EU-Server, Verschlüsselung, Zugriffsrechte — was zählt wirklich?

„Unsere Server stehen in Deutschland" ist der Satz, mit dem Anbieter die Sicherheitsfrage beenden. Er beantwortet sie nicht — er beantwortet eine andere, kleinere Frage.

Was verlangt Art. 32 DSGVO eigentlich?

Kein Produkt und keine Zertifizierung, sondern ein dem Risiko angemessenes Schutzniveau. Bei Gesundheitsdaten ist dieses Risiko per Definition hoch. Abs. 1 nennt vier Bereiche:

Der letzte Punkt fehlt in fast jeder Selbsteinschätzung. Maßnahmen zu treffen genügt nicht — die Verordnung verlangt ein Verfahren zu ihrer regelmäßigen Überprüfung.

Warum ist der Serverstandort nicht die wichtigste Frage?

Weil er nur die Hälfte beschreibt. Ein Rechenzentrum in Irland oder Frankfurt sagt, wo die Daten liegen. Es sagt nichts darüber, wer sie sehen kann.

Greift ein Anbieter oder ein Unterauftragsverarbeiter aus einem Drittland auf das System zu — für Wartung, Fehlersuche oder Unterstützung —, liegt eine Übermittlung vor, unabhängig vom Standort der Festplatten. Der ganze Zusammenhang steht in Fitness-Apps aus den USA.

Die vollständige Frage lautet deshalb: Wo liegen die Daten, wer greift zu, und von wo aus?

Welche Arten von Verschlüsselung gibt es — und was schützt was?

Drei, und sie lösen verschiedene Probleme:

Ende-zu-Ende klingt nach dem Höchsten und ist für eine Coaching-App meist die falsche Wahl: Wer serverseitig nichts lesen kann, kann auch keine Auswertung über Übungen und Verläufe rechnen — also genau das, wofür die App da ist. Sinnvoll sind die ersten beiden zusammen; eine allein reicht nicht.

Warum lohnt sich Verschlüsselung doppelt?

Weil sie im Ernstfall Arbeit erspart. Passiert eine Panne, gilt zweierlei:

• Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33) — die bleibt in jedem Fall.
• Benachrichtigung der betroffenen Personen (Art. 34) — die entfällt nach Abs. 3 lit. a, wenn die Daten durch geeignete Maßnahmen, ausdrücklich genannt ist die Verschlüsselung, für Unbefugte unzugänglich sind.

Der Unterschied ist praktisch erheblich: Dreißig Klienten anzuschreiben, dass ihre Fortschrittsfotos abgeflossen sind, beendet ein Geschäft schneller als jede Geldbuße.

Was sind Zugriffsrechte, die diesen Namen verdienen?

Nicht „nur ich habe das Passwort". Vier Merkmale:

1. Trennung je Klient. Ein Trainer sieht seine Klienten, nicht die eines anderen. In Mehrbenutzersystemen ist das die zentrale Eigenschaft.
2. Trennung je Datenbereich. Wer nur den Trainingsverlauf braucht, braucht keinen Zugang zu Fotos und Ernährung.
3. Zwei-Faktor-Anmeldung. Ein Passwort allein ist bei Art.-9-Daten kein angemessenes Niveau mehr.
4. Nachvollziehbarkeit. Wer hat wann welche Freigabe erteilt oder widerrufen — das ist zugleich dein Nachweis nach Art. 7 Abs. 1, siehe Einwilligung einholen: Muster und Fehler.

Genau daran scheitern Ordner und Tabellen: Sie kennen Dateien, aber keine Personen. Warum das für Cloud-Speicher gilt, steht in Google Drive und Dropbox für Klientendaten.

Gehört ein Backup zum Datenschutz?

Ja, und das überrascht regelmäßig. Art. 32 Abs. 1 lit. b und c nennen Verfügbarkeit und rasche Wiederherstellbarkeit ausdrücklich. Ein verlorener Datensatz ist datenschutzrechtlich ein Zwischenfall wie ein abgeflossener — nur fühlt er sich anders an.

Zwei Fragen, die dabei zählen: Wie alt darf die letzte Sicherung höchstens sein, und wurde eine Rückspielung schon einmal getestet? Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, keine Maßnahme. Wie lange Sicherungen aufbewahrt werden, gehört zugleich ins Löschkonzept, siehe Klient kündigt: Welche Daten müssen weg?

Welche fünf Fragen stellst du einem Anbieter?

Alle fünf sind in einer Mail unterzubringen, und die Antworten sagen mehr als jede Produktseite:

1. Wo liegen die Daten, und wer greift von wo aus darauf zu?
2. Wie wird verschlüsselt — Transport, Ruhezustand, beides?
3. Wie ist der Zugriff getrennt — je Trainer, je Klient, je Datenbereich?
4. Wie oft wird gesichert, wie lange aufbewahrt, wann zuletzt getestet?
5. Wer sind die Unterauftragsverarbeiter, mit Sitzland?

Ein Anbieter, der auf diese fünf Fragen keine schriftliche Antwort liefert, hat entweder keine oder keine gute.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Fortschrittsfotos und der Ernährungsbereich sind dort eigene Freigaben, nicht Teil eines Sammelzugriffs — Näheres auf der Startseite und in den häufigen Fragen.

Was tust du, wenn doch etwas passiert?

Die beste Vorbereitung nützt nichts ohne einen Ablauf, der ohne Nachdenken funktioniert — die Frist aus Art. 33 beträgt 72 Stunden ab Kenntnis, nicht ab Klärung.

Der letzte Punkt gilt unabhängig davon, ob gemeldet wird: Jede Verletzung des Schutzes ist zu dokumentieren, damit die Aufsichtsbehörde die Einhaltung überprüfen kann.

Und ein Satz zur Beruhigung: Eine unvollständige Meldung innerhalb der Frist ist zulässig — Art. 33 Abs. 4 erlaubt ausdrücklich, Informationen schrittweise nachzureichen. Zu spät zu melden ist der Fehler, nicht zu früh.

Fazit

Sicherheit ist bei Gesundheitsdaten keine Produktentscheidung, sondern eine Reihe von Antworten: wer zugreift, was verschlüsselt ist, wie getrennt wird und ob eine Wiederherstellung schon einmal funktioniert hat. Der Serverstandort ist davon der kleinste Teil — er steht nur deshalb in jeder Werbung, weil er sich in vier Wörtern sagen lässt. Der Überblick über alle Pflichten steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 22. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.