Datenschutzerklärung für Personal Trainer: was hineingehört

Zwei Sätze, die man oft hört, sind beide falsch: „Ich habe keine Website, also brauche ich keine Datenschutzerklärung" und „Ich habe eine, also bin ich fertig". Die Pflicht hängt nicht an der Website, sondern an der Verarbeitung — und die findet bei jedem Klienten statt.

Brauchst du eine oder zwei Datenschutzerklärungen?

Zwei, weil sie verschiedene Leute betreffen.

Die zweite fehlt fast überall. Dabei ist sie die wichtigere: Sie betrifft die sensiblen Daten, und sie ist das Dokument, nach dem im Streitfall gefragt wird.

Was muss nach Art. 13 DSGVO drinstehen?

Zwölf Punkte, und keiner davon ist optional:

1. Identität und Kontaktdaten des Verantwortlichen
2. gegebenenfalls Kontaktdaten des Datenschutzbeauftragten
3. Zwecke der Verarbeitung
4. Rechtsgrundlagen je Zweck
5. berechtigte Interessen, soweit du dich darauf stützt
6. Empfänger oder Kategorien von Empfängern
7. Drittlandübermittlungen und die Grundlage dafür
8. Speicherdauer oder die Kriterien für ihre Festlegung
9. Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch
10. Widerrufsrecht bei Einwilligungen, mit dem Hinweis auf die Wirkung für die Zukunft
11. Beschwerderecht bei der Aufsichtsbehörde
12. ob die Bereitstellung verpflichtend ist und was passiert, wenn sie unterbleibt — sowie, ob automatisierte Entscheidungsfindung stattfindet

Art. 12 Abs. 1 setzt den Ton dazu: präzise, transparent, verständlich, leicht zugänglich, in klarer und einfacher Sprache. Ein Text, den niemand liest, ist formal erfüllt und praktisch wertlos — die Aufsichtsbehörden sehen das inzwischen ähnlich.

Wie unterscheiden sich Österreich und Deutschland?

Die DSGVO gilt in beiden Ländern gleich. Unterschiedlich sind die Gesetze daneben:

Der Wechsel von TMG zu DDG und von TTDSG zu TDDDG in Deutschland ist am 14. Mai 2024 erfolgt. Vorlagen, die noch § 5 TMG zitieren, sind seither veraltet — ein schneller Test für die Qualität einer gefundenen Vorlage.

Was gehört ins Impressum, was in die Datenschutzerklärung?

Sie werden regelmäßig vermischt. Die Trennung ist einfach:

• Impressum: wer du bist. Name, Anschrift, Kontakt, Gewerbe, Firmenbuch- oder Handelsregisternummer, UID, Kammerzugehörigkeit, zuständige Behörde.
• Datenschutzerklärung: was du mit Daten machst.

Beides muss getrennt und dauerhaft erreichbar sein, nicht als PDF im Anhang einer Mail.

Was ist mit Cookies und Analysewerkzeugen?

Hier greift nicht die DSGVO, sondern das Telekommunikationsrecht. Der Grundsatz ist in beiden Ländern derselbe: Für den Zugriff auf Informationen im Endgerät brauchst du eine Einwilligung, es sei denn, er ist für den gewünschten Dienst unbedingt erforderlich.

Daraus folgt eine unpopuläre Konsequenz: Ein Banner mit „Zustimmen" und ohne gleichwertiges „Ablehnen" erfüllt die Anforderung nicht, weil die Zustimmung dann nicht freiwillig ist. Wer keine Analysewerkzeuge einsetzt, braucht umgekehrt gar kein Banner — das ist der einfachste Weg und für die meisten Trainer-Websites völlig ausreichend.

Woran erkennst du eine schlechte Vorlage?

Vier Warnzeichen, ohne juristische Kenntnisse prüfbar:

1. Sie nennt Dienste, die du nicht einsetzt.
2. Sie zitiert § 5 TMG oder das TTDSG — beides seit Mai 2024 überholt.
3. Sie enthält keine Speicherdauer, sondern nur „so lange wie nötig".
4. Sie sagt nichts über Gesundheitsdaten — bei einem Trainer der Kern.

Brauchbare Gerüste gibt es bei den Interessenvertretungen: In Österreich stellt die Wirtschaftskammer Musterdokumente bereit, in Deutschland die Industrie- und Handelskammern. Sie ersetzen keine Prüfung, aber sie sind aktueller als das, was Suchmaschinen zuerst anzeigen.

Wann musst du sie aktualisieren?

Immer dann, wenn sich etwas an der Verarbeitung ändert — nicht nach Kalender. Konkret bei jedem neuen Werkzeug, jedem neuen Zweck und jedem Wechsel des Anbieters. Art. 13 Abs. 3 verlangt bei einer Zweckänderung sogar eine aktive Information, nicht bloß eine stille Anpassung des Textes.

Praktisch heißt das: Die Liste der Empfänger in deiner Datenschutzerklärung sollte deckungsgleich sein mit der Liste deiner Auftragsverarbeitungsverträge. Weichen sie voneinander ab, stimmt eines von beiden nicht — siehe Auftragsverarbeitungsvertrag für Personal Trainer.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Wer die App einsetzt, nennt sie in seiner Datenschutzinformation als Empfänger — die dafür nötigen Angaben stehen auf der Startseite und in den häufigen Fragen.

Wie händigst du die Information dem Klienten aus?

Art. 13 verlangt die Information zum Zeitpunkt der Erhebung — also beim Erstgespräch, nicht beim dritten Training und nicht erst mit der ersten Rechnung. Eine Form schreibt die Verordnung nicht vor, einen Nachweis verlangt die Rechenschaftspflicht aus Art. 5 Abs. 2 aber sehr wohl.

Drei Wege, die in der Praxis funktionieren:

Was nicht genügt: ein Verweis auf die Website. Die Datenschutzerklärung dort betrifft Besucher, nicht die Betreuung — und ein Klient muss nicht suchen, was ihm zusteht.

Ein Detail, das Ärger spart: Information und Einwilligung gehören auf getrennte Blätter. Wer beides in ein Dokument packt, riskiert genau den Fehler, an dem Einwilligungen scheitern — sie sind dann nicht mehr klar von anderen Sachverhalten unterscheidbar, wie es Art. 7 Abs. 2 verlangt. Mehr dazu in Einwilligung einholen: Muster und Fehler bei Gesundheitsdaten.

Fazit

Die Datenschutzerklärung ist kein Text, den man einmal einkauft, sondern die Abbildung dessen, was du tatsächlich tust. Wer sie ernst nimmt, merkt beim Schreiben, wo die eigenen Abläufe nicht stimmen — meist bei der Speicherdauer und bei der Liste der Werkzeuge. Genau deshalb lohnt es sich, sie selbst zu verfassen und nur prüfen zu lassen. Der Überblick über alle Pflichten steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 21. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.