Die meisten Studio-Owner, die ich kenne, sind bei DSGVO entweder panisch oder abgestumpft. Beides ist verständlich, aber beides ist falsch. Die Realität: Mit einer sauberen Checkliste haben Sie das Thema an einem Nachmittag durch.
1 · Verzeichnis von Verarbeitungstätigkeiten (VVT)
Pflicht ab dem ersten Tag, auch für Einzelunternehmen. Ein VVT listet, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten:
- Kundinnen-Stammdaten (Name, Mail, Tel) → Terminvereinbarung
- Anamnese-Daten (Gesundheit) → Behandlung
- Fotos → Verlaufsdokumentation, optional Marketing (separat einwilligen lassen)
- Zahlungsdaten → Buchhaltung (10 Jahre Aufbewahrung)
Vorlage: ein Word-Dokument reicht. Wichtig: aktuell halten, bei Audit vorzeigen können.
2 · Auftragsverarbeitungsverträge (AVV)
Mit jedem Dienstleister, der Kunden-Daten verarbeitet:
- Anthropic (KI-Beratung) — Standard-AVV online verfügbar
- Stripe (Zahlungen) — automatisch geschlossen bei Kontoeröffnung
- Cyon / Hostpoint (Hosting) — DPA bei Vertragsabschluss
- Externes Online-Buchungstool (falls zusätzlich genutzt) — eigener AVV
3 · Einwilligungen sauber trennen
Eine einzige Sammel-Einwilligung „Ich stimme allem zu" ist DSGVO-rechtlich wirkungslos. Aufteilen in:
- Datenverarbeitung zur Vertragserfüllung (Behandlung selbst) — gesetzliche Grundlage, keine Einwilligung nötig
- Foto-Aufnahmen — separate Einwilligung, getrennt nach Verlauf vs. Marketing
- Newsletter / Werbung — separate Einwilligung, jederzeit widerrufbar
- KI-Hautanalyse — Hinweis dass anonymisiert übermittelt wird
4 · Auskunfts- und Löschrechte
Jede Kundin hat das Recht:
- Auskunft (Art. 15): „Welche Daten habt ihr von mir?" — PDF mit allem
- Datenübertragung (Art. 20): Daten als maschinenlesbare Datei (JSON)
- Berichtigung (Art. 16): Falsche Daten korrigieren lassen
- Löschung (Art. 17): Alle Daten weg — Ausnahme: gesetzliche Aufbewahrungs-Pflichten
Das muss in 30 Tagen erledigt sein, sonst Beschwerde-Risiko. Wie Sie eine konkrete Auskunft oder Löschung Schritt für Schritt beantworten, zeigt unser Praxis-Leitfaden zu DSGVO-Anfragen.
Die drei Fristen, die im Studio-Alltag am häufigsten zählen — auf einen Blick:
- 30 Tage — Frist für Auskunft & Löschung
- 72 Std — Meldefrist bei Datenpanne
- 10 Jahre — Aufbewahrung Buchhaltung
5 · Datenpanne — was tun?
Stellen Sie fest, dass Daten verloren oder gestohlen wurden (Laptop weg, Backup öffentlich, Phishing-Angriff): Innerhalb 72 Stunden beim EDÖB (CH) oder der Landes-Datenschutzbehörde (DE/AT) melden. Vorlagen gibts online.
6 · Speicherort
CH-Studios: Server-Speicherort prüfen. In der Schweiz oder EU ist DSGVO-konform. USA-Hoster ohne EU-US Data Privacy Framework sind problematisch.
Praxis-Tipp: Wenn Sie eine Software einsetzen, die KI nutzt — fragen Sie, welche Daten anonymisiert werden bevor sie an die KI gehen. Eine gute Software entfernt Namen, E-Mails, Adressen vor jedem KI-Call. Eine schlechte schickt alles ungefiltert.
7 · Mitarbeiterinnen-Schulung
Pflicht für Studios mit mehreren Fachpersonen. Einmal pro Jahr 30-Minuten-Schulung: was darf weitergegeben werden, was nicht. Schriftlich dokumentieren.
Zusammengefasst
DSGVO ist kein Hexenwerk. Mit dieser Liste sind Sie sauber aufgestellt. Wenn Sie eine Studio-Software nutzen, die DSGVO-Tools eingebaut hat (Auskunfts-PDF, Daten-Export, Löschung mit einem Klick), sparen Sie hunderte Stunden manueller Arbeit pro Jahr.