Kurz gesagt: Ein Coiffeursalon ist der Musterfall für „wenig läuft, trotzdem Pflicht“. Auf der Website ein Kontaktformular, eine Karte, vielleicht eine Terminbuchung. Im Salon eine Kundenkartei mit Telefonnummern und Farbrezepturen. Beides zusammen ergibt eine kurze, ehrliche Erklärung, und genau die fehlt oft.
Von 12 geprüften Schweizer Coiffeur-Websites hatten 4 gar keine lesbare Datenschutzerklärung, bei 11 fand der Scan mindestens einen Punkt zum Nachbessern.
Die drei Punkte, die im Salon wirklich zählen
1. Terminerinnerung per SMS oder WhatsApp. Der Klassiker. Wer Nummern für Erinnerungen speichert, nennt Zweck und Anbieter. Läuft es über WhatsApp, ist der Anbieter in den USA.
2. Fotos von Kundinnen auf Instagram. Ein Bild einer erkennbaren Person ist ein Personendatum, und die Veröffentlichung braucht ihre Einwilligung. Fürs Recht am eigenen Bild kommt Art. 28 ZGB dazu, unabhängig vom Datenschutz. Eine mündliche Zusage genügt rechtlich, nachweisen musst du sie im Streitfall trotzdem.
3. Die Kundenkartei. Notizen zu Farbe, Allergien oder Kopfhautproblemen. Allergien sind Gesundheitsdaten und damit besonders schützenswert nach Art. 5 lit. c revDSG. Das heisst nicht, dass du sie nicht notieren darfst, sondern dass du sorgfältig damit umgehst und es erwähnst.
Was auf der Website davon steht
Die Erklärung für einen Salon ist kurz. Sie nennt:
- die verantwortliche Person mit Adresse und E-Mail
- den Hoster, bei dem die Seite liegt
- was beim Aufruf technisch anfällt, also Server-Logfiles
- das Kontaktformular und was damit passiert
- die Terminbuchung, falls es eine gibt, mit Anbieter und Land
- eingebundene Dienste wie Karte, Schriftarten oder Statistik
- die Rechte der Betroffenen und den Kontakt für Anfragen
Mehr braucht es nicht. Eine zwölfseitige Vorlage mit DSGVO-Artikeln beschreibt einen Betrieb, den du nicht hast, und macht die Sache nicht sicherer.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.