DSGVO-Bußgelder: Was Trainern realistisch droht

Die Zahl, die in jedem Artikel steht, ist 20 Millionen Euro. Sie stimmt und sie hilft niemandem, weil sie den Fall beschreibt, der bei einem Einzeltrainer nicht eintritt. Interessanter ist, was tatsächlich passiert.

Wie hoch kann eine Geldbuße überhaupt ausfallen?

Der Rahmen ist zweigeteilt, und die Zuordnung entscheidet über die Hälfte.

Maßgeblich ist jeweils der höhere der beiden Werte. Bei einem Einzelunternehmen ohne nennenswerten Umsatz greift praktisch immer der feste Betrag als Obergrenze — was nichts darüber sagt, wie hoch die Buße wirklich ausfällt, sondern nur, wo die Decke liegt.

Wichtig für Trainer: Alles rund um Gewicht, Fotos und Verletzungen fällt in den oberen Rahmen, weil es Art. 9 DSGVO betrifft. Warum diese Einstufung so weit reicht, steht in Sind Trainingsdaten Gesundheitsdaten nach Art. 9 DSGVO?.

Wonach bemisst sich die Höhe?

Art. 83 Abs. 2 DSGVO nennt elf Kriterien. Sechs davon kannst du selbst beeinflussen, und zwar auch noch, nachdem etwas passiert ist:

• Art, Schwere und Dauer des Verstoßes
• Vorsatz oder Fahrlässigkeit
• Maßnahmen zur Minderung des Schadens für die Betroffenen
• Grad der Verantwortung unter Berücksichtigung getroffener Maßnahmen
• Zusammenarbeit mit der Aufsichtsbehörde
• Art und Weise, wie der Verstoß bekannt wurde — ob du ihn selbst gemeldet hast

Der vorletzte Punkt ist der unterschätzte. Wer auf ein Auskunftsverlangen der Behörde binnen Frist vollständig antwortet, steht am Ende deutlich anders da als jemand, der es liegen lässt.

Was passiert tatsächlich, wenn sich jemand beschwert?

Der Ablauf ist in aller Regel derselbe:

1. Beschwerde einer betroffenen Person bei der Aufsichtsbehörde — in Österreich bei der Datenschutzbehörde, in Deutschland bei der Landesbehörde am Sitz deines Betriebs.
2. Schriftliches Auskunftsverlangen an dich, meist mit einer Frist von zwei bis vier Wochen und einem Katalog konkreter Fragen.
3. Bewertung anhand dessen, was du vorlegst.
4. Entscheidung: Einstellung, Verwarnung nach Art. 58 Abs. 2 lit. b, Anordnung — etwa zur Löschung — oder Geldbuße.

Die häufigsten Auslöser sind keine Datenpannen, sondern drei Alltagsdinge: ein unbeantwortetes Auskunftsersuchen, ein nicht umgesetzter Löschwunsch und ein veröffentlichtes Foto ohne Zustimmung. Alle drei entstehen typischerweise nach dem Ende einer Betreuung, im Streit.

Gibt es eine Sonderregel für kleine Betriebe?

Von den Pflichten befreit sie niemanden. Bei der Bemessung wirkt die Größe aber sehr wohl, und in Österreich sogar ausdrücklich: § 11 DSG verpflichtet die Datenschutzbehörde, den Katalog des Art. 83 Abs. 2 so anzuwenden, dass insbesondere bei erstmaligen Verstößen von der Verwarnung Gebrauch gemacht wird. Das ist keine Garantie, aber es beschreibt die Praxis.

Daneben kennt das österreichische Recht in § 62 DSG eigene Verwaltungsstrafen bis 50.000 Euro für bestimmte Verstöße, etwa gegen das Datengeheimnis oder die Regeln zur Bildverarbeitung.

Was kostet dich der Fall, auch ohne Geldbuße?

Meist mehr als die Buße selbst:

Der letzte Punkt ist im Personal Training der eigentliche. Das Geschäft läuft über Empfehlung, und eine Auseinandersetzung über Fotos einer ehemaligen Klientin bleibt in einer Stadt nicht folgenlos.

Kann dein Klient selbst Geld verlangen?

Ja, unabhängig von jedem Behördenverfahren. Art. 82 DSGVO gibt jeder Person einen Anspruch auf Ersatz des materiellen und immateriellen Schadens.

Zwei Leitplanken aus der Rechtsprechung: Der Europäische Gerichtshof hat am 4. Mai 2023 in der Sache C-300/21 klargestellt, dass ein bloßer Verstoß nicht genügt — ein Schaden muss nachgewiesen werden. Zugleich hat er eine Erheblichkeitsschwelle abgelehnt: Auch ein kleiner Schaden zählt.

In Deutschland kommt hinzu, dass Verbraucherschutzverbände nach der Entscheidung des Gerichtshofs vom 28. April 2022 in der Sache C-319/20 gegen Datenschutzverstöße vorgehen können. Für einen einzelnen Trainer ist das selten der praktische Fall, es beschreibt aber das Klima.

Welche drei Unterlagen entscheiden im Ernstfall?

Das Verfahren dreht sich fast nie um die Frage, ob du sorgfältig gearbeitet hast, sondern ob du es belegen kannst — Art. 5 Abs. 2 legt die Beweislast auf dich. Drei Dokumente tragen den Großteil:

1. Verarbeitungsverzeichnis nach Art. 30. Eine Tabelle, sechs Spalten.
2. Einwilligungen nach Art. 7 Abs. 1, datiert und im Wortlaut nachvollziehbar — siehe Einwilligung einholen: Muster und Fehler.
3. Auftragsverarbeitungsverträge nach Art. 28 mit jedem Werkzeug, in dem Klientendaten liegen — siehe Auftragsverarbeitungsvertrag für Personal Trainer.

Wer sie hat, verhandelt über die Höhe. Wer sie nicht hat, verhandelt über das Ob.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Freigaben und deren Widerruf werden dort protokolliert — was das im Betrieb heißt, steht auf der Startseite und in den häufigen Fragen.

Was tust du, wenn der Brief tatsächlich kommt?

Vier Dinge, in dieser Reihenfolge — und keines davon heißt abwarten:

1. Frist notieren. Sie ist verlängerbar, aber nur, wenn du vorher fragst. Verstreichen lassen ist der teuerste Fehler im ganzen Verfahren.
2. Sachverhalt festhalten, bevor du antwortest: Was wurde verarbeitet, ab wann, auf welcher Grundlage, wer hatte Zugriff.
3. Abstellen, was abstellbar ist. Ein gelöschtes Foto und eine nachgeholte Auskunft wirken bei der Bemessung nach Art. 83 Abs. 2 zu deinen Gunsten — ausdrücklich genannt sind Maßnahmen zur Minderung des Schadens.
4. Vollständig und sachlich antworten. Die Zusammenarbeit mit der Behörde ist eines der elf Kriterien.

Was du nicht tun solltest: mit der beschwerdeführenden Person über die Behörde verhandeln. Das Verfahren läuft davon unabhängig weiter, und Druckversuche schlagen regelmäßig auf die Bewertung durch.

Fazit

Die 20 Millionen sind eine Obergrenze für Konzerne, nicht die Erwartung für ein Einzelunternehmen. Was einem Trainer realistisch begegnet, ist ein Brief mit Fragen und einer Frist — und der Ausgang hängt fast vollständig davon ab, ob drei Ordner existieren. Sie anzulegen dauert einen Nachmittag, sie im Verfahren nachzuliefern dauert Wochen. Der Überblick steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 21. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.