Datenschutz im Tattoo-Studio: Kundendaten, Fotos und Aufbewahrung nach DSGVO und DSG

Datenschutz klingt nach Papierkram für Konzerne. Im Tattoo-Studio ist er sehr konkret: Du weisst, wer welche Allergie hat, wer schwanger war, wie jemandes Oberschenkel aussieht und wer die Anzahlung nicht bezahlt hat. Das sind genau die Daten, deren Verlust wirklich weh tut, für deine Kunden und für dich.

Welche Daten hat ein Tattoo-Studio überhaupt?

Fast alle Studios unterschätzen die Menge. Wer einmal aufschreibt, wo überall Kundendaten liegen, kommt schnell auf sechs oder sieben Orte.

• Kontaktdaten: Name, Telefon, E-Mail, Instagram-Handle, manchmal Adresse.
• Termindaten: Motiv, Körperstelle, Grösse, Preis, Anzahlung, wer wann wo war.
• Gesundheitsangaben aus der Einverständniserklärung: Allergien, Medikamente, Vorerkrankungen, Schwangerschaft.
• Fotos: Vorher, Nachher, verheilt, manchmal mit Gesicht, oft mit erkennbaren Merkmalen wie Narben oder anderen Tattoos.
• Zahlungsdaten: Beträge, Zahlungsart, Quittungsnummern, bei Onlinezahlung die Daten beim Zahlungsanbieter.
• Chatverläufe: WhatsApp, Instagram-DMs, E-Mails, oft mit Gesundheitsangaben mitten im Text.

Welche Regeln gelten in der EU und in der Schweiz?

In der EU gilt die DSGVO, in der Schweiz das revidierte Datenschutzgesetz, in Kraft seit dem 1. September 2023. Für den Studio-Alltag laufen beide auf dieselben Grundsätze hinaus. Du brauchst keinen Datenschutzbeauftragten, um sie zu erfüllen, sondern Ordnung.

• Zweckbindung: Du speicherst Daten für Termin, Behandlung, Dokumentation und Abrechnung, nicht auf Vorrat.
• Datensparsamkeit: Was du nicht brauchst, fragst du nicht ab. Ein Geburtsdatum ja, die Blutgruppe nein.
• Sicherheit: Zugriff nur für die, die ihn brauchen, Geräte gesperrt, Daten verschlüsselt, Backups vorhanden.
• Transparenz: Kunden müssen wissen, welche Daten du erhebst und wofür. Dafür ist die Datenschutzerklärung da.
• Auskunft und Löschung: Kunden dürfen fragen, was du über sie gespeichert hast, und die Löschung verlangen, soweit keine Aufbewahrungspflicht dagegensteht.

Gesundheitsdaten und Fotos: die zwei heiklen Bereiche

Gesundheitsangaben sind besonders schützenswerte Daten. Praktisch heisst das: Sie gehören in ein System mit Zugriffsschutz, nicht in eine Excel-Datei auf dem Studio-Desktop und schon gar nicht als Foto des ausgefüllten Formulars in einen WhatsApp-Chat. Im Studio mit mehreren Artists sieht idealerweise nur die Person die Angaben, die den Termin macht.

Fotos sind der zweite Punkt, an dem es regelmässig knirscht. Für Portfolio und Instagram brauchst du eine Einwilligung, die freiwillig, klar und widerrufbar ist. Frag zusätzlich ab, ob das Gesicht erkennbar sein darf, denn genau darum geht es vielen. Und denk daran, dass Bilder Metadaten enthalten können, unter anderem den Aufnahmeort.

Warum WhatsApp und Instagram keine Kundendatenbank sind

Der Chat ist der bequemste Ort und der schlechteste Speicher. Wenn dein Handy verloren geht, ist die Kundenhistorie entweder weg oder in fremder Hand, je nachdem wie gut es gesperrt war. Ein Account kann gesperrt werden, ein Chatverlauf lässt sich nicht durchsuchen, und Gesundheitsangaben in einer DM sind sichtbar für jeden, der aufs Display schaut.

Die Lösung ist nicht, den Kanal zu verbieten, sondern ihn zu trennen: Kommunikation läuft weiter über den Chat, die Daten leben in einem System, aus dem du sie exportieren, schützen und löschen kannst. Wie das aussieht, steht im Artikel zur Kundenverwaltung im Studio.

Wie lange musst du Kundendaten aufbewahren?

Die Zahlen zur Buchhaltung stehen fest: In der Schweiz sind Geschäftsbücher und Belege 10 Jahre aufzubewahren, in Deutschland Buchungsbelege und Rechnungen 8 Jahre und Bücher sowie Jahresabschlüsse 10 Jahre, in Österreich gelten 7 Jahre. Alles andere ist eine Entscheidung, die du einmal triffst und dann konsequent durchziehst.

Wichtig ist der Unterschied zwischen darf und muss. Belege musst du aufbewahren, auch wenn eine Kundin die Löschung verlangt. Marketingdaten dagegen darfst du nur behalten, solange die Einwilligung gilt. Wer beides in denselben Topf wirft, löscht am Ende entweder zu viel oder gar nichts.

Die 8-Punkte-Checkliste für dein Studio

1. 1Datenschutzerklärung auf der Website und verlinkt im Buchungsformular, in verständlicher Sprache.
2. 2Auftragsverarbeitung mit deinen Software-Anbietern regeln, also mit Buchungstool, Newsletter-Dienst und Zahlungsanbieter.
3. 3Datenstandort prüfen: Kundendaten gehören in die EU oder die Schweiz, und du solltest sagen können, wo sie liegen.
4. 4Zugriffsrechte im Team: Wer braucht welche Daten? Ein Gast-Artist braucht keinen Zugriff auf die Historie aller Kunden.
5. 5Geräte sperren: Code oder Face ID auf Handy und Tablet, Bildschirmsperre am Studio-Rechner, keine geteilten Passwörter.
6. 6Löschkonzept: Ein Satz pro Datenart, wann sie verschwindet. Ohne diesen Satz löschst du nie.
7. 7Auskunftsanfragen beantworten: Wenn jemand fragt, welche Daten du hast, brauchst du dafür eine Stunde, nicht eine Woche.
8. 8Newsletter nur mit Einwilligung: separate Checkbox, kein vorausgefülltes Häkchen, Abmeldelink in jeder Mail. Mehr dazu im Newsletter-Artikel.

Vorlage: Datenschutz-Hinweis fürs Buchungsformular

Wir speichern deine Angaben, um deinen Termin zu vereinbaren, das Tattoo zu dokumentieren und die Zahlung abzurechnen. Gesundheitsangaben aus der Einverständniserklärung behandeln wir als besonders schützenswerte Daten und geben sie nicht an Dritte weiter. Buchhaltungsbelege bewahren wir so lange auf, wie es das Gesetz verlangt, alles andere löschen wir, wenn wir es nicht mehr brauchen.

Fotos deines Tattoos verwenden wir nur, wenn du separat zustimmst. Diese Zustimmung kannst du jederzeit zurückziehen, ohne dass dir daraus ein Nachteil entsteht.

Du kannst jederzeit Auskunft über deine Daten sowie deren Berichtigung oder Löschung verlangen. Schreib uns dafür an [E-Mail-Adresse]. Die vollständige Datenschutzerklärung findest du unter [Link].