Die kurze Antwort
Eine Kosmetikpraxis verarbeitet mit Anamnese, Hautbefund und Fotos Gesundheitsdaten nach Art. 9 DSGVO. Anders als Arztpraxen kann sie sich meist nicht auf Art. 9 Abs. 2 lit. h stützen, weil ihr Personal keiner gesetzlichen Schweigepflicht unterliegt – sie braucht in der Regel die ausdrückliche Einwilligung. Dazu kommen Information nach Art. 13, Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge und ein Löschkonzept.
Sind Kundendaten im Kosmetikstudio wirklich Gesundheitsdaten?
In aller Regel ja. Sobald Sie Hauttyp, Allergien, Medikamenteneinnahme, Schwangerschaft, Vorbehandlungen oder Kontraindikationen erfassen, verarbeiten Sie Daten über den Gesundheitszustand – und die fallen unter Art. 9 Abs. 1 DSGVO. Dasselbe gilt für Behandlungsfotos, Hautanalysen und jede Notiz über Akne, Rosazea oder Narben.
Das ist nicht bloß eine Etikettenfrage. Für Art.-9-Daten reicht die übliche Vertragsgrundlage des Art. 6 Abs. 1 lit. b DSGVO nicht aus. Nach der Rechtsprechung des EuGH brauchen Sie beides: einen Erlaubnistatbestand aus Art. 9 Abs. 2 und zusätzlich eine Rechtmäßigkeitsgrundlage aus Art. 6 Abs. 1.
An dieser Stelle unterscheiden sich Arztpraxis und Kosmetikinstitut deutlich. Art. 9 Abs. 2 lit. h DSGVO erlaubt die Verarbeitung zur Gesundheitsvorsorge und Behandlung, verlangt aber nach Art. 9 Abs. 3 DSGVO, dass sie durch Fachpersonal erfolgt, das einem Berufsgeheimnis unterliegt – in Deutschland konkretisiert durch § 22 BDSG. Kosmetikerinnen sind keine Berufsgeheimnisträgerinnen im Sinne des § 203 StGB. Für ein reines Kosmetikinstitut ist deshalb die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO der tragfähige Weg.
| Pflicht | Gilt für Arztpraxis | Gilt für Kosmetikinstitut |
|---|---|---|
| Erlaubnistatbestand Art. 9 Abs. 2 lit. h | Ja, Personal unterliegt § 203 StGB | Regelmäßig nein – ausdrückliche Einwilligung nötig |
| Information nach Art. 13 DSGVO bei Erhebung | Ja | Ja |
| Verzeichnis von Verarbeitungstätigkeiten (Art. 30) | Ja | Ja – die Ausnahme unter 250 Beschäftigten gilt bei Art.-9-Daten nicht |
| Auftragsverarbeitungsverträge (Art. 28) | Ja | Ja, für Software, Cloud, Terminbuchung, Newsletter |
| Meldung von Datenpannen binnen 72 Stunden (Art. 33) | Ja | Ja |
| Datenschutzbeauftragte nach § 38 BDSG | Ab 20 Personen mit automatisierter Verarbeitung | Gleiche Schwelle, zusätzlich Art. 37 Abs. 1 lit. c bei umfangreicher Verarbeitung |
Welche Dokumente müssen tatsächlich vorliegen?
Sechs, und sie werden bei Kontrollen genau in dieser Reihenfolge abgefragt.
Die Datenschutzinformation nach Art. 13 DSGVO muss der Kundin zum Zeitpunkt der Erhebung vorliegen – also beim Ausfüllen des Anamnesebogens, nicht erst beim Behandlungstermin. Sie nennt Verantwortliche, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und Betroffenenrechte. Ein Aushang an der Rezeption ist zulässig, ersetzt aber nicht die Aushändigung dort, wo Daten erhoben werden.
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist die am häufigsten fehlende Unterlage. Die Erleichterung für Betriebe unter 250 Beschäftigten greift ausdrücklich nicht, wenn besondere Kategorien personenbezogener Daten verarbeitet werden – also praktisch nie in einer Ästhetikpraxis.
Dazu kommen: Auftragsverarbeitungsverträge mit jedem Dienstleister, der Zugriff auf Kundendaten hat, ein technisch-organisatorisches Sicherheitskonzept nach Art. 32 DSGVO, ein dokumentiertes Löschkonzept, das die zehnjährige Aufbewahrungsfrist des § 630f Abs. 3 BGB abbildet, und eine Verpflichtung des Personals auf Vertraulichkeit. Bei umfangreicher Verarbeitung von Gesundheitsdaten kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein; die Aufsichtsbehörden führen dazu Listen, die sich zwischen den Bundesländern unterscheiden.
Wo entstehen die typischen Verstöße?
Bei WhatsApp und beim Marketing. Der Versand von Behandlungsfotos oder Terminabsprachen mit Gesundheitsbezug über gewöhnliche Messenger ohne Auftragsverarbeitungsvertrag und ohne Einwilligung ist der Klassiker unter den Beanstandungen. Ebenso das Zusammenlegen von Behandlungsdaten mit Newsletterverteilern: Werbung braucht eine eigene Einwilligung, die auch § 7 UWG genügt.
Der zweite Bereich sind die Betroffenenrechte. Nach Art. 15 Abs. 3 DSGVO haben Betroffene Anspruch auf eine unentgeltliche erste Kopie ihrer Daten. Der EuGH hat mit Urteil vom 26. Oktober 2023 (C-307/22) entschieden, dass das auch die Patientenakte umfasst und Patientinnen dafür keinen Grund nennen müssen – die frühere Praxis, nach § 630g Abs. 2 BGB stets Kopierkosten zu verlangen, ist damit für die erste Kopie überholt.
In der Schweiz gilt statt der DSGVO das revidierte Datenschutzgesetz, das eine Bearbeitung von besonders schützenswerten Personendaten kennt und in vielen Punkten ähnlich, aber nicht identisch ausgestaltet ist. In Österreich gilt die DSGVO unmittelbar, ergänzt durch das österreichische Datenschutzgesetz.
Was das für Ihre Unterlagen bedeutet
Trennen Sie drei Ebenen physisch oder in der Software: die Behandlungsdokumentation, die Einwilligung in die Datenverarbeitung und die Einwilligung in die Bildnutzung für Werbung. Werden sie vermischt, fällt im Zweifel alles zusammen – weil die Freiwilligkeit fehlt.
Und legen Sie ein einfaches Datenschutz-Register an: Wer hat Zugriff, welche Software verarbeitet was, mit welchem Dienstleister besteht welcher Vertrag, wann wird gelöscht. Diese eine Seite beantwortet bei einer Anfrage der Aufsichtsbehörde etwa die Hälfte der Fragen – und ihr Fehlen ist selbst schon der erste Befund.
Verwandte Fragen
Diese Antwort dient der Information und stellt keine Rechts- oder Gesundheitsberatung dar. Anforderungen unterscheiden sich je nach Bundesland und ändern sich: Lassen Sie sie vor der Anwendung von Ihren eigenen rechtlichen und medizinischen Beratern prüfen.