Sind Trainingsdaten Gesundheitsdaten nach Art. 9 DSGVO?

Die Frage klingt nach Haarspalterei, entscheidet aber darüber, ob du mit einem Vertrag auskommst oder für jeden Klienten eine eigene Zustimmung brauchst.

Wie definiert die DSGVO Gesundheitsdaten?

Art. 4 Nr. 15 DSGVO: personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen, „einschließlich der Erbringung von Gesundheitsdienstleistungen", und aus denen Informationen über deren Gesundheitszustand hervorgehen.

Der Erwägungsgrund 35 dehnt das deutlich aus. Er nennt ausdrücklich auch Angaben, die erst durch Verknüpfung mit anderen Informationen etwas über den Zustand aussagen. Damit ist die entscheidende Frage nicht „steht da eine Diagnose?", sondern „was lässt sich daraus ablesen?"

Reicht ein mittelbarer Rückschluss?

Ja. Der Europäische Gerichtshof hat in der Sache C-184/20 am 1. August 2022 entschieden, dass auch Daten unter Art. 9 fallen, aus denen sich eine besondere Kategorie erst mittelbar ergibt. Das Urteil betraf einen anderen Sachverhalt, die Denkweise ist aber übertragbar: Wer die Schlussfolgerung zieht, verarbeitet die Kategorie.

Für die Praxis heißt das: Ein Vermerk „Kniebeuge raus, Ersatz Beinpresse" enthält keine Diagnose. Zusammen mit dem Datum, an dem die Betreuung pausiert wurde, sagt er trotzdem etwas über den körperlichen Zustand.

Wo verläuft die Grenze konkret?

Die Tabelle taugt als Landkarte, nicht als Freibrief. In der Betreuung liegen diese Felder nicht getrennt vor, sondern in einer Akte — und eine Akte, die zur Hälfte aus Art.-9-Daten besteht, behandelt man in der Praxis vollständig als Gesundheitsakte. Alles andere führt zu einem Trennstrich, den im Alltag niemand einhält.

Was ändert sich durch die Einstufung?

Drei Dinge, und alle drei kosten Zeit, nicht Geld:

1. Andere Rechtsgrundlage. Für gewöhnliche Daten trägt der Vertrag (Art. 6 Abs. 1 lit. b). Für Art.-9-Daten brauchst du die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a — separat, dokumentiert und jederzeit widerrufbar.
2. Verarbeitungsverzeichnis wird Pflicht. Art. 30 Abs. 5 befreit Betriebe unter 250 Beschäftigten — aber nicht, wenn besondere Kategorien verarbeitet werden. Bei Trainern greift die Befreiung deshalb praktisch nie.
3. Höhere technische Anforderungen. Art. 32 verlangt ein Schutzniveau, das dem Risiko entspricht. Bei Gesundheitsdaten ist dieses Risiko per Definition hoch: Verschlüsselung, Zugriffsbeschränkung, keine gemeinsam genutzten Konten.

Der Bußgeldrahmen steigt ebenfalls: Verstöße gegen Art. 9 fallen unter Art. 83 Abs. 5 DSGVO — bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Was davon bei einem Einzeltrainer tatsächlich ankommt, steht in DSGVO-Bußgelder: Was Trainern realistisch droht.

Gilt das auch für Daten, die der Klient selbst einträgt?

Ja — und hier wird es für Trainer interessant. Ob die Klientin ihr Gewicht selbst in eine App tippt oder du es notierst, ändert an der Einstufung nichts. Es ändert nur, wer verantwortlich ist.

Führt jemand ein Essenstagebuch für sich selbst und du bekommst es nie zu sehen, verarbeitest du es auch nicht. Sobald es dir freigegeben wird, bist du im Spiel. Deshalb ist die Freigabe je Datenbereich kein technisches Detail, sondern die saubere Trennlinie: Was nicht freigegeben ist, liegt außerhalb deiner Verantwortung.

KADEA ist eine Coaching-App für Personal Trainer im deutschsprachigen Raum: Trainingspläne, 412 Übungen mit Video, Nachrichten und Fortschritt in einer App, die das Logo und die Farben des Trainers trägt. Der Zugang kostet 50 € im Monat plus 10 € je aktivem Klienten (zzgl. USt.), die Daten liegen auf EU-Servern in Irland. Fortschrittsfotos werden dort einzeln freigegeben und die Freigabe ist jederzeit widerrufbar — nachzulesen auf der Startseite und in den häufigen Fragen.

Wie gehst du mit Grenzfällen um?

Im Zweifel die strengere Einstufung. Der Aufwand ist gering — eine Einwilligung mehr, ein Eintrag mehr im Verzeichnis —, der Unterschied im Ernstfall ist groß. Wer umgekehrt Art.-9-Daten als gewöhnliche behandelt, hat im Streitfall gar keine gültige Rechtsgrundlage, weil Art. 9 Abs. 1 die Verarbeitung grundsätzlich verbietet.

Praktisch bewährt sich eine einfache Regel: Alles, was du einer fremden Person nicht ungefragt erzählen würdest, ist ein Gesundheitsdatum.

Wie die Einstufung in den Gesamtzusammenhang passt, steht im Überblicksartikel Trainingsdaten und DSGVO: Was Personal Trainer speichern dürfen.

Was gilt für Daten aus Uhren, Waagen und Gesundheits-Apps?

Hier wird die Zuständigkeit interessant, nicht die Einstufung — die ist klar: Ruhepuls, Schlafphasen, Schrittzahl und Bioimpedanzwerte sind Gesundheitsdaten nach Art. 9 DSGVO, egal welches Gerät sie erhoben hat.

Die Frage ist, wer sie verarbeitet:

Der Übergang passiert in dem Moment, in dem du die Werte zur Kenntnis nimmst und weiterverwendest. Ein Blick auf das Display der Uhr im Studio ist keine Verarbeitung; ein Screenshot in deiner Ablage schon.

Zwei Punkte, die in der Praxis übersehen werden:

1. Der Zugriff auf ein fremdes Portal ist die weiteste Form. Du bekommst dort meist mehr, als du für die Betreuung brauchst — Standortdaten, Schlafverhalten am Wochenende, Werte aus Zeiträumen ohne Betreuung. Das kollidiert mit der Datenminimierung nach Art. 5 Abs. 1 lit. c.
2. Der Hersteller bleibt daneben verantwortlich. Deine Einwilligung deckt deine Verarbeitung ab, nicht die des Geräteherstellers. Wo dessen Server stehen, ist eine eigene Frage — siehe Fitness-Apps aus den USA.

Praktisch am saubersten ist die kleinste Variante: Der Klient trägt selbst ein, was er teilen will. Dann verarbeitest du genau das — und nichts sonst.

Fazit

Die Trennung zwischen „nur Trainingsdaten" und „echten Gesundheitsdaten" hält im Alltag nicht. Sobald Gewicht, Fotos, Verletzungen oder Ernährung dazukommen — und das ist bei ernsthafter Betreuung nach wenigen Wochen der Fall —, arbeitest du mit der sensibelsten Kategorie, die die DSGVO kennt. Wer das von Anfang an so behandelt, spart sich das nachträgliche Aufräumen.

Hinweis: Dieser Beitrag gibt den Stand vom 19. August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.