Kurz gesagt: Die DSGVO kann auch für ein Studio in der Schweiz, in Großbritannien oder den USA gelten, aber nicht schon deshalb, weil eine EU-Bürgerin auf Ihrer Kursliste steht. Nach Art. 3 Abs. 2 DSGVO gilt sie, wenn Sie Ihre Kurse gezielt Menschen in der EU anbieten (Online-Kurse für Kundschaft in Deutschland, Preise in Euro, Werbung in Lörrach oder Konstanz) oder ihr Verhalten im Netz beobachten. Eine Touristin, die im Urlaub einen Einzelkurs bucht, reicht für sich genommen selten aus. Fallen Sie unter die DSGVO, brauchen Sie eine passende Datenschutzerklärung, Auftragsverarbeitungsverträge mit Ihren Dienstleistern, einen Überblick, wo diese Daten speichern, und, sofern die Verarbeitung nicht nur gelegentlich erfolgt, einen Vertreter in der EU.
„Die Schweiz ist doch gar nicht in der EU. Muss ich mich trotzdem an die DSGVO halten?“
Diese Frage stellen sich viele Studioinhaberinnen und -inhaber in Basel, Schaffhausen oder Kreuzlingen, wo ein Teil der Kundschaft auf der anderen Seite der Grenze wohnt. Im Netz bekommen sie meist eine von zwei Antworten: „Sobald eine Person aus der EU bucht, gilt die DSGVO“ oder „Das ist EU-Recht, das betrifft Sie nicht“. Beides ist oft genug falsch, um Ärger zu machen.
Entscheidend ist, was Sie wem anbieten, nicht der Pass Ihrer Kundschaft. Dieser Leitfaden erklärt, wann die DSGVO ein Studio außerhalb der EU erreicht, was sich dann ändert und was in jedem Fall sinnvoll ist. Die Schweiz ist unser Hauptbeispiel, die Logik gilt aber ebenso für Studios in Großbritannien oder den USA. Liegt Ihr Studio in Deutschland, Österreich oder einem anderen EU-/EWR-Land, ist unser praktischer DSGVO-Leitfaden für Fitness- und Yogastudios der bessere Einstieg.
Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Wenn eine Frage für Ihr Studio wichtig ist, sprechen Sie mit einer Fachperson für Datenschutzrecht oder der zuständigen Behörde.
Wann gilt die DSGVO für ein Studio außerhalb der EU?
Art. 3 Abs. 1 DSGVO erfasst Unternehmen mit einer Niederlassung in der EU, etwa einem Studio, einer Filiale oder Personal in einem EU-Land. Für Studios ganz ohne Präsenz in der EU ist Art. 3 Abs. 2 maßgeblich. Er greift, wenn Sie personenbezogene Daten von Personen verarbeiten, die sich in der EU befinden, und die Verarbeitung damit zusammenhängt,
- ihnen Waren oder Dienstleistungen anzubieten, unabhängig davon, ob sie dafür bezahlen (Art. 3 Abs. 2 lit. a), oder
- ihr Verhalten zu beobachten, soweit dieses Verhalten in der EU erfolgt (Art. 3 Abs. 2 lit. b).
„In der EU“ meint den Aufenthaltsort, nicht die Staatsangehörigkeit. Der Europäische Datenschutzausschuss (EDSA), in dem die Datenschutzbehörden der EU zusammenarbeiten, stellt in seinen Leitlinien zum räumlichen Anwendungsbereich (Leitlinien 3/2018) darauf ab, wo sich die Person in dem Moment befindet, in dem Sie ihr das Angebot machen oder sie beobachten. Eine Deutsche, die in Zürich lebt, ist in diesem Sinn nicht „in der EU“.
Anbieten heißt gezielt ansprechen, nicht bloß erreichbar sein. Nach Erwägungsgrund 23 DSGVO genügen eine Website, die aus der EU abrufbar ist, eine E-Mail-Adresse oder die Sprache Ihres eigenen Landes nicht. Für Studios in der Deutschschweiz ist das wichtig: Eine deutschsprachige Website ist kein Hinweis auf Deutschland, denn Deutsch ist auch in der Schweiz gebräuchlich. Auf gezieltes Ansprechen deuten dagegen Preise in Euro, eine .de- oder .at-Domain, Werbung, die auf Orte in der EU ausgerichtet ist, oder der ausdrückliche Hinweis auf Kundschaft in der EU.
Typische Situationen für Studios in der Schweiz
Die Behörden beurteilen jeden Fall als Ganzes. Lesen Sie die Tabelle deshalb als Denkhilfe, nicht als Urteil.
| Situation | DSGVO? | Warum |
|---|---|---|
| Ein Tourist aus München kauft in Ihrem Studio in Interlaken einen Einzelkurs an der Theke | In der Regel nein | Er ist beim Kauf nicht in der EU, und Sie sprechen die EU nicht gezielt an. |
| Eine Grenzgängerin aus Lörrach, die in Basel arbeitet, bucht über Ihre Website in Franken | Graubereich, eher nein | Dass man aus der EU buchen kann, ist noch kein gezieltes Ansprechen. Das ändert sich, wenn Sie in Lörrach werben. |
| Ihr Studio in Kreuzlingen verteilt Flyer in Konstanz und bietet Zehnerkarten auch in Euro an | Wahrscheinlich ja | Werbung in einer EU-Stadt plus Euro-Preise zeigen, dass Sie Kundschaft in Deutschland gewinnen wollen. |
| Sie verkaufen Livestream- oder On-Demand-Kurse an Abonnentinnen in Deutschland und Österreich | Wahrscheinlich ja | Sie erbringen eine Dienstleistung an Personen in der EU, und zwar bewusst. |
| Ihre Website nutzt Retargeting oder Tracking, das Profile von Besucherinnen erstellt, auch aus der EU | Möglicherweise, als Beobachtung | Der EDSA zählt verhaltensbasiertes Tracking und Profiling zur Beobachtung. Bei einfacher Besucherstatistik ist es weniger klar. |
Gilt Art. 3 Abs. 2, erfasst er die Daten der Personen, die Sie in der EU ansprechen, nicht automatisch Ihre gesamte Mitgliederliste. In der Praxis arbeiten die meisten Studios trotzdem mit einheitlichen Abläufen für alle, weil zwei Datenschutzstandards in einem Buchungssystem mehr Aufwand machen, als sie sparen.
Schweizer Datenschutzgesetz und DSGVO: wie beides zusammenspielt
Für Ihr Studio in der Schweiz gilt immer das Schweizer Recht: das revidierte Datenschutzgesetz (revDSG, oft auch nDSG genannt), das seit dem 1. September 2023 in Kraft ist. Zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Das revDSG wurde stark an die DSGVO angenähert, ist aber ein eigenes Gesetz mit eigenen Begriffen und Regeln, etwa zur Meldung von Datensicherheitsverletzungen an den EDÖB.
Die DSGVO kommt nur dazu, wenn Sie Personen in der EU gezielt ansprechen oder beobachten. Dann bedeutet das in der Praxis vor allem: ein Vertreter in der EU (sofern keine Ausnahme greift), dessen Nennung in der Datenschutzerklärung, eine Datenschutzerklärung, die auch die Anforderungen der DSGVO erfüllt, und die Gewissheit, dass Behörden in der EU, etwa in Deutschland, Beschwerden Ihrer EU-Kundschaft nachgehen können.
Die gute Nachricht: Die EU erkennt die Schweiz als Land mit angemessenem Datenschutzniveau an, und die Schweiz die EU ebenso. Daten können also zwischen beiden fließen, ohne dass Sie Zusatzverträge brauchen.
Studios in Großbritannien und den USA: Dasselbe Prinzip gilt dort. In Großbritannien gelten die UK GDPR und der Data Protection Act 2018 (Aufsicht: ICO), in den USA gibt es kein bundesweites Datenschutzgesetz, das mit der DSGVO vergleichbar wäre. In beiden Fällen kommt die DSGVO nur hinzu, wenn Sie Kundschaft in der EU gezielt ansprechen.
Brauchen Sie einen Vertreter in der EU?
Gilt Art. 3 Abs. 2 für Sie, verlangt Art. 27 DSGVO, dass Sie schriftlich einen Vertreter in einem der EU-Länder benennen, in denen sich Ihre Kundschaft befindet. Für ein Studio an der Grenze zu Deutschland liegt Deutschland nahe. Der Vertreter ist Anlaufstelle für Kundschaft und Behörden, übernimmt aber nicht Ihre Verantwortung: Für die Einhaltung der DSGVO haften weiterhin Sie selbst.
Die Ausnahme gilt für eine Verarbeitung, die gelegentlich erfolgt, keine umfangreiche Verarbeitung besonderer Kategorien von Daten wie Gesundheitsdaten (Art. 9) oder Daten über Straftaten umfasst und voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen führt. Alle drei Bedingungen müssen erfüllt sein.
| Ihre Situation | EU-Vertreter? |
|---|---|
| Eine Handvoll Buchungen aus der EU pro Jahr, keine Gesundheitsangaben gespeichert | Die Ausnahme passt oft, falls die DSGVO überhaupt gilt |
| Regelmäßige Kundschaft aus Deutschland, Online-Kurse oder Retreats für EU-Kundschaft | Auf die Ausnahme kann man sich kaum stützen: Die Verarbeitung ist nicht gelegentlich |
| Gesundheitsfragebögen oder Notizen zu Verletzungen bei EU-Kundschaft als Routine | Vorsicht: Gesundheitsdaten sind eine besondere Kategorie, und Routine ist nicht gelegentlich |
Vertreter werden meist über eine Anwaltskanzlei oder einen spezialisierten Dienstleister bestellt. Halten Sie das Mandat schriftlich fest und nennen Sie die Kontaktdaten in Ihrer Datenschutzerklärung (Art. 13). Beachten Sie außerdem: Laut EDSA verschafft ein Vertreter Ihnen nicht den „One-Stop-Shop“ der DSGVO. Ohne Niederlassung in der EU kann sich die Behörde in jedem EU-Land, in dem Ihre Kundschaft lebt, mit Beschwerden über Sie befassen.
Datenübermittlungen: Wo liegen Ihre Daten eigentlich?
Wenn Kundinnen Ihnen ihre Daten selbst geben, ist das keine „Übermittlung“. Füllt jemand in Deutschland Ihr Buchungsformular aus, behandelt der EDSA das als Erhebung direkt bei der Person, nicht als Übermittlung in ein Drittland (Leitlinien 05/2021). Ihre Pflichten ergeben sich dann aus Art. 3 Abs. 2.
Technisch wird es bei der Weitergabe. Gilt die DSGVO für Sie und geben Sie Daten von EU-Kundschaft an Dienstleister weiter (Buchungssystem, Newsletter-Tool, Zahlungsanbieter, Cloud-Speicher), brauchen Sie mit jedem einen Auftragsverarbeitungsvertrag (Art. 28), und Ihre Datenschutzerklärung muss angeben, ob Daten in Drittländer gehen und auf welcher Grundlage (Art. 13). Diese Grundlagen begegnen Ihnen:
- Angemessenheitsbeschlüsse. Die EU-Kommission hat eine Reihe von Ländern als angemessen anerkannt, darunter die Schweiz, Großbritannien, Kanada (für kommerzielle Organisationen), Japan, Südkorea, Neuseeland, Israel, Argentinien und Uruguay. Die Beschlüsse werden regelmäßig überprüft; maßgeblich ist die aktuelle Liste der Kommission.
- EU-US Data Privacy Framework. Seit Juli 2023 gibt es einen Angemessenheitsbeschluss für die USA, der aber nur US-Unternehmen erfasst, die sich unter dem Rahmen selbst zertifiziert haben. Ob ein Anbieter dazugehört, sehen Sie auf der offiziellen Data-Privacy-Framework-Liste. Für Übermittlungen aus der Schweiz gibt es mit dem Swiss-U.S. Data Privacy Framework ein eigenes Gegenstück.
- Standardvertragsklauseln (SCC). Für andere Ziele sind die Standardvertragsklauseln der Kommission das übliche Werkzeug, oft schon Teil des Auftragsverarbeitungsvertrags. Seit dem Schrems-II-Urteil vom Juli 2020, mit dem der EuGH das frühere EU-US Privacy Shield gekippt hat, müssen SCC mit einer Prüfung des Rechts im Zielland und, wo nötig, zusätzlichen Schutzmaßnahmen kombiniert werden.
Das Data Privacy Framework ist bereits die dritte Vereinbarung zwischen EU und USA: Die beiden Vorgänger hat der EuGH für ungültig erklärt, und auch gegen den aktuellen Rahmen wurde geklagt. Anbieter, die Daten in der EU oder einem anderen angemessenen Land speichern, sind weniger betroffen, falls er fällt. Stellen Sie jedem Anbieter drei Fragen: Wo werden die Daten gespeichert? Welche Unterauftragsverarbeiter setzen Sie ein, und wo sitzen sie? Auf welche Übermittlungsgrundlage stützen Sie sich? Ein seriöser Anbieter beantwortet alle drei in seinem Auftragsverarbeitungsvertrag oder seiner Liste der Unterauftragsverarbeiter.
Was Sie praktisch tun sollten
Ob die DSGVO im Einzelfall greift oder nicht: Das meiste davon kostet wenig und schützt Sie in jedem Fall, zumal das revDSG ohnehin vieles davon verlangt.
- Klären Sie, ob Sie die EU gezielt ansprechen. Schauen Sie mit den Augen einer Behörde auf Website und Werbung (Euro-Preise, EU-Domains, Werbung in EU-Grenzorten). Wenn ja, behandeln Sie diesen Teil des Geschäfts als DSGVO-pflichtig.
- Erfassen Sie, wo Mitgliederdaten liegen: Buchungssystem, Zahlungsanbieter, E-Mail- und SMS-Tools, Buchhaltung, die Tabelle auf dem Laptop am Empfang, die Handys der Lehrpersonen.
- Schließen Sie mit jedem Dienstleister einen Auftragsverarbeitungsvertrag (Art. 28) und notieren Sie, wo er Daten speichert und auf welcher Grundlage er sie übermittelt.
- Schreiben Sie eine verständliche Datenschutzerklärung: wer Sie sind, was Sie erheben und warum, die Rechtsgrundlage je Zweck, Empfänger, Übermittlungen ins Ausland, Speicherdauer, Betroffenenrechte und das Beschwerderecht bei einer Aufsichtsbehörde. Nennen Sie Ihren EU-Vertreter, falls Sie einen haben.
- Wählen Sie die passende Rechtsgrundlage je Zweck. Buchungen stützen sich auf den Vertrag, Buchhaltungsunterlagen auf eine rechtliche Pflicht, der Newsletter in der Regel auf eine Einwilligung. Ein einziges Häkchen bei „Ich akzeptiere die AGB“ deckt nicht alles ab.
- Gehen Sie sorgsam mit Gesundheitsdaten um. Notizen zu Verletzungen, Schwangerschaft und Gesundheitsfragebögen sind besondere Kategorien (Art. 9). Erheben Sie nur, was Lehrpersonen wirklich brauchen; im Studio heißt das meist ausdrückliche Einwilligung.
- Legen Sie einen Ablauf für Anfragen fest zu Auskunft, Berichtigung, Löschung oder Datenübertragung. Antworten Sie unverzüglich und innerhalb eines Monats; bei komplexen Anfragen ist eine Verlängerung um zwei Monate möglich.
- Schreiben Sie einen einseitigen Notfallplan für Datenpannen. Birgt eine Panne voraussichtlich ein Risiko für die Betroffenen, muss sie binnen 72 Stunden der zuständigen Behörde gemeldet werden (Art. 33). Ohne EU-Niederlassung kann das die Behörde in jedem EU-Land sein, in dem Betroffene leben. Für die Schweiz gelten zusätzlich die Meldepflichten gegenüber dem EDÖB. Dokumentieren Sie jede Panne, auch die nicht gemeldeten.
- Führen Sie ein einfaches Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten gilt nicht für regelmäßige Verarbeitungen, und Buchungen sind regelmäßig. Eine Seite reicht meist.
Wo Class Booking ins Bild passt
Class Booking wird in Dänemark von Nahbo ApS entwickelt; die DSGVO ist für uns also Heimrecht, kein Zusatz. Die Studiodaten werden in der EU gehostet. Ihr Studio bleibt Verantwortlicher, wir sind Ihr Auftragsverarbeiter, und einen Auftragsverarbeitungsvertrag bekommt jeder Kunde (mehr zu unserem AVV). Welche Unterauftragsverarbeiter wir einsetzen und wo sie sitzen, steht in unserer Datenschutzerklärung, einschließlich derer, die sich auf das Data Privacy Framework stützen.
Damit ist der Teil Ihrer Übersicht abgedeckt, der das Buchungssystem betrifft. Was Sie erheben, auf welcher Rechtsgrundlage und ob Sie die EU gezielt ansprechen, bleibt Ihre Entscheidung.
Häufige Fragen
Gilt die DSGVO für ein Yogastudio in der Schweiz?
Nur wenn das Studio seine Leistungen gezielt Personen in der EU anbietet oder ihr Verhalten im Netz beobachtet (Art. 3 Abs. 2). Für alles andere gilt das Schweizer Datenschutzgesetz (revDSG). Werbung in EU-Grenzorten, Euro-Preise und Online-Kurse für Kundschaft in Deutschland oder Österreich sprechen für die DSGVO.
Reicht eine einzige Kundin aus der EU, damit die DSGVO gilt?
Für sich genommen nicht. Entscheidend ist, ob Sie Personen in der EU gezielt ansprechen, nicht ob eine EU-Bürgerin auf Ihrer Liste landet. Eine einzelne Touristenbuchung ist höchstens ein Graubereich; regelmäßige Kundschaft aus der EU, um die Sie aktiv werben, ist etwas anderes.
Braucht ein kleines Studio einen EU-Vertreter?
Wenn die DSGVO über Art. 3 Abs. 2 gilt, ja, es sei denn, die Verarbeitung erfolgt nur gelegentlich, umfasst keine umfangreichen Gesundheits- oder Strafdaten und birgt voraussichtlich kein Risiko für die Betroffenen (Art. 27). Wer regelmäßig an EU-Kundschaft verkauft, kann sich auf diese Ausnahme meist nicht stützen.
Dürfen Daten zwischen der Schweiz und der EU frei fließen?
Ja. Die EU erkennt das Datenschutzniveau der Schweiz als angemessen an und umgekehrt. Zusätzliche Verträge für die Übermittlung selbst sind daher nicht nötig; einen Auftragsverarbeitungsvertrag mit Ihren Dienstleistern brauchen Sie trotzdem.
Darf ich US-Software für Daten von EU-Kundschaft nutzen?
Ja, mit einer gültigen Grundlage: Der Anbieter ist nach dem EU-US Data Privacy Framework zertifiziert, oder Sie stützen sich auf Standardvertragsklauseln samt Prüfung der Übermittlung. In beiden Fällen brauchen Sie zusätzlich einen Auftragsverarbeitungsvertrag. Am einfachsten ist es, wenn die Daten in der EU oder einem anderen angemessenen Land bleiben.
Ein Buchungssystem mit EU-Hosting und AVV für jeden Kunden
Einzelkurse, Zehnerkarten, Mitgliedschaften und Zahlungen per Karte, Apple Pay und Google Pay über Stripe, mit Studiodaten in der EU. Ab 10 € im Monat, 14 Tage kostenlos testen, ohne Kreditkarte.
14 Tage kostenlos testen →