DSGVO Mitgliederverwaltung: Pflichten für deutsche Studios

Das Wichtigste auf einen Blick

Welche Mitgliederdaten unter die DSGVO und das BDSG fallen

Mitgliederdaten sind personenbezogene Daten. Sobald Name, Anschrift und Kontoverbindung in einer Kartei, einem Ordner oder einer Software stehen, greift die Datenschutz-Grundverordnung. Das gilt für den kleinen Turnverein in Hessen genauso wie für die Studio-Kette mit Standorten in Nordrhein-Westfalen und Berlin.

Besonders sensibel sind Gesundheitsdaten. Atteste, Reha-Berichte, Trainingspläne nach Verletzungen und Angaben zu Vorerkrankungen zählen nach Artikel 9 DSGVO zu den besonderen Kategorien. Für sie braucht es eine ausdrückliche Einwilligung oder eine andere eng begrenzte Ausnahme. Ein Formular, das pauschal alles abfragt, reicht dafür nicht.

Auch die Trainingshistorie ist ein Datum. Wer erfasst, wann ein Mitglied welche Kurse besucht, kann Rückschlüsse auf Gesundheit, Schwangerschaft oder Arbeitszeiten ziehen. Solche Auswertungen brauchen einen Zweck, der im Verzeichnis steht.

Der amtliche Text der DSGVO als Verordnung (EU) 2016/679 steht im EUR-Lex-Portal. Das BDSG finden Sie im Portal „Gesetze im Internet“ des Bundesministeriums der Justiz.

Was typischerweise anfällt

Diese Tabelle ist kein Selbstzweck. Sie ist der Rohbau für das Verzeichnis von Verarbeitungstätigkeiten und für jede Auskunft, die ein Mitglied verlangt.

Rechtsgrundlagen: Einwilligung, Vertrag und berechtigtes Interesse

Jede Verarbeitung braucht eine Rechtsgrundlage. Im Studioalltag sind drei einschlägig: der Vertrag, die Einwilligung und das berechtigte Interesse.

Der Vertrag trägt die Kerndaten. Wer einen Trainingsvertrag schließt, muss Name, Anschrift und Bankverbindung angeben, sonst lässt sich der Vertrag nicht abwickeln. Für diese Daten braucht es keine gesonderte Einwilligung. Die Rechtsgrundlage steht in Artikel 6 Absatz 1 Buchstabe b DSGVO.

Für zusätzliche Zwecke braucht es eine eigene Rechtsgrundlage. Eine Einwilligung kann sie sein, etwa für Fotoaufnahmen für die Vereinszeitung, die Weitergabe der Adresse an einen Kooperationspartner oder die Auswertung von Trainingsdaten für Marketing. Sie muss freiwillig, informiert und jederzeit widerrufbar sein; für eine Einwilligung ist Artikel 6 Absatz 1 Buchstabe a DSGVO einschlägig. Wer den Vertrag von der Werbeeinwilligung abhängig macht, riskiert deren Unwirksamkeit.

Das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO trägt enge Fälle, etwa die Videoüberwachung des Eingangs zum Schutz vor Einbruch. Es verlangt eine Abwägung, die dokumentiert wird. Ein pauschaler Verweis auf den Hausfrieden genügt nicht.

Für die Praxis heißt das: Pro Verarbeitung eine Rechtsgrundlage notieren. Nicht pro Software, nicht pro Abteilung.

Einwilligungen richtig einholen und dokumentieren

Einwilligungen scheitern selten am Inhalt, meist an der Form. Vier Punkte entscheiden.

Erstens: getrennt abfragen. Werbe-E-Mails, Foto-Nutzung und Datenweitergabe gehören in separate Kästchen. Ein Sammelhäkchen ist unwirksam.

Zweitens: verständlich formulieren. Der Text nennt Zweck, Empfänger und Widerrufsweg. Ein Verweis auf die Datenschutzerklärung ist erlaubt, ersetzt aber nicht die klare Bezeichnung des Zwecks.

Drittens: nachweisbar dokumentieren. Wer wann welche Erklärung abgegeben hat, muss im Zweifel belegbar sein. In der Software heißt das: Zeitstempel, Version des Textes, Widerrufsdatum.

Viertens: Widerruf einfach halten. Ein Widerruf per E-Mail oder an der Theke muss ausreichen. Wer ein Einschreiben verlangt, baut Hürden ein, die vor der Aufsicht nicht halten.

Die DSGVO schreibt kein amtliches Einwilligungsformular und keine allgemeine bestimmte Textform vor. Das Studio muss nach Artikel 7 Absatz 1 DSGVO nachweisen können, dass die Einwilligung erteilt wurde. Ein eigenes, verständliches Formular oder eine dokumentierte digitale Abfrage kann dafür genutzt werden.

Praxisbeispiel

Ein Verein in Niedersachsen führt eine neue Kursanmeldung ein. Im Formular stehen drei getrennte Kästchen: Vertragsdaten, Fotoerlaubnis für die Homepage, Newsletter. Die Software speichert zu jeder Erklärung Datum und Textversion. Ein Mitglied widerruft die Fotoerlaubnis per E-Mail. Die Geschäftsstelle entfernt das Bild innerhalb einer Woche und vermerkt den Widerruf. Genau so sieht gelebte Einwilligung aus.

Beschäftigtendaten nach § 26 BDSG in Studios

Trainer, Kursleitungen und Thekenkräfte sind Beschäftigte. Für ihre Daten gilt nicht allein die DSGVO, sondern zusätzlich § 26 BDSG. Die Vorschrift regelt, wann personenbezogene Daten im Beschäftigungskontext verarbeitet werden dürfen.

Erforderlich ist ein Bezug zum Beschäftigungsverhältnis. Arbeitszeiten, Qualifikationsnachweise, Abrechnungsdaten und Einsatzpläne lassen sich darauf stützen. Private Angaben ohne Anlass gehören nicht in die Personalakte.

Besondere Kategorien brauchen mehr. Krankmeldungen und Gesundheitszeugnisse dürfen nur verarbeitet werden, soweit dies für Rechte und Pflichten aus dem Arbeitsverhältnis erforderlich ist. Die Details stehen in der Einzelnorm zu § 26 BDSG.

Für Studios mit Honorartrainern kommt ein zweiter Punkt hinzu. Scheinselbstständigkeit und Datenschutz sind getrennte Themen, aber beide verlangen klare Verträge. Wer Honorarkräfte wie Angestellte steuert, sollte die Vertragsgestaltung prüfen lassen.

Die Aufsicht schaut bei Beschäftigtendaten genau hin, weil hier Abhängigkeit und Freiwilligkeit zusammenfallen. Eine Einwilligung der Trainerin ist deshalb nur selten die richtige Grundlage.

Softwarefunktionen für DSGVO-konforme Mitgliederverwaltung

Die Software entscheidet, ob Datenschutz im Alltag funktioniert oder an Excel scheitert. Acht Funktionen sollten auf der Prüfliste stehen.

Beispiele für im Studiomarkt bekannte Mitgliederverwaltungs-Software sind Magicline, Eversports Manager und Virtuagym. Die Nennung ist keine Datenschutzfreigabe. Prüfen Sie beim konkreten Anbieter unter anderem den Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, Unterauftragnehmer, Speicherorte und Löschmöglichkeiten.

Fehlt eine Funktion, steigt der manuelle Aufwand. Das Studio muss dann durch ergänzende Abläufe sicherstellen, dass Schutz und Nachweisbarkeit trotzdem gewährleistet sind. Eine fehlende Softwarefunktion ist nicht automatisch eine Datenpanne; diese ist gesondert zu bewerten und gegebenenfalls der Aufsicht zu melden.

Wo KI ins Spiel kommt

Immer mehr Anbieter versprechen automatisierte Mitgliederbindung, Churn-Prognosen oder Chatbots für die Anmeldung. Solche Systeme verarbeiten personenbezogene Daten und brauchen eine Rechtsgrundlage, eine Zweckbindung und eine Prüfung, ob überhaupt personenbezogene Daten nötig sind. Der DIHK-Praxisleitfaden zu KI im Klartext ordnet ein, wie Betriebe solche Werkzeuge dokumentieren.

Bei KI-gestützter Auswertung von Trainingsdaten kommt ein Risiko hinzu: Das System kann Gesundheitszustände ableiten. Das verschiebt die Verarbeitung in den Bereich des Artikels 9 DSGVO. Wer solche Funktionen einkauft, sollte den Anbieter nach Datenfluss, Speicherort und Löschung fragen, schriftlich.

Auskunft, Löschung und Datenübertragbarkeit in der Praxis

Mitglieder haben Rechte. Die drei wichtigsten sind Auskunft, Löschung und Übertragbarkeit.

Die Auskunft umfasst mehr als eine Datenkopie. Das Mitglied erfährt, welche Daten verarbeitet werden, zu welchem Zweck, wie lange und an wen sie gehen. Die Antwort muss grundsätzlich binnen eines Monats erfolgen. Eine Verlängerung ist bei komplexen Fällen oder einer großen Zahl von Anfragen möglich; das Mitglied muss darüber innerhalb des ersten Monats informiert werden.

Die Löschung greift, wenn der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht oder ein anderer zulässiger Grund entgegensteht. Abrechnungsunterlagen können deshalb länger aufzubewahren sein als Trainings- oder Gesundheitsdaten. Prüfen Sie die Datenarten getrennt und löschen Sie Daten, sobald sie nicht mehr benötigt werden und keine Aufbewahrungspflicht gilt.

Die Übertragbarkeit betrifft Daten, die auf Einwilligung oder Vertrag beruhen und automatisiert verarbeitet werden. Ein CSV-Export erfüllt das in der Regel. Ein PDF genügt nicht.

In der Praxis scheitern diese Rechte an zwei Stellen: Es gibt keine zentrale Stelle, die Anfragen bearbeitet, und es gibt keine Fristenübersicht. Beides lässt sich mit einer einfachen Liste lösen.

Was bei einer Anfrage zu tun ist

Diese Liste gehört an den Arbeitsplatz der Geschäftsstelle, nicht in eine Schublade.

Rollen der Landesdatenschutzbeauftragten und Aufsichtsbehörden

In Deutschland gibt es keine zentrale Datenschutzaufsicht. Zuständig ist die Behörde des Bundeslandes, in dem der Verantwortliche sitzt. Für ein Studio in München ist das das Bayerische Landesamt für Datenschutzaufsicht, für einen Verein in Hamburg der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Für die übrigen Bundesländer finden Sie die zuständige Stelle in der Zuständigkeitsübersicht der Datenschutzkonferenz (DSK). Prüfen Sie dort die Behörde für das Bundesland, in dem der Verantwortliche seinen Sitz hat.

Die Aufsicht berät und kontrolliert. Sie nimmt Beschwerden von Mitgliedern entgegen, prüft Meldungen bei Datenpannen und kann Bußgelder verhängen. Nach Artikel 83 DSGVO richten sich die Höchstgrenzen nach der jeweiligen Verstoßkategorie: Sie reichen bis zu 10 Millionen Euro oder 2 Prozent des weltweit erzielten Jahresumsatzes und bei den schwersten Verstößen bis zu 20 Millionen Euro oder 4 Prozent. Maßgeblich ist jeweils der höhere Betrag.

Für Vereine und kleine Studios gibt es Erleichterungen, aber keine Freistellung. Ein Datenschutzbeauftragter Verein wird erst ab bestimmten Schwellen Pflicht, etwa wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind. Auch ohne Pflicht kann eine benannte Ansprechperson sinnvoll sein.

Eine Datenpanne muss der zuständigen Aufsichtsbehörde gemeldet werden, wenn sie voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen birgt. Die Meldung muss grundsätzlich binnen 72 Stunden ab Bekanntwerden erfolgen. Ein verlorener Laptop mit unverschlüsselter Mitgliederdatei ist ein solcher Fall.

Hinweise zum Schutz von Mitgliederdaten aus der DIHK-Reihe Cybersicher kurz und knapp gibt es bei den Industrie- und Handelskammern, die auch zur Gewerbeanmeldung beraten.

Wichtig ist die Zuständigkeit im Vorfeld zu klären. Wer bei einer Panne erst recherchiert, verliert Zeit.

Checkliste für Verzeichnis, Auftragsverarbeitung und TOM

Diese Liste deckt die drei Dokumente ab, die bei jeder Prüfung zuerst verlangt werden.

Verzeichnis von Verarbeitungstätigkeiten

Auftragsverarbeitung

Typische Dienstleister sind Softwareanbieter, Abrechnungsdienstleister, E-Mail-Versender und IT-Wartung. Auch der Steuerberater kann dazugehören, wenn er Mitgliederdaten sieht.

Technische und organisatorische Maßnahmen

Wer diese drei Dokumente pflegt, kann einer Aufsichtsanfrage ruhig entgegensehen. Wer sie nicht pflegt, produziert sie im Krisenfall unter Zeitdruck, und das sieht man den Ergebnissen an.

Häufige Fragen