Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen

Der Satz „Ich bin doch nur Einzeltrainer" hilft hier nicht. Die DSGVO unterscheidet nicht nach Betriebsgröße, sondern nach der Art der Daten — und kaum ein Beruf sammelt so selbstverständlich Gesundheitsdaten wie das Personal Training.

Die gute Nachricht: Der Aufwand ist überschaubar, wenn man ihn einmal ordentlich macht. Dieser Beitrag ist der Überblick über den ganzen Cluster; jeder Abschnitt verweist auf den Text, der in die Tiefe geht.

Welche Daten fallen bei der Betreuung überhaupt an?

Mehr, als die meisten auf Anhieb aufzählen. Wer eine Woche lang mitschreibt, kommt schnell auf drei Dutzend Felder — verteilt über Handy, Tabelle, Messenger und Kopf.

Die Zeilen unten unterscheiden sich von denen oben nicht in der Sensibilität des Gefühls, sondern im Regime: Für gewöhnliche Daten reicht der Vertrag, für Gesundheitsdaten brauchst du eine eigene, ausdrückliche Zustimmung. Warum die Grenze genau dort verläuft, steht in Sind Trainingsdaten Gesundheitsdaten nach Art. 9 DSGVO?.

Was macht Trainingsdaten rechtlich besonders?

Art. 9 Abs. 1 DSGVO stellt die Verarbeitung von Gesundheitsdaten zunächst unter ein Verbot. Erlaubt ist sie nur, wenn eine der Ausnahmen in Abs. 2 greift — für Trainer praktisch immer die ausdrückliche Einwilligung nach lit. a.

Daraus folgen drei Dinge, die bei gewöhnlichen Daten nicht gelten:

1. Die Einwilligung muss ausdrücklich sein. Ein Häkchen bei den AGB genügt nicht, ein stillschweigendes Einverständnis erst recht nicht.
2. Du musst sie nachweisen können (Art. 7 Abs. 1). Nicht behaupten — vorlegen.
3. Die Erleichterung beim Verarbeitungsverzeichnis für kleine Betriebe entfällt (Art. 30 Abs. 5). Auch als Einzelunternehmer führst du eines.

Auf welcher Grundlage darfst du speichern?

Für jede Verarbeitung brauchst du genau eine Grundlage — und du legst sie vorher fest, nicht im Streitfall.

• Vertrag (Art. 6 Abs. 1 lit. b): alles, was ohne die Daten nicht ginge. Kontakt, Termine, Plan, Verlauf. Dafür brauchst du keine Einwilligung.
• Einwilligung (Art. 9 Abs. 2 lit. a): alles Gesundheitsbezogene. Sie ist freiwillig und jederzeit widerrufbar (Art. 7 Abs. 3) — das musst du vorher sagen und danach auch umsetzen können.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c): Rechnungen und Belege. Die bleiben auch dann liegen, wenn die Einwilligung widerrufen wird.

Wie eine belastbare Einwilligung aussieht, mit Mustertext und den vier häufigsten Fehlern, steht in Einwilligung einholen: Muster und Fehler bei Gesundheitsdaten.

Welche Grundsätze gelten unabhängig davon?

Art. 5 DSGVO nennt sechs, und sie sind kein Beiwerk — an ihnen misst eine Behörde im Zweifel alles andere.

Der letzte Punkt ist der teure. Die DSGVO dreht die Beweislast um: Nicht die Behörde muss dir einen Verstoß nachweisen, du musst die Einhaltung belegen.

Was musst du als Einzeltrainer konkret vorweisen?

Fünf Unterlagen, mehr nicht:

1. Verarbeitungsverzeichnis (Art. 30) — eine Tabelle: welche Daten, wozu, auf welcher Grundlage, wie lange, wer bekommt sie.
2. Einwilligungen je Klient, datiert und archiviert.
3. Auftragsverarbeitungsverträge mit jedem Anbieter, in dessen System Klientendaten liegen. Details in Auftragsverarbeitungsvertrag für Personal Trainer.
4. Datenschutzerklärung auf der Website und für die Betreuung, siehe Datenschutzerklärung für Personal Trainer.
5. Löschkonzept — wann was verschwindet, siehe Wie lange darf ich Klientendaten aufbewahren?

Einen eigenen Datenschutzbeauftragten braucht ein Einzeltrainer in aller Regel nicht: In Deutschland greift die Pflicht nach § 38 BDSG erst ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind, und Art. 37 Abs. 1 lit. c DSGVO setzt eine umfangreiche Verarbeitung voraus. Eine zweistellige Klientenzahl ist das nicht.

Wo liegen die Daten — und wer kommt daran?

Der häufigste Fehler ist nicht die fehlende Einwilligung, sondern der Speicherort. Trainingsdaten verteilen sich über Chatverläufe, Cloud-Ordner, Kamerarollen und Tabellen, und keiner dieser Orte kennt Zugriffsrechte.

• Messenger: Darf ich Klientendaten über WhatsApp schicken?
• Cloud-Speicher: Google Drive und Dropbox für Klientendaten
• Anbieter außerhalb der EU: Fitness-Apps aus den USA
• Videocalls: Zoom, Whereby oder Teams?
• Technische Kriterien: EU-Server, Verschlüsselung, Zugriffsrechte

Ein Werkzeug nimmt dir die Verantwortung nicht ab, aber es nimmt dir die Arbeit ab: Wenn Plan, Verlauf, Nachrichten und Fotos in einem System liegen, das Einwilligungen dokumentiert und Löschungen ausführt, sind vier der fünf Unterlagen oben halb erledigt.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Was das im Betrieb bedeutet, steht offen auf der Startseite und in den häufigen Fragen.

Was passiert, wenn du dich nicht daran hältst?

Realistisch: erst einmal nichts. Aufsichtsbehörden werden bei Kleinstbetrieben fast nur nach einer Beschwerde tätig — und dann interessiert vor allem, ob du Unterlagen hast. Was tatsächlich droht und was nicht, steht in DSGVO-Bußgelder: Was Trainern realistisch droht.

Zwei Fristen solltest du trotzdem kennen: Ein Auskunftsersuchen beantwortest du binnen einem Monat (Art. 12 Abs. 3), eine Datenpanne meldest du binnen 72 Stunden (Art. 33). Beides läuft ab dem Zeitpunkt, an dem du davon erfährst — nicht ab dem Zeitpunkt, an dem du Zeit hast.

Womit fängst du an, wenn bisher nichts steht?

An einem Nachmittag machbar, in dieser Reihenfolge:

1. Aufschreiben, wo überall Klientendaten liegen. Ehrlich, inklusive Kamerarolle und WhatsApp.
2. Verarbeitungsverzeichnis anlegen — eine Tabelle mit sechs Spalten.
3. Einwilligungstext aufsetzen und ab dem nächsten Erstgespräch verwenden.
4. Bei jedem Werkzeug nachsehen, ob ein Auftragsverarbeitungsvertrag vorliegt. Fehlt einer, das Werkzeug ersetzen.
5. Löschtermine festlegen und einmal im Quartal abarbeiten.

Fazit

Datenschutz im Personal Training ist keine Frage der Betriebsgröße, sondern eine Frage der Datenart — und die ist in diesem Beruf nun einmal die heikelste Kategorie, die die DSGVO kennt. Wer die Trennung zwischen Vertragsdaten und Gesundheitsdaten einmal sauber zieht, Einwilligungen dokumentiert und seine Werkzeuge aufräumt, hat den Großteil erledigt. Der Rest ist Routine, kein Projekt.

Hinweis: Dieser Beitrag gibt den Stand vom 19. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.