DSGVO im Fitnessstudio: Mitgliederdaten, Biometrie, Ausweise und Videoüberwachung

Ein Fitnessstudio erhebt weit mehr personenbezogene Daten, als seinem Betreiber gewöhnlich bewusst ist, und der häufigste Verstoß liegt in der biometrischen Zutrittskontrolle. Namen, Anschriften, Bankdaten, Gesundheitserklärungen, Protokolle der Zutrittsausweise, Videoaufnahmen und Leistungsdaten vernetzter Geräte fallen sämtlich unter die Datenschutz-Grundverordnung (EU) 2016/679. Die Bußgelder reichen bis zu 4 Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Dieser Leitfaden behandelt die praktischen Pflichten eines Clubbetreibers, mit besonderem Blick auf die Fallen bei Biometrie und vernetzten Geräten. Die DSGVO gilt unmittelbar in Deutschland und Österreich; in der Schweiz gilt das revidierte Bundesgesetz über den Datenschutz mit weitgehend paralleler Systematik.

Die zentralen Pflichten

Neben der DSGVO gilt jeweils das nationale Ausführungsrecht – in Deutschland das Bundesdatenschutzgesetz und die Landesdatenschutzgesetze. Für ein Fitnessstudio sind die wesentlichen Pflichten: ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30, eine benannte Rechtsgrundlage für jede Verarbeitung (Vertrag, Einwilligung, berechtigtes Interesse oder rechtliche Verpflichtung), eine klare Information bei der Erhebung, die Wahrung der Betroffenenrechte auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch und Einschränkung, dem Risiko angemessene Sicherheitsmaßnahmen, die Meldung von Datenpannen an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden sowie schriftliche Verträge mit jedem Auftragsverarbeiter.

Die fünf Datenkategorien eines Fitnessstudios

Daten besonderer Kategorien erfordern entweder eine ausdrückliche Einwilligung oder eine der eng gefassten Voraussetzungen des Artikels 9 Absatz 2 sowie die stärksten verfügbaren Sicherheitsmaßnahmen.

Biometrische Zutrittskontrolle: wo die meisten Clubs nicht konform sind

Viele Clubs nutzen Fingerabdruck-, Gesichts- oder Handerkennung für den Mitgliederzutritt und werben mit Bequemlichkeit: kein Ausweis, der verloren gehen kann. In der großen Mehrzahl der Fälle ist diese Praxis nicht konform.

Die Begründung ist die Verhältnismäßigkeit nach Artikel 5. Biometrie ist für die schlichte Zutrittskontrolle zu einem Fitnessstudio nicht gerechtfertigt, weil ein Ausweis, eine Mitgliedskarte oder eine Kombination aus Benutzername und Passwort dieselbe Funktion erfüllen, ohne biometrische Daten zu verarbeiten. Eine Einwilligung allein rettet das nicht, wenn Biometrie die einzige angebotene Zutrittsart ist: Eine nicht biometrische Alternative muss auf Wunsch stets verfügbar sein, ohne Mehrkosten und ohne Leistungsminderung. Wo Biometrie tatsächlich gerechtfertigt ist, sollte die Speicherung lokal auf einem Token beim Mitglied erfolgen statt zentral auf einem Server, denn eine zentrale Template-Datenbank vervielfacht den Schaden einer Datenpanne. Eine Datenschutz-Folgenabschätzung nach Artikel 35 ist vor jeder systematischen biometrischen Verarbeitung zwingend.

In der Praxis: Ein Club, der Fingerabdrücke als einzige Zutrittsart nutzt, ohne Alternative, ohne dokumentierte Folgenabschätzung und ohne förmliche ausdrückliche Einwilligung, ist nicht konform. Die in der Privatwirtschaft beobachteten Sanktionen reichen von der – mitunter veröffentlichten – Beanstandung bis zum Bußgeld. Der Wechsel auf einen RFID-Ausweis oder eine Anmeldung löst das Problem vollständig.

Verwaltungssoftware und Auftragsverarbeitungsverträge

Die meisten Clubs betreiben eine Mitgliederplattform für Buchungen, Abrechnung und Zutritt. Diese Anbieter sind Auftragsverarbeiter nach Artikel 28, und der Betreiber bleibt Verantwortlicher. Ein fehlender oder unvollständiger Auftragsverarbeitungsvertrag gehört zu den am häufigsten festgestellten Mängeln bei Prüfungen in der Sportbranche.

Der Vertrag muss schriftlich vorliegen und Dauer, Zweck, Sicherheitsmaßnahmen sowie den Verbleib der Daten nach Vertragsende regeln. Prüfen Sie, wo die Server stehen: Verlassen die Daten den Europäischen Wirtschaftsraum, sind zusätzliche Garantien erforderlich, typischerweise Standardvertragsklauseln. Führen Sie ein Zugriffsverzeichnis darüber, welche Beschäftigten des Auftragsverarbeiters die Daten erreichen können, beschränkt auf das zwingend Erforderliche. Schließlich muss der Vertrag den Auftragsverarbeiter verpflichten, Sie über jede Datenpanne so rechtzeitig zu unterrichten, dass Sie Ihre eigene 72-Stunden-Frist einhalten können.

Videoüberwachung im Fitnessstudio

Die Videoüberwachung unterliegt einem doppelten Rahmen: der DSGVO für die aufgenommenen personenbezogenen Daten und dem jeweiligen nationalen Recht für die Überwachung öffentlich zugänglicher Räume. Klären Sie frühzeitig, welche Anzeige- oder Genehmigungsschritte Ihr nationales Recht für Kameras vorsieht, die frei zugängliche Bereiche wie einen Empfang ohne Mitgliedschaft erfassen.

Die übrigen Regeln sind streng und leicht zu verletzen. Ein Hinweisschild am Eingang muss die Überwachung, ihren Zweck, die Speicherdauer, den Verantwortlichen und die Ausübung der Betroffenenrechte benennen. Die Speicherdauer ist knapp zu halten – in Frankreich ist sie auf 30 Tage begrenzt, sofern kein konkreter Vorfall die Aufbewahrung für ein laufendes Verfahren rechtfertigt; orientieren Sie sich an der Vorgabe Ihrer nationalen Regelung. Umkleiden, Toiletten und Duschen dürfen ausnahmslos nie gefilmt werden. Die dauerhafte Erfassung von Arbeitsplätzen einschließlich Empfang und Trainerpositionen ist arbeitsrechtlich wie datenschutzrechtlich unzulässig. Führen Sie ein Einsichtsprotokoll darüber, wer wann und warum welche Aufnahmen gesichtet hat.

Gesundheitsdaten und vernetzte Geräte

Gesundheitsdaten sind Daten besonderer Kategorien, gleich ob sie aus einer ärztlichen Bescheinigung, einem Selbstauskunftsbogen oder einem Herzfrequenzgurt stammen. Die Rechtsgrundlage muss belastbar sein, der Zugriff auf befugte Beschäftigte über einen getrennten Bereich der Software beschränkt, die Speicherdauer verhältnismäßig (üblicherweise die Mitgliedschaftsdauer zuzüglich der gesetzlichen Aufbewahrungsfrist für Verträge) und die Datenbank im Ruhezustand wie bei der Übertragung verschlüsselt.

Vernetzte Geräte sind das neuere Feld. Laufbänder, Bikes und Kraftmaschinen mit Touchscreens und intelligenter Widerstandsregelung erheben inzwischen erhebliche Mengen individueller Leistungsdaten. Vor der Unterschrift für einen vernetzten Gerätepark entscheiden drei Fragen über Ihre Exposition.

Die einfachste Konformitätsentscheidung ist oft eine Beschaffungsentscheidung. Ein robuster mechanischer Gerätepark mit lokalen Konsolen erhebt nichts, und in vielen Clubs nutzt nur eine Minderheit der Mitglieder die vernetzten Funktionen. Unser Leitfaden zu technischen Datenblättern von Cardiogeräten zeigt, wo Konnektivität ihren Platz verdient.

Häufig gestellte Fragen

Brauchen wir eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten?

Ein einzelner Club erfüllt die Kriterien einer Pflichtbenennung selten; sie knüpfen an umfangreiche Beobachtung oder umfangreiche Verarbeitung besonderer Datenkategorien an. Eine Kette mit mehreren Standorten, die Biometrie, Gesundheitsfragebögen und vernetzte Leistungserfassung einsetzt, kann diese Schwelle durchaus überschreiten. Beachten Sie zudem die zusätzlichen nationalen Benennungspflichten, die in Deutschland an die Zahl der ständig mit der Verarbeitung befassten Beschäftigten anknüpfen. Eine freiwillige Benennung ist zulässig und häufig der günstigste Weg, das Verarbeitungsverzeichnis aktuell zu halten.

Wie lange darf die Akte eines ehemaligen Mitglieds aufbewahrt werden?

Für die Dauer der Mitgliedschaft zuzüglich der gesetzlichen Aufbewahrungsfristen für Verträge und Buchhaltungsunterlagen – in Frankreich üblicherweise fünf Jahre; maßgeblich sind die Fristen Ihres eigenen Rechts. Danach löschen oder in ein gesichertes Archiv mit beschränktem Zugriff überführen. Eine vollständige aktive Akte unbefristet zu Marketingzwecken vorzuhalten ist nicht vertretbar.

Dürfen wir Fotos von Mitgliedern in sozialen Medien veröffentlichen?

Nur mit einer spezifischen, informierten und freiwillig erteilten Einwilligung für genau diesen Zweck, getrennt vom Mitgliedsvertrag eingeholt und widerruflich. Eine in den allgemeinen Geschäftsbedingungen versteckte Klausel ist keine wirksame Einwilligung. Bewahren Sie die Einwilligungsnachweise auf: Genau danach wird gefragt.

Löst der Wechsel von Biometrie auf Ausweise alles?

Er beseitigt das schwierigste Problem. Ausweisprotokolle bleiben personenbezogene Daten und brauchen weiterhin eine Rechtsgrundlage, eine Information, eine Speicherdauer und Zugriffsbeschränkungen; sie sind jedoch gewöhnliche Daten und keine besondere Kategorie, und für die schlichte Zutrittskontrolle erfordern sie keine vorherige Folgenabschätzung.

Einen Gerätepark passend zu Ihrer Datenschutzposition planen