Welche Kundendaten Du speichern darfst — und welche eine eigene Grundlage brauchen

Ein kleiner Betrieb sammelt Kundendaten nicht aus Neugier, sondern weil der Betrieb ohne sie nicht läuft. Ein Termin braucht einen Namen und eine Nummer, eine Rechnung braucht eine Anschrift, die zweite Behandlung braucht das Ergebnis der ersten. Die Datenschutz-Grundverordnung verbietet davon nichts. Sie verlangt nur, dass Du für jeden Eintrag sagen kannst, wozu er da ist.

Daran hängt alles Weitere: Der Zweck entscheidet über die Rechtsgrundlage, die Rechtsgrundlage über die Aufbewahrung, und beide zusammen darüber, ob eine Notiz eine harmlose Gedächtnisstütze ist oder eine Kategorie von Daten mit strengeren Regeln. Dieser Artikel sortiert das in drei Töpfe und zeigt an einem Beispiel, wo die Grenze verläuft. Er ist eine Orientierung — über Deinen konkreten Fall entscheiden die zuständige Aufsichtsbehörde oder eine Rechtsberatung.

Art. 5 DSGVO stellt sechs Grundsätze an den Anfang, drei davon betreffen Dich jeden Tag. Zweckbindung: Daten werden für festgelegte, eindeutige Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet. Datenminimierung: nur das, was für diesen Zweck notwendig ist. Speicherbegrenzung: nur so lange, wie der Zweck es trägt.

Dazu kommt Art. 6 Abs. 1 DSGVO mit der Liste der Gründe, aus denen eine Verarbeitung überhaupt rechtmäßig ist. Für einen Dienstleistungsbetrieb sind vier davon relevant: die Erfüllung eines Vertrags einschließlich vorvertraglicher Maßnahmen (lit. b), die Erfüllung einer rechtlichen Verpflichtung (lit. c), das berechtigte Interesse (lit. f) und die Einwilligung (lit. a). Die Einwilligung steht in der Praxis am häufigsten dort, wo sie gar nicht nötig wäre.

Das ist mehr als Systematik. Wer einen Termin nur deshalb speichert, weil eingewilligt wurde, steht ohne Grundlage da, sobald die Einwilligung widerrufen wird — obwohl der Termin für die Leistung selbst gebraucht wird. Umgekehrt trägt der Vertrag den Newsletter nicht, egal wie herzlich die Beziehung ist. Die Rechtsgrundlage folgt dem Zweck, nicht der Bequemlichkeit. Und sie lässt sich nicht nachträglich tauschen, wenn die erste sich als unpassend erweist.

Sortier Deine Kundenkartei einmal in drei Töpfe. Die Übung dauert eine halbe Stunde und beantwortet danach die meisten Einzelfragen von selbst. Nur der zweite steht nicht zu Deiner Disposition — dort gibt die Aufbewahrungsfrist der jeweiligen Belegart die Dauer vor.

Der dritte Topf macht die Arbeit, nicht weil er verboten wäre, sondern weil er ohne Entscheidung entsteht. Ein Feld „Geburtstag“ wird angelegt, weil die Software es anbietet; drei Jahre später weiß niemand mehr, ob es für den Glückwunsch da war oder für die Altersprüfung. Beides ist zulässig — aber mit unterschiedlicher Grundlage und unterschiedlicher Frist.

Zur dritten Zeile gehört eine Besonderheit, die Dir Entscheidungen abnimmt: Gegen Verarbeitung zum Zweck der Direktwerbung kann jede Person nach Art. 21 Abs. 2 DSGVO jederzeit Widerspruch einlegen. Ohne Begründung, ohne Abwägung. Ein solcher Widerspruch ist keine Bitte, über die Du befindest, sondern das Ende dieser Verarbeitung.

Hier entscheidet sich die Theorie. Du schreibst zum Termin eine Notiz — drei Varianten, drei verschiedene Rechtslagen:

• „Farbe 7.3, 40 Minuten Einwirkzeit“ — eine Angabe über die Leistung. Vertrag, unproblematisch.
• „Bremsen hinten beim nächsten Termin ansehen“ — eine Angabe über die Sache, nicht über die Person. Ebenfalls unproblematisch.
• „Kopfhaut gereizt, Unverträglichkeit gegen Ammoniak“ — eine Angabe über die Gesundheit. Und damit ein anderer Artikel der Verordnung.

Art. 9 Abs. 1 DSGVO untersagt die Verarbeitung besonderer Kategorien personenbezogener Daten grundsätzlich; Gesundheitsdaten sind ausdrücklich genannt. Art. 4 Nr. 15 definiert sie als Daten, aus denen Informationen über den Gesundheitszustand hervorgehen, und Erwägungsgrund 35 fasst das ausdrücklich weit — einschließlich Angaben, die im Zuge der Erbringung einer Dienstleistung anfallen.

Das Verbot ist nicht das Ende, sondern der Anfang. Art. 9 Abs. 2 lit. a hebt es auf, wenn die betroffene Person ausdrücklich eingewilligt hat. „Ausdrücklich“ verlangt hier mehr als sonst: eine bewusste, benannte Zustimmung genau für diese Angabe, nicht ein Häkchen unter allgemeinen Bedingungen. Praktisch ist das kein großer Aufwand — eine Zeile im Aufnahme- oder Anamnesebogen, die sagt, dass die Angabe freiwillig ist, wofür sie verwendet wird und dass sie jederzeit zurückgezogen werden kann.

Dieselbe Grenze trifft die Notiz zum Kind („verträgt kein Latex“), die Ernährungsangabe zur Feier und den Hinweis auf eingeschränkte Mobilität. Die Prüffrage ist immer dieselbe: Steht da etwas über den Zustand der Person oder über die Leistung? Wo Du das nicht sicher beantworten kannst, behandle die Angabe wie eine Gesundheitsangabe. Das ist die günstigere Fehlerrichtung.

Datenminimierung klingt nach Verzicht und ist in Wahrheit eine Arbeitserleichterung. Jedes Feld, das existiert, wird irgendwann gefüllt; jeder gefüllte Eintrag muss später gepflegt, in einer Auskunft genannt und irgendwann gelöscht werden. Der billigste Zeitpunkt, ein Datum loszuwerden, ist der, bevor es entsteht.

Drei Fragen vor jedem neuen Feld:

1. Was tue ich anders, wenn hier etwas steht? Lautet die Antwort „nichts“, brauchst Du das Feld nicht.
2. Reicht eine gröbere Angabe? „Volljährig: ja“ statt Geburtsdatum. „Bevorzugt vormittags“ statt der Arbeitszeiten einer Person.
3. Wer im Betrieb muss es sehen? Eine Behandlungsnotiz gehört zu der Person, die behandelt — nicht auf einen Bildschirm an der Kasse, an dem der nächste Gast mitliest.

Die dritte Frage muss die Software beantworten, nicht die Disziplin. Wo Termine, Notizen und Rechnungen ohnehin in einem System liegen, ist die Trennung nach Rollen eine Einstellung; wo sie auf Zettel, Wandkalender und Tabelle verteilt sind, bleibt sie ein Vorsatz. Wie das für einen Salon aussieht, zeigt die Salon-Software, für eine Kfz-Werkstatt die Werkstatt-Software. Die Frage selbst bleibt dieselbe, gleich welches Werkzeug Du dafür nimmst.

Aus den drei Töpfen wird eine Übersicht, und diese Übersicht ist bereits der Kern dessen, was Art. 30 DSGVO als Verzeichnis von Verarbeitungstätigkeiten verlangt: Zwecke, Kategorien von Daten und betroffenen Personen, Empfänger, vorgesehene Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Art. 30 Abs. 5 enthält eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten — die praktisch fast nie greift. Sie entfällt, sobald die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, sobald sie nicht nur gelegentlich erfolgt oder sobald besondere Kategorien nach Art. 9 verarbeitet werden. Eine laufende Kundenkartei ist keine gelegentliche Verarbeitung. Wer sich auf die Ausnahme beruft, beruft sich im Regelfall auf ein Kriterium, das der eigene Betrieb nicht erfüllt.

Die gute Nachricht: Das Verzeichnis ist kein Gutachten. Eine Tabelle mit einer Zeile je Verarbeitung — Terminvergabe, Rechnungsstellung, Newsletter, Bewerbungen, Videoüberwachung, sofern vorhanden — erfüllt die Anforderung. Sie ist schriftlich zu führen, elektronisch genügt (Art. 30 Abs. 3), und sie geht an die Aufsichtsbehörde nur auf Anfrage (Abs. 4).

Ein Datenschutzbeauftragter folgt daraus nicht. Art. 37 Abs. 1 verlangt ihn in drei Fällen, die auf einen kleinen Dienstleistungsbetrieb typischerweise nicht zutreffen: öffentliche Stelle, umfangreiche systematische Überwachung als Kerntätigkeit oder umfangreiche Verarbeitung besonderer Kategorien als Kerntätigkeit. Nationale Regeln können hinzukommen — in Deutschland etwa § 38 BDSG ab in der Regel mindestens 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Das ist eine nationale Besonderheit und ausdrücklich keine EU-weite Schwelle; in anderen Mitgliedstaaten gibt es sie so nicht.