DSGVO-konforme Kundenkartei im Hundesalon

Der erste Schritt ist unspektakulär, wird aber fast immer übersprungen: aufschreiben, was du tatsächlich speicherst. Erst danach lässt sich beurteilen, was davon nötig ist. Die DSGVO verlangt in Art. 5 Abs. 1 lit. c Datenminimierung – gespeichert werden darf, was für den Zweck erforderlich ist, nicht, was praktisch sein könnte.

In einem typischen Hundesalon sieht die Aufstellung so aus:

Zwei Felder verdienen besondere Aufmerksamkeit. Die Anschrift brauchst du nur, wenn du Rechnungen ausstellst oder zum Kunden fährst – bei reiner Barzahlung im Salon ist sie entbehrlich. Und Gesundheitsdaten der Halterin haben in der Kartei nichts verloren: Die Notiz „Kundin ist gehbehindert, Hund bitte zur Tür bringen" mag hilfreich sein, ist aber ein Gesundheitsdatum nach Art. 9 DSGVO und unterliegt deutlich strengeren Regeln. Formuliere stattdessen die Handlung: „Übergabe an der Tür".

Ein verbreitetes Missverständnis lautet, jede Datenverarbeitung müsse der Kunde vorher unterschreiben. Das Gegenteil ist der praktische Normalfall. Wer einen Termin vereinbart, schließt einen Vertrag; die Daten, die zur Erfüllung dieses Vertrags nötig sind, dürfen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeitet werden. Name, Telefonnummer, Tierdaten und Pflegenotizen fallen darunter.

Eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO brauchst du dagegen überall dort, wo du den Vertragszweck verlässt:

• Newsletter oder Werbe-E-Mails an Bestandskunden, die darüber hinausgehen, was § 7 Abs. 3 UWG erlaubt
• Fotos der behandelten Hunde auf Instagram oder der eigenen Website
• Weitergabe von Kontaktdaten an Dritte, etwa an eine Hundeschule
• Erinnerungs-SMS, wenn du sie nicht als Teil der Terminvereinbarung angekündigt hast

Wichtig ist die Trennung: Eine Einwilligung muss freiwillig sein. Sie darf nicht Bedingung für den Termin sein. Ein Anmeldebogen, auf dem die Fotofreigabe im selben Kästchen steckt wie die Terminvereinbarung, ist deshalb unwirksam. Zwei Kästchen, zwei Entscheidungen.

Art. 13 DSGVO verlangt, dass du zum Zeitpunkt der Datenerhebung informierst. Das klingt nach Formular­schlacht, lässt sich im Salon aber schlank lösen: ein Aushang am Empfang oder ein Blatt im Anmeldeordner, ergänzt um einen Verweis auf die Datenschutzerklärung deiner Website.

Diese Angaben gehören hinein:

1. Wer verantwortlich ist – Name, Anschrift und Kontakt des Salons
2. Wofür die Daten verarbeitet werden – Terminabwicklung, Behandlungsdokumentation, Rechnungsstellung
3. Auf welcher Rechtsgrundlage – Vertragserfüllung, gegebenenfalls Einwilligung
4. Wie lange gespeichert wird – oder nach welchen Kriterien sich die Dauer bemisst
5. An wen Daten weitergegeben werden – etwa an den Softwareanbieter oder das Steuerbüro
6. Welche Rechte Betroffene haben – Auskunft, Berichtigung, Löschung, Beschwerde bei der Aufsichtsbehörde

Die Information muss verständlich sein. Ein kopierter Mustertext in Juristendeutsch erfüllt die Vorgabe formal, aber Art. 12 DSGVO verlangt ausdrücklich eine klare und einfache Sprache.

Hier trennen sich zwei Welten, die im Salonalltag ständig vermischt werden: steuerliche Aufbewahrungspflichten und datenschutzrechtliche Löschpflichten. Eine Rechnung musst du aufbewahren. Die Notiz „mag den Föhn nicht" musst du löschen, sobald der Zweck entfallen ist.

Wann eine Kundenbeziehung endet, legst du selbst fest – aber nachvollziehbar. Eine in der Praxis gut begründbare Regel lautet: Wer drei Jahre nicht mehr da war, wird gelöscht. Drei Jahre deshalb, weil die regelmäßige zivilrechtliche Verjährungsfrist nach § 195 BGB drei Jahre beträgt und bis dahin noch Ansprüche aus dem Vertragsverhältnis denkbar sind. Schreibe die Frist einmal auf und halte dich daran; genau diese Nachvollziehbarkeit meint die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind – ausdrücklich genannt werden Vertraulichkeit, Integrität und Belastbarkeit der Systeme. Für den Salonalltag heißt das drei Dinge: Unbefugte dürfen nicht mitlesen, Daten dürfen nicht unbemerkt verändert werden, und ein Verlust darf nicht endgültig sein.

Der Karteikasten am Empfangstresen scheitert regelmäßig am ersten Punkt. Er liegt dort, wo Kunden stehen, und wer während des Bezahlens einen Blick hineinwirft, sieht die Daten anderer Leute. Am dritten Punkt scheitert er ebenfalls: Für Papier gibt es keine Sicherung. Ein Wasserschaden im Lager beendet zehn Jahre Pflegehistorie.

Die WhatsApp-Variante hat ein anderes Problem. Terminabsprachen im Messenger sind bequem und rechtlich zunächst unproblematisch, solange der Kunde selbst diesen Weg wählt. Kritisch wird es, wenn der Messenger zur eigentlichen Kartei wird: Kundendaten liegen dann verstreut in Chatverläufen auf einem privaten Telefon, eine Auskunft nach Art. 15 DSGVO lässt sich praktisch nicht erteilen, und beim Gerätewechsel ist unklar, wo überall Kopien liegen.

Keiner dieser Wege ist verboten. Beide erzeugen aber Aufwand, der bei einer strukturierten Ablage schlicht nicht entsteht.

Sobald ein Dienstleister Daten in deinem Auftrag verarbeitet – ein Softwareanbieter, ein Hoster, ein Newsletter-Dienst –, brauchst du mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlich bleibst du; der Anbieter darf die Daten nur nach deiner Weisung verarbeiten.

Der Vertrag muss unter anderem Gegenstand und Dauer der Verarbeitung, die Art der Daten, die Pflichten des Auftragsverarbeiters und die technischen Schutzmaßnahmen regeln. Seriöse Anbieter stellen ihn von sich aus bereit. Wenn du auf Nachfrage keinen bekommst, ist das ein deutliches Signal.

Zwei Punkte lohnen den Blick ins Kleingedruckte: Wo stehen die Server, und werden Unterauftragnehmer eingesetzt? Liegt ein Serverstandort außerhalb der EU, brauchst du zusätzlich eine Grundlage für den Drittlandtransfer nach Kapitel V der DSGVO. Innerhalb der EU entfällt dieser Schritt.

Zwei Rechte werden in der Praxis tatsächlich ausgeübt. Nach Art. 15 DSGVO kann jemand eine Kopie aller zu seiner Person gespeicherten Daten verlangen. Nach Art. 17 DSGVO kann er die Löschung verlangen, soweit keine Aufbewahrungspflicht entgegensteht.

Für beides gilt eine Frist von einem Monat (Art. 12 Abs. 3 DSGVO), verlängerbar um zwei weitere Monate bei komplexen Anfragen. Die Auskunft ist grundsätzlich kostenlos.

Der praktische Kern ist banal: Du musst wissen, wo überall Daten dieser Person liegen. Bei einer Kartei plus WhatsApp-Verlauf plus Terminbuch plus Rechnungsordner ist das eine mühsame Suche. Bei einer Ablage, in der jeder Kunde einen Datensatz hat, ist es ein Vorgang von Minuten. Genau hier zahlt sich Struktur aus – nicht wegen der Vorschrift, sondern wegen des Aufwands im Ernstfall.

1. Aufschreiben, welche Daten du speicherst – und streichen, was du nicht brauchst.
2. Datenschutzhinweis nach Art. 13 DSGVO erstellen und am Empfang aushängen.
3. Einwilligungen für Fotos und Werbung getrennt einholen und dokumentieren.
4. Löschfristen festlegen und einmal jährlich anwenden.
5. Kartei so ablegen, dass Kunden sie nicht einsehen können.
6. Von jedem Dienstleister den Vertrag zur Auftragsverarbeitung anfordern.
7. Sicherung prüfen: Wie kämst du an die Daten, wenn morgen das Gerät fehlt?
8. Einen Ablauf festlegen für den Fall, dass jemand Auskunft oder Löschung verlangt.