Wer ist von den neuen Datenschutzregelungen betroffen?

Wenn Sie personenbezogene Daten wie Namen, Adressen, Telefonnummern oder E-Mail-Adressen Ihrer Kunden verarbeiten, sind Sie von den Regelungen betroffen. Für Dienstleistungsunternehmen mit Kundenterminen trifft dies also in dem meisten Fällen zu. Das Verarbeiten dieser Daten ist nicht ungesetzlich. Wichtig ist jedoch, dass Sie als Friseur oder Kosmetikerin wichtige Voraussetzungen erfüllen – andernfalls drohen strenge Strafen.

Was ist die Informationspflicht?

Sie sind gesetzlich dazu verpflichtet, Ihre Kunden darüber zu informieren, dass Sie ihre Daten verarbeiten. Darüber hinaus müssen Sie Ihre Kunden über die Dauer, die Rechtsgrundlage und den Zweck der Speicherung informieren. Auch Name und Kontaktdaten es Verantwortlichen und gegebenenfalls Ihres Datenschutzbeauftragten sollten Sie Ihren Kunden im Falle einer Datenverarbeitung mitteilen. Darüber hinaus sollte der Kunden über seine Rechte (unter anderem zur Abfrage oder Löschung der Daten sowie zur Möglichkeit der Beschwerde bei der zuständigen Aufsichtsbehörde) informiert werden.

Welche Rechte haben meine Kunden?

Ihre Kunden haben das Recht, alle über sie gespeicherten Daten einzusehen oder auch löschen zu lassen. Als Verarbeiter dieser Daten müssen Sie die gesetzlich festgelegte Frist einhalten, um dem Kunden seinen diesbezüglichen Wunsch zu erfüllen. Wenn Sie die Daten nicht bereitstellen oder löschen, drohen harte Strafen.

Wie verträgt sich der Löschungswunsch eines Kunden mit meinen Aufwahrungspflichten?

Aus steuerlichen Gründen sind Sie zur Aufbewahrung Ihrer Daten für bis zu 10 Jahre verpflichtet. Dies gilt ebenfalls, Wenn Sie neben dem Belbo Kalender und der Onlinebuchung auch das Belbo Kassensystem nutzen. Zur Aufbewahrungspflicht gehören neben Ihren Terminbüchern auch Ihre Finanzdaten.

Muss ich eine Datenschutzerklärung haben?

Sie sind verpflichtet, Ihnen Kunden eine Datenschutzerklärung zur Verfügung zu stellen, in welcher Sie Ihre Kunden ausführlich zur Verarbeitung von Daten in Ihrem Unternehmen informieren. Diese Datenschutzerklärung muss auf all Ihren Web- udnd Social-Media-Seiten gut auffindbar verlinkt sein. Ein Muster hierfür sowie zahlreiche weitere Dokumente finden Sie zum Beispiel bei der Handwerkskammer Hannover. Auch für Ihre Onlinebuchung benötigen Sie eine Datenschutzerklärung, welche Ihre Kunden bei der Onlinebuchung mit oder ohne Registrierung zur Kenntnis nehmen müssen, bevor sie Termine buchen können.

Gebe ich Kundendaten an Dritte weiter, wenn ich einen Onlinekalender nutze?

Wenn Sie bei der Verarbeitung von Daten eine Terminbuchungs- oder Kassensoftware nutzen, geben Sie die Daten in der Regel an einen Drittanbieter weiter. Dies müssen Sie Ihren Kunden mitteilen und Sorge dafür tragen, dass auch Drittanbieter und eventuelle Unterauftragnehmer DSGVO-konform arbeiten.

Brauche ich einen Datenschutzbeauftragten für mein Unternehmen?

Sind in Ihrem Betrieb nur neun oder weniger Mitarbeiter mit der Verarbeitung personenbezogener Daten beschäftigt, braucht ein Unternehmen in der Regel keinen Datenschutzbeauftragten. Dies ist für die meisten Friseure, Kosmetikinstitute und Sportstudios der Fall, wenn die Gesamtzahl der Mitarbeiter unter 10 liegt. Wichtig ist in dem Zusammenhang die Folgenabschätzung. Bitte informieren Sie sich daher sorgfältig, ob Ihre Branche gegebenenfalls eine Ausnahme bildet und Sie dennoch einen Datenschutzbeauftragten benötigen.

Kann ich nach wie vor Newsletter an meine Kunden versenden?

Sie können Ihre Kunden weiterhin mit Newslettern auf Ihre Angebote und Aktionen aufmerksam machen. Sie sind jedoch verpflichtet, das gegebene Einverständnis des Kunden nachzuweisen. Eine rein mündliche Absprache ist zwar nicht ungesetzlich, kann aber im Nachhinein nicht mehr nachgewiesen werden und reicht daher im Streitfall nicht aus. Ihre Kunden müssen ihre Zustimmung aus diesem Grund schriftlich erteilen. Diese können Sie in Papierform mit Unterschrift einholen, oder ganz einfach in digitaler Form per E-Mail.

Ich bin nicht sicher, ob alle meine bisherigen Erlaubnisabfragen rechtssicher sind.

Um auch in Zukunft sicherzustellen, dass Ihre Kampagnen nur Kunden erreichen, welche den Erhalt werblicher Nachrichten wünsche, sollten Sie nur die Kontaktdaten nutzen, welche nachweislich vom Kunden für den Empfang von Newslettern freigegeben wurden.

Was passiert, wenn ich widerrechtlich Marketingkampagnen durchführe, z.B. mit Altkunden, deren Freigabe ich nicht schriftlich habe?

Mit Inkrafttreten der DSGVO werden Rechtsverstöße deutlich härter geahndet, als bislang. Laut Art. 83 DSGVO sind für schwere Rechtsverstöße Bußgelder bis zu 4 % des Jahresumsatzes eines Unternehmens, beziehungsweise 20 Mio. Euro, zulässig, wobei der jeweils höhere Wert gilt.

Ich habe Daten über meine Kunden gesammelt, welche diese lieber nicht sehen sollten. Was mache ich nun?

Ihre Kunden können bei der Datenabfrage künftig alle Informationen einsehen, welche Sie über sie speichern und verarbeiten. Wenn Sie in Ihren Kundenkarteien bislang Daten hinterlegt haben, welche Ihrer Meinung nach nicht durch den Kunden eingesehen werden sollten, müssen Sie diese entfernen. Dazu können zum Beispiel Hinweise zur Pünktlichkeit oder zu anderen Eigenschaften des Kunden gehören, welche Sie Ihren Kollegen für den Umgang mit einem Kunden mitteilen wollen. Bitte beachten Sie, dass Ihre Kunden auch bislang schon das Recht auf Anforderung der eigenen Daten hatten.

Wie kann ich sichergehen, dass meine Mitarbeiter die Daten nicht missbräuchlich verwenden?

In Ihrem Unternehmen arbeiten mitunter viele verschiedene Mitarbeiter mit den Daten der Kunden. Stellen Sie sicher, dass jeder, der in Ihrem Unternehmen Zugang zu Kundendaten hat, auch mit den Regeln der Datenschutz-Grundverordnung vertraut ist. Um sicher zu gehen, dass Ihre Mitarbeiter die Daten Ihrer Kunden gewissenhaft verarbeiten, können Sie sie eine Verschwiegenheitsverpflichtung unterschreiben lassen. Ein Muster hierfür stellt zum Beispiel die IHK Aachen zur Verfügung.

Was ist mit den Daten meiner Mitarbeiter?

Auch Ihre Mitarbeiter haben ein Recht auf Datenschutz. Stellen Sie daher sicher, dass Sie die Daten Ihrer Mitarbeiter ebenfalls regelgerecht verwenden. Dazu gehört zum Beispiel die Verwendung von Mitarbeiterfotos und -namen auf Ihrer Website oder in der Onlinebuchung, die nur nach ausdrücklicher Zustimmung durch den betroffenen Mitarbeiter erfolgen darf. Lassen Sie sich hierzu am besten eine Einwilligungserklärung unterschreiben.

Welche Nachrichten sind werblich und verlangen die explizite Zustimmung durch den Kunden?

Informationen, welche keinen direkt werblichen, sondern rein informativen Inhalt haben, können auch ohne die vorherige Zustimmung versendet werden. Dazu gehören neben Terminerinnerungen und -bestätigungen auch Informationen über geänderte Öffnungszeiten und Adress- sowie Umzugsinformationen. Achten Sie bei solchen Schreiben unbedingt darauf, keine werblichen Ergänzungen hinzuzufügen, wie zum Beispiel Sonderangebote im Rahmen einer Neueröffnung. Auch wenn Ihre Kunden dem Empfang dieser Nachrichten nicht zustimmen müssen, ist es erforderlich, dass sie die Möglichkeit haben, sich davon abzumelden.

Saisonale Nachrichten wie Weihnachts-, Neujahrs- und Geburtstagsglückwünsche sowie Reaktivierungs-Mails oder Bewertungsanfragen fallen jedoch unter werbliche Nachrichten benötigen eine explizite Werbeeinwilligung.

Kann ich weiterhin SMS mit werblichem Inhalt versenden?

Auch SMS-Nachrichten an Ihre Kunden sind zukünftig weiterhin erlaubt, wenn die Erlaubnis des Kunden vorliegt. Jedoch ist es – für werbliche und nichtwerbliche Nachrichten gleichermaßen – erforderlich, dass Kunden sich von den Nachrichten auf einfachem Wege abmelden können.

Welche Daten meiner Kunden darf ich zukünftig verarbeiten?

Unter dem Prinzip der Datensparsamkeit sind Sie verpflichtet nur solche Daten zu erheben, welche für die Ausführung Ihrer Dienstleistung nötig sind. Neben den Grunddaten des Kunden, welche Name und Kontaktdaten beinhalten, sind dies je nach Branche aber auch weitere Daten Ihrer Kunden. In der Friseurbranche spielen Farbrezepturen eine Rolle, in der Kosmetikbranche können das Resultate der Hautanalyse sein und im EMS-Sport Daten wie Westengrößen oder Stromstärken. Auch wenn das Sammeln gesundheitlicher Daten in den DSGVO kritisch gesehen wird, werden in manchen Branchen etwaige Allergien oder das Tragen von Kontaktlinsen dokumentiert, um dem Mitarbeiter die optimale Betreuung des Kunden zu ermöglichen. Stellen Sie sicher, dass Sie Ihre Kunden über die Verarbeitung dieser Daten informieren und erkundigen Sie sich gewissenhaft, welche Daten Sie erheben dürfen. Dazu gehört, dass diese Daten nicht zu den unter Art. 9 Abs. 1 DSGVO untersagten Daten gehören. Dazu gehören Informationen wie etwa die ethnische Herkunft oder die sexuelle Orientierung des Kunden.

Benötige ich einen Datenverarbeitungsvertrag?

Wenn Sie eine Cloud-Software zur Terminplanung oder Kundenverwaltung nutzen, verarbeitet der Anbieter dieses Dienstes in Ihrem Auftrag Daten. In diesem Falle müssen Sie mit dem Anbieter einen Vertrag schließen und Ihre Kunden darauf aufmerksam machen, dass und von wem die Daten in Ihrem Auftrag verarbeitet werden.

Was ist ein Verzeichnis von Verarbeitungstätigkeiten und warum sollte ich eins haben?

Das Verzeichnis von Verarbeitungstätigkeiten dient als Grundlage, Ihren Nachweispflichten im Rahmen der Datenschutz-Grundverordnung nachzukommen. Jedes Unternehmen, welches Daten verarbeitet, muss dieses anlegen. Dabei handelt es sich um eine Auflistung der verarbeiteten Datentypen und wie von der Verarbeitung betroffene Personen (also Ihre Kunden und Mitarbeiter) über die Verarbeitung informiert werden. Darüber hinaus muss über den Zweck, die Art und Dauer sowie die gesetzliche Grundlage der Speicherung dargelegt werden.