DaternusIhr Anamnesebogen fällt
unter Artikel 9.
Das ist der Satz, der die ganze Lage verändert: Was Ihr Bogen erhebt, sind Gesundheitsdaten — dieselbe Kategorie wie in einer Arztpraxis. Für sie gelten strengere Regeln als für eine Kundenliste. Diese Seite sagt, welche das im Studioalltag sind.
Sechs Pflichten
In der Reihenfolge, in der sie im Studio auftauchen.
Nicht nach Artikelnummern sortiert, sondern danach, wann sie Ihnen im Alltag begegnen — von der ersten Frage im Bogen bis zur Anfrage zwei Jahre später.
Erkennen, womit Sie arbeiten
Ein Anamnesebogen enthält Medikamente, Erkrankungen, Allergien, Schwangerschaft. Das sind Gesundheitsdaten — die Kategorie, für die das Gesetz die Verarbeitung grundsätzlich verbietet und nur unter engen Bedingungen erlaubt. Ein Kosmetikstudio wird an dieser Stelle strenger behandelt als ein Einzelhändler mit einer Kundenliste.
Eine Rechtsgrundlage haben
Im Studio ist das in aller Regel die ausdrückliche Einwilligung: freiwillig, informiert, auf diese Behandlung bezogen und nachweisbar. „Ausdrücklich“ heißt hier tatsächlich mehr als sonst — ein stillschweigendes Einverständnis genügt bei Gesundheitsdaten nicht.
Nur erheben, was gebraucht wird
Jede Frage im Bogen muss einen Grund haben, der mit der Behandlung zu tun hat. Das ist auch praktisch der bessere Bogen: Wer zwanzig Fragen stellt, von denen fünf niemanden interessieren, bekommt auf alle zwanzig weniger sorgfältige Antworten.
Verarbeitungsverzeichnis führen
Auch kleine Studios kommen daran nicht vorbei: Wer regelmäßig Gesundheitsdaten verarbeitet, führt das Verzeichnis unabhängig von der Mitarbeiterzahl. Es beschreibt, welche Daten Sie zu welchem Zweck verarbeiten, wie lange und mit welchen Dienstleistern.
Dienstleister vertraglich binden
Jeder, der die Daten in Ihrem Auftrag verarbeitet — die Software, das Rechenzentrum, unter Umständen die IT-Betreuung — braucht einen Vertrag zur Auftragsverarbeitung. Ohne ihn verarbeiten Sie die Daten dort ohne Grundlage.
Auskunft geben und löschen können
Fragt eine Kundin, was Sie über sie gespeichert haben, müssen Sie antworten — vollständig und in angemessener Frist. Verlangt sie Löschung, müssen Sie löschen können, soweit keine Aufbewahrungspflicht entgegensteht.
Wer wofür einsteht
Ihr Studio entscheidet. Die Software führt aus.
Diese Rollenverteilung ist keine Formalie — sie bestimmt, wer Auskunft erteilen muss, wer löschen darf und wer im Ernstfall haftet.
Ihr Studio
Verantwortlicher
Sie entscheiden, welche Daten Sie erheben, wie lange Sie sie behalten und wer sie im Studio sehen darf. Auskunfts- und Löschersuchen Ihrer Kundinnen beantworten Sie.
Daternus
Auftragsverarbeiter
Wir verarbeiten diese Daten ausschließlich für Sie und nur, soweit der Betrieb der Software es erfordert. Wir nutzen sie nicht für eigene Zwecke, geben sie nicht weiter und werten sie nicht aus — Grundlage ist der AV-Vertrag nach Art. 28.
Vier verbreitete Irrtümer
Die Sätze, die im Studio am häufigsten fallen.
Alle vier klingen vernünftig. Alle vier führen zu einer Lage, die bei der ersten Nachfrage nicht standhält.
„Papier ist nicht DSGVO.“
Doch. Die Verordnung gilt auch für strukturierte Sammlungen auf Papier. Ein Ordner mit Anamnesebögen hinter dem Tresen ist ein Dateisystem im Sinne der DSGVO — und erfüllt die Anforderungen an den Zugriffsschutz in aller Regel schlechter als eine verschlüsselte Datenbank.
„Wir sind zu klein dafür.“
Die Größe ändert wenig. Der Datenschutzbeauftragte hängt an Schwellenwerten, das Verarbeitungsverzeichnis bei Gesundheitsdaten nicht. Ein Studio mit zwei Mitarbeiterinnen verarbeitet dieselbe Kategorie von Daten wie eines mit zwanzig.
„Die Einwilligung steht in den AGB.“
Eine Einwilligung in die Verarbeitung von Gesundheitsdaten muss ausdrücklich und von anderen Erklärungen getrennt erfolgen. In einem Absatz zwischen Zahlungsbedingungen und Stornoregeln versteckt, trägt sie nicht.
„Wir speichern ja nichts in der Cloud.“
Das Foto auf dem Privattelefon der Mitarbeiterin ist in der Cloud, sobald die Fotomediathek synchronisiert — meist außerhalb der EU und ohne dass jemand das entschieden hätte. Der Speicherort ist selten das Ergebnis einer Entscheidung, sondern einer Voreinstellung.
Zum Abhaken
Sieben Punkte, die Sie heute prüfen können.
Keine Vollständigkeitsgarantie und kein Ersatz für eine Beratung — aber die Liste, mit der die meisten Studios die größten Lücken finden.
- Steht die Einwilligung in die Gesundheitsdaten getrennt von allen anderen Erklärungen?
- Ist die Einwilligung für Werbefotos eine eigene, widerrufbare Zustimmung?
- Gibt es ein Verzeichnis der Verarbeitungstätigkeiten — und ist es aktuell?
- Liegt für jeden Dienstleister ein AV-Vertrag vor, auch für die Software?
- Können Sie einen vollständigen Kundendatensatz innerhalb eines Monats ausgeben?
- Ist geregelt, wann Unterlagen gelöscht werden — und passiert das auch?
- Liegen Behandlungsfotos auf Studiogeräten statt auf Privattelefonen?
Häufige Fragen
Zur DSGVO im Studioalltag.
Die fünf Fragen, die Studios stellen, sobald ihnen jemand erklärt hat, dass ihr Bogen unter Art. 9 fällt.
Brauchen wir einen Datenschutzbeauftragten?
Das hängt davon ab, wie viele Personen bei Ihnen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und von der Art Ihrer Verarbeitung. Kleine Studios liegen häufig unter der Schwelle — verlassen sollten Sie sich darauf nicht ohne Prüfung, denn bei umfangreicher Verarbeitung besonderer Datenkategorien kann die Pflicht auch unabhängig von der Kopfzahl bestehen.
Unabhängig davon bleiben die übrigen Pflichten bestehen: Verzeichnis, Einwilligung, AV-Verträge, Betroffenenrechte, Löschfristen. Ein fehlender Datenschutzbeauftragter befreit von keiner davon.
Wer ist verantwortlich — wir oder die Software?
Ihr Studio. Sie entscheiden, welche Daten erhoben werden und wie lange sie bleiben; Sie sind Verantwortlicher im Sinne der DSGVO. Daternus verarbeitet sie in Ihrem Auftrag und ist Auftragsverarbeiter.
Praktisch heißt das: Kommt eine Kundin mit einem Auskunftsersuchen, müssen Sie antworten — nicht wir. Deshalb ist der vollständige Export eines Kundendatensatzes in Daternus eine normale Funktion und kein Supportfall.
Ist der AV-Vertrag bei Ihnen enthalten?
Ja, ohne Aufpreis. Er liegt beim Einrichten des Studios zur Annahme bereit. Ein Anbieter, bei dem man danach fragen oder ihn dazubuchen muss, sagt damit etwas darüber aus, wie er die Rolle versteht.
Dürfen wir Vorher-Nachher-Fotos speichern?
Für die Dokumentation der Behandlung in aller Regel ja — auf Grundlage derselben Einwilligung wie der übrige Bogen. Etwas anderes ist die Veröffentlichung: Ein Foto auf Instagram braucht eine eigene, gesonderte Einwilligung, die auch widerrufen werden kann.
Die beiden Zwecke gehören deshalb getrennt abgefragt. Eine einzige Zustimmung, die Dokumentation und Werbung zusammenfasst, ist für beides angreifbar.
Was ist, wenn eine Kundin ihre Einwilligung widerruft?
Der Widerruf wirkt für die Zukunft: Ab dann verarbeiten Sie nicht weiter. Was rechtmäßig erhoben wurde, muss deshalb nicht in jedem Fall sofort verschwinden — soweit eine Aufbewahrungspflicht besteht oder Sie die Unterlagen zur Verteidigung gegen Ansprüche brauchen, dürfen sie bleiben.
Was Daternus dazu tut: Löschungen werden protokolliert, und wo eine Frist entgegensteht, weist die Anwendung darauf hin, statt sie stillschweigend zu übergehen.
Weiterlesen
Fragen, die hier nicht beantwortet sind?
Wenn Ihre Datenschutzbeauftragte etwas Bestimmtes wissen möchte — zu Subunternehmern, Löschkonzept oder technischen Maßnahmen — schreiben Sie uns. Wir antworten mit Einzelheiten, nicht mit einem Prospekt.