Fitnessstudios und Gesundheitsdienstleister bewegen sich in einem Datenschutz-Spannungsfeld, das viele unterschätzen: Mitgliederdaten, oft gesundheitsbezogene Angaben, Videoüberwachung, Apps und Zutrittssysteme. Dieser Beitrag zeigt, wo die echten Risiken liegen — und beginnt mit dem heißesten Eisen.
Videoüberwachung: der Klassiker, der vor Gericht scheitert
Nehmen wir einen realen Fall: Ein Studio überwachte alle drei Trainingsräume durchgehend während der Öffnungszeiten, speicherte die Aufnahmen 48 Stunden und wies per Hinweisschild an der Eingangstür darauf hin. Klingt sorgfältig. War aber unzulässig — das Gericht gab der Aufsichtsbehörde recht und ordnete die Beschränkung der Überwachung an. Warum?
Die Begründung ist lehrreich, weil sie jeden Studiobetreiber betrifft:
- Das Hinweisschild ist keine Einwilligung. Die bloße Kenntnisnahme eines Schildes ist rechtlich keine Zustimmung. Eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) verlangt eine aktive, eindeutige Handlung — bloßes Stillschweigen genügt nicht, das stellt schon Erwägungsgrund 32 der DSGVO klar.
- Der Mitgliedsvertrag trägt nicht. Das Argument, die Überwachung sei zum Schutz der Trainierenden vertraglich geschuldet (Art. 6 Abs. 1 lit. b), zieht nicht — die Schutzpflichten gehen nicht so weit, dass eine lückenlose Überwachung nötig wäre.
- Auch das berechtigte Interesse (lit. f) scheitert oft. Zwar ist die Prävention von Diebstahl und Sachbeschädigung ein berechtigtes Interesse. Aber die Überwachung muss erforderlich sein — und es gibt mildere, gleich wirksame Mittel, etwa mehr Personal. Hinzu kommt: In Bereichen, die typischerweise der Freizeit dienen, dürfen Menschen vernünftigerweise erwarten, nicht überwacht zu werden. Dieses Argument wiegt in der Abwägung schwer.
Und ein absolutes Tabu: Kameras in Umkleiden, Duschen und Toiletten sind praktisch immer unzulässig — selbst bei dokumentierten Vorfällen. Hier hat der Schutz der Privatsphäre absolute Priorität.
Wenn Sie also Videoüberwachung einsetzen, muss sie sauber begründet, auf das Nötige beschränkt und korrekt dokumentiert sein. Dazu gehört ein Hinweisschild mit den Pflichtangaben — Verantwortlicher, Zwecke, Rechtsgrundlage, Speicherdauer und DSB-Kontakt — und idealerweise trainingsfreie, unüberwachte Bereiche.
Gesundheitsdaten: schneller Art. 9 als gedacht
Der zweite Risikobereich sind gesundheitsbezogene Daten. Sobald ein Studio Vorerkrankungen, gesundheitliche Einschränkungen oder Therapieziele erfasst — etwa im Aufnahmebogen oder für ein Trainingsprogramm —, kann es sich um besondere Datenkategorien nach Art. 9 DSGVO handeln. Diese genießen erhöhten Schutz. Die Konsequenz: nur erheben, was wirklich nötig ist, mit einer tragfähigen Grundlage (oft Einwilligung), und besonders gut absichern. Bei Physiotherapie- und Reha-Anbietern ist dieser Bereich noch ausgeprägter.
Mitgliederdaten, Apps und Zutrittssysteme
Das Tagesgeschäft erzeugt laufend Daten:
- Mitgliederverwaltung: Stammdaten, Vertragslaufzeiten, Kündigungen, Zahlungs- und Lastschriftdaten. Hier gilt Datensparsamkeit und ein klares Löschkonzept nach Vertragsende.
- Mitglieder-Apps und Wearables: Trainings-Apps, die Aktivität und teils Gesundheitswerte erfassen, sind datenschutzintensiv. Der App-Anbieter ist in der Regel Auftragsverarbeiter — ein AVV nach Art. 28 DSGVO ist nötig.
- Zutrittssysteme: Chips, Fingerprint oder App-Zugang erfassen, wer wann kommt. Biometrische Systeme (Fingerabdruck) sind besonders heikel, weil sie besondere Daten verarbeiten — hier ist genau zu prüfen, ob ein milderes Mittel ausreicht.
Marketing und Kommunikation
Newsletter und Mitglieder-Mailings brauchen eine Einwilligung und eine Abmeldemöglichkeit. Wer Mitglieder in sozialen Medien zeigt — etwa Fotos aus dem Studio oder von Events —, braucht deren Einwilligung und beachtet das Recht am eigenen Bild. Gerade bei Studio-Fotos für Instagram ist Vorsicht geboten: erkennbare Mitglieder ohne Einwilligung sind ein Risiko.
Braucht das Fitnessstudio eine/n Datenschutzbeauftragte/n?
Das hängt vom Einzelfall ab. Die nationale 20-Personen-Schwelle (§ 38 BDSG) ist in größeren Studios oder Ketten erreichbar. Hinzu kommt: Wenn umfangreich gesundheitsbezogene Daten verarbeitet werden, kann sich die Pflicht aus Art. 37 DSGVO ergeben. Bei Studios mit Reha- oder Gesundheitsschwerpunkt liegt das näher als beim reinen Trainingsbetrieb. Die Bewertung sollte fundiert erfolgen.
Was Sie konkret mitnehmen sollten
Drei Dinge: Erstens, prüfen Sie Ihre Videoüberwachung kritisch — ist sie wirklich erforderlich, korrekt begründet und auf das Nötige beschränkt, und sind Umkleiden und Sanitärbereiche garantiert kamerafrei? Zweitens, erfassen Sie Gesundheitsangaben nur, soweit nötig, und schützen Sie sie besonders. Drittens, schließen Sie AVV mit Ihren App- und Softwareanbietern.
Datenschutz im Fitnessstudio entscheidet sich oft genau an der Kamera — und an der Frage, welche Gesundheitsdaten Sie wirklich brauchen.
Über den Autor
Dr. Sait Yalazay ist TÜV-zertifizierter Datenschutzbeauftragter, international anerkannter Datenschutzbeauftragter (CIPP).
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Anbieter: CyberWerkSuite.
Stand: Mai 2026. Die geschilderten Gerichtsentscheidungen stammen aus veröffentlichten Urteilen zur Videoüberwachung in Fitnessstudios.
