Welche Buchungssoftware ist DSGVO-konform und hostet in Deutschland bzw. der EU?

Warum das für dein Studio kein Papierkram-Thema ist

Sobald ein Kunde online bei dir bucht, verarbeitest du personenbezogene Daten: Name, Telefonnummer, E-Mail, Buchungshistorie – in Kosmetik- und Massagestudios oft auch sensible Angaben wie Hautzustand, Allergien oder gesundheitliche Einschränkungen. Für diese Daten bist rechtlich du verantwortlich, nicht dein Software-Anbieter. Wählst du ein Tool, das Daten unsauber verarbeitet, haftest du – von der Abmahnung bis zum Bußgeld. Die gute Nachricht: Mit der richtigen Software ist DSGVO-Konformität kein Aufwand, sondern eingebaut.

Die 5 Kriterien: Daran erkennst du DSGVO-konforme Buchungssoftware

1. Serverstandort Deutschland oder EU. Liegen die Daten in der EU, gilt europäisches Datenschutzrecht ohne Umwege. Der Standort steht in der Datenschutzerklärung oder im AVV des Anbieters – wenn du ihn dort nicht findest, ist das bereits ein Warnsignal.

2. Auftragsverarbeitungsvertrag (AVV). Nach Art. 28 DSGVO Pflicht, sobald ein Dienstleister in deinem Auftrag Kundendaten verarbeitet. Seriöse Anbieter stellen den AVV zum Download oder zur digitalen Unterschrift bereit. Kein AVV = keine rechtssichere Nutzung, Punkt.

3. Verschlüsselung. Die Buchungsseite muss über HTTPS laufen (SSL/TLS), die Datenbank verschlüsselt gesichert sein. Das ist heute Standard – prüfe es trotzdem.

4. Löschkonzept und Datenexport. Kunden haben ein Recht auf Löschung (Art. 17) und Auskunft (Art. 15). Deine Software muss einzelne Kundendaten vollständig löschen und exportieren können. Frag konkret: „Wie lösche ich einen Kunden komplett aus dem System?“

5. Keine unkontrollierten Drittlandtransfers. Der kritischste Punkt: Verarbeitet der Anbieter Daten in den USA oder bindet US-Subunternehmer ein (Hosting, Analytics, E-Mail-Versand), brauchst du zusätzliche Garantien. Seit dem Schrems-II-Urteil ist die Rechtslage für US-Transfers wackelig – US-Behörden können über den CLOUD Act theoretisch auf Daten zugreifen, selbst wenn die Server in Europa stehen, solange der Betreiber ein US-Unternehmen ist.

Schnell-Checkliste für den Anbietervergleich

Faustregel: Anbieter mit Sitz und Hosting im DACH-Raum bzw. der EU erfüllen die Kriterien in der Regel von Haus aus. Bei internationalen Tools – vor allem US-Plattformen mit „kostenlosen“ Tarifen – musst du jeden Punkt selbst verifizieren und dokumentieren.

Und die Behandlungsdaten? Gesundheitsdaten sind besonders geschützt

Wenn du in der Kundenkartei Hautanalysen, Kontraindikationen oder gesundheitliche Hinweise speicherst, verarbeitest du besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Dafür brauchst du eine ausdrückliche Einwilligung des Kunden – und eine Software, deren Kundenkartei dafür gebaut ist, statt Gesundheitsnotizen in ein freies Bemerkungsfeld eines US-Kalendertools zu tippen.

RelaxCRM: DSGVO-konform ohne Konfigurationsaufwand

RelaxCRM wurde für Studios im DACH-Raum entwickelt: Hosting in Deutschland, AVV inklusive, verschlüsselte Übertragung, Löschung und Herausgabe der Daten auf Anfrage und WhatsApp-Terminerinnerungen, die datenschutzkonform umgesetzt sind. Du musst nichts nachrüsten und nichts einzeln prüfen – die Compliance ist Teil des Produkts, ab 19 €/Monat, monatlich kündbar.

Häufige Fragen

Ist eine Buchungssoftware mit US-Servern automatisch verboten?

Nein, aber riskant. Datentransfers in die USA brauchen seit dem Schrems-II-Urteil zusätzliche rechtliche Garantien, und du als Studio trägst die Nachweispflicht. Ein Anbieter mit EU-Hosting erspart dir diese Grauzone komplett.

Was ist ein AVV und brauche ich ihn wirklich?

Der Auftragsverarbeitungsvertrag regelt nach Art. 28 DSGVO, wie dein Software-Anbieter mit deinen Kundendaten umgeht. Er ist gesetzlich verpflichtend – ohne AVV nutzt du das Tool nicht rechtssicher, selbst wenn technisch alles stimmt.

Darf ich Gesundheitsdaten meiner Kunden im Buchungssystem speichern?

Ja, mit ausdrücklicher Einwilligung des Kunden (Art. 9 DSGVO) und einem System, das diese Daten sicher in der EU verarbeiten, löschen und exportieren kann. Freie Notizfelder in US-Kalendertools sind dafür ungeeignet.

Welche Buchungssysteme hosten in Deutschland oder der EU?

Anbieter aus dem DACH-Raum wie RelaxCRM oder Shore hosten in Deutschland und stellen AVVs bereit. Bei internationalen Plattformen musst du Serverstandort und Subunternehmer in der Datenschutzerklärung einzeln prüfen.