Datenschutz im Fitnessstudio: DSGVO und Videoüberwachung

Inhalt in Kürze

• Videoüberwachung der Trainingsfläche ist im Regelfall unzulässig – das VG Ansbach hat 2022 einer flächendeckenden Überwachung im Fitnessstudio einen Riegel vorgeschoben.
• Trainings- und Körperdaten sind Gesundheitsdaten nach Art. 9 DSGVO und brauchen eine ausdrückliche, freiwillige Einwilligung.
• Verträge, Werbung und Gesundheitsdaten müssen getrennt eingewilligt werden – eine pauschale Sammel-Einwilligung im Mitgliedsvertrag ist unwirksam.
• Ein Datenschutzbeauftragter ist ab 20 Personen Pflicht (§ 38 BDSG); bei Videoüberwachung kann zusätzlich eine Datenschutz-Folgenabschätzung nötig sein.

Fitnessstudios sammeln eine ungewöhnliche Mischung sensibler Daten: Mitgliederverträge, Bankdaten für die Lastschrift, Trainingspläne, Körperanalysen – und durch Kameras oft auch Bewegungsprofile. Genau diese Kombination hat schon Gerichte und Aufsichtsbehörden beschäftigt. Wir zeigen, was im Studio erlaubt ist und wo das teure Risiko liegt.

Videoüberwachung: Das VG-Ansbach-Urteil als Warnschuss

Viele Studios filmen Eingang, Umkleidevorraum und Trainingsflächen rund um die Uhr – aus Sorge vor Diebstahl, Vandalismus oder Haftungsfragen. Das ist riskanter, als es aussieht.

Das Verwaltungsgericht Ansbach hat mit Urteil vom 23.02.2022 (Az. AN 14 K 20.00083) entschieden, dass die durchgehende Videoüberwachung sämtlicher Trainingsräume eines Fitnessstudios datenschutzrechtlich unzulässig ist. Die Begründung: Die Überwachung erfasst alle Trainierenden während der gesamten Öffnungszeiten ohne räumliche oder zeitliche Ausweichmöglichkeit – ein gravierender Eingriff, zumal dem Betreiber andere, ausreichend wirksame Maßnahmen wie mehr Personal zur Verfügung stehen.

Trainingsdaten sind Gesundheitsdaten

Hier unterschätzen viele Betreiber das Risiko. Körperanalysen, Trainingsdokumentationen, BMI-Messungen, Angaben zu Vorerkrankungen im Anamnesebogen – all das sind Gesundheitsdaten im Sinne von Art. 9 DSGVO.

Für besondere Datenkategorien gilt nach Art. 9 DSGVO ein grundsätzliches Verarbeitungsverbot. Verarbeiten dürfen Sie diese Daten nur mit einer ausdrücklichen Einwilligung, die freiwillig, konkret und informiert erfolgt. Ein versteckter Satz im Kleingedruckten des Mitgliedsvertrags reicht dafür nicht. Wie sensibel Körper- und biometrische Merkmale rechtlich sind, vertiefen wir im Beitrag zu biometrischen Daten im Unternehmen.

Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeiter schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird.

Nils OehmichenDatenschutzberater bei frag.hugo

Einwilligungen sauber trennen

Der häufigste Formfehler: ein einziges Häkchen, das gleichzeitig Vertrag, Werbung und Gesundheitsdaten abdeckt. Das ist unwirksam, weil eine Einwilligung freiwillig und für jeden Zweck getrennt erfolgen muss.

• Vertragsdaten: Name, Adresse, Bankverbindung – Grundlage ist die Vertragserfüllung, keine Einwilligung nötig.
• Gesundheitsdaten: Körperanalyse, Trainingsplan, Anamnese – eigene, ausdrückliche Einwilligung erforderlich.
• Werbung: Newsletter, SMS, Geburtstagsaktionen – separate, jederzeit widerrufbare Einwilligung.
• Foto/Video für Social Media: Eigene Einwilligung, niemals als Bedingung der Mitgliedschaft.

SEPA-Daten und Mitgliederverwaltung

Studios arbeiten fast immer mit Lastschrift. Die dafür nötigen Bankdaten dürfen Sie auf Grundlage der Vertragserfüllung verarbeiten – aber nur für die Beitragseinzüge, nicht für andere Zwecke. Nach Vertragsende dürfen Sie die Daten nicht unbegrenzt behalten: Es gilt der Grundsatz der Speicherbegrenzung, gebunden an gesetzliche Aufbewahrungsfristen (etwa steuerrechtlich) und an den ursprünglichen Zweck.

Praktisch heißt das: Ein ausgetretenes Mitglied wird nach Ablauf der Aufbewahrungsfristen gelöscht – nicht „für alle Fälle” auf Dauer im System behalten. Mehr zu sauberer Auftragsverarbeitung mit Ihrer Studiosoftware lesen Sie in unserem AVV-Leitfaden.

Brauchen Sie einen Datenschutzbeauftragten?

Nach § 38 BDSG ist ein Datenschutzbeauftragter ab 20 Personen Pflicht, die ständig automatisiert Daten verarbeiten. Bei einer Kette mit mehreren Studios ist das schnell erreicht. Aber auch kleinere Studios sollten prüfen: Wer umfangreich Gesundheitsdaten verarbeitet oder systematisch per Video überwacht, kann zusätzlich eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) durchführen müssen – und muss dann nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Personenzahl einen DSB benennen.

1. Kameras prüfen: Trainingsflächen-Überwachung kritisch hinterfragen, Umkleiden und WCs sofort kameralos stellen, Hinweisschilder anbringen.
2. Einwilligungen splitten: Getrennte Felder für Gesundheitsdaten, Werbung und Foto/Video im Vertrag.
3. Software absichern: AVV mit dem Anbieter der Mitgliederverwaltung, Zugriffsrechte nach Rolle.
4. Löschkonzept einführen: Klare Fristen für ausgetretene Mitglieder und alte Videoaufnahmen (meist 48–72 Stunden).
5. DSB-Frage klären: Personen zählen, gegebenenfalls DSB benennen und Folgenabschätzung prüfen.

Aus der Praxis: Die Kamera, die zu viel sah

Ein typischer Fall: Ein Studio installiert Kameras „zur Sicherheit” auch im Bereich der Geräte – und ein Mitglied beschwert sich bei der Aufsichtsbehörde. Plötzlich steht nicht der Diebstahlschutz im Fokus, sondern die Frage, warum Trainierende dauerhaft gefilmt werden.

Genau hier setzte das VG Ansbach an. Sicherheitsinteressen rechtfertigen keine Rundumüberwachung, wenn mildere Mittel möglich sind – das Gericht nannte etwa eine Aufstockung des Personals. Wer das vorher bedenkt, spart sich das Verfahren.

Ihr nächster Schritt

Datenschutz im Fitnessstudio ist gut lösbar, wenn man die richtigen Stellschrauben kennt: saubere Einwilligungen, eine vertretbare Kamera-Lösung und ein klares Löschkonzept. Als externer Datenschutzbeauftragter richten wir das pragmatisch ein, ohne Ihren Betrieb auszubremsen – auf Wunsch digital begleitet über Hugo DSB.

Häufige Fragen (FAQ)

Ist Videoüberwachung im Fitnessstudio erlaubt?

Nur eingeschränkt. Das VG Ansbach hat 2022 entschieden, dass eine flächendeckende Überwachung der Trainingsräume unzulässig ist. Zulässig kann eine zurückhaltende Überwachung an neuralgischen Punkten wie Eingang und Kasse sein, wenn die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO zugunsten des Studios ausfällt. In Umkleiden, Duschen und WCs ist Videoüberwachung grundsätzlich verboten.

Sind Trainingsdaten und Körperanalysen Gesundheitsdaten?

Ja. Trainingsdokumentationen, Körperanalysen, BMI-Werte und Anamnesedaten fallen unter Art. 9 DSGVO. Für ihre Verarbeitung ist eine ausdrückliche, freiwillige und informierte Einwilligung erforderlich.

Reicht eine Einwilligung im Mitgliedsvertrag aus?

Nein. Vertrag, Werbung und Gesundheitsdaten müssen getrennt eingewilligt werden. Eine pauschale Sammel-Einwilligung über ein einziges Häkchen ist unwirksam, weil eine Einwilligung für jeden Zweck freiwillig und konkret erfolgen muss.

Wie lange dürfen Mitgliederdaten gespeichert werden?

Nur so lange, wie es der Zweck oder gesetzliche Aufbewahrungsfristen erfordern. Nach Vertragsende und Ablauf der steuerrechtlichen Fristen sind die Daten zu löschen. Eine dauerhafte Speicherung „für alle Fälle” verstößt gegen den Grundsatz der Speicherbegrenzung.

Braucht ein Fitnessstudio einen Datenschutzbeauftragten?

Ein DSB ist nach § 38 BDSG ab 20 datenverarbeitenden Personen Pflicht. Bei umfangreicher Verarbeitung von Gesundheitsdaten oder systematischer Videoüberwachung kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein – dann ist nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Personenzahl ein DSB zu benennen.

Wie lange dürfen Videoaufnahmen aufbewahrt werden?

Nur so kurz wie nötig. In der Praxis sind 48 bis 72 Stunden üblich, danach sind die Aufnahmen automatisch zu löschen, sofern kein konkreter Vorfall die Aufbewahrung rechtfertigt.