Google Drive und Dropbox für Klientendaten — geht das?

Cloud-Speicher ist die häufigste Zwischenlösung im Personal Training: ein Ordner je Klient, darin der Plan als PDF, ein paar Bilder, vielleicht eine Tabelle. Bequem, kostenlos, sofort da. Und je nach Kontotyp entweder vertretbar oder gar nicht haltbar.

Warum scheidet das Privatkonto aus?

Nicht wegen der Technik. Verschlüsselung, Rechenzentren und Verfügbarkeit sind bei den großen Anbietern in aller Regel besser als alles, was ein Einzelunternehmer selbst aufsetzen würde.

Es scheitert am Vertrag. Wer Daten in deinem Auftrag verarbeitet, muss das nach Art. 28 DSGVO auf Grundlage eines Vertrags mit festgelegtem Inhalt tun — Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschung nach Vertragsende. Für kostenlose Verbraucherkonten stellen die Anbieter einen solchen Vertrag nicht bereit, weil diese Konten nicht für die geschäftliche Verarbeitung fremder Daten gedacht sind.

Ohne diesen Vertrag fehlt nicht bloß Papier, sondern die Grundlage für die gesamte Konstruktion. Was drinstehen muss und bei welchen Werkzeugen du ihn brauchst, steht in Auftragsverarbeitungsvertrag für Personal Trainer.

Was ändert ein Geschäftstarif?

Er löst das Vertragsproblem — und nur das.

Zwei Zeilen bleiben auch im Geschäftstarif rot, und beide sind bei Gesundheitsdaten heikel.

Warum sind Freigabelinks das eigentliche Risiko?

Ein Link nach dem Muster „jeder mit dem Link kann sehen" ist kein Zugriffsrecht, sondern ein Passwort, das man weitergeben kann, ohne es zu merken. Er landet in Chatverläufen, in E-Mail-Weiterleitungen, in Lesezeichen — und er bleibt gültig, bis ihn jemand aktiv widerruft.

Bei einem Trainingsplan ist das ärgerlich. Bei einem Ordner mit Fortschrittsfotos ist es der Fall, den niemand erklären möchte. Wohin Fotos stattdessen gehören, steht in Fortschrittsfotos rechtssicher speichern.

Zwei Einstellungen, die den größten Teil entschärfen:

1. Freigabe nur an benannte Konten, nie an „jeder mit dem Link".
2. Ablaufdatum setzen, wo der Tarif es erlaubt.

Warum löst ein Ordner das Löschproblem nicht?

Weil er nichts über Fristen weiß. Art. 5 Abs. 1 lit. e DSGVO verlangt, dass Daten verschwinden, sobald der Zweck entfällt — ein Ordner behält alles, bis jemand daran denkt.

Dazu kommt der Papierkorb: Gelöschte Dateien liegen bei den gängigen Anbietern noch 30 Tage im Papierkorb, bei manchen Geschäftstarifen deutlich länger, und Versionsverläufe halten ältere Fassungen zusätzlich vor. Das ist als Sicherheitsnetz sinnvoll und gehört trotzdem ins Löschkonzept, sonst behauptest du eine Löschung, die noch nicht stattgefunden hat. Welche Frist für welche Datenart gilt, steht in Wie lange darf ich Klientendaten aufbewahren?

Wofür ist Cloud-Speicher trotzdem richtig?

Er ist ein guter Dateiablageort und ein schlechter Aktenschrank. Die Trennlinie:

Alles in der linken Spalte hat keinen Personenbezug oder ist ein Beleg. Alles rechts ist eine Akte, die Löschfristen, Einwilligungen und Zugriffsrechte braucht.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Wie ein Klient dort hineinkommt und was beim Ende der Betreuung passiert, steht auf der Startseite und in den häufigen Fragen.

Wie sieht die Prüfung in fünf Minuten aus?

Vier Fragen an den eigenen Ordner:

1. Ist das ein Geschäftskonto mit Auftragsverarbeitungsvertrag?
2. Gibt es irgendwo einen Freigabelink nach dem Muster „jeder mit dem Link"? Wenn ja: widerrufen.
3. Liegen dort Fotos oder Gesundheitsdaten? Wenn ja: umziehen.
4. Gibt es einen Termin, an dem alte Ordner geprüft und gelöscht werden?

Wer bei Frage 1 „nein" sagt, muss die anderen drei nicht mehr beantworten — dann steht der Umzug ohnehin an.

Gilt dasselbe für Notiz-Apps, Tabellen und den Kalender?

Ja, und diese drei werden noch häufiger übersehen als der Cloud-Ordner, weil sie nicht nach Datenspeicher aussehen.

Der Terminkalender ist der unterschätzteste Fall. Ein Eintrag „Anna, Rehatraining Knie, 8:00" enthält einen Namen und einen Gesundheitsbezug — das ist ein Datum nach Art. 9 DSGVO, gespeichert in einem Dienst, für den vermutlich kein Auftragsverarbeitungsvertrag vorliegt und der auf mehrere Geräte synchronisiert. Abhilfe ist einfach: Kürzel statt Diagnose. Der Grund für den Termin gehört in die Akte, nicht in den Kalender.

Notiz-Apps sind der zweite Fall. Sie synchronisieren automatisch, kennen selten Zugriffsrechte je Notiz, und der Papierkorb hält gelöschte Einträge weiter vor.

Tabellen sind der dritte. Eine Übersicht mit Namen, Gewicht und Zielsetzung ist eine vollwertige Gesundheitsakte — nur ohne Zugriffskonzept und ohne Löschfristen.

Die Prüffrage ist bei allen dieselbe: Stünde da ein fremder Name mit einer Gesundheitsangabe daneben, wärst du damit einverstanden?

Fazit

Google Drive und Dropbox sind für Trainer nicht verboten, aber sie sind für die Aufgabe falsch gebaut: Ein Dateisystem kennt keine Einwilligungen, keine Fristen und keine Personen, nur Ordner und Links. Für Vorlagen und Belege ist das genau richtig. Für die Akte eines Menschen, in der Gewicht und Bilder stehen, nicht. Der Überblick über alle Pflichten steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 20. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.