GDPR és online foglalás: amit minden szolgáltatónak tudnia kell

Az online foglalás a legtöbb szolgáltatónál csendben adatkezeléssé is válik. Nem azért, mert bárki így akarta, hanem mert egy foglaláshoz név, telefonszám és e-mail-cím kell — ez pedig már személyes adat. A GDPR öt éve él, mégis a legtöbb magyar kisvállalkozás úgy foglal időpontot online, hogy közben nem tudja pontosan, mit vállalt el vele.

Ez a cikk nem jogi szakvélemény, és nem is helyettesíti azt. Azt szedi össze, amit egy fodrász, kozmetikus, edző vagy magánorvos a gyakorlatban tudni akar: milyen adatot kérhetsz, meddig tarthatod meg, kinek adod tovább anélkül, hogy észrevennéd, és mit kell kiírnod a foglalási oldaladra.

Milyen adatot kér egy foglalás — és mennyi az, ami tényleg kell

A GDPR egyik legkönnyebben betartható elve az adattakarékosság: csak azt kérheted el, ami a szolgáltatás nyújtásához valóban szükséges. Egy időpontfoglaláshoz ez jellemzően három dolog: név, elérhetőség (e-mail vagy telefon), és a kért szolgáltatás.

Ami ezen túl van, azt indokolni kell. A születési dátum egy hajvágáshoz nem kell. A lakcím egy szalonban végzett kezeléshez nem kell — házhoz menő szolgáltatásnál viszont igen. Az adószám csak akkor, ha céges számlát állítasz ki.

Praktikus szabály: nézd végig a foglalási űrlapod mezőit, és mindegyiknél kérdezd meg, mi történne, ha nem lenne ott. Ha a válasz az, hogy semmi, akkor az a mező felesleges — és minden felesleges mező plusz kockázat és plusz kattintás a vendégnek.

A jogalap: miért nem kell pipálós hozzájárulás a foglaláshoz

Gyakori félreértés, hogy minden adatkezeléshez hozzájárulás kell. Nem így van, és a foglalás pont jó példa erre.

Amikor valaki időpontot foglal nálad, szerződés teljesítése a jogalap: a vendég szolgáltatást rendel, te teljesíted. Ehhez nyilvánvalóan szükséged van a nevére és az elérhetőségére. Nem kell külön bepipáltatni, hogy „hozzájárulok az adataim kezeléséhez" — sőt, félrevezető is, mert azt sugallja, hogy vissza lehet vonni, miközben a foglalás teljesítéséhez az adat elengedhetetlen.

Ahol viszont tényleg hozzájárulás kell: a hírlevél. Ha a foglaláskor megadott e-mail-címre később marketinglevelet is küldenél, ahhoz külön, önkéntes, előre be nem pipált checkbox kell. A kettőt nem szabad összecsomagolni: „foglalok, és egyben feliratkozom" — ez nem érvényes hozzájárulás.

A harmadik gyakori jogalap a jogi kötelezettség: a számlázási adatokat nem azért őrzöd, mert akarod, hanem mert a számviteli törvény előírja.

Az adatfeldolgozók, akikről a legtöbben elfelejtkeznek

Ez a rész buktatja el a legtöbb kisvállalkozást. Amikor online foglalási rendszert használsz, az adat nem csak nálad van. Végigmegy egy láncon, és minden szereplőt fel kell tüntetned a tájékoztatódban.

Egy tipikus foglalás útja:

• A foglalási rendszer üzemeltetője — nála tárolódik a foglalás. Ő adatfeldolgozó, te maradsz az adatkezelő.
• A fizetési szolgáltató — ha előleget vagy teljes díjat kérsz online. A kártyaadatot jellemzően nem is te látod, hanem közvetlenül a fizetési szolgáltató kezeli.
• A számlázó rendszer — a számlához név és cím megy át.
• Az SMS- és e-mail-küldő — az emlékeztetőhöz a telefonszám és a cím továbbítódik.
• A naptár, amivel szinkronizálsz — ha a foglalás megjelenik a naptáradban, az adat oda is átkerül.

Ötből egyet szoktak leírni a tájékoztatóba. Pedig a lista nem titok, és nem is szégyen — épp ellenkezőleg, a vendég bizalmát erősíti, ha látja, hogy átgondoltad.

Meddig őrizheted az adatokat — és miért nem mindegy

Erre nincs egyetlen szám, mert adattípusonként más:

• Számlázási adat: a számviteli törvény szerint nyolc évig meg kell őrizni. Ez nem választás kérdése.
• Foglalási előzmény: amíg az ügyfélkapcsolat él, plusz egy ésszerű idő. Aki öt éve nem járt nálad, annak az adatát nehéz megindokolni.
• Hírlevél-feliratkozás: a leiratkozásig — utána a címet a tiltólistán kell tartani, épp azért, hogy véletlenül se kapjon több levelet.
• Marketing-célú megkeresés: jellemzően rövidebb, és rendszeresen felül kell vizsgálni.

A gyakorlati teendő egyszerű: írd le, melyik adatot meddig tartod, és tartsd is magad hozzá. Egy tíz éve gyűjtött, sosem törölt ügyféllista nem érték, hanem kockázat.

Az egészségügyi adat, ami észrevétlenül kerül a rendszeredbe

Erre külön érdemes figyelni, mert a legtöbben nem is veszik észre, hogy megtörtént.

A GDPR külön, szigorúbb kategóriát nevez meg: ide tartoznak az egészségre vonatkozó adatok. Ha a vendég-nyilvántartásodba beírod, hogy „allergiás a hidrogén-peroxidra", „kismama", „gerincsérve van, ne feküdjön hasra", vagy „cukorbeteg", akkor ilyen adatot kezelsz — akkor is, ha csak egy jegyzetmezőbe került, és akkor is, ha a vendég maga mondta el.

Ez nem azt jelenti, hogy tilos. Kozmetikusnál, masszőrnél, magánrendelőnél gyakran szakmailag elengedhetetlen, és az ilyen jegyzet a vendéget védi. Azt jelenti, hogy tudatosan kell csinálni: legyen leírva a tájékoztatódban, hogy ilyen adatot is rögzítesz és miért, ne legyen hozzáférése olyan kollégának, akinek nem kell, és ne kerüljön bele olyan, ami a szolgáltatáshoz nem tartozik.

A vendég-jegyzetek helyes használatáról külön is írtunk: Gäste-CRM-Notizen: Wie behalten Sie Allergien und Vorlieben im Blick?

A foglalási oldalad sütijei — a másik fele a történetnek

Az adatkezelés nem ér véget a foglalási űrlapnál. Ha van weboldalad, és azon mérőkód fut — Google Analytics, Meta Pixel, hirdetési követés —, az önálló adatkezelés, önálló szabályokkal.

A lényeg egy mondatban: a nem feltétlenül szükséges sütik csak a látogató hozzájárulása UTÁN sülhetnek el. Nem elég kiírni, hogy „az oldal sütiket használ, az OK gombbal elfogadod" — a mérőkódnak addig tényleg nem szabad futnia.

Amit érdemes ellenőrizni a saját oldaladon:

• A süti-sáv megjelenik-e elutasítási lehetőséggel is, nem csak „Elfogadom" gombbal.
• Elutasítás után tényleg leáll-e a követés, vagy csak eltűnik a sáv.
• A beágyazott foglalási felület működik-e süti-elfogadás nélkül is — a foglalás magához a szolgáltatáshoz kell, azt nem szabad hozzájáruláshoz kötni.

Ez utóbbi fontos különbség: a foglaláshoz szükséges működés más kategória, mint a marketing-mérés. A widget beágyazásáról részletesen írtunk: Wie bettest du das Buchungswidget auf deiner Website ein?

Öt hiba, amit a leggyakrabban látni magyar szolgáltatóknál

Ezek nem elméleti kockázatok, hanem olyan dolgok, amik szinte minden második foglalási oldalon ott vannak.

1. Nincs adatkezelési tájékoztató, csak egy ÁSZF. A kettő nem ugyanaz, és a tájékoztató a kötelező.
2. A tájékoztató egy letöltött minta, amiben más cég neve maradt, vagy olyan szolgáltatók szerepelnek, amiket nem is használsz. Ez rosszabb, mint a semmi: bizonyítja, hogy nem gondoltad át.
3. Egy checkbox a foglaláshoz és a hírlevélhez. A hírlevél-hozzájárulás így érvénytelen.
4. Az egész csapat mindent lát. Egy tíz fős szalonban nem kell minden kolléganőnek látnia minden vendég összes előzményét és jegyzetét.
5. Soha senki nem töröl semmit. A 2016-ban felvett érdeklődő adata még mindig ott van, holott soha nem lett belőle vendég.

Mind az öt olyan, ami egy délután alatt rendbe tehető, és egyik sem igényel jogi végzettséget — csak azt, hogy valaki egyszer végigmenjen rajta.

Amit a vendég kérhet — és amire fel kell készülnöd

Az érintetti jogok papíron bonyolultnak tűnnek, a gyakorlatban négy kérés fordul elő igazán:

1. „Milyen adatot tároltok rólam?" — Ki kell adnod, jellemzően egy hónapon belül, díjmentesen.
2. „Javítsátok ki, elírtátok a nevem." — Helyesbítés, ez a legegyszerűbb.
3. „Töröljetek." — Amit lehet, törölni kell. A kiállított számlát viszont nem: azt a törvény írja elő. Ilyenkor azt kell elmagyaráznod, mi marad meg és miért.
4. „Ne küldjetek több levelet." — Azonnal teljesítendő, és a rendszernek is meg kell jegyeznie.

Ehhez nem kell jogi apparátus. Az kell, hogy legyen egy e-mail-cím, ahova a kérés befut, és legyen valaki, aki tudja, mit kell tenni vele.

Mit old meg a rendszer, és mi marad a te dolgod

Fontos tisztázni a szerepeket, mert ezen sok félreértés múlik. Az adatkezelő te vagy — a te vendégedről van szó, a te szolgáltatásodhoz. A foglalási rendszer adatfeldolgozó: a te megbízásodból tárolja és kezeli az adatot.

Amit egy rendszertől jogosan elvársz:

• Legyen saját, nyilvános adatkezelési tájékoztatója, ami valóban a mostani működést írja le.
• Legyen kihez fordulni adatvédelmi kérdéssel.
• Legyen jogosultságkezelés: ne lásson minden munkatárs mindent.
• Lehessen adatot exportálni és törölni, ha a vendég kéri.
• Legyen átlátható, milyen további szolgáltatók vannak a láncban.

Az AI Booking oldalán ezek a nyilvános adatkezelési tájékoztatóban szerepelnek, adatvédelmi tisztviselővel együtt. A fizetés a Stripe-on keresztül megy, a számlázás Billingo vagy Számlázz.hu integrációval — vagyis a lánc dokumentált, nem neked kell kitalálnod.

Ami viszont marad a te dolgod, és ezt senki nem veszi le a válladról: a saját tájékoztatód kiírása, a mezőid átgondolása, a megőrzési idők betartása, és hogy válaszolj, ha egy vendég kérdez.

Négy lépés, amit ezen a héten meg tudsz csinálni

1. Nézd végig a foglalási űrlapod mezőit, és vedd ki, amire nincs valódi szükséged.
2. Írd össze, kik látják az adatot — foglalási rendszer, fizetés, számlázás, SMS, naptár —, és tedd bele a tájékoztatódba.
3. Válaszd szét a foglalást és a hírlevelet. Külön checkbox, előre nem bepipálva.
4. Nézd meg, van-e egészségügyi jellegű jegyzet a vendég-adatlapokon, és ha igen, gondold át, ki fér hozzá.

Egyik sem kerül pénzbe, és mind a négy olyasmi, amit egy ellenőrzésnél elsőként néznek meg. Ha pedig a foglalásaid ma még e-mailben és üzenetekben szóródnak szét, érdemes ott kezdeni: a foglalási rendszer bevezetése lépésről lépésre végigvezet az alapokon.

Ez a cikk általános tájékoztatás, nem jogi tanácsadás. Ha az adatkezelésed összetettebb — több telephely, egészségügyi szolgáltatás, nagy ügyfélkör —, kérj adatvédelmi szakértői véleményt.