Verfahrensdokumentation im Kosmetikstudio — klingt trocken, ist aber wichtiger als viele denken. Wer Kundendaten verarbeitet, braucht laut DSGVO und dem Schweizer revDSG eine ordentliche Übersicht darüber, wie im Studio mit diesen Daten umgegangen wird. Und das betrifft nicht nur grosse Kliniken, sondern auch das Einpersonenstudio.
Dieser Ratgeber erklärt, was hinter dem Begriff steckt, was konkret rein muss — und wie du das ohne Juristenstudium hinkriegst.
Was ist eine Verfahrensdokumentation überhaupt?
Der Begriff klingt nach Bürokratie, beschreibt aber im Kern etwas Logisches: eine schriftliche Übersicht aller Prozesse, bei denen du personenbezogene Daten verarbeitest. Das ist die Grundlage dafür, dass du — und im Zweifel auch eine Behörde — nachvollziehen kann, was mit den Daten deiner Kund:innen passiert.
In der DSGVO heisst dieses Dokument offiziell Verzeichnis von Verarbeitungstätigkeiten (VVT). Im Schweizer revDSG, das seit September 2023 gilt, gibt es eine gleichwertige Pflicht unter dem Begriff Bearbeitungsverzeichnis. Beide meinen dasselbe: Dokumentiere, wer welche Daten wozu nutzt, wie lange sie gespeichert werden und wer Zugriff hat.
Achtung: Viele Studios setzen das VVT mit der Datenschutzerklärung auf der Website gleich. Das ist nicht dasselbe. Die Datenschutzerklärung richtet sich an deine Kund:innen. Das Verfahrensverzeichnis ist ein internes Dokument — für dich und für Behörden.
Wer braucht eine Verfahrensdokumentation?
Kurze Antwort: fast alle.
Die DSGVO sieht zwar formell eine Ausnahme für Kleinstunternehmen mit weniger als 250 Mitarbeitenden vor — aber nur dann, wenn die Verarbeitung kein Risiko für Betroffene birgt und nicht regelmässig erfolgt. Da du als Studio-Inhaberin regelmässig Gesundheitsdaten (Hautbilder, Anamnesebögen, Behandlungsverläufe) verarbeitest, gilt die Ausnahme für dich faktisch nicht.
Das revDSG in der Schweiz macht eine ähnliche Regelung: Kleinstunternehmen können unter bestimmten Umständen auf das Verzeichnis verzichten — aber sobald du besonders schützenswerte Personendaten (Gesundheit, Intimsphäre) bearbeitest, bist du zur Dokumentation verpflichtet.
Kurz: Wer Anamnesebögen führt, Behandlungsbilder speichert oder auch nur eine Kundenkartei mit Notizen zur Haut oder Gesundheit hat, braucht eine Verfahrensdokumentation. Das gilt für Kosmetikstudios, Nagelstudios, Tattoo-Studios, Massagepraxen, Naturheilkunde-Praxen und viele andere Beauty- und Wellnessbetriebe.
Was gehört rein — und was nicht?
Dein Verarbeitungsverzeichnis muss für jede Kategorie von Verarbeitungen bestimmte Punkte abdecken. Hier die wichtigsten:
- Name und Zweck: Wie heisst der Prozess (z.B. "Kundenkartei") und wozu dient er (z.B. Behandlungsplanung, Dokumentation)?
- Verantwortliche Person: Wer ist in deinem Studio dafür zuständig? Bei Solo-Betrieb: du selbst.
- Datenkategorien: Welche Daten werden verarbeitet? Namen, Kontaktdaten, Gesundheitsinfos, Bilder?
- Betroffene Personen: Wer ist betroffen — Kund:innen, Mitarbeitende, Kontaktpersonen?
- Empfänger und Dritte: Wer bekommt die Daten? Buchungs-Tool, Buchhaltungssoftware, Cloud-Anbieter?
- Speicherdauer: Wie lange werden die Daten aufbewahrt? Wann werden sie gelöscht?
- Technische & organisatorische Massnahmen (TOM): Wie schützt du die Daten? Passwortschutz, Verschlüsselung, Zugriffsrechte?
- Rechtsgrundlage: Auf welcher Basis verarbeitest du? Einwilligung, Vertrag, berechtigtes Interesse?
Du brauchst keinen Eintrag pro Kundin — sondern einen Eintrag pro Art von Verarbeitung. Typische Verarbeitungen im Kosmetikstudio sind zum Beispiel:
- Kundenkartei und Anamnese
- Termin- und Buchungssystem
- Kasse und Rechnungsstellung
- Newsletter und Marketing
- Mitarbeiterverwaltung
- Buchhaltung
- Bewertungen und Testimonials
Welche Daten sind besonders schützenswert?
Nicht alle Daten sind gleich. Im Beauty- und Wellnessbereich gibt es regelmässig besonders schützenswerte Kategorien — das sind Daten, die ein erhöhtes Risiko für Betroffene darstellen:
- Gesundheitsdaten: Allergien, Unverträglichkeiten, Vorerkrankungen, Schwangerschaft
- Biometrische Daten: Behandlungsbilder, auf denen Personen erkennbar sind
- Daten zur Intimsphäre: Je nach Behandlung (z.B. Körperbehandlungen)
Für diese Kategorien gelten strengere Anforderungen — sowohl bei der Einwilligung als auch bei der Dokumentation. Wer Anamnesebögen mit Gesundheitsfragen führt, muss das besonders sorgfältig dokumentieren.
Praxis-Tipp: Überprüfe deinen bestehenden Anamnese-Bogen: Welche Felder betreffen Gesundheitsdaten? Hast du eine separate, informierte Einwilligung dafür? Unser Artikel zur Anamnese-Vorlage für Kosmetikstudios zeigt, worauf du dabei achten solltest.
Wie erstelle ich eine Verfahrensdokumentation — Schritt für Schritt?
Keine Panik: Du brauchst dafür keine Anwaltskanzlei und kein kompliziertes Tool. Hier ein pragmatischer Einstieg:
1. Inventar machen
Notiere alle Stellen, an denen du Kundendaten sammelst oder verarbeitest. Buchungssystem, Kundenkartei, Newsletter-Tool, Kasse, Cloud-Speicher für Bilder — alles auf eine Liste.
2. Für jeden Prozess die Pflichtfelder ausfüllen
Geh die Liste aus dem vorigen Abschnitt durch und beantworte die Fragen für jeden Prozess. Sei ehrlich und konkret — nicht ausweichend oder allgemein. «Daten werden gespeichert, solange nötig» ist keine ausreichende Speicherdauer.
3. Realistische Speicherfristen festlegen
Für Beauty-Studios gelten oft folgende Orientierungspunkte:
- Kundenkartei / Behandlungsdaten: Häufig 5–10 Jahre nach letztem Kontakt empfohlen, abhängig vom Behandlungstyp und gesetzlichen Aufbewahrungspflichten im jeweiligen Land
- Buchhaltungsbelege: 10 Jahre (CH: OR und DBG), 10 Jahre (DE: HGB)
- Marketing-Einwilligungen: Bis zum Widerruf, danach unverzüglich löschen
Hol dir bei Unsicherheit eine kurze Einschätzung von einer Datenschutzfachperson — das ist kein Vollmandat, meist genügt eine Stunde.
4. Technische und organisatorische Massnahmen (TOM) beschreiben
Das klingt technischer als es ist. Gemeint ist: Was tust du konkret, um Daten zu schützen? Beispiele:
- Passwortschutz auf allen Geräten
- Verschlüsselte Übertragung (HTTPS)
- Zugriffsrechte: Wer sieht welche Daten?
- Physischer Schutz: Wo liegen Papierdokumente?
- Datenspeicherung in der Schweiz (wenn relevant für revDSG)
5. Dokument regelmässig aktualisieren
Deine Verfahrensdokumentation ist kein einmaliges Projekt. Wenn du ein neues Tool einführst, einen Mitarbeiter einstellst oder eine neue Behandlung anbietest — prüfe, ob eine Aktualisierung nötig ist. Einmal im Jahr drüberschauen ist eine gute Faustregel.
- 5–10 Jahre — typische Aufbewahrungsdauer für Behandlungsdaten —
- 10 Jahre — Aufbewahrungspflicht Buchhaltungsbelege (CH/DE) —
- 1× jährlich — empfohlene Überprüfung des Verarbeitungsverzeichnisses —
Was passiert, wenn das Verzeichnis fehlt?
Die ehrliche Antwort: In der Praxis werden die meisten Studios nicht proaktiv kontrolliert. Aber: Bei einer Beschwerde, einem Datenleck oder einem Behördenverfahren wird das VVT als Erstes angefragt. Wer es dann nicht vorlegen kann, steht schlecht da — und riskiert Bussen.
In der Schweiz kann das EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) Empfehlungen aussprechen und bei Verstössen gegen das revDSG sind Sanktionen möglich. In Deutschland kann die Datenschutzbehörde Bussgelder verhängen.
Kurz: Es ist kein theoretisches Risiko. Und der Aufwand, eine ordentliche Dokumentation zu erstellen, ist überschaubar — verglichen mit dem Ärger, der ohne entsteht.
Wie hilft eine Studio-Software dabei?
Eine gute Software kann dir den grössten Teil der Arbeit abnehmen — zumindest für die Prozesse, die sie abbildet. Wenn dein Buchungs- und Karteisystem von Haus aus DSGVO-konform ist, Daten verschlüsselt überträgt, Zugriffsrechte regelt und dir DSGVO-Tools direkt pro Kundin bietet, dann ist ein grosser Teil deiner TOMs schon dokumentiert.
Du musst dann nur noch festhalten: «Ich nutze [Software], die folgendes leistet…» — und kannst das direkt in dein VVT eintragen.
Das ist ein echter Unterschied zu Bastel-Lösungen aus Excel und Google Drive: Wer mit einer Software arbeitet, die Daten in der Schweiz hostet und revDSG/DSGVO-konform ist, hat eine deutlich schlankere TOM-Beschreibung. Tools wie Kosdia, die für den Schweizer und DACH-Markt gebaut wurden, bringen das bereits mit — was die Dokumentation für Studios spürbar vereinfacht.
Wenn dich das Thema Datenpflichten im Studio generell interessiert, schau dir auch unsere DSGVO-Studio-Checkliste an — sie deckt die wichtigsten Pflichten Schritt für Schritt ab.
Häufige Fragen
Brauche ich als Solo-Kosmetikerin wirklich eine Verfahrensdokumentation?
Ja, wenn du regelmässig Gesundheitsdaten verarbeitest — und das tust du mit Anamnesebögen und Behandlungsnotizen. Die Kleinstunternehmen-Ausnahme greift in solchen Fällen nicht.
Muss das Dokument in einer bestimmten Form vorliegen?
Nein. Es gibt keine Formvorschrift. Eine strukturierte Word-Datei, eine Excel-Tabelle oder ein digitales Dokument in deiner Software sind alle zulässig, solange die Pflichtinhalte vollständig sind.
Muss ich mein Verarbeitungsverzeichnis öffentlich zugänglich machen?
Nein. Das VVT ist ein internes Dokument. Du musst es Behörden auf Anfrage vorlegen, aber nicht auf deiner Website veröffentlichen.
Wie oft muss ich die Verfahrensdokumentation aktualisieren?
Immer dann, wenn sich etwas ändert — neues Tool, neue Behandlung, neue Mitarbeitende. Als Minimum empfiehlt sich eine jährliche Durchsicht.
Was ist der Unterschied zwischen VVT und Datenschutzerklärung?
Die Datenschutzerklärung informiert deine Kund:innen über ihre Rechte und was mit ihren Daten passiert — sie ist nach aussen gerichtet. Das VVT ist ein internes Nachweis-Dokument für Behörden. Beides brauchst du, aber sie erfüllen unterschiedliche Zwecke.