Fitness-Apps aus den USA: Was beim Datentransfer zu beachten ist

Die meisten Trainer-Werkzeuge kommen aus den USA. Das ist kein Ausschlussgrund, es ist ein zusätzlicher Prüfschritt — und der ist bei Gesundheitsdaten sorgfältiger zu machen als bei einer Newsletter-Liste.

Ist ein Anbieter aus den USA verboten?

Nein. Kapitel V der DSGVO — Art. 44 und folgende — verbietet Drittlandübermittlungen nicht, es knüpft sie an eine Grundlage. Es gibt drei, und sie stehen in einer klaren Rangfolge:

Für die meisten Trainer heißt das: Wenn Variante eins greift, ist die Sache in fünf Minuten erledigt. Wenn nicht, wird es aufwendig genug, dass sich die Frage nach einer europäischen Alternative stellt.

Was ist seit Schrems II passiert?

Am 16. Juli 2020 hat der Europäische Gerichtshof in der Sache C-311/18 den damaligen EU-US-Angemessenheitsbeschluss — das Privacy Shield — für ungültig erklärt. Gleichzeitig hat er klargestellt, dass Standardvertragsklauseln nicht für sich allein tragen: Wer sie nutzt, muss prüfen, ob die Rechtslage im Zielland ein gleichwertiges Schutzniveau zulässt.

Es folgten drei Jahre Unsicherheit, in denen viele Übermittlungen faktisch ohne belastbare Grundlage liefen. Beendet wurde sie am 10. Juli 2023 durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework.

Wichtig daran: Der Beschluss gilt nicht für „die USA", sondern nur für Unternehmen, die sich zertifiziert haben. Die Teilnehmerliste ist öffentlich einsehbar, und die Zertifizierung muss jährlich erneuert werden. Ein Anbieter, der sie hat verfallen lassen, fällt aus der Grundlage heraus.

Welche Länder gelten als sicher?

Die EU-Kommission hat für rund fünfzehn Staaten und Gebiete einen Angemessenheitsbeschluss gefasst. Darunter:

• Schweiz und Vereinigtes Königreich
• Japan, Südkorea, Neuseeland, Israel, Uruguay, Argentinien
• Kanada, allerdings nur für Organisationen, die dem dortigen Datenschutzgesetz für den privaten Sektor unterliegen
• USA, beschränkt auf zertifizierte Unternehmen

Der Sitz eines Anbieters in einem dieser Länder ist damit kein Hindernis. Zum Europäischen Wirtschaftsraum gehören daneben Island, Liechtenstein und Norwegen — dort stellt sich die Frage von vornherein nicht.

Was tust du, wenn der Anbieter nicht zertifiziert ist?

Dann brauchst du Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 — und zusätzlich eine eigene Bewertung, ob sie im Zielland tatsächlich wirken. Diese Bewertung ist nicht optional, sie ist die Kernaussage von Schrems II.

Für einen Einzelunternehmer ist das ehrlicherweise kaum leistbar. Sie verlangt eine Einschätzung ausländischer Zugriffsbefugnisse — nichts, was sich nebenbei erledigen lässt. Die praktikable Konsequenz lautet deshalb meist: Anbieter wechseln, statt eine Bewertung zu behaupten, die man nicht durchgeführt hat.

Reicht die Einwilligung des Klienten als Ausweg?

Art. 49 Abs. 1 lit. a DSGVO erlaubt eine Übermittlung, wenn die betroffene Person nach Aufklärung über die Risiken ausdrücklich einwilligt. Das klingt nach einer einfachen Lösung und ist keine.

Die Ausnahmen des Art. 49 sind für gelegentliche, nicht wiederholte Übermittlungen gedacht. Der laufende Betrieb einer App, in der täglich Daten fließen, ist das Gegenteil. Dazu kommt: Die Einwilligung ist jederzeit widerrufbar — und dann steht der Betrieb ohne Grundlage da.

Reicht es, wenn die Server in Europa stehen?

Nein, und das ist der am häufigsten übersehene Punkt. Eine Übermittlung liegt auch dann vor, wenn Daten physisch in Europa bleiben, aber jemand aus einem Drittland darauf zugreift — etwa der Support oder ein Wartungsteam.

Deshalb genügt die Angabe „EU-Rechenzentrum" nicht. Die vollständige Frage lautet: Wo liegen die Daten, und wer kann sie sehen? Was ein Anbieter darüber hinaus technisch leisten sollte, steht in EU-Server, Verschlüsselung, Zugriffsrechte — was zählt wirklich?

Wie prüfst du einen Anbieter konkret?

Fünf Schritte, alle ohne juristische Hilfe machbar:

1. Firmensitz feststellen — Impressum oder Nutzungsbedingungen.
2. Bei US-Sitz: Teilnehmerliste des Data Privacy Framework prüfen, samt Gültigkeit der Zertifizierung.
3. Liste der Unterauftragsverarbeiter durchsehen — dort tauchen Drittländer häufiger auf als beim Hauptanbieter, siehe Auftragsverarbeitungsvertrag für Personal Trainer.
4. Supportmodell klären: Wer greift zu Wartungszwecken auf Daten zu, und von wo?
5. Ergebnis im Verarbeitungsverzeichnis festhalten — Art. 30 Abs. 1 lit. e verlangt die Angabe von Drittlandübermittlungen ausdrücklich.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Damit entfällt die Drittlandfrage für die Kerndaten — Näheres auf der Startseite und in den häufigen Fragen.

Betrifft das auch die Geräte deiner Klienten?

Ja, aber nicht dich. Wenn deine Klientin eine Uhr eines US-Herstellers trägt und deren App nutzt, ist das ihre Verarbeitung und die des Herstellers — du bist daran nicht beteiligt.

Beteiligt bist du in dem Moment, in dem die Daten zu dir fließen:

Die dritte Zeile ist die, die in Verkaufsgesprächen gern übergangen wird. Eine Schnittstelle, die Daten aus einem Drittland-Dienst in deine Ablage holt, ist bequem und schafft genau die Übermittlung, die du sonst vermieden hast.

Der einfachste Weg bleibt auch hier der kleinste: Der Klient trägt selbst ein, was er teilen will. Dann verlässt kein Datensatz seinen Bereich, den er nicht selbst dorthin gegeben hat.

Fazit

Ein US-Anbieter ist kein Ausschlussgrund, aber er verlagert Arbeit zu dir: Zertifizierung prüfen, Unterauftragsverarbeiter durchsehen, Zugriffe klären, Ergebnis dokumentieren. Bei gewöhnlichen Daten ist das vertretbar. Bei Gewicht, Fotos und Verletzungen — also bei Art.-9-Daten — ist die europäische Alternative meist schlicht der kürzere Weg. Der Überblick steht in Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Hinweis: Dieser Beitrag gibt den Stand vom 22. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.