Kundendaten und DSGVO: was du speichern darfst
Der Anamnesebogen ist das wichtigste Papier in einer Massagepraxis — fachlich, weil er dich vor Fehlern schützt, und datenschutzrechtlich, weil dort die empfindlichsten Angaben stehen, die ein Gast dir jemals gibt. Beides zusammen macht ihn zu einem Dokument, das man nicht in eine unverschlossene Schublade legt.
Kurzantwort
Angaben aus dem Anamnesebogen sind Gesundheitsdaten und fallen unter Artikel 9 DSGVO — dafür brauchst du in der Praxis eine ausdrückliche, schriftliche und zweckgebundene Einwilligung. Gespeichert wird nur, was gebraucht wird, und nur so lange, wie es gebraucht wird. Physisch abschließbar, digital zugriffsgeschützt. Für Terminbuchungssysteme brauchst du einen Auftragsverarbeitungsvertrag. Fotos und Bewertungen mit Namen brauchen jeweils eine eigene Einwilligung. Das hier ist mein Vorgehen, keine Rechtsberatung.
Warum der Anamnesebogen ein Sonderfall ist
Name, Telefonnummer und Adresse sind gewöhnliche personenbezogene Daten. Sobald aber „Bluthochdruck“, „nimmt Blutverdünner“, „Bandscheibenvorfall 2023“ oder „schwanger, 18. Woche“ auf dem Blatt steht, hast du Gesundheitsdaten erhoben. Die DSGVO behandelt sie in Artikel 9 als besondere Kategorie: Grundsätzlich ist die Verarbeitung verboten, es gibt eng gefasste Ausnahmen. Die für uns praktisch wichtigste ist die ausdrückliche Einwilligung der betroffenen Person.
Das ist kein Argument gegen den Bogen — im Gegenteil. Ohne die Abfrage von Kontraindikationen arbeitest du blind, und das ist fachlich wie haftungsrechtlich der schlechtere Zustand. Welche Fragen hineingehören, habe ich in Anamnesebogen und Kontraindikationen beschrieben. Hier geht es nur darum, wie du mit dem Ergebnis umgehst.
Die Angabe, die du nicht erhebst, musst du nicht schützen, nicht aufbewahren, nicht löschen und im Ernstfall nicht melden. Ich frage deshalb nach dem, was für die Entscheidung „massieren oder nicht, und wie“ nötig ist — und nicht nach der vollständigen Krankengeschichte. Kein Geburtsdatum, wenn Volljährigkeit reicht. Keine Adresse, wenn niemand etwas per Post bekommt.
Die Einwilligung: schriftlich und zweckgebunden
Die DSGVO verlangt bei Gesundheitsdaten eine ausdrückliche Einwilligung. Damit sie im Ernstfall trägt, achte ich auf fünf Punkte:
- Freiwillig — die Massage darf nicht davon abhängen, ob jemand in Werbung einwilligt
- Bestimmt — für welchen Zweck genau, nicht „zur Verbesserung unserer Dienstleistungen“
- Verständlich — ein Absatz in normaler Sprache, keine Klauselwüste
- Nachweisbar — Unterschrift und Datum auf dem Bogen selbst
- Widerrufbar — und der Hinweis darauf steht direkt daneben
Getrennt halte ich die Zwecke: Die Einwilligung zur Verarbeitung der Gesundheitsangaben für die Massage ist das eine. Newsletter, Terminerinnerung per Messenger, Fotos oder eine Bewertung mit Namen sind jeweils etwas anderes und bekommen ein eigenes Kästchen mit eigener Unterschrift. Ein einziges Sammelkreuz für alles ist genau die Konstruktion, die im Streitfall zusammenfällt.
Es kursieren Muster-Einwilligungen, die von Arztpraxen stammen und auf eine Behandlung im Sinne des Behandlungsvertrags zugeschnitten sind. Wenn du so ein Muster ungeprüft übernimmst, steht plötzlich das Wort „Behandlung“ in deinen Unterlagen — und damit eine schriftliche Aussage, die zu einer Wellnessmasseurin nicht passt. Warum das heikel ist, steht in Was darf ein Wellnessmasseur und in Werbeaussagen und Heilmittelwerbegesetz. Lass dein Formular einmal anwaltlich durchsehen, bevor du es hundertmal unterschreiben lässt.
Wie lange aufbewahren, wann löschen
Artikel 5 DSGVO gibt den Grundsatz der Speicherbegrenzung vor: nur so lange, wie es für den Zweck erforderlich ist. Für Wellnessmassage gibt es keine eigene gesetzliche Aufbewahrungsfrist, wie sie für Heilberufe gilt. Gleichzeitig unterliegen steuerlich relevante Unterlagen wie Rechnungen ihren eigenen Fristen — das sind zwei verschiedene Töpfe, die man nicht vermischen sollte.
| Unterlage | Wonach sich die Dauer richtet | Mein Vorgehen |
|---|---|---|
| Anamnesebogen mit Gesundheitsangaben | Erforderlichkeit für den Zweck, DSGVO Art. 5 | Feste eigene Frist definiert, in der Datenschutzerklärung genannt, danach vernichtet |
| Kontaktdaten für Terminvergabe | Solange die Kundenbeziehung besteht | Bei längerer Inaktivität gelöscht |
| Rechnungen und Zahlungsbelege | Steuerliche Aufbewahrungsfristen | Getrennt von der Kartei im Buchhaltungsordner, siehe Rechnung schreiben |
| Einwilligungserklärungen | Nachweisbarkeit, solange die Verarbeitung läuft | Bleiben, solange die zugehörigen Daten bestehen |
| Newsletter-Anmeldungen | Bis zum Widerruf | Widerruf sofort umgesetzt und dokumentiert |
| Fotos mit Personen | Bis zum Widerruf der Einwilligung | Quelle und Einwilligung zusammen abgelegt |
Was ich nicht mache: irgendeine Jahreszahl aus einem Forum übernehmen. Die passende Frist hängt davon ab, wozu du die Daten brauchst und welche Ansprüche noch im Raum stehen können — das ist eine Frage an eine Rechtsanwältin oder an die Datenschutzaufsicht deines Bundeslandes. Wichtig ist vor allem, dass du überhaupt eine Frist festgelegt hast und sie einhältst. Ein Stapel, der seit 2017 wächst, ist in jedem Fall zu viel.
Aufbewahren: physisch und digital
Artikel 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Übersetzt in einen Ein-Personen-Betrieb:
| Bereich | Was ich mache | Was ich vermeide |
|---|---|---|
| Papierbögen | Abschließbarer Schrank, Schlüssel nicht im Raum | Ablage im Behandlungsraum, offen auf der Kommode |
| Bogen während des Termins | Nach dem Vorgespräch weggeräumt | Liegen lassen, während der nächste Gast hereinkommt |
| Vernichtung | Aktenvernichter, nicht ins Altpapier | Zerreißen und in den Papierkorb |
| Rechner und Handy | Passwort oder Biometrie, Bildschirmsperre, Festplattenverschlüsselung | Gerät ohne Sperre, das im Studio herumliegt |
| Digitale Kartei | Eigenes Passwort, Zugriff nur durch mich | Datei „Kunden.xlsx“ ohne Schutz auf dem Desktop |
| Sicherung | Verschlüsseltes Backup an einem zweiten Ort | USB-Stick in der Schublade, unverschlüsselt |
| Cloudspeicher | Nur mit Auftragsverarbeitungsvertrag und bewusst gewähltem Speicherort | Privater Cloudaccount, weil er gerade da war |
| Mitarbeit von Aushilfen | Verpflichtung auf Vertraulichkeit, Zugriff nur soweit nötig | Gemeinsames Passwort für alle |
Nichts davon ist teuer. Ein abschließbarer Schrank, ein Aktenvernichter und eingeschaltete Geräteverschlüsselung sind an einem Nachmittag erledigt. Diese Posten gehören übrigens in die Ausgabenliste deiner Buchhaltung.
Terminbuchung und Auftragsverarbeitung
Sobald ein Onlinedienst in deinem Auftrag Kundendaten verarbeitet, greift Artikel 28 DSGVO: Es braucht einen Vertrag über die Auftragsverarbeitung. Das betrifft mehr Werkzeuge, als man zunächst denkt:
- Online-Terminbuchung und Kalendersysteme
- Newsletter- und Mailversanddienste
- Cloudspeicher, in dem Kundendaten liegen
- Branchensoftware mit Kartei und Kasse
- Formulardienste auf der Website
Seriöse Anbieter stellen den Vertrag im Kundenkonto zum Abschluss bereit — oft ein Häkchen, das man einmal setzt und dann als PDF ablegt. Fehlt diese Möglichkeit, ist das ein Warnsignal. Und bevor Gesundheitsangaben in ein Buchungsformular wandern: Frag dich, ob sie dort überhaupt hingehören. In meinem Betrieb wird online nur ein Termin gebucht; alles Gesundheitliche wird vor Ort auf Papier erhoben.
WhatsApp für Termine — der Problemfall
Ich verstehe die Verlockung. Die Gäste schreiben ohnehin, es geht schnell, niemand muss telefonieren. Trotzdem ist es der Punkt, an dem ich am deutlichsten zur Vorsicht rate. Für die geschäftliche Nutzung von Messengern gelten andere Maßstäbe als für private Chats — es geht um Zugriff auf das Adressbuch, um Datenübermittlung und um die Frage, ob überhaupt ein Auftragsverarbeitungsvertrag existiert. Die Bewertung ändert sich mit der Rechtsprechung und mit den Bedingungen der Anbieter.
Was ich unabhängig davon für gesetzt halte: Gesundheitsangaben gehören in keinen Messenger. Wenn jemand dir schreibt „ich hab seit gestern Rückenschmerzen und nehme Ibuprofen“, dann steht das in einem Chat, dessen Verarbeitung du nicht kontrollierst. Ich antworte in solchen Fällen kurz und verlagere das Thema an den Anfang des Termins. Ob und wie du Messenger geschäftlich nutzen darfst, lass dir für deinen konkreten Fall rechtlich prüfen oder frag bei der Datenschutzaufsicht deines Landes nach — dort gibt es zu dieser Frage regelmäßig aktuelle Hinweise.
Wer geschäftliche Kontakte im Telefonbuch des Handys speichert und parallel Apps mit Adressbuchzugriff nutzt, gibt unter Umständen Daten von Menschen weiter, die davon nichts wissen. Das betrifft nicht nur Messenger. Prüf einmal, welche Apps auf deinem Diensthandy Zugriff auf Kontakte haben — und entzieh ihn dort, wo er nicht gebraucht wird.
Fotos von Gästen
Fotos für Website oder Social Media sind ein eigener Zweck und brauchen eine eigene, schriftliche Einwilligung. Die Zustimmung zur Massage schließt sie nicht ein, und der Anamnesebogen ist der falsche Ort dafür. In die Einwilligung gehört, wo das Bild verwendet wird, ob es weitergegeben wird und dass sie widerrufen werden kann. Kommt der Widerruf, muss das Bild aus deinen Kanälen verschwinden — auch aus einem Beitrag, der seit zwei Jahren steht.
Bei Massagefotos kommt die Halbbekleidung dazu. Ich mache aus Prinzip keine erkennbaren Aufnahmen von Gästen auf der Liege. Für Werbung nehme ich gestellte Bilder mit Personen, die genau dafür da sind und es schriftlich erlaubt haben. Das ist unaufwendiger und erspart jede spätere Diskussion. Was sonst noch in eine gute Außendarstellung gehört, steht in Google-Unternehmensprofil für Masseure.
Bewertungen mit Namen
Wenn du ein Zitat einer zufriedenen Kundin auf deiner Website zeigen willst, brauchst du dafür ihre Einwilligung — mit Namen erst recht. Ein Screenshot einer Google-Bewertung, den du auf deine Seite stellst, ist eine eigene Veröffentlichung durch dich und nicht dasselbe wie die Bewertung auf der Plattform. Und der Umstand, dass jemand deine Kundin ist, ist selbst schon eine personenbezogene Information.
Mein Weg: fragen, kurz schriftlich bestätigen lassen, und im Zweifel nur mit Vornamen oder Initialen veröffentlichen. Wer die ersten Stammgäste aufbaut, findet in Die ersten zehn Kunden weitere Wege, an ehrliche Rückmeldungen zu kommen, ohne jemanden zu bedrängen.
Datenschutzerklärung auf der Website
Artikel 13 DSGVO verlangt, dass du die Menschen darüber informierst, was mit ihren Daten passiert. Auf einer Website ist das die Datenschutzerklärung — sie gehört von jeder Seite aus erreichbar neben das Impressum. Inhaltlich muss sie beschreiben, was auf deiner Seite tatsächlich läuft: Kontaktformular, Terminbuchung, Analysewerkzeuge, Karten, Schriftarten von fremden Servern, Social-Media-Einbindungen.
Eine kopierte Erklärung, die Dienste aufzählt, die du gar nicht nutzt — und die verschweigt, was du nutzt — ist schlechter als keine. Es gibt Generatoren, die einen brauchbaren Rahmen liefern; das Ergebnis solltest du trotzdem anwaltlich prüfen lassen, besonders wenn du Terminbuchung oder Newsletter einsetzt. Und eine zweite Information gehört nicht auf die Website, sondern auf Papier: der Hinweis für deine Gäste vor Ort, was mit dem Anamnesebogen geschieht.
Wenn etwas schiefgeht: die Datenpanne
Artikel 33 DSGVO sieht eine Meldung an die zuständige Aufsichtsbehörde vor, grundsätzlich unverzüglich und möglichst binnen 72 Stunden, sofern von der Panne ein Risiko für die betroffenen Personen ausgeht. Bei hohem Risiko müssen nach Artikel 34 zusätzlich die Betroffenen selbst informiert werden. In unserem Beruf sind die typischen Fälle sehr handfest:
- Der Ordner mit Anamnesebögen bleibt im Auto liegen, das Auto wird aufgebrochen
- Laptop oder Handy mit der Kartei werden gestohlen
- Eine Rundmail geht mit allen Adressen im offenen Verteiler statt im Blindkopie-Feld raus
- Der Schlüssel zum Aktenschrank ist weg und der Schrank stand offen
- Ein Cloudordner mit Kundendaten war versehentlich öffentlich freigegeben
Was ich für diesen Fall vorbereitet habe: die Kontaktdaten der Aufsichtsbehörde meines Bundeslandes griffbereit und eine einfache Notiz, was ich dokumentieren muss — was passiert ist, wann, welche Daten, wie viele Personen, was ich unternommen habe. Diese Dokumentation verlangt die DSGVO auch dann, wenn keine Meldung nötig ist. Und wenn es passiert: sofort rechtliche Unterstützung holen, nicht erst nachdenken. Die 72 Stunden vergehen schneller, als man glaubt.
Auskunftsrecht des Gastes
Nach Artikel 15 DSGVO kann jede Person Auskunft darüber verlangen, welche Daten du über sie gespeichert hast, wozu, wie lange und woher — und eine Kopie davon bekommen. Die Frist dafür beträgt grundsätzlich einen Monat und kann unter Voraussetzungen verlängert werden. Dazu kommen die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie das Recht, sich bei der Aufsichtsbehörde zu beschweren.
Das klingt bedrohlicher, als es ist. Wenn deine Kartei geordnet ist, dauert eine Auskunft eine halbe Stunde: Bogen heraussuchen, Kopie ziehen, kurzes Anschreiben mit Zweck, Speicherdauer und Empfängern. Unangenehm wird es nur, wenn niemand weiß, wo überall Daten liegen — im Buchungssystem, im Mailpostfach, in einer Excel-Datei, im Handy. Genau deshalb lohnt sich einmal im Jahr eine schlichte Bestandsaufnahme: Welche Daten habe ich, wo liegen sie, wer kommt dran, wann werden sie gelöscht? Die DSGVO kennt dafür auch das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 — ob du eines führen musst, ist von deiner Situation abhängig und eine gute Frage an die Aufsichtsbehörde deines Landes.
Häufige Fragen
Sind die Angaben aus dem Anamnesebogen besonders geschützt?
Ja. Angaben zu Erkrankungen, Medikamenten oder Schwangerschaft sind Gesundheitsdaten nach Artikel 9 DSGVO. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen; die praktisch wichtigste ist die ausdrückliche Einwilligung.
Wie muss die Einwilligung aussehen?
Freiwillig, zweckgebunden, verständlich, nachweisbar und widerrufbar. Bei Gesundheitsdaten ausdrücklich — ich lasse sie schriftlich auf dem Bogen unterschreiben, mit getrennten Kästchen für getrennte Zwecke.
Wie lange darf ich Kundendaten aufbewahren?
Nur so lange wie erforderlich. Für Wellnessmassage gibt es keine eigene gesetzliche Frist; Rechnungen unterliegen dagegen steuerlichen Fristen. Leg eine eigene Frist fest, nenne sie in der Datenschutzerklärung und halte sie ein. Welche Dauer angemessen ist, lass anwaltlich prüfen.
Darf ich Termine über WhatsApp vereinbaren?
Geschäftliche Messenger-Nutzung wird kritisch gesehen und die Bewertung ändert sich. Gesundheitsangaben gehören in keinem Fall in einen Chat. Lass die Zulässigkeit für deinen Fall prüfen und halte den Kanal frei von Gesundheitsdaten.
Was ist ein Auftragsverarbeitungsvertrag?
Ein Vertrag nach Artikel 28 DSGVO mit jedem Dienstleister, der in deinem Auftrag Daten verarbeitet — Buchungssystem, Newsletter, Cloud. Seriöse Anbieter stellen ihn im Kundenkonto bereit.
Darf ich Fotos von Gästen veröffentlichen?
Nur mit eigener schriftlicher Einwilligung für genau diesen Zweck, mit Angabe der Verwendung und Hinweis auf den Widerruf. Erkennbare Aufnahmen auf der Liege mache ich grundsätzlich nicht.
Was mache ich bei einer Datenpanne?
Dokumentieren, Risiko einschätzen und nach Artikel 33 DSGVO grundsätzlich unverzüglich, möglichst binnen 72 Stunden, an die Aufsichtsbehörde melden, wenn ein Risiko besteht. Bei hohem Risiko zusätzlich die Betroffenen informieren. Und sofort rechtliche Hilfe holen.
Was passiert, wenn ein Gast Auskunft verlangt?
Nach Artikel 15 DSGVO bekommt er Auskunft über gespeicherte Daten, Zweck, Dauer und Herkunft sowie eine Kopie — grundsätzlich innerhalb eines Monats. Mit einer geordneten Kartei ist das schnell erledigt.
Quellen und Anlaufstellen
- Datenschutz-Grundverordnung (DSGVO), Artikel 5 — Grundsätze, unter anderem Speicherbegrenzung und Datenminimierung
- DSGVO, Artikel 6 und 7 — Rechtmäßigkeit der Verarbeitung und Bedingungen für die Einwilligung
- DSGVO, Artikel 9 — Verarbeitung besonderer Kategorien personenbezogener Daten, darunter Gesundheitsdaten
- DSGVO, Artikel 13 und 15 — Informationspflichten und Auskunftsrecht
- DSGVO, Artikel 28, 30 und 32 — Auftragsverarbeitung, Verzeichnis von Verarbeitungstätigkeiten, Sicherheit der Verarbeitung
- DSGVO, Artikel 33 und 34 — Meldung von Verletzungen des Schutzes personenbezogener Daten
- Bundesdatenschutzgesetz (BDSG) — ergänzende nationale Regelungen
- Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg — zuständige Aufsichtsbehörde für Aalen; in anderen Bundesländern die jeweilige Landesbehörde
- Rechtsanwältin oder Rechtsanwalt mit Schwerpunkt Datenschutz — für die Prüfung deiner Formulare und deiner Datenschutzerklärung
Erfahrungsbericht, keine Rechtsberatung. Ich bin Masseur und Kursleiter, weder Rechtsanwalt noch Datenschutzbeauftragter. Dieser Text beschreibt, wie ich in meinem eigenen Betrieb mit Kundendaten umgehe, und ersetzt keine Prüfung deines Einzelfalls. Datenschutzrecht wird durch Aufsichtsbehörden und Gerichte laufend fortentwickelt, Einschätzungen ändern sich. Für verbindliche Auskünfte wende dich an die Datenschutzaufsichtsbehörde deines Bundeslandes oder an eine Rechtsanwältin bzw. einen Rechtsanwalt. Stand dieser Seite: 5. August 2026.
