AVG voor je schoonheidssalon: privacy en klantgegevens goed geregeld
Kort antwoord
Onder de AVG moet je als salon kunnen uitleggen welke klantgegevens je verwerkt, waarom en hoe lang. Gezondheidsgegevens uit intakeformulieren zijn bijzondere persoonsgegevens: bewaar ze beveiligd, beperk de toegang, sluit met je softwareleverancier een verwerkersovereenkomst en informeer klanten via een duidelijke privacyverklaring.
Belangrijkste punten
- Ook een kleine salon valt onder de AVG; in Nederland houdt de Autoriteit Persoonsgegevens toezicht, in België de Gegevensbeschermingsautoriteit.
- Gezondheidsgegevens en foto's verdienen extra bescherming en horen niet op je privételefoon.
- Met elke leverancier die klantgegevens voor je verwerkt, heb je een verwerkersovereenkomst nodig.
- Leg bewaartermijnen vast en ruim gegevens op die je niet meer nodig hebt.
- Een datalek met risico voor klanten meld je binnen 72 uur bij de toezichthouder.
De AVG klinkt als iets voor grote bedrijven met een juridische afdeling. Maar als je als salon een intakeformulier gebruikt, foto's maakt voor een behandeltraject of klanten herinneringen stuurt, verwerk je persoonsgegevens, en vaak ook gevoelige.
Het goede nieuws: de AVG is voor een salon goed te regelen met een paar duidelijke afspraken en het juiste systeem. In dit artikel lees je wat je moet weten en krijg je een checklist om je eigen salon langs te lopen. Dit artikel is een praktische gids en geen juridisch advies.
Welke klantgegevens verwerkt een schoonheidssalon?
Het is vaak meer dan je denkt. Maak eerst een overzicht:
- Contactgegevens: naam, telefoonnummer, e-mailadres, soms adres en geboortedatum.
- Afspraakgegevens: welke behandeling, wanneer, bij wie, no-shows.
- Gezondheidsgegevens: allergieën, medicatie, zwangerschap, huidaandoeningen uit de intake.
- Foto's: voor- en na-foto's van gezicht of lichaam.
- Behandeldocumentatie: instellingen, producten, reacties, notities.
- Betaalgegevens: facturen, eventueel aanbetalingen.
Waarom zijn gezondheidsgegevens extra gevoelig?
De AVG noemt gezondheidsgegevens bijzondere persoonsgegevens. Die mag je alleen verwerken als daar een geldige uitzondering voor is, zoals uitdrukkelijke toestemming van de klant. Voor een salon is dat meestal de route: de klant geeft in het intakeformulier aan dat je deze informatie mag gebruiken voor een veilige behandeling.
Foto's van gezicht of lichaam zijn ook gevoelig, zeker als er een huidaandoening of medische situatie op te zien is. Vraag aparte toestemming voor foto's in het dossier en voor gebruik op social media of je website.
Werk je als arts of BIG-geregistreerde zorgverlener in een esthetische kliniek, dan gelden daarnaast de regels van de WGBO voor het medisch dossier, waaronder een langere bewaartermijn.
Wat moet er in je privacyverklaring staan?
Klanten hebben het recht te weten wat je met hun gegevens doet. Zet een privacyverklaring op je website en verwijs ernaar in je boekingspagina en intakeformulier.
- Wie je bent: bedrijfsnaam, adres, KvK-nummer en contactgegevens.
- Welke gegevens je verwerkt en waarvoor (afspraken, veilige behandeling, herinneringen).
- Op welke grondslag (overeenkomst, toestemming, wettelijke plicht).
- Met wie je gegevens deelt, zoals je softwareleverancier of boekhouder.
- Hoe lang je gegevens bewaart.
- Welke rechten de klant heeft: inzage, correctie, verwijdering, bezwaar.
- Dat de klant een klacht kan indienen bij de Autoriteit Persoonsgegevens (of in België de Gegevensbeschermingsautoriteit).
Heb je een verwerkersovereenkomst nodig met je salonsoftware?
Ja. Zodra een leverancier namens jou persoonsgegevens verwerkt, zoals een systeem voor afspraken, klantenkaart of formulieren, ben jij de verwerkingsverantwoordelijke en de leverancier de verwerker. De AVG verplicht je om daar een verwerkersovereenkomst voor te sluiten.
Let daarnaast op waar de gegevens staan. Bij Treatflow staan de gegevens op servers in de EU (Frankfurt), met SSL-versleuteling en dagelijkse back-ups, en blijft de salon eigenaar van de klantgegevens.
Hoe lang mag je klantgegevens bewaren?
De AVG noemt geen vaste termijn voor salons: je bewaart gegevens niet langer dan nodig voor het doel. Bepaal zelf een redelijke termijn, leg die vast en pas hem toe. Voor je administratie geldt een aparte fiscale bewaarplicht voor facturen en boekhouding.
| Gegevens | Vuistregel | Toelichting |
|---|---|---|
| Intake en behandeldossier | Zolang de klant actief is, plus een vastgestelde periode | Leg je keuze en motivatie vast |
| Foto's | Zo lang als nodig voor het traject | Social media alleen met aparte toestemming |
| Marketingtoestemming | Tot de klant zich afmeldt | Afmelding direct verwerken |
| Facturen en administratie | Fiscale bewaarplicht (in Nederland in principe 7 jaar) | Los van het behandeldossier |
Wat doe je bij een datalek?
Een gestolen telefoon met klantfoto's, een e-mail met intakeformulieren naar de verkeerde persoon, een gehackt account: dat is een datalek. Bij een risico voor klanten meld je het binnen 72 uur bij de toezichthouder en bij een hoog risico informeer je ook de betrokken klanten.
- Beperk de schade: wijzig wachtwoorden, wis het apparaat op afstand, vraag de ontvanger de e-mail te verwijderen.
- Zoek uit welke gegevens en hoeveel klanten het betreft.
- Beoordeel het risico en meld het zo nodig bij de Autoriteit Persoonsgegevens.
- Noteer elk datalek intern, ook als je het niet hoeft te melden.
- Neem maatregelen zodat het niet opnieuw gebeurt.
Hoe regel je toegang en beveiliging in de salon?
De meeste privacyproblemen in een salon ontstaan niet door hackers, maar door gewone gewoontes: een tablet zonder code aan de balie, een gedeeld wachtwoord voor het hele team, intakeformulieren die per e-mail heen en weer gaan. Met een paar afspraken los je het grootste deel op.
- Geef elke medewerker een eigen account, zodat je weet wie wat heeft bekeken of aangepast.
- Beperk de toegang tot gezondheidsgegevens en foto's tot de behandelaars die ze nodig hebben.
- Beveilig telefoons en tablets met een code en schakel automatische vergrendeling in.
- Gebruik sterke, unieke wachtwoorden en waar mogelijk tweestapsverificatie.
- Stuur geen intakeformulieren of foto's als bijlage per e-mail of WhatsApp; laat klanten ze in een beveiligd systeem invullen.
- Sluit een account direct af als een medewerker vertrekt.
Welke rechten hebben je klanten onder de AVG?
Klanten mogen vragen welke gegevens je over hen hebt (inzage), onjuiste gegevens laten verbeteren, gegevens laten verwijderen als je ze niet meer nodig hebt en bezwaar maken tegen bijvoorbeeld marketing. Ze kunnen ook gegeven toestemming intrekken, bijvoorbeeld voor foto's op social media. Je hebt in principe een maand om op zo'n verzoek te reageren. Met een digitaal klantdossier is dat eenvoudig: je ziet in één overzicht wat je van een klant hebt en kunt het exporteren of verwijderen.
AVG-checklist: is je salon in orde?
Loop deze punten één keer per jaar na.
- Ik heb een overzicht van welke gegevens ik verwerk en waarom.
- Ik heb een privacyverklaring op mijn website.
- Mijn intakeformulier vraagt alleen wat nodig is en bevat een toestemmingsverklaring.
- Foto-toestemming vraag ik apart, en social media nog eens apart.
- Klantgegevens staan niet op privételefoons, in WhatsApp-chats of in gedeelde mappen.
- Ik heb verwerkersovereenkomsten met mijn softwareleveranciers.
- Elke medewerker heeft een eigen login en alleen toegang tot wat nodig is.
- Ik heb bewaartermijnen vastgesteld en ruim oude gegevens op.
- Ik weet wat ik moet doen bij een datalek.
Veelgestelde vragen
Geldt de AVG ook voor een eenmanszaak?
Ja. De AVG geldt voor elke onderneming die persoonsgegevens verwerkt, ongeacht de grootte. Een zzp'er met een kleine salon moet dus ook een privacyverklaring hebben en gegevens veilig bewaren.
Moet ik een verwerkingsregister bijhouden?
Kleine organisaties zijn soms vrijgesteld, maar niet als ze structureel bijzondere persoonsgegevens verwerken, zoals gezondheidsgegevens uit intakeformulieren. Een eenvoudig register is voor een salon dus verstandig en vaak verplicht.
Mag ik voor- en na-foto's op Instagram zetten?
Alleen met uitdrukkelijke, aparte toestemming van de klant voor dat doel. Die toestemming moet de klant ook weer kunnen intrekken. Toestemming voor foto's in het dossier is niet automatisch toestemming voor social media.
Mag ik klantgegevens in WhatsApp bewaren?
Liever niet. Gesprekken en foto's staan dan op je privételefoon, worden soms automatisch geback-upt naar de cloud en zijn moeilijk op te ruimen. Een salonsysteem met EU-hosting en toegangsrechten is veiliger.
Wat als een klant vraagt om haar gegevens te verwijderen?
Verwijder ze binnen een maand, tenzij je ze moet bewaren vanwege een wettelijke plicht, zoals facturen voor de belastingdienst. Laat de klant weten wat je hebt verwijderd en wat je om welke reden bewaart.
Welke toezichthouder geldt in België?
In België houdt de Gegevensbeschermingsautoriteit (GBA) toezicht op de AVG, die daar ook GDPR wordt genoemd. De regels uit de verordening zelf zijn in Nederland en België gelijk.
Bijbehorende Treatflow-functies
Bronnen
Je salon vanuit één plek beheren
Afspraken, klantendossiers, formulieren en herinneringen in één app. 14 dagen gratis, geen creditcard.
Gratis proberen