Einwilligung einholen: Muster und Fehler bei Gesundheitsdaten
Recht · 20. August 2026 · 6 Minuten
Kurz gesagt
Eine wirksame Einwilligung für Gesundheitsdaten ist ausdrücklich, freiwillig, verständlich, von allem anderen getrennt und nachweisbar — so verlangen es Art. 7 und Art. 9 Abs. 2 lit. a DSGVO. Ein Häkchen bei den AGB genügt nicht. Die vier häufigsten Fehler sind: mit dem Vertrag gekoppelt, zu allgemein formuliert, kein Hinweis auf den Widerruf und kein Nachweis. In Österreich dürfen Jugendliche ab 14 selbst einwilligen (§ 4 Abs. 4 DSG), in Deutschland gilt die Grenze von 16 Jahren aus Art. 8 DSGVO.
Die Einwilligung ist der Baustein, an dem im Personal Training alles hängt. Ohne sie gibt es für Gewicht, Fotos und Verletzungen keine Rechtsgrundlage — Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung solcher Daten grundsätzlich, und der Betreuungsvertrag hebt dieses Verbot nicht auf.
Was macht eine Einwilligung wirksam?
Fünf Eigenschaften. Fehlt eine, ist sie unwirksam — und damit die gesamte Verarbeitung.
| Eigenschaft | Fundstelle | Was das heißt |
|---|---|---|
| ausdrücklich | Art. 9 Abs. 2 lit. a | eigene, eindeutige Handlung |
| freiwillig | Art. 7 Abs. 4 | keine Kopplung an den Vertrag |
| informiert | Art. 13 | Zweck, Daten, Dauer sind genannt |
| verständlich und getrennt | Art. 7 Abs. 2 | eigener Absatz, klare Sprache |
| nachweisbar | Art. 7 Abs. 1 | Wortlaut und Zeitpunkt dokumentiert |
Der Unterschied zwischen „eindeutig bestätigend" (Art. 4 Nr. 11) und „ausdrücklich" (Art. 9 Abs. 2 lit. a) ist kein Wortspiel: Bei gewöhnlichen Daten kann eine Handlung genügen, bei Gesundheitsdaten braucht es eine Erklärung, die sich genau darauf bezieht.
Wie sieht ein brauchbarer Text aus?
Als Ausgangspunkt, an den eigenen Betrieb anzupassen:
Einwilligung in die Verarbeitung von Gesundheitsdaten
Ich willige ausdrücklich ein, dass [Name, Anschrift] im Rahmen meiner Betreuung folgende Daten verarbeitet: Körpergewicht, Körpermaße, Trainingsverlauf, Angaben zu Vorerkrankungen und Verletzungen.
Zweck ist ausschließlich die Planung, Anpassung und Auswertung meines Trainings. Die Daten werden in [Name des Systems] gespeichert und nach Ende der Betreuung innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Mir ist bekannt, dass es sich um Gesundheitsdaten im Sinne des Art. 9 DSGVO handelt. Diese Einwilligung ist freiwillig. Ich kann sie jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen, ohne dass mir daraus Nachteile für die Betreuung entstehen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Ort, Datum, Unterschrift
Für Fortschrittsfotos und für eine Veröffentlichung brauchst du je einen eigenen Block mit eigener Unterschrift, nicht denselben. Warum, steht in Fortschrittsfotos rechtssicher speichern.
Welche vier Fehler machen sie unwirksam?
1. Gekoppelt an den Vertrag. „Mit Unterzeichnung des Betreuungsvertrags stimmen Sie der Verarbeitung Ihrer Gesundheitsdaten zu." Damit ist sie nicht freiwillig — und nicht getrennt. Zwei Verstöße in einem Satz.
2. Zu allgemein. „…zur Verarbeitung meiner Daten für Trainingszwecke." Welche Daten? Wie lange? Wohin? Eine Einwilligung, die den Zweck nicht benennt, ist nicht informiert.
3. Kein Hinweis auf den Widerruf. Art. 7 Abs. 3 Satz 3 verlangt, dass die betroffene Person vor der Abgabe darüber informiert wird. Fehlt der Hinweis, fehlt eine Wirksamkeitsvoraussetzung.
4. Nicht nachweisbar. Mündlich im Erstgespräch, nicht notiert. Im Streitfall trägst du die Beweislast — und ohne Beleg verlierst du sie.
Was gilt bei Jugendlichen?
Hier unterscheiden sich Österreich und Deutschland, und der Unterschied wird regelmäßig übersehen.
| Österreich | Deutschland | |
|---|---|---|
| Eigene Einwilligung ab | 14 Jahren | 16 Jahren |
| Grundlage | § 4 Abs. 4 DSG | Art. 8 Abs. 1 DSGVO |
| Darunter | Zustimmung der Erziehungsberechtigten | Zustimmung der Erziehungsberechtigten |
Art. 8 DSGVO erlaubt den Mitgliedstaaten, die Altersgrenze bis auf 13 Jahre abzusenken; Österreich hat 14 gewählt, Deutschland ist bei 16 geblieben. Wer über die Grenze hinweg betreut, richtet sich nach dem Aufenthaltsort des Jugendlichen.
Wie dokumentierst du sie im Alltag?
Papier funktioniert, ist aber die schlechtere Variante: Es lässt sich schwerer durchsuchen, geht verloren und beantwortet die Frage „wer hat wann wozu zugestimmt?" erst nach dem Blättern im Ordner.
Was ein System leisten sollte:
- Wortlaut speichern, nicht nur ein Häkchen. Ändert sich der Text, muss nachvollziehbar bleiben, welcher Fassung jemand zugestimmt hat.
- Zeitstempel setzen.
- Widerruf mit einem Klick ermöglichen — Art. 7 Abs. 3 verlangt, dass er so einfach ist wie die Erteilung.
- Einzeln je Bereich arbeiten, nicht als Sammelzustimmung. Wer nur dem Gewichtsverlauf zustimmt, aber nicht den Fotos, muss das ausdrücken können.
KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Der Ernährungsbereich und die Fortschrittsfotos werden dort einzeln vom Klienten freigegeben und die Freigabe ist jederzeit widerrufbar — Näheres auf der Startseite und in den häufigen Fragen.
Was passiert nach einem Widerruf?
Der Widerruf wirkt ab sofort und für die Zukunft. Was bis dahin rechtmäßig verarbeitet wurde, bleibt rechtmäßig — löschen musst du es trotzdem, weil mit der Einwilligung die Grundlage entfällt. Ausgenommen sind nur Daten mit gesetzlicher Aufbewahrungspflicht, praktisch also Rechnungen. Der Ablauf im Detail steht in Klient kündigt: Welche Daten müssen weg?
Was ist der Unterschied zwischen Einwilligung und Information?
Die beiden werden regelmäßig verwechselt, und die Verwechslung kostet im Ernstfall die Rechtsgrundlage.
Die Information nach Art. 13 DSGVO schuldest du immer — unabhängig davon, worauf du dich stützt. Sie sagt der Person, wer du bist, was du verarbeitest, wozu, wie lange, wer es bekommt und welche Rechte sie hat. Sie ist eine Mitteilung, keine Frage. Was hineingehört, steht in Datenschutzerklärung für Personal Trainer.
Die Einwilligung nach Art. 9 Abs. 2 lit. a ist eine Entscheidung. Sie betrifft nur die Daten, die ohne sie gar nicht verarbeitet werden dürften.
| Information (Art. 13) | Einwilligung (Art. 9 Abs. 2 lit. a) | |
|---|---|---|
| Wann fällig | immer, bei Erhebung | nur bei Gesundheitsdaten |
| Form | Mitteilung | eigene Erklärung |
| Widerrufbar | nein, sie ist keine Entscheidung | ja, jederzeit |
| Fehlt sie | Verstoß gegen die Informationspflicht | keine Rechtsgrundlage |
Der Unterschied in einem Satz: Ohne Information hast du einen Formfehler, ohne Einwilligung hast du gar keine Grundlage. Deshalb sind es zwei Dokumente — die Datenschutzinformation, die jeder Klient bekommt, und die Einwilligung, die er unterschreibt.
Fazit
Eine Einwilligung ist schnell geschrieben und leicht kaputt zu machen. Wer sie vom Vertrag trennt, den Zweck konkret benennt, den Widerruf ankündigt und den Vorgang dokumentiert, hat die Grundlage für alles, was danach kommt — und beantwortet im Ernstfall die einzige Frage, die eine Behörde stellt: „Zeigen Sie mir die Einwilligung." Der Überblick steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.
Hinweis: Dieser Beitrag gibt den Stand vom 20. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.
Häufige Fragen
Reicht ein Häkchen bei den AGB als Einwilligung?
Nein. Art. 7 Abs. 2 DSGVO verlangt, dass die Einwilligung von anderen Sachverhalten klar unterscheidbar ist. Bei Gesundheitsdaten kommt hinzu, dass sie nach Art. 9 Abs. 2 lit. a ausdrücklich erfolgen muss — eine gebündelte Zustimmung zu einem Vertragswerk ist beides nicht.
Muss die Einwilligung unterschrieben sein?
Die DSGVO schreibt keine Form vor, aber du musst sie nach Art. 7 Abs. 1 nachweisen können. In der Praxis heißt das Unterschrift auf Papier oder eine dokumentierte Zustimmung in einem System, das Zeitpunkt und Wortlaut speichert.
Darf ich die Betreuung von der Einwilligung abhängig machen?
Nein, jedenfalls nicht für Daten, die für die Betreuung nicht erforderlich sind. Art. 7 Abs. 4 DSGVO verlangt, dass bei der Beurteilung der Freiwilligkeit berücksichtigt wird, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die dafür nicht nötig ist. Fortschrittsfotos sind ein typisches Beispiel.
Ab welchem Alter dürfen Klienten selbst einwilligen?
In Österreich ab 14 Jahren, geregelt in § 4 Abs. 4 DSG. In Deutschland bleibt es bei der Grenze aus Art. 8 DSGVO von 16 Jahren. Darunter braucht es die Zustimmung der Erziehungsberechtigten.
Wie oft muss ich die Einwilligung erneuern?
Eine gesetzliche Frist gibt es nicht. Sie gilt, solange der Zweck und der Wortlaut passen. Erneuert wird sie, wenn sich der Zweck ändert, etwa weil du zusätzlich Fotos oder ein Essenstagebuch verarbeiten willst.
KADEA ist die Coaching-App unter deinem Namen.
Trainingspläne, 412 Übungen mit Video, Nachrichten, Fortschritt — mit deinem Logo und deinen Farben. 50 € im Monat plus 10 € je Klient, 14 Tage gratis.