DSGVO für Personal Trainer: Was du wirklich beachten musst

Ich gebe zu: DSGVO war lange das Thema, bei dem ich beim Schreiben dieser Artikel am meisten geschluckt habe. Nicht weil es kompliziert ist — sondern weil so viel Halbwissen und Angstmache drumherum existiert. Trainer schreiben mir Sätze wie „Ich hab gehört, da kommen 20.000 Euro Bußgeld, wenn ich was falsch mache” — und im nächsten Atemzug speichern sie die Körpermaße von 30 Klienten in einer Excel-Tabelle, die unverschlüsselt in irgendeinem Cloud-Ordner liegt.

Beides ist das Problem. Die Panik ist übertrieben — und die tatsächliche Praxis ist oft schlampig. Lass uns das mal sortieren.

Dieser Artikel ist für dich, wenn du als Personal Trainer selbstständig bist, Klientendaten verarbeitest (was du tust, sobald du den ersten Namen aufschreibst) und einfach wissen willst, was du konkret tun musst. Kein Jura-Studium, kein Behörden-Deutsch. Nur das, was zählt.

Warum Personal Trainer ein besonderer Fall sind

Hier kommt der Punkt, den die meisten unterschätzen: Du verarbeitest keine normalen Daten. Du verarbeitest Gesundheitsdaten.

Gewicht, Körperfettanteil, Vorerkrankungen, Verletzungen, Ernährungsgewohnheiten, vielleicht Fotos vom Trainingsfortschritt — all das fällt unter Artikel 9 DSGVO, die „besonderen Kategorien personenbezogener Daten”. Das ist die höchste Schutzstufe, die die Verordnung kennt — dieselbe Kategorie wie bei Ärzten und Therapeuten.

Das hat eine simple Konsequenz: Die Regeln, die für einen normalen Onlineshop gelten, reichen für dich nicht aus. Du brauchst für die meisten dieser Daten eine ausdrückliche Einwilligung — nicht nur ein berechtigtes Interesse, nicht nur einen Vertrag. Eine echte, dokumentierte Zustimmung deines Klienten.

Das klingt erstmal nach mehr Arbeit. Ist es auch. Aber es ist machbar, und es schützt am Ende auch dich.

Die sechs Dinge, die du wirklich brauchst

Vergiss die 80-seitigen Leitfäden. Für einen typischen Solo-Personal-Trainer kocht sich die DSGVO auf eine überschaubare Liste herunter. Gehen wir sie durch.

1. Eine Datenschutzerklärung — auf deiner Website und für Klienten

Wenn du eine Website hast (und sei es nur eine Landingpage mit Kontaktformular), brauchst du eine Datenschutzerklärung. Sie erklärt, welche Daten du erhebst, warum, wie lange du sie speicherst und welche Rechte deine Besucher haben.

Das Gute: Dafür gibt es seriöse Generatoren (z. B. von eRecht24 oder Anwaltskanzleien), die für Solo-Selbstständige oft kostenlos oder günstig sind. Du musst das Rad nicht neu erfinden. Wichtig ist nur, dass die Erklärung zu deiner tatsächlichen Praxis passt — wenn du keinen Newsletter verschickst, schreib auch keinen Newsletter-Absatz rein.

Takeaway: Generator nutzen, aber an die eigene Realität anpassen. Eine Datenschutzerklärung, die Dinge behauptet, die du gar nicht tust, ist schlechter als gar keine.

2. Eine Einwilligung für Gesundheitsdaten

Das ist der Teil, der speziell für dich gilt. Bevor du Körpermaße, Anamnese oder Trainingsfortschritt speicherst, sollte dein Klient dem ausdrücklich zustimmen — schriftlich oder digital, aber dokumentiert.

In der Praxis heißt das: ein kurzer Abschnitt im Onboarding oder im Trainingsvertrag, in dem steht, welche Gesundheitsdaten du erhebst, wofür (Trainingsplanung, Fortschrittskontrolle) und dass der Klient zustimmt. Eine Unterschrift oder ein Häkchen mit Datum genügt.

Besonders wichtig wird das bei Fotos und Videos. Vorher-Nachher-Bilder, Aufnahmen für Social Media, Technik-Videos zur Analyse — für jede Nutzung außerhalb des reinen Trainings brauchst du eine separate, ausdrückliche Einwilligung. Und „außerhalb” heißt: Sobald du ein Foto auf Instagram postest oder in deinem Marketing verwendest, reicht die allgemeine Trainings-Einwilligung nicht mehr.

Takeaway: Pack einen Einwilligungs-Abschnitt in dein Onboarding. Für Marketing-Fotos immer eine eigene Zustimmung einholen — und die auch zurücknehmbar machen.

3. Ein Verzeichnis von Verarbeitungstätigkeiten (ja, auch du)

Jetzt wird’s bürokratisch, aber bleib dran. Das Verzeichnis von Verarbeitungstätigkeiten (kurz VVT, Artikel 30 DSGVO) ist eine Art Inhaltsverzeichnis: Welche Daten verarbeitest du, zu welchem Zweck, wo liegen sie, wie lange behältst du sie, an wen gibst du sie weiter?

Viele Selbstständige glauben, sie seien davon befreit, weil es eine Ausnahme für Betriebe mit weniger als 250 Mitarbeitern gibt. Der Haken: Diese Ausnahme gilt nicht, wenn du besondere Datenkategorien verarbeitest — und genau das tust du mit Gesundheitsdaten. Heißt: Auch als Ein-Personen-Betrieb brauchst du ein VVT.

Die gute Nachricht: Das ist kein Roman. Eine saubere Tabelle mit ein paar Zeilen reicht völlig. Datenkategorie, Zweck, Speicherort, Löschfrist, Empfänger. Einmal anlegen, bei Änderungen aktualisieren. Fertig.

Takeaway: Leg dir ein VVT an, auch wenn du allein arbeitest. Es ist eine Tabelle, kein Gutachten — aber im Ernstfall genau das Dokument, nach dem eine Behörde zuerst fragt.

4. Technische und organisatorische Maßnahmen (TOM)

Artikel 32 DSGVO verlangt, dass du Daten angemessen schützt. Das klingt vage, ist in der Praxis aber konkret:

• Verschlüsselung: Geräte mit Klientendaten sollten passwortgeschützt und verschlüsselt sein (FileVault auf dem Mac, BitLocker unter Windows — beides eingebaut und kostenlos).
• Zugriffsschutz: Keine Klientendaten auf dem Familien-iPad ohne Sperrcode. Kein gemeinsam genutzter Laptop ohne eigene Benutzerkonten.
• Sichere Speicherung: Eine ungeschützte Excel-Datei in einem öffentlich geteilten Cloud-Ordner ist ein Problem. Eine Anwendung mit Zugriffskontrolle und verschlüsselter Datenbank ist es nicht.
• Backups: Daten müssen verfügbar bleiben — ein Festplattencrash, der alle Klientendaten vernichtet, ist auch ein DSGVO-Thema.

Hier ist übrigens der Punkt, an dem digitale Tools dir echte Arbeit abnehmen. Wenn du Klientendaten in TrainerDesk verwaltest, liegen sie in einer Datenbank mit Zugriffskontrolle und Verschlüsselung — statt in einer Excel-Tabelle, bei der du selbst für jeden Sicherheitsaspekt verantwortlich bist. Das ersetzt nicht deine Pflichten, aber es nimmt dir einen großen Teil der technischen Umsetzung ab.

Takeaway: Verschlüssele deine Geräte, sichere Zugänge mit Passwörtern, mach Backups. Das sind 30 Minuten Aufwand und die mit Abstand größte Hebelwirkung.

5. Auftragsverarbeitungsverträge (AVV) mit deinen Tools

Sobald ein externer Dienstleister Daten für dich verarbeitet — dein E-Mail-Anbieter, dein Cloud-Speicher, deine Trainings-App, dein Newsletter-Tool — brauchst du mit dem einen Auftragsverarbeitungsvertrag (AVV).

Klingt aufwändig, ist es meistens nicht: Seriöse Anbieter stellen den AVV fertig bereit, oft mit zwei Klicks im Account-Bereich abschließbar. Deine Aufgabe ist, zu wissen, welche Dienste deine Daten anfassen, und für jeden den AVV abzuhaken. Wenn ein Anbieter keinen AVV anbietet — Vorsicht. Das ist ein Warnsignal.

Ein zweiter Punkt: Achte darauf, wo die Daten liegen. Anbieter mit Servern in der EU machen dir das Leben deutlich leichter als solche, bei denen die Daten in die USA fließen.

Takeaway: Mach eine Liste aller Tools, die deine Klientendaten berühren, und schließ für jedes einen AVV ab. Bei EU-Serverstandort bist du auf der sicheren Seite.

6. Klare Löschfristen

Du darfst Daten nicht ewig behalten, „nur für den Fall”. Wenn ein Klient kündigt und nicht mehr kommt, brauchst du seine Trainingshistorie irgendwann nicht mehr — mit einer wichtigen Ausnahme: Rechnungen und steuerrelevante Unterlagen unterliegen den gesetzlichen Aufbewahrungsfristen (in der Regel mehrere Jahre, je nach Belegart).

Praktisch heißt das: Trenne in deinem Kopf (und in deinem System) zwischen Trainingsdaten (kannst du nach Vertragsende löschen) und Buchhaltungsdaten (musst du aufbewahren). Definier dir eine Faustregel — etwa „Trainingsdaten 12 Monate nach letztem Kontakt löschen” — und halte dich dran.

Takeaway: Lösche, was du nicht mehr brauchst. Was du aus steuerlichen Gründen behalten musst, archivierst du getrennt.

Brauchst du einen Datenschutzbeauftragten? Fast sicher nicht

Das ist die Frage, die am meisten Verwirrung stiftet — also klare Ansage: Als Solo-Personal-Trainer brauchst du in aller Regel keinen Datenschutzbeauftragten.

Die deutsche Schwelle (§ 38 BDSG) greift erst, wenn mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind. Wenn du allein arbeitest, bist du weit davon entfernt.

Es gibt eine theoretische Ausnahme in Artikel 37 DSGVO für Betriebe, deren Kerntätigkeit in der „umfangreichen” Verarbeitung besonderer Datenkategorien besteht. Aber „umfangreich” zielt auf Krankenhäuser und große Praxen — ein einzelner Trainer mit ein paar Dutzend Klienten erfüllt das normalerweise nicht. Im Zweifel ist das genau die Frage, die du einmal mit einem Fachanwalt klärst, statt sie selbst zu erraten.

Und 2026 wird’s voraussichtlich noch einfacher: Die Bundesregierung hat in ihrer Modernisierungsagenda (Dezember 2025) angekündigt, bis Ende 2026 die deutsche 20-Personen-Schwelle aus dem BDSG zu streichen und sich nur noch auf die DSGVO-Regelung zu beschränken. Datenschutzverbände kritisieren das durchaus — aber für dich als Solo-Selbstständigen ändert sich praktisch wenig, weil du die Schwelle ohnehin nicht reißt. Behalte die Entwicklung im Auge, aber verlier keinen Schlaf darüber.

Die ehrliche Einordnung: Was das Risiko wirklich ist

Reden wir über die berühmten 20 Millionen Euro Bußgeld. Ja, das ist der theoretische Rahmen, den die DSGVO setzt. Nein, das passiert nicht einem Solo-Trainer, der eine Einwilligung vergessen hat. Solche Summen treffen Konzerne nach systematischen Verstößen.

Das realistische Risiko für dich ist ein anderes — und genau deshalb solltest du es ernst nehmen:

1. Ein Klient beschwert sich. Verhältnisse enden manchmal im Streit. Ein verärgerter Ex-Klient, der bei der Datenschutzbehörde anruft, kann eine Prüfung auslösen. Wenn du dann dein VVT und deine Einwilligungen vorlegen kannst, ist die Sache schnell erledigt. Wenn nicht, wird’s unangenehm.
2. Ein Datenleck. Laptop gestohlen, Cloud-Account gehackt — und plötzlich sind Gesundheitsdaten von 40 Menschen draußen. Das ist meldepflichtig, und ohne Verschlüsselung stehst du sehr schlecht da.
3. Eine Abmahnung wegen der Website. Fehlende oder fehlerhafte Datenschutzerklärung ist der Klassiker. Selten existenzbedrohend, aber ärgerlich und vermeidbar.

Keiner dieser Fälle erfordert ein Jura-Studium zur Vorbeugung. Sie erfordern eine Handvoll Dokumente und ein bisschen Hygiene bei der Datenspeicherung.

Eine 90-Minuten-Checkliste

Wenn du das hier liest und merkst, dass du bei null stehst — keine Panik. Hier ist die Reihenfolge, in der ich es angehen würde:

1. Geräte verschlüsseln (15 Min): FileVault oder BitLocker einschalten, Sperrcodes setzen.
2. Datenschutzerklärung für die Website erstellen (20 Min): Generator nutzen, anpassen.
3. Einwilligungs-Abschnitt ins Onboarding einbauen (15 Min): Gesundheitsdaten + separat für Fotos.
4. VVT anlegen (20 Min): eine Tabelle mit deinen Datenarten, Zwecken und Löschfristen.
5. Tool-Liste + AVV abhaken (15 Min): Welche Dienste haben deine Daten? AVV für jeden abschließen.
6. Löschroutine festlegen (5 Min): eine Faustregel notieren, in den Kalender als jährliche Erinnerung.

Das ist kein Wochenprojekt. Das ist ein konzentrierter Nachmittag — und danach bist du besser aufgestellt als die große Mehrheit deiner Kollegen.

Fazit

Die DSGVO ist für Personal Trainer kein Monster, aber auch nichts, was man ignorieren sollte. Du verarbeitest Gesundheitsdaten, und das bringt echte Pflichten mit sich — vor allem rund um Einwilligungen, Dokumentation und sichere Speicherung. Die gute Nachricht ist, dass der Aufwand überschaubar bleibt, wenn du ihn einmal strukturiert angehst, statt ihn vor dir herzuschieben, bis ein Problem auftaucht.

Mach den Nachmittag frei, arbeite die Checkliste ab, und dann hak es ab. Dein Kopf — und im Ernstfall auch dein Geldbeutel — werden es dir danken.

— Paul

Hinweis: Dieser Artikel ist eine allgemeine Einführung und ersetzt keine individuelle Rechtsberatung. Bei konkreten Fragen zu deiner Situation wende dich an einen Fachanwalt für Datenschutzrecht oder einen Datenschutzbeauftragten.

Fragen oder Themenvorschläge? Schreib mir an support@trainerdesk.app.