Wer hat Zugriff auf meine Kundendaten? Datenschutz bei Online-Buchungssystemen
Können Behörden, Plattformen oder andere Firmen an Kalender und Kundenkartei? Was die DSGVO verlangt, welche Fragen du jedem Anbieter stellen solltest – und wie es bei Booking4Beauty geregelt ist.
Kristina Janz 5 Min. Lesezeit
Eine der häufigsten Fragen in unseren Beratungsgesprächen ist nicht die nach dem Preis, sondern: „Wer kommt eigentlich an meine Daten, wenn der Kalender online ist?“ Die Sorge ist berechtigt. In der Kundenkartei eines Kosmetikstudios stehen Namen, Telefonnummern, Behandlungshistorien, bei Fußpflege oder Permanent Make-up auch Gesundheitsangaben. Das sind nach DSGVO besonders schützenswerte Daten.
Die kurze Antwort
Bei einem seriös betriebenen Buchungssystem haben genau zwei Parteien Zugriff: dein Studio und der Anbieter als Dienstleister – und der nur, um dir zu helfen, nicht um die Daten zu nutzen. Keine Behörde, keine Plattform, keine „Partnerfirma“ und kein Werbenetzwerk.
Bei Booking4Beauty ist das genau so geregelt: Zugang haben nur das Studio und wir als Dienstleister, wenn ihr Support braucht. Die Daten liegen auf Servern in Deutschland und werden nicht weitergegeben.
Warum Behörden nicht „einfach so“ an den Kalender kommen
Behörden können Daten nur mit einer Rechtsgrundlage anfordern – etwa das Finanzamt bei einer Betriebsprüfung deines Studios. Das würde aber über dich laufen, nicht über den Software-Anbieter, und beträfe Rechnungen, nicht Behandlungsnotizen. Ein Buchungssystem ist keine Datenbank, in der irgendjemand ohne deine Beteiligung nachschauen kann.
Die drei Fragen, die du jedem Anbieter stellen solltest
Nicht jedes System ist gleich. Bevor du dich festlegst, frag konkret:
1. Wo liegen die Daten?
„In der Cloud“ ist keine Antwort. Serverstandort Deutschland oder EU heißt: DSGVO gilt direkt, kein Datentransfer in Drittländer, keine Diskussion über US-Zugriffsgesetze.
2. Gibt es einen Vertrag zur Auftragsverarbeitung (AVV)?
Sobald ein Dienstleister Kundendaten für dich verarbeitet, verlangt Art. 28 DSGVO einen solchen Vertrag. Er regelt, dass der Anbieter die Daten nur nach deiner Weisung verarbeitet, sie nicht für eigene Zwecke nutzt und nach Vertragsende löscht. Ein Anbieter, der keinen AVV anbietet, ist ein Warnsignal.
3. Wem gehören die Kunden – dir oder der Plattform?
Das ist der Punkt, der bei großen Buchungsplattformen oft übersehen wird. Wenn deine Kunden sich bei einer Plattform registrieren, um bei dir zu buchen, hat die Plattform die Kundenbeziehung – und darf ihnen in der Regel auch andere Studios vorschlagen. Bei einem eigenen Buchungssystem mit White-Label-Seite buchen die Kunden bei dir. Die Kartei ist deine.
Was du selbst beachten musst
Der Anbieter kümmert sich um Server und Technik. Drei Dinge liegen trotzdem bei dir:
- Datenschutzerklärung auf deiner Website muss das Buchungssystem nennen (welcher Dienstleister, welche Daten, welcher Zweck). Die meisten Anbieter liefern dafür einen Textbaustein.
- Nur erheben, was du brauchst. Ein Anamnesebogen für Permanent Make-up darf nach Allergien fragen. Für eine Maniküre braucht es das nicht.
- Zugänge im Studio. Wenn Mitarbeiterinnen eigene Logins haben, sollte jede nur das sehen, was sie für ihre Arbeit braucht – und ausgeschiedene Mitarbeiterinnen sollten sofort keinen Zugang mehr haben.
Bei Booking4Beauty: Hosting in Deutschland, AVV inklusive, Zugang nur für dein Studio und uns als Dienstleister. Formulare wie Anamnese oder Einwilligung erstellen wir individuell – nur mit den Feldern, die du wirklich brauchst.
Kurz zusammengefasst
- Zugriff auf Kalender und Kundendaten haben nur dein Studio und der Anbieter als Dienstleister – keine Behörden, keine Dritten.
- Frag jeden Anbieter nach Serverstandort, AVV und danach, wem die Kundenbeziehung gehört.
- Deine eigene Pflicht: Datenschutzerklärung anpassen, nur nötige Daten erheben, Zugänge sauber halten.
