Auftragsverarbeitungsvertrag für Personal Trainer: brauche ich den?

Der Auftragsverarbeitungsvertrag ist die unbeliebteste Unterlage im ganzen Datenschutz — und die einzige, die du im Regelfall nicht selbst schreiben musst. Fast immer liegt sie schon beim Anbieter, man muss sie nur abrufen und ablegen.

Wann ist ein AVV überhaupt Pflicht?

Immer dann, wenn jemand personenbezogene Daten in deinem Auftrag und nach deinen Weisungen verarbeitet. Art. 28 Abs. 3 DSGVO formuliert das als Muss-Vorschrift, nicht als Empfehlung.

Die Abgrenzung ist einfacher, als sie klingt. Zwei Fragen genügen:

1. Bestimmst du, wozu die Daten verarbeitet werden? Wenn ja, bist du Verantwortlicher.
2. Führt der andere das nur aus, ohne eigenen Zweck? Wenn ja, ist er dein Auftragsverarbeiter — und du brauchst den Vertrag.

Verfolgt der andere eigene Zwecke oder erfüllt er eigene Berufspflichten, ist er selbst Verantwortlicher. Dann gibt es keinen AVV, sondern schlicht zwei getrennte Verantwortlichkeiten.

Welche Werkzeuge betrifft das bei einem Trainer?

Die letzte Zeile ist die entscheidende. Kostenlose Privatkonten bieten in aller Regel keinen Auftragsverarbeitungsvertrag — nicht, weil der Anbieter schlampt, sondern weil sie nicht für die geschäftliche Nutzung gedacht sind. Was das für Cloud-Ordner heißt, steht in Google Drive und Dropbox für Klientendaten.

Was muss darin stehen?

Art. 28 Abs. 3 gibt den Inhalt vor. Du musst ihn nicht formulieren, aber du solltest prüfen können, ob er vollständig ist:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Art der Daten und Kategorien betroffener Personen
• Verarbeitung nur auf dokumentierte Weisung (lit. a)
• Vertraulichkeitsverpflichtung der eingesetzten Personen (lit. b)
• Sicherheitsmaßnahmen nach Art. 32 (lit. c)
• Regeln für Unterauftragsverarbeiter (lit. d)
• Unterstützung bei Betroffenenrechten (lit. e)
• Unterstützung bei Meldepflichten und Folgenabschätzung (lit. f)
• Löschung oder Rückgabe nach Vertragsende (lit. g)
• Nachweise und Überprüfungen (lit. h)

Zehn Punkte. Wer den Vertrag eines Anbieters danach durchgeht, ist in fünf Minuten fertig — und weiß danach mehr über den Anbieter als aus jeder Produktseite.

Warum ist das mehr als Papier?

Weil die Haftung nicht mitwandert. Nach Art. 82 Abs. 2 DSGVO haftet der Verantwortliche für den Schaden, der bei einer Verarbeitung entsteht — und das bist du, nicht dein Anbieter. Der Auftragsverarbeiter haftet nur eingeschränkt, nämlich wenn er seine spezifischen Pflichten verletzt oder gegen Weisungen gehandelt hat.

Im Klartext: Wenn die Daten deiner Klienten beim Anbieter abfließen, steht zunächst dein Name in der Beschwerde. Der AVV ist das Dokument, mit dem du zeigst, dass du den Anbieter sorgfältig ausgewählt hast (Art. 28 Abs. 1) — und das dir intern einen Rückgriff eröffnet.

Worauf achtest du bei der Auswahl?

Art. 28 Abs. 1 erlaubt nur Auftragsverarbeiter, die hinreichende Garantien bieten. Vier Dinge, die man in wenigen Minuten prüfen kann:

1. Gibt es überhaupt einen AVV? Fehlt er, endet die Prüfung hier.
2. Wo liegen die Daten? EU oder Drittland — bei Gesundheitsdaten ein Unterschied, kein Detail. Siehe Fitness-Apps aus den USA.
3. Wer sind die Unterauftragsverarbeiter? Eine seriöse Liste nennt sie samt Sitzland und kündigt Änderungen an.
4. Was passiert nach der Kündigung? Rückgabe, Löschung, Frist — steht das nicht drin, fehlt Punkt lit. g.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Wer sich für einen Zugang bewirbt, bekommt den Auftragsverarbeitungsvertrag als Teil der Vertragsunterlagen — die häufigen Fragen sagen, was darin geregelt ist.

Was tust du, wenn ein Werkzeug keinen AVV anbietet?

Du ersetzt es. Es gibt keine Zwischenlösung — die DSGVO kennt keine Einwilligung, mit der ein Klient auf den Auftragsverarbeitungsvertrag verzichten könnte, denn er schützt nicht ihn, sondern regelt eure Beziehung zum Dienstleister.

Realistisch betrifft das drei Klassiker: das private Cloud-Konto, den Messenger und die Tabelle auf einem geteilten Laufwerk. Für alle drei gibt es Geschäftstarife oder Alternativen, die einen AVV mitbringen. Der Aufwand liegt beim Umzug, nicht beim Vertrag.

Was ist ein Unterauftragsverarbeiter — und warum betrifft dich das?

Kaum ein Anbieter betreibt alles selbst. Hinter einer Coaching-App stehen üblicherweise ein Rechenzentrum, ein Versanddienst für E-Mails, ein Dienst für Push-Nachrichten und eine Fehlerüberwachung. Jeder davon verarbeitet Daten — und ist damit Unterauftragsverarbeiter deines Anbieters.

Art. 28 Abs. 2 DSGVO verlangt dafür deine Genehmigung. In der Praxis läuft das über die allgemeine schriftliche Genehmigung: Der Anbieter führt eine Liste, informiert vorab über Änderungen, und du kannst widersprechen. Art. 28 Abs. 4 verpflichtet ihn, dem Unterauftragsverarbeiter dieselben Pflichten aufzuerlegen, die er dir gegenüber hat.

Was du dir davon ansehen solltest:

Der häufigste Fund bei dieser Prüfung ist kein Skandal, sondern ein Rechenzentrum in den USA oder ein Versanddienst außerhalb der EU. Das ist nicht automatisch unzulässig, verlangt aber eine eigene Grundlage — siehe Fitness-Apps aus den USA.

Fazit

Der Auftragsverarbeitungsvertrag ist keine Formalie, sondern der Nachweis, dass du deine Werkzeuge geprüft hast. Er kostet dich einmalig eine halbe Stunde: alle Werkzeuge auflisten, bei jedem den Vertrag herunterladen, in einem Ordner ablegen. Werkzeuge, für die es nichts herunterzuladen gibt, gehören nicht in die Betreuung. Wie das in den Gesamtzusammenhang passt, steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 20. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.