KI im Kosmetikstudio: Wie mit sensiblen Kundendaten umgehen?

Das Problem

Ihre Kundin sagt vor der Behandlung: «Ich vertrage kein Nickel, und ich nehme seit Kurzem ein Medikament gegen Akne.» Sie notieren das, denn es ist für die Behandlung wichtig. Später möchten Sie die Notizen mit einer KI ordnen oder einen Beratungstext formulieren und kopieren die Angaben in das Chatfenster. Dann haben Sie Gesundheitsdaten einer Person an einen Dienst weitergegeben, von dem Sie nicht wissen, was er damit macht.

Im Kosmetikstudio sammeln sich viele sensible Angaben: Allergien, Hauterkrankungen, Schwangerschaft, Medikamente, Narben, manchmal auch persönliche Lebenslagen. Sie gehören zur Beratung, sind aber heikel, wenn sie in falsche Hände geraten.

Das Datenschutzrecht der Schweiz (DSG, Datenschutzgesetz) kennt dafür den Begriff «besonders schützenswerte Personendaten». Gesundheitsdaten zählen dazu. Wer sie verarbeitet, trägt erhöhte Verantwortung. Dieser Text gibt Orientierung, ist aber keine Rechtsberatung.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenarten sortieren. Machen Sie eine Liste der Daten, die in Ihrem Studio anfallen: Name, Telefon, Termine, Allergien, Hautzustand, Fotos, Zahlungsangaben. Markieren Sie die sensiblen.

1. Entscheiden, wofür KI überhaupt nötig ist. Viele Aufgaben, etwa Werbetexte oder Preislisten, kommen ohne Kundendaten aus. Setzen Sie KI dort ein.

1. Anonym arbeiten. Wenn Sie eine Notiz mit KI ordnen, entfernen Sie Namen und erkennbare Angaben. Statt «Frau Meier, Nickelallergie» schreiben Sie «Kundin A, Kontaktallergie».

1. Das Werkzeug prüfen. Lesen Sie in den Datenschutzhinweisen, wo die Daten verarbeitet werden, ob Eingaben gespeichert werden und ob sie zum Training verwendet werden. Bei fehlender Auskunft: keine Kundendaten.

1. Betriebliche Regel schreiben. Halten Sie auf einer halben Seite fest, was in KI-Werkzeuge darf und was nicht. Eine Hilfe bietet KI-Richtlinie Vorlage.

1. Team informieren. Alle Mitarbeitenden, auch Aushilfen, müssen die Regel kennen und befolgen.

1. Kundschaft informieren. Erklären Sie in der Datenschutzinformation Ihres Studios, welche Daten Sie wofür verwenden. Wenn Sie Daten an einen KI-Dienst weitergeben, gehört das hinein.

1. Fachrat holen. Für die genaue rechtliche Lage, etwa zu Auftragsverarbeitung und Ausland, ziehen Sie Fachpersonen bei, zum Beispiel eine Datenschutzberatung oder den Berufsverband.

Vorlage zum Kopieren

Du hilfst einem Schweizer Kosmetikstudio, eine interne Regel zum Umgang mit Kundendaten und KI zu entwerfen. Du gibst keine Rechtsberatung und weist am Ende auf die fachliche Prüfung hin.

Studio: [Grösse, z. B. zwei Mitarbeitende]
Daten, die wir erfassen: [z. B. Name, Telefon, Allergien, Behandlungsverlauf, Fotos]
KI-Werkzeuge, die wir nutzen oder nutzen wollen: [Namen oder «noch offen»]
Wofür wir KI nutzen möchten: [z. B. Werbetexte, Merkblätter, Notizen ordnen]

Erstelle einen Entwurf für eine einseitige Regel mit den Abschnitten:
1. Was nie in ein KI-Werkzeug darf
2. Was anonymisiert erlaubt ist
3. Was ohne Bedenken erlaubt ist
4. Wer im Studio Fragen beantwortet
5. Was bei einem Fehler zu tun ist (z. B. falsch eingegebene Daten)
Einfache Sprache, Sie-Form, Schweizer Rechtschreibung. Keine Rechtsbehauptungen, die du nicht sicher weisst.

Passen Sie die Datenarten an Ihr Studio an. Lassen Sie den Entwurf von einer Fachperson prüfen, bevor Sie ihn als verbindlich einführen.

Worauf Sie achten müssen

• Besonders schützenswerte Daten: Das DSG nennt Gesundheitsdaten ausdrücklich. Für sie gelten strengere Anforderungen. Mehr zum Thema bei Sensible Daten und KI.
• Anonymisieren ist schwer: Auch ohne Namen kann eine Person erkennbar sein, wenn Ort, Alter und Besonderheiten zusammenpassen. Entfernen Sie so viele Angaben wie möglich.
• Auslandverarbeitung: Viele KI-Dienste verarbeiten Daten im Ausland. Das muss in Ihre Information an die Kundschaft einfliessen.
• EU-Bezug: Haben Sie regelmässig Gäste aus der EU, kann zusätzlich die DSGVO relevant sein. Das klären Sie im Einzelfall.
• Auskunft und Löschung: Personen können Auskunft über ihre Daten verlangen. Wer weiss, wo er Daten hat, kann das erfüllen.
• Keine Garantie durch Anbieter: Auch seriöse Dienste können Fehler machen. Vertrauen ist gut, Datensparsamkeit besser.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Kosmetikerin in Aarau will ihre Beratungsnotizen mit KI zusammenfassen. Ihre erste Idee: die ganze Kartei hochladen. Beim Durchlesen der Datenschutzhinweise des Werkzeugs merkt sie, dass über Speicherung und Training nichts steht. Sie verzichtet.

Stattdessen schreibt sie eine kurze interne Regel. Allergien und Medikamente bleiben in der Papierkartei im verschlossenen Schrank. Für Werbetexte und Merkblätter nutzt sie KI ohne Kundendaten. Die Aushilfe unterschreibt die Regel. Nach einem Monat stellt sie fest, dass die tägliche Arbeit kaum länger dauert, aber sie fühlt sich sicherer.

So hilft Ihnen Alpasana

Wenn Ihr Team lernen soll, KI sorgfältig mit Daten zu verwenden, bietet absofort die KI-Weiterbildung für Unternehmen. Datenschutz mit Schweizer Praxisbezug und der verantwortungsvolle Umgang mit Unternehmensdaten sind dort Lerninhalte. Bei EU-Bezug wird auch der EU AI Act behandelt. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Eine Rechtsberatung im Einzelfall ersetzt das nicht. Es bereitet Ihr Team aber auf die richtigen Fragen vor.

Häufige Fragen

Darf ich eine Kundenliste mit Allergien in ein KI-Werkzeug laden?

Nein, davon ist abzuraten. Gesundheitsdaten sind besonders schützenswert, und Sie wissen meist nicht genug darüber, was das Werkzeug mit den Daten macht. Arbeiten Sie ohne Personenbezug oder gar nicht damit.

Was tue ich, wenn ich versehentlich Daten eingegeben habe?

Löschen Sie den Chatverlauf, wo möglich, und notieren Sie, was passiert ist. Informieren Sie Ihre Datenschutzansprechperson oder holen Sie Rat. Mehr zum Vorgehen bei Chatverlauf löschen.

Brauche ich für ein kleines Studio eine Datenschutzerklärung?

In der Regel ja, wenn Sie Daten Ihrer Kundschaft bearbeiten, etwa über Website oder Terminbuchung. Wie sie aufgebaut sein kann, finden Sie unter Datenschutzerklärung Vorlage. Die Prüfung im Einzelfall bleibt Ihre Sache.