DSGVO für Fitness- und Yogastudios: praktischer Leitfaden mit Checkliste

„Darf ich überhaupt notieren, dass sie einen Bandscheibenvorfall hat?“

Das sind die Fragen, die die DSGVO im Studioalltag aufwirft. Nicht die großen Grundsätze, sondern ganz konkrete Dinge: der Gesundheitsfragebogen bei der Anmeldung, der Newsletter, das Foto vom Samstagsworkshop und die Teilnehmerliste, die die Vertretung heute Abend braucht.

Die meisten Studioinhaber wissen, dass es die Regeln gibt, aber nur wenige können genau sagen, was sie verlangen. Dieser Leitfaden ist die ruhige Mitte: was ein typisches Studio tun muss, was Ihre Buchungssoftware übernimmt und was Sie selbst entscheiden müssen. Betreiben Sie Ihr Studio in der Schweiz oder im Vereinigten Königreich, lesen Sie stattdessen unseren Leitfaden zur DSGVO für Studios außerhalb der EU.

---

Gilt die DSGVO auch für ein kleines Studio?

Ja. Es gibt keine Untergrenze: Eine selbstständige Yogalehrerin mit 30 Teilnehmenden in einer Buchungssoftware verarbeitet personenbezogene Daten genauso wie eine Kette mit fünf Standorten. Der Unterschied liegt im Umfang der Dokumentation.

Sie sind der Verantwortliche: Sie entscheiden, welche Daten erhoben werden und wozu. Ihre Buchungssoftware ist Auftragsverarbeiter: Sie verarbeitet die Daten in Ihrem Auftrag. Die Software kümmert sich um die Technik (Sicherheit, Backups, Zugriffsrechte), Sie um die inhaltlichen Entscheidungen: was Sie abfragen, wie lange Sie es speichern und wer Zugriff bekommt.

---

Welche personenbezogenen Daten hat ein Studio typischerweise?

Vollständige Kartennummern gehören nie zu Ihnen, sondern zum Zahlungsanbieter. Und denken Sie an Datenminimierung: Fragen Sie das Geburtsdatum nur ab, wenn Sie es wirklich nutzen (etwa für altersabhängige Preise oder Kinderkurse), und nutzen Sie es nur dafür.

---

Rechtsgrundlagen in der Praxis: Sie brauchen nicht für alles eine Einwilligung

Ein verbreitetes Missverständnis lautet, dass alles eine Einwilligung braucht. Eine Einwilligung kann aber jederzeit widerrufen werden, und Sie können nicht aufhören, eine Buchung zu erfassen, nur weil jemand ein Häkchen bereut. Für alles, worauf Sie nicht verzichten können, ist die Einwilligung deshalb die falsche Grundlage.

• Vertrag: was Sie brauchen, um die gekaufte Leistung zu erbringen: Profil, Buchungen, Mitgliedschaft und Zahlungen.
• Rechtliche Verpflichtung: was Sie aufbewahren müssen, etwa Buchhaltungsunterlagen.
• Berechtigtes Interesse: z. B. Sicherheitslogs und Anwesenheitsstatistiken für die Kursplanung. Erfordert eine Abwägung, die Sie begründen können.
• Einwilligung: alles, was ein Mitglied ablehnen kann, ohne seinen Platz zu verlieren: Newsletter, Fotos und Gesundheitsangaben.

Tragen Sie die Rechtsgrundlage in Ihr Verarbeitungsverzeichnis ein und erklären Sie sie in Ihrer Datenschutzerklärung: was Sie erheben, wozu, an wen Sie es weitergeben und wie lange Sie es speichern.

---

Gesundheitsdaten: Verletzungen, Schwangerschaft und Artikel 9

Gesundheitsdaten sind eine besondere Kategorie personenbezogener Daten. Artikel 9 verbietet ihre Verarbeitung grundsätzlich, es sei denn, eine Ausnahme greift. Für ein Studio ist der praktische Weg die ausdrückliche Einwilligung: ein aktives, gesondertes Ja, keine Zeile versteckt in den AGB.

1. Fragen Sie nur ab, was die Trainerin nutzt. Ein Reformer-Pilates-Studio muss vielleicht von einer kürzlichen Operation wissen; eine Vinyasa-Drop-in-Stunde braucht keine Krankengeschichte. Ein freiwilliges Feld wie „Gibt es etwas, das Ihre Lehrerin wissen sollte?“ reicht oft.
2. Machen Sie das Feld freiwillig und erklären Sie kurz, warum Sie fragen.
3. Beschränken Sie den Zugriff auf die Trainer, die die Person tatsächlich unterrichten.
4. Halten Sie es aus E-Mail, SMS und WhatsApp heraus. Was einmal im Gruppenchat steht, bekommen Sie nicht mehr gelöscht.
5. Löschen Sie es, wenn es nicht mehr relevant ist. Eine Rückenverletzung von vor drei Jahren gehört nicht mehr ins Profil.

Zwei Feinheiten: Erzählt ein Mitglied der Trainerin kurz vor der Stunde von einer schmerzenden Schulter, ist nichts gespeichert; die DSGVO greift, sobald jemand es in ein System oder eine Kartei einträgt. Umgekehrt kann schon die Teilnehmerliste eines Schwangerschaftsyoga-Kurses eine Schwangerschaft verraten. Behandeln Sie sie mit derselben Sorgfalt wie einen Gesundheitsfragebogen.

---

Auftragsverarbeitung: Buchungssoftware und andere Dienstleister (Art. 28)

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV). Die meisten Softwareanbieter stellen ihn in den Vertragsbedingungen oder auf Anfrage bereit. Ihre Aufgabe ist es zu wissen, wer die Daten Ihrer Mitglieder hat, und zu prüfen, dass der Vertrag existiert.

Der Vertrag muss unter anderem sicherstellen, dass der Dienstleister nur auf Ihre Weisung handelt, die Daten schützt, Unterauftragsverarbeiter nur mit Ihrer Genehmigung einsetzt, Sie bei Datenpannen und Anfragen von Mitgliedern unterstützt und die Daten löscht oder zurückgibt, wenn Sie kündigen. Class Booking stellt jedem Kunden einen Auftragsverarbeitungsvertrag zur Verfügung; auf Anfrage senden wir Ihnen eine unterschriebene Fassung.

---

Das Verarbeitungsverzeichnis (Art. 30): eine Seite, die Ihre Datenverarbeitung beschreibt

Das Verzeichnis ist ein internes Dokument: was Sie verarbeiten, wozu, über wen, wer es erhält, ob Daten die EU verlassen, wie lange Sie sie speichern und wie Sie sie schützen. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten gilt nur bei gelegentlicher Verarbeitung ohne besondere Kategorien. Eine Mitgliederdatenbank, die täglich genutzt wird, ist nicht gelegentlich; gehen Sie also davon aus, dass die Pflicht Sie trifft. Viele Aufsichtsbehörden bieten Muster an.

Ob Sie zusätzlich einen Datenschutzbeauftragten benennen müssen, hängt in Deutschland vor allem davon ab, wie viele Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG, in der Regel ab 20 Personen). Für ein kleines Studio ist das selten der Fall; prüfen Sie es trotzdem.

---

Wie lange dürfen Sie Daten speichern? Festlegen und dokumentieren

Die DSGVO verlangt, personenbezogene Daten nicht länger als nötig zu speichern, nennt aber keine festen Fristen für eine Mitgliederdatenbank. Sie legen für jede Datenart eine Frist fest, schreiben die Begründung auf und halten sich daran. Ausnahme sind Buchhaltungsunterlagen: Bewahren Sie sie so lange auf, wie die handels- und steuerrechtlichen Vorschriften es verlangen, und fragen Sie im Zweifel Ihre Steuerberatung.

„Vielleicht kommen sie wieder“ ist keine Begründung. „Viele Mitglieder pausieren ein, zwei Jahre, deshalb löschen wir Profile 24 Monate nach der letzten Buchung“ ist eine Begründung, die Sie vertreten können. Die Zahl ist ein Beispiel, keine gesetzliche Vorgabe. Tragen Sie sich einen festen Termin ein, etwa jeden Januar, an dem Sie aufräumen.

---

Rechte der Mitglieder: Auskunft, Löschung und Datenübertragbarkeit

Sie müssen unverzüglich antworten, spätestens aber innerhalb eines Monats. Bei komplexen Anfragen können Sie die Frist um bis zu zwei weitere Monate verlängern, müssen das dem Mitglied aber innerhalb des ersten Monats mitteilen. Grundsätzlich ist die Auskunft kostenlos.

• Auskunft (Art. 15): eine Kopie der Daten, die Sie über die Person haben: Profil, Buchungen, Käufe, Nachrichten und Notizen.
• Löschung (Art. 17): nicht absolut. Rechnungen, die Sie aufbewahren müssen, dürfen Sie behalten, aber keine Daten aus Bequemlichkeit oder für Werbung.
• Datenübertragbarkeit (Art. 20): die Daten, die das Mitglied Ihnen selbst gegeben hat, in einem strukturierten, maschinenlesbaren Format wie CSV oder JSON.
• Widerspruch gegen Direktwerbung (Art. 21): absolut. Sagt ein Mitglied Stopp, hören Sie auf.

Schicken Sie die Antwort nur an die E-Mail-Adresse, die im Profil des Mitglieds hinterlegt ist. So geben Sie keine Daten an jemanden heraus, der sich nur als Mitglied ausgibt.

---

Newsletter und Einwilligung

Für Werbung per E-Mail gilt in Deutschland neben der DSGVO § 7 UWG: Ohne vorherige ausdrückliche Einwilligung ist sie grundsätzlich unzulässig. Eine enge Ausnahme gibt es für Bestandskunden (§ 7 Abs. 3 UWG): Haben Sie die E-Mail-Adresse im Zusammenhang mit einem Kauf erhalten, dürfen Sie für eigene ähnliche Leistungen werben, wenn Sie bei der Erhebung und in jeder Mail klar auf das Widerspruchsrecht hinweisen. Um die Einwilligung nachweisen zu können, hat sich in Deutschland das Double-Opt-in als Standard etabliert.

Die DSGVO ergänzt zwei Punkte: Sie müssen die Einwilligung nachweisen können (wann, wie, mit welchem Wortlaut), und der Widerruf muss so einfach sein wie die Erteilung. Also keine vorangekreuzten Kästchen und ein funktionierender Abmeldelink in jeder Aussendung. Buchungsbestätigungen, Quittungen und Kursabsagen sind Service; „Wir vermissen Sie, hier sind 20 % Rabatt“ ist Werbung, auch wenn die Mail aus der Buchungssoftware kommt.

---

Fotos und Videos in sozialen Medien

Ein Foto mit erkennbaren Personen ist ein personenbezogenes Datum, und ein Instagram-Post veröffentlicht es. Neben der DSGVO spielt in Deutschland das Recht am eigenen Bild (KUG) eine Rolle. Der sichere Weg ist in jedem Fall eine gesonderte, freiwillige Einwilligung, die sagt, wo die Bilder erscheinen, und die widerrufen werden kann. Wird sie widerrufen, nehmen Sie das Bild herunter, wo Sie können.

• Besondere Vorsicht bei Kursen, in denen das Foto selbst etwas über die Gesundheit verrät: Schwangerschaftsyoga, Reha-Kurse, Kurse für bestimmte Beschwerden.
• Kinderkurse: Fragen Sie die Eltern, und zeigen Sie nie Namen neben Kinderfotos.
• Praktisch: Kündigen Sie Fotos vorher an, fotografieren Sie von hinten und lassen Sie alle, die nicht aufs Bild wollen, aus dem Bildausschnitt treten.

---

Datenpannen: die 72-Stunden-Regel

Typische Datenpannen im Studio sind alltäglich: eine Mail an alle Mitglieder mit offenen Empfängern im CC statt BCC, ein verlorenes Handy ohne Sperrcode mit Teilnehmerlisten, ein gehacktes E-Mail-Konto oder eine Tabelle mit Gesundheitsangaben, die über einen offenen Link geteilt wurde.

Nach Artikel 33 müssen Sie die Panne unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt geworden ist, der Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für Ihre Mitglieder. Die 72 Stunden laufen auch am Wochenende. Jede Panne müssen Sie intern dokumentieren, auch wenn Sie sie nicht melden, und bei hohem Risiko die betroffenen Mitglieder benachrichtigen (Art. 34). Passiert die Panne bei Ihrem Dienstleister, muss er Sie unverzüglich informieren.

Wer ist zuständig? Für Studios als private Unternehmen ist die Datenschutzaufsichtsbehörde Ihres Bundeslandes zuständig, in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Der Bundesbeauftragte (BfDI) ist vor allem für Bundesbehörden zuständig, nicht für Ihr Studio. In Österreich ist es die Datenschutzbehörde (DSB).

Schreiben Sie einen Notfallplan auf einer halben Seite: Wer bewertet, wer meldet, und eine Vorlage für die Nachricht an die Mitglieder. Dann sind die Entscheidungen in Ruhe getroffen und nicht mitten im Vorfall.

---

Checkliste: DSGVO in Ihrem Studio in 10 Punkten

Ein Systemwechsel ist ein guter Moment, um Ihre Daten aufzuräumen. Unser Leitfaden zum Wechsel ohne Datenverlust zeigt, was Sie exportieren, zuordnen und prüfen sollten.

---

Wobei Class Booking hilft

Class Booking ist Ihr Auftragsverarbeiter, die inhaltlichen Entscheidungen bleiben also bei Ihnen. Das technische Gerüst ist aber eingebaut:

• Datenhosting auf Servern in der EU.
• Vollständiger Datenexport (JSON oder CSV), damit Ihre Daten nie eingesperrt sind.
• Mitglieder können ihr Konto selbst löschen, und Sie können ein Mitglied dauerhaft löschen, während Buchhaltungsdaten erhalten bleiben.
• Trainer sehen standardmäßig nur die Teilnehmenden ihrer eigenen Kurse.
• Ein Audit-Log administrativer Aktionen und Zwei-Faktor-Authentifizierung auf unseren eigenen Admin-Zugängen zur Plattform.
• Eine öffentliche Liste der Unterauftragsverarbeiter mit Standort in unserer Datenschutzerklärung.

---

Häufige Fragen

Gilt die DSGVO auch für ein kleines Yogastudio?

Ja, unabhängig von der Größe. Für ein kleines Studio ist der Aufwand überschaubar: Datenschutzerklärung, ein einseitiges Verarbeitungsverzeichnis, AVVs, schriftliche Löschfristen und ein Notfallplan für Datenpannen.

Darf ich Kunden nach Verletzungen und Schwangerschaft fragen?

Ja, aber das sind Gesundheitsdaten nach Artikel 9. Fragen Sie nur ab, was die Trainerin braucht, machen Sie das Feld freiwillig, holen Sie eine ausdrückliche Einwilligung ein, beschränken Sie den Zugriff und löschen Sie die Angaben, wenn sie nicht mehr relevant sind.

Brauche ich einen AVV mit meiner Buchungssoftware?

Ja. Die Buchungssoftware verarbeitet die Daten Ihrer Mitglieder in Ihrem Auftrag und ist damit Auftragsverarbeiter nach Artikel 28. Prüfen Sie, dass der Vertrag vorliegt und Sie die Liste der Unterauftragsverarbeiter einsehen können.

Wie schnell muss ich eine Auskunftsanfrage beantworten?

Unverzüglich, spätestens innerhalb eines Monats. Bei komplexen Anfragen ist eine Verlängerung um bis zu zwei Monate möglich, wenn Sie das Mitglied innerhalb des ersten Monats informieren.

Wann muss ich eine Datenpanne melden?

Unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt geworden ist, bei der Aufsichtsbehörde Ihres Bundeslandes, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Dokumentieren Sie jede Panne intern.