Es passiert seltener als man denkt — aber wenn, dann ist es ernst: Eine Kundin schreibt Ihnen per Mail oder WhatsApp: „Bitte schicken Sie mir eine Kopie aller Daten, die Sie über mich haben" oder „Ich möchte, dass Sie alle meine Daten unwiderruflich löschen."
In dem Moment haben Sie zwei Dinge: ein Recht der Kundin (DSGVO Art. 15 bzw. Art. 17, in der Schweiz revDSG Art. 25 bzw. 32) und eine harte Frist von einem Monat, das Anliegen zu erfüllen. Wer das ignoriert, riskiert Bussgelder von bis zu CHF 250 000 (CH) oder 20 Mio. EUR / 4 % vom Jahresumsatz (EU).
Dieser Leitfaden zeigt Schritt für Schritt, was Sie tatsächlich tun müssen — keine juristische Theorie, sondern konkrete Klicks. Egal ob Sie ein Kosmetikstudio, einen Coiffeur-Salon, ein Nagelstudio, ein PMU-Studio oder ein Tattoo-Studio betreiben.
Was die Kundin verlangen darf
Die DSGVO (EU) und das revDSG (Schweiz, seit September 2023) kennen zwei zentrale Rechte, die im Beauty-Bereich am häufigsten genutzt werden:
Auskunftsrecht (Art. 15 DSGVO / Art. 25 revDSG)
Die Kundin hat das Recht zu erfahren:
- Welche Daten Sie über sie gespeichert haben
- Woher diese Daten stammen (Online-Buchung, Aufnahmegespräch, Foto-Doku, etc.)
- Wozu Sie diese Daten verarbeiten (Behandlung, Buchhaltung, Marketing)
- Wer sonst noch Zugriff hat (Steuerberater, IT-Dienstleister, Stripe etc.)
- Wie lange die Daten aufbewahrt werden
Sie müssen ihr eine Kopie aller Daten zur Verfügung stellen — bei elektronischer Anfrage in einem gängigen elektronischen Format (JSON, CSV, PDF).
Löschungsrecht / „Recht auf Vergessenwerden" (Art. 17 DSGVO / Art. 32 revDSG)
Die Kundin kann verlangen, dass Sie alle ihre personenbezogenen Daten löschen — wenn:
- die Daten nicht mehr für den ursprünglichen Zweck nötig sind,
- die Einwilligung widerrufen wurde,
- die Verarbeitung unrechtmässig war.
Wichtig: Es gibt Ausnahmen. Sie müssen nicht löschen, wenn Sie zur Aufbewahrung gesetzlich verpflichtet sind — etwa Buchhaltungsbelege (10 Jahre, OR Art. 958f) oder medizinische Dokumentation bei medizinähnlichen Behandlungen (10 Jahre). Diese Daten dürfen Sie aufbewahren, müssen sie aber sperren (also nicht mehr aktiv verarbeiten).
Die Frist: ein Monat — nicht „bei Gelegenheit"
Das ist der Punkt, an dem die meisten Studios stolpern. Sie haben 30 Tage ab Eingang der Anfrage. Bei besonders komplexen Anliegen ist eine einmalige Verlängerung um weitere zwei Monate möglich — aber die müssen Sie der Kundin innerhalb des ersten Monats schriftlich begründen.
Praxis-Tipp: Antworten Sie immer binnen 48 Stunden mit einer Eingangsbestätigung. Auch wenn Sie noch nicht handeln können — schon das nimmt 80 % der Eskalations-Energie raus. Eine eskalierte Kundin schreibt sonst nach 2 Wochen direkt an den Datenschutz-Beauftragten Ihres Kantons.
Die ehrliche Wahrheit über manuelle Auskunfts-Antworten
Stellen Sie sich vor, Sie machen das ohne Tool. Sie müssten:
- In Ihrem externen Online-Buchungstool nach der Kundin suchen
- In Ihrer Excel- oder Word-Anamnese den Bogen heraussuchen
- Im Fotos-Ordner alle Bilder finden, die zu der Kundin gehören
- In Ihrer Newsletter-Software die Anmeldung prüfen
- In Ihren Reviews/Bewertungen nach der Person suchen
- Aus der Buchhaltung die Rechnungen ziehen (mit Schwärzungen, wo nicht erforderlich)
- Alles in einem strukturierten Dokument zusammenfassen
- Per Einschreiben oder verschlüsselter Mail zustellen
Realistische Zeit pro Anfrage: 3 bis 5 Stunden. Bei einer einzigen Kundin. Und das ist die optimistische Schätzung.
Der Unterschied zwischen Handarbeit und Tool — in drei Kennzahlen:
- 1 Monat — gesetzliche Frist (Art. 15/17)
- 3–5 Std — manuell pro Anfrage (Richtwert)
- < 3 Min — mit Tool per Klick
Wie es im Tool funktioniert (Schritt-für-Schritt)
Wenn Sie Kosdia nutzen, ist der ganze Vorgang in unter 3 Minuten durch — auf der einen Seite für die Auskunft, auf der anderen für die Löschung.
Auskunft (Art. 15 / Art. 25)
- Im Tool oben aufs Schloss-Symbol klicken → Datenschutz-Modal öffnet sich
- Bereich „Kundendaten · Auskunft & Löschung" → Button „JSON herunterladen"
- Das Tool packt automatisch zusammen: Stammdaten, Anamnese, Sitzungen, Foto-Metadaten, Reviews, Newsletter-Anmeldungen
- Die JSON-Datei der Kundin per verschlüsselter E-Mail zustellen (Subject-Line: „Auskunft DSGVO Art. 15 / revDSG Art. 25 — Ihre Anfrage vom …")
- Im Tool selbst wird die Aktion automatisch im Audit-Log dokumentiert — wer, wann, welche Daten exportiert wurden. Damit haben Sie auch den Beleg in der Hand, falls die Kundin später behauptet, sie habe nichts bekommen.
Löschung (Art. 17 / Art. 32)
- Im Kundenprofil der Kundin → „DSGVO-Löschung anfordern" klicken
- Bestätigen → 2-Schritt-Confirm (kein 1-Klick, damit Sie sich es wirklich überlegen)
- Das Tool löscht hart: Stammdaten, Anamnese, Sitzungen, Foto-Dateien (auch im Storage, nicht nur in der Datenbank)
- Reviews der Kundin werden anonymisiert (Name → „Anonym"), nicht gelöscht — das ist Studio-Reputation, kein Personenbezug mehr
- Audit-Log notiert die Aktion: Datum, durchführende Person, gelöschte Datensatz-Anzahl
Wichtig zu wissen: Buchhaltungs-Belege (Rechnungen, Quittungen) werden nicht gelöscht — das wäre ein Verstoss gegen Aufbewahrungspflichten. Wenn die Kundin nachfragt, weisen Sie sachlich darauf hin: „Aus Ihrer Kundenkarte ist alles entfernt. In der Buchhaltung müssen wir gesetzlich noch 10 Jahre die Belege aufbewahren — wir nutzen sie aber nicht mehr für Marketing oder Behandlungsplanung."
Was Sie der Kundin antworten — Mustertext
Für Auskunft:
Sehr geehrte Frau …, auf Ihre Anfrage vom [Datum] übersenden wir Ihnen anbei eine Kopie aller bei uns gespeicherten personenbezogenen Daten gemäss Art. 15 DSGVO / Art. 25 revDSG. Zweck der Verarbeitung: Durchführung und Dokumentation Ihrer Behandlungen, Terminorganisation, gesetzliche Aufbewahrungspflichten (Buchhaltung). Aufbewahrungsdauer: Behandlungsdokumentation 10 Jahre nach letzter Behandlung; Stammdaten gelöscht auf Wunsch oder 3 Jahre nach Inaktivität. Quelle: Persönlich von Ihnen erhoben. Empfänger: Treuhand für Buchhaltung, Stripe für Zahlungsabwicklung, kein Marketing-Versand an Dritte. Sollten Sie weitere Auskünfte wünschen oder eine Löschung beantragen, melden Sie sich gerne. Freundliche Grüsse, [Studio]
Für die Löschung:
Sehr geehrte Frau …, Ihrem Wunsch entsprechend wurden Ihre personenbezogenen Daten am [Datum] aus unserem Kundensystem gelöscht. Aus gesetzlichen Aufbewahrungsfristen (OR Art. 958f, 10 Jahre) verbleiben lediglich Rechnungs- und Buchungsbelege in unserer Buchhaltung — diese werden nicht mehr aktiv verarbeitet. Freundliche Grüsse, [Studio]
Häufige Fehler — und wie Sie sie vermeiden
- „Ich antworte, wenn ich Zeit habe": Die 30-Tage-Frist läuft ab Eingang, nicht ab Ihrer Bearbeitung. Frühzeitig Eingangsbestätigung schicken.
- Alles per WhatsApp schicken: Personenbezogene Daten über unverschlüsselte Kanäle = neuer DSGVO-Verstoss. Lieber verschlüsselte E-Mail oder kennwortgeschütztes Cloud-Drive mit Link.
- „Ich lösche einfach Alles": Buchhaltungs-Daten dürfen Sie nicht löschen. Klar abgrenzen und kommunizieren.
- Identität nicht prüfen: Bei Zweifel — etwa wenn die Anfrage von einer anderen Mail-Adresse kommt — Identität bestätigen lassen. Sonst geben Sie Daten an die falsche Person heraus, was selbst ein Verstoss ist.
- Audit-Log fehlt: Wenn die Kundin später behauptet, Sie hätten nichts geschickt — beweisen können Sie es nur mit Protokoll.
Schweiz vs. EU — die feinen Unterschiede
Das revDSG (seit September 2023 in Kraft) ist weitgehend kompatibel mit der DSGVO, aber:
- Frist ist auch 30 Tage, kann auf „angemessen längere" Zeit verlängert werden
- Sanktionen treffen primär natürliche Personen (Geschäftsleitung), nicht die Firma — Bussen bis CHF 250 000 möglich
- Datenschutz-Folgeabschätzung nicht generell Pflicht (im Gegensatz zur DSGVO)
- Datenschutzbeauftragte/r ist in der Schweiz freiwillig (DSGVO ab gewisser Grösse Pflicht)
Wenn Sie Kundinnen aus DE/AT haben, gilt parallel die DSGVO — heisst: nehmen Sie den strengeren Standard, dann sind Sie auf beiden Seiten sauber.
Vorbereitung: 4 Sachen heute erledigen
Bevor die erste Anfrage kommt:
- Datenschutz-Erklärung auf der Website aktuell halten — Link zu Mail-Adresse datenschutz@ihr-studio.ch
- Mail-Adresse datenschutz@… einrichten und prüfen, dass Sie sie wirklich täglich lesen
- Verzeichnis der Verarbeitungstätigkeiten (VVT) anlegen — auch für Einzelunternehmen Pflicht
- Auskunfts- und Lösch-Workflow im Studio-Tool einmal durchspielen, damit Sie wissen wo die Knöpfe sind
Verwandter Artikel: DSGVO im Kosmetikstudio — die ehrliche Checkliste — geht detaillierter auf VVT, AVV und Foto-Einwilligung ein.
Zusammenfassung
DSGVO-Anfragen sind nicht der Schreckgespenst, der sie scheinen. Mit klarem Workflow, einem Tool das per Knopfdruck exportieren und löschen kann, und einem Mustertext in der Schublade haben Sie das in 3 Minuten erledigt — und sind auf der absolut sicheren Seite.
Was Sie heute schon tun können: das nächste Mal, wenn eine Kundin nach „ihren Daten" fragt, einfach öffnen, klicken, ZIP herunterladen, verschicken. So sollte es sein.