitsdaten. Eine Notiz wie "allergisch auf bestimmte Farbstoffe" oder "empfindliche Kopfhaut" kann ein Gesundheitsdatum sein und fällt dann unter die besonderen Kategorien des Art. 9 DSGVO, die grundsätzlich nur mit ausdrücklicher Einwilligung verarbeitet werden dürfen. Für die Praxis heißt das: Fragen Sie die Kundin, ob Sie den Hinweis festhalten dürfen, dokumentieren Sie das Ja, und notieren Sie nur, was für eine sichere Behandlung wirklich nötig ist. Im Zweifel ist weniger mehr.

Rechtsgrundlagen: Sie brauchen seltener eine Einwilligung, als Sie glauben

Nach der DSGVO-Einführung 2018 ließen viele Salons jede Kundin Formulare unterschreiben. Nötig war das meist nicht. Art. 6 Abs. 1 DSGVO kennt mehrere gleichwertige Rechtsgrundlagen, und die WKO erklärt in ihrem DSGVO-Leitfaden für Klein- und Mittelbetriebe genau diese vier als die praktisch wichtigsten:

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Termin ist ein Werkvertrag über eine Dienstleistung. Alles, was Sie brauchen, um ihn zu erfüllen und den nächsten Termin fachgerecht durchzuführen, dürfen Sie ohne Einwilligung verarbeiten: Name und Telefonnummer für die Terminvergabe, die gebuchte Leistung, die Farbrezeptur, damit das Ergebnis beim nächsten Besuch wieder stimmt. Auch Terminbestätigung und Erinnerung an einen konkret gebuchten Termin gehören zur Vertragsabwicklung.

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). Steuerliche Aufbewahrungspflichten nach der Bundesabgabenordnung zwingen Sie, Belege und Aufzeichnungen zu behalten. Solange diese Pflicht läuft, dürfen und müssen die betroffenen Daten gespeichert bleiben.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für Verarbeitungen, die nicht unmittelbar der Vertragserfüllung dienen, aber einem nachvollziehbaren Geschäftsinteresse, etwa die Kundenhistorie über den einzelnen Termin hinaus. Hier wägen Sie Ihr Interesse gegen das der Kundin ab und halten das Ergebnis kurz fest. Bei einer normalen Kundenkartei fällt diese Abwägung regelmäßig zugunsten des Salons aus: Die Stammkundin erwartet geradezu, dass ihre Rezeptur noch da ist.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) brauchen Sie vor allem für drei Dinge: Werbung per E-Mail oder SMS, Kundenfotos für Social Media und Gesundheitsnotizen wie Allergien. Holen Sie keine Einwilligung für Dinge ein, die schon der Vertrag abdeckt: Eine überflüssige Einwilligung kann widerrufen werden und schafft Probleme, die Sie ohne sie gar nicht hätten.

Was in eine gute Beratungsnotiz gehört und was nicht

Die Kundenkartei ist zuerst ein Handwerkszeug, kein Juristendokument. Eine brauchbare Notiz nach dem Farbtermin enthält typischerweise:

Rezeptur: Farbnummern, Mischverhältnis, Oxidant, Einwirkzeit
Technik: Strähnentechnik, Schnittform, verwendete Produkte
Vorlieben: "Pony lieber länger", "keine heiße Föhnluft", "trinkt den Kaffee schwarz"
Organisation: bevorzugte Mitarbeiterin, übliche Terminabstände

Zwei einfache Regeln machen diese Notizen zugleich DSGVO-fest. Erstens Datenminimierung: Notieren Sie, was dem nächsten Termin dient, und sonst nichts. Zweitens der Auskunftstest: Schreiben Sie nichts in die Kartei, was Sie der Kundin nicht wortgleich vorlesen würden. Denn nach Art. 15 DSGVO hat jede Kundin das Recht, eine Kopie ihrer gespeicherten Daten zu verlangen, Freitextnotizen inklusive. Ein "schwierige Kundin, handelt immer" liest sich im Auskunftsschreiben ausgesprochen unangenehm. Sachlich bleiben ("wünscht ausführliche Beratung, preissensibel") kostet nichts und schützt Sie.

Informationspflichten und Betroffenenrechte: Das verlangt die Datenschutzbehörde

Als Verantwortlicher müssen Sie Ihre Kundschaft bei der Datenerhebung informieren (Art. 13 DSGVO): wer verantwortlich ist, zu welchem Zweck und auf welcher Rechtsgrundlage Sie verarbeiten, wie lange gespeichert wird, wer die Daten erhält (etwa Ihr Softwareanbieter) und welche Rechte bestehen. Die Datenschutzbehörde listet diese Pflichten der Verantwortlichen übersichtlich auf, inklusive der Pflicht, Datenpannen mit Risiko für die Betroffenen unverzüglich und möglichst binnen 72 Stunden zu melden.

Für den Salonalltag reicht eine pragmatische Umsetzung: ein kurzes, verständliches Datenschutz-Informationsblatt an der Rezeption plus eine Datenschutzerklärung auf der Website, wenn online gebucht wird. Niemand verlangt, dass Sie jeder Laufkundschaft vor dem Haarschnitt ein Formular vorlesen; die Information muss aber auffindbar sein.

Die Betroffenenrechte sollten Sie ernst nehmen und zügig beantworten, grundsätzlich binnen eines Monats: Auskunft, Berichtigung, Löschung, Widerspruch. Mit einer digitalen Kundenkartei ist die Auskunft ein Export mit wenigen Klicks; beim Karteikasten heißt es suchen und abschreiben. Das ist nebenbei eines der stärksten Argumente beim Umstieg vom Papier-Terminbuch auf eine digitale Lösung.

Aufbewahrung: 7 Jahre BAO gegen "so kurz wie möglich" der DSGVO

Hier prallen scheinbar zwei Pflichten aufeinander. Die DSGVO sagt: Daten nur so lange speichern, wie der Zweck es erfordert (Art. 5 Abs. 1 lit. e), danach löschen (Art. 17). Die Bundesabgabenordnung sagt: Bücher, Aufzeichnungen und die zugehörigen Belege sind 7 Jahre aufzubewahren. Die Auflösung ist einfacher, als sie klingt, und die WKO hat sie in ihrer Übersicht zu Speicher- und Aufbewahrungsfristen ausformuliert: Die gesetzliche Aufbewahrungspflicht ist selbst eine Rechtsgrundlage. Rechnungsdaten und Buchhaltungsbelege mit Kundenbezug bleiben also 7 Jahre gespeichert, weil das Gesetz es verlangt, und dürfen in dieser Zeit nicht auf Zuruf gelöscht werden.

Davon zu trennen ist die eigentliche Kundenkartei: Kontaktdaten, Terminhistorie, Rezepturen, Notizen. Die Farbrezeptur ist kein Buchhaltungsbeleg. Für diese Daten gilt: Sie dürfen bleiben, solange eine aktive Kundenbeziehung plausibel besteht, und nach deren Ende noch so lange, wie Sie sie etwa zur Abwehr möglicher Rechtsansprüche innerhalb der Verjährungsfristen brauchen können (so ausdrücklich die WKO in der oben verlinkten Übersicht). Eine fixe gesetzliche Zahl für "Kundendaten nach X Jahren löschen" gibt es nicht. Legen Sie deshalb ein eigenes, begründbares Löschkonzept fest, zum Beispiel: Kundendatensätze werden einige Jahre nach dem letzten Termin gelöscht oder anonymisiert, steuerlich relevante Belege davon unberührt. Entscheidend ist, dass Sie die Frist dokumentieren und konsequent anwenden: einmal im Jahr durchgehen, Karteileichen entfernen, beim Karteikasten schreddern statt nur in den Papierkorb.

Verzeichnis von Verarbeitungstätigkeiten: Rechnen Sie nicht mit der Kleinbetriebs-Ausnahme

Art. 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Viele Salonchefs haben gehört, Betriebe unter 250 Beschäftigten seien befreit. Die Ausnahme in Art. 30 Abs. 5 ist aber enger, als sie klingt: Sie greift nur, wenn die Verarbeitung nur gelegentlich erfolgt, kein Risiko birgt und keine besonderen Datenkategorien umfasst. Eine Kundenkartei, die bei jedem Termin gepflegt wird, ist das Gegenteil von gelegentlich, und spätestens eine Allergienotiz bringt besondere Kategorien ins Spiel. Bezeichnend ist, dass die Datenschutzbehörde das Verzeichnis auf ihrer Pflichten-Seite schlicht als Pflicht des Verantwortlichen führt, ohne die Ausnahme auch nur zu erwähnen. Planen Sie also damit, eines zu führen.

Die gute Nachricht: Für einen Friseursalon ist das Verzeichnis ein überschaubares Dokument, oft zwei bis drei Seiten. Pro Verarbeitungstätigkeit (Kundenkartei, Terminverwaltung, Personalverwaltung, gegebenenfalls Videoüberwachung) hält es fest: Verantwortlicher mit Kontaktdaten, Zweck, Kategorien der Betroffenen und Daten, Empfänger wie den Softwareanbieter, geplante Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Die WKO stellt in ihrem DSGVO-Leitfaden kostenlose Muster für Verantwortliche bereit; einmal erstellt, muss das Verzeichnis nur bei Änderungen aktualisiert werden, etwa beim Softwarewechsel.

Ein Datenschutzbeauftragter ist für einen typischen Friseursalon übrigens keine Pflicht: Art. 37 DSGVO verlangt ihn nur, wenn die Kerntätigkeit in umfangreicher, systematischer Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien besteht. Anders als Deutschland kennt Österreich keine zusätzliche nationale Schwelle nach Mitarbeiterzahl. Die übrigen Pflichten, Verzeichnis, Information, Löschkonzept, gelten natürlich trotzdem.

Softwareanbieter und AV-Vertrag: Die Fragen, die Sie jedem stellen sollten

Sobald eine Software Ihre Kundendaten speichert, verarbeitet der Anbieter sie in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Auftragsverarbeitungsvertrag (AV-Vertrag oder AVV), der Gegenstand, Dauer, Zweck, Datenkategorien und die Pflichten des Anbieters regelt. Ohne diesen Vertrag verstoßen Sie gegen die DSGVO, selbst wenn der Anbieter technisch alles richtig macht. Seriöse Anbieter stellen den AVV standardmäßig bereit, oft direkt im Kundenkonto; die WKO bietet dazu ebenfalls Mustervorlagen an.

Stellen Sie jedem Anbieter dieselben fünf Fragen, ausdrücklich auch uns:

Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und wo finde ich ihn?
Wo werden die Daten gehostet, und welche Subunternehmer sind beteiligt?
Kann ich meine Kundendaten jederzeit vollständig exportieren?
Was passiert mit den Daten nach einer Kündigung? Werden sie nachweisbar gelöscht?
Gibt es eigene Benutzerzugänge, damit nicht das ganze Team unter einem Login arbeitet?

Bei ViteUneCoupe gehört die digitale Kundenkartei mit Terminhistorie zur kostenlosen Version, dauerhaft ohne Provision auf Ihre Buchungen, und Kundendaten lassen sich exportieren. Was wir Ihnen bewusst nicht versprechen, weil es kein seriöser Anbieter pauschal versprechen kann: dass ein Schlagwort wie "DSGVO-konform" Ihre eigene Verantwortung ersetzt. Verantwortlicher für die Kundendaten bleiben Sie; die Software ist Werkzeug und Auftragsverarbeiter. Prüfen Sie die fünf Fragen bei jedem Anbieter selbst, auch bei uns.

Zwei Praxisfälle: Terminerinnerungen und der Umgang mit notorischen No-Shows

Terminerinnerungen sind datenschutzrechtlich der einfache Fall: Die Erinnerung an einen konkret ausgemachten Termin dient der Vertragsabwicklung und ist keine Werbung, braucht also keine Werbeeinwilligung. Heikel wird nur die Umsetzung. Das Bundesverwaltungsgericht bestätigte 2024 eine Strafe von 4.000 € gegen eine Arztpraxis, die Terminerinnerungen als Gruppennachricht an 28 Empfänger verschickt hatte, sodass alle gegenseitig ihre Daten sehen konnten (BVwG 3.6.2024, W292 2282284-1, berichtet von Info für Ärzte, geprüft am 11. Oktober 2026). Die Lehre: Erinnerungen immer einzeln und automatisiert verschicken, nie mit offenem Verteiler vom Salonhandy. Was bei Terminerinnerungen im Friseursalon in Österreich rechtlich und praktisch sonst noch gilt, haben wir eigens aufgeschrieben.

Der Vermerk über notorische Nichterscheiner beschäftigt Salonforen regelmäßig: Darf man in der Kartei festhalten, dass eine Kundin zweimal unentschuldigt ferngeblieben ist, und sie künftig nur noch telefonisch buchen lassen? Eine ausdrückliche Entscheidung der Datenschutzbehörde speziell zu Salon-Sperrvermerken ist uns nicht bekannt, also ehrlich: Das ist eine Grauzone, die über das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) zu beurteilen ist. Gute Argumente sprechen dafür, dass ein sachlicher, zutreffender Vermerk ("Termine am 3.2. und 17.4. unentschuldigt nicht wahrgenommen") zulässig ist: Sie haben ein nachvollziehbares wirtschaftliches Interesse, Ausfälle zu begrenzen. Verhältnismäßig bleibt das nur, wenn der Vermerk rein sachlich formuliert ist, keine Wertungen enthält, in Ihrer Datenschutzinformation als Zweck erwähnt wird und nicht ewig stehen bleibt. Bedenken Sie auch hier den Auskunftstest: Die Kundin kann den Vermerk anfordern und lesen. Welche rechtlichen Möglichkeiten Sie beim Ausfall selbst haben, von der Stornobedingung bis zum Entgeltanspruch, steht im Beitrag zur Stornogebühr bei No-Shows in Österreich.

Ihre Checkliste für die Kundenkartei in Österreich

Bestandsaufnahme: Welche Kundendaten liegen wo, auf Papier und digital?
Rechtsgrundlagen zuordnen: Vertrag für Termindaten und Rezepturen, Einwilligung nur für Werbung, Fotos und Gesundheitsnotizen.
Beratungsnotizen aufräumen: sachlich, behandlungsbezogen, auskunftsfest.
Informieren: Datenschutz-Information an der Rezeption und auf der Website.
Verzeichnis von Verarbeitungstätigkeiten anlegen (WKO-Muster nutzen).
Löschkonzept festlegen und jährlich anwenden; 7-Jahres-Frist der BAO für Belege beachten.
AV-Vertrag mit jedem Softwareanbieter abschließen und die fünf Anbieterfragen stellen.
Zugriff beschränken: absperrbarer Karteikasten oder eigene Benutzerzugänge in der Software.
Datenpannen ernst nehmen: Risiko für Betroffene heißt Meldung an die Datenschutzbehörde binnen 72 Stunden.

Häufig gestellte Fragen

Brauche ich von jeder Kundin eine unterschriebene Einwilligung für die Kundenkartei?

Nein. Daten, die Sie für Termine und Behandlungen brauchen (Name, Telefonnummer, Leistungen, Farbrezeptur), dürfen Sie auf Grundlage der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO speichern. Eine Einwilligung brauchen Sie vor allem für E-Mail- oder SMS-Werbung, Kundenfotos und Gesundheitsnotizen wie Allergien.

Gilt die DSGVO in Österreich auch für den Karteikasten aus Papier?

Ja. Sobald Papierkarten nach Kriterien geordnet sind, etwa alphabetisch, gelten sie als Dateisystem im Sinne der DSGVO. Informationspflichten, Löschkonzept und Verzeichnis von Verarbeitungstätigkeiten treffen den Karteikasten genauso wie jede Software; zuständig ist die österreichische Datenschutzbehörde.

Wie lange darf ein Friseursalon in Österreich Kundendaten speichern?

Es gibt keine fixe Frist für die Kartei selbst: Daten dürfen bleiben, solange eine aktive Kundenbeziehung plausibel ist, danach nach einem selbst festgelegten, dokumentierten Löschkonzept. Unabhängig davon müssen Bücher, Aufzeichnungen und Belege nach § 132 BAO 7 Jahre aufbewahrt werden; diese Pflicht geht der Löschung vor.

Muss ein kleiner Salon ein Verzeichnis von Verarbeitungstätigkeiten führen?

In der Praxis ja. Die Ausnahme für Betriebe unter 250 Beschäftigten greift nur bei lediglich gelegentlicher Verarbeitung ohne besondere Datenkategorien, und eine bei jedem Termin gepflegte Kundenkartei ist nicht gelegentlich. Mit den WKO-Mustern ist das Verzeichnis für einen Salon in wenigen Seiten erledigt.

Darf ich notieren, dass eine Kundin mehrfach unentschuldigt nicht erschienen ist?

Ein rein sachlicher Vermerk mit Datumsangaben lässt sich gut auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen, eine behördliche Entscheidung speziell dazu ist uns aber nicht bekannt. Bleiben Sie faktisch, verzichten Sie auf Wertungen, erwähnen Sie den Zweck in Ihrer Datenschutzinformation und denken Sie daran, dass die Kundin den Eintrag per Auskunftsrecht lesen kann.

Braucht ein Friseursalon in Österreich einen Datenschutzbeauftragten?

In aller Regel nein. Die Pflicht nach Art. 37 DSGVO trifft nur Betriebe, deren Kerntätigkeit in umfangreicher Überwachung oder umfangreicher Verarbeitung besonderer Datenkategorien besteht; eine zusätzliche Mitarbeiterschwelle wie in Deutschland kennt Österreich nicht. Verzeichnis, Informationspflichten und Löschkonzept gelten trotzdem.

Kundenkartei im Friseursalon in Österreich: DSGVO und DSG ohne Panik umsetzen