DSGVO und Serverstandort

Coaching-Software und DSGVO: wo die Daten wirklich liegen

Gewicht, Körpermaße, Fortschrittsfotos, Schlaf und Blutwerte sind Gesundheitsdaten nach Art. 9 DSGVO. Verantwortlich dafür ist nicht die Software, sondern du: der Coach, der sie erhebt. Die Software ist Auftragsverarbeiter, und genau deshalb schuldest du ihr gegenüber einen Vertrag und deinen Athleten gegenüber eine Auskunft, wo ihre Daten liegen.

„DSGVO-konform“ steht auf praktisch jeder Anbieterseite. Der Satz kostet nichts und bedeutet nichts, solange niemand ihn prüft. Prüfbar sind drei Dinge, und alle drei stehen im Kleingedruckten: der Serverstandort in der Datenschutzerklärung, der Auftragsverarbeitungsvertrag nach Art. 28, und die Liste der Unterauftragnehmer mit ihren Standorten.

Unten steht, was zwölf Anbieter dazu selbst schreiben, wörtlich, mit Link und Abrufdatum. Das Ergebnis vorweg: mit uns nennen vier Deutschland überhaupt als Speicherort, und zwei deutsche Unternehmen sind nicht darunter.

Vier Kriterien, die für einen Coach in Deutschland zählen

Daten in Deutschland, AVV und Unterauftragnehmer zum Nachlesen, eine App mit deinem Logo ohne Aufpreis und eine deutsche Oberfläche. Nach den öffentlichen Angaben der Anbieter erfüllt außer Fitness Coach Suite keiner der geprüften Anbieter alle vier. „Nicht belegt“ heißt: auf der Website des Anbieters nicht gefunden, nicht, dass es das dort nicht gibt.

Anbieter	Speicherort Deutschland genannt	AVV und Unterauftragnehmer öffentlich	Athleten-App mit deinem Logo ohne Aufpreis	Coach-Oberfläche auf Deutsch
Fitness Coach Suite	ja Datenbank und Dateien in Frankfurt, Videos bei einem Videodienst in der EU	ja beides öffentlich unter /avv und /subprozessoren	ja Logo und Farbe in FITCOSI, im Preis enthalten (kein eigener Store-Eintrag)	ja Coach-Portal, Coach-App, Athleten-App, Rechnung und Support
Coachway	nicht belegt	ja	ja	nicht belegt
TRAINDOO	nicht belegt	nicht belegt	nur mit Aufpreis	ja
nutrilize	nicht belegt	nicht belegt	nicht belegt	ja
Gymkee	nicht belegt	ja	nur mit Aufpreis	ja
Body Control	ja	nicht belegt	nicht belegt	ja
Online Coach App	ja	nicht belegt	nicht belegt	ja
My PT Hub	nicht belegt	nicht belegt	nur mit Aufpreis	nicht belegt
Trainero	nicht belegt	nicht belegt	nicht belegt	ja
ABC Trainerize	nicht belegt	nicht belegt	nur mit Aufpreis	nicht belegt
Everfit	nicht belegt	ja	ja	nicht belegt
Virtuagym	ja	nicht belegt	nicht belegt	ja
Lenus eHealth	nicht belegt	ja	nicht belegt	ja

Wo die Anbieter speichern

Jede Angabe stammt aus der Datenschutzerklärung, dem AVV oder der Unterauftragnehmerliste des Anbieters selbst. Wo nichts steht, steht auch hier nichts: eine fehlende Angabe ist kein Beweis für einen schlechten Standort, sondern eine Frage, die du im Gespräch stellen solltest.

Anbieter	Speicherort laut eigener Angabe	Nennt Deutschland
Fitness Coach Suite Marko Svitlica, München, Deutschland	Datenbank und Dateien in Frankfurt am Main, Videos bei einem Videodienst in der EU. AVV und Liste der Unterauftragnehmer öffentlich lesbar.	ja
Body Control Body Control GmbH, Hamburg, Deutschland	Laut Startseite und FAQ „auf Servern in Deutschland betrieben“. Den Hosting-Anbieter der App nennt die Website nicht; die Datenschutzerklärung beschreibt nur die Website (IONOS).	ja
Online Coach App YSConsulting GmbH, Seevetal, Deutschland	Laut Startseite und FAQ „deutsche Server“ bzw. „auf sicheren Servern in Deutschland gehostet“. Den Hosting-Anbieter der App nennt die Website nicht, ein AVV ist nicht öffentlich (AGB § 8 kündigt eine gesonderte Vereinbarung an).	ja
Virtuagym Virtuagym B.V., Amsterdam, Niederlande	Privacy Statement wörtlich: „Our servers are located in Ireland, and Germany“, Weitergabe an Dritte in den USA möglich.	ja
Coachway Coachway ApS, Kopenhagen, Dänemark	EU-Infrastruktur laut AVV (Railway, Northflank, PostHog jeweils EU), Sentry in den USA, Stripe in Irland, KI-Dienste laut AVV in EU und USA	nein
TRAINDOO nutrilize GmbH, Kuhardt, Deutschland	Firebase Cloud der Google Ireland Limited, Dublin. Die eigene Datenschutzerklärung schließt Übermittlungen an Google LLC in den USA nicht aus.	nein
nutrilize nutrilize GmbH, Kuhardt, Deutschland	Firebase Cloud der Google Ireland Limited, Dublin. Übermittlungen an Google LLC in den USA laut eigener Datenschutzerklärung nicht auszuschließen.	nein
Gymkee KEEZOKU SAS, Paris, Frankreich	Amazon Web Services, Irland/EU, in der Unterauftragnehmerliste als HDS-zertifiziert geführt. Website über Cloudflare Pages, KI über Google LLC.	nein
My PT Hub Fitii Ltd, Vereinigtes Königreich	Eigene Datenschutzerklärung wörtlich: „your data is hosted in the United States on Amazon Web Services“, Übermittlung über Standardvertragsklauseln.	nein
Trainero Rechtsträger auf der geprüften Preisseite nicht genannt	Auf der Preisseite nicht genannt, kein öffentlicher Standort gefunden	nein
ABC Trainerize ABC Fitness Solutions, LLC, USA	AWS, Region nicht genannt. Die Nutzungsbedingungen nennen „facilities in Canada“.	nein
Everfit Everfit Technologies, Inc., San Francisco, USA	AWS ohne Regionsangabe. Der AVV nennt „servers and databases located in the United States and anywhere else in the world“.	nein
Lenus eHealth Lenus eHealth ApS, Kopenhagen, Dänemark	USA. Die eigene Prozessorenliste führt Hosting und Speicherung bei AWS und Heroku mit Standort „United States“.	nein

Was du als Coach selbst schuldest

Die Software kann dir vier Dinge erleichtern, aber sie kann sie dir nicht abnehmen. Verantwortlicher im Sinne der DSGVO bist du.

Ein Auftragsverarbeitungsvertrag, den du vorzeigen kannst

Art. 28 DSGVO verlangt einen schriftlichen Vertrag zwischen dir und jedem Dienst, der Daten deiner Athleten verarbeitet. Ohne ihn verarbeitest du unrechtmäßig, unabhängig davon, wie sicher die Software ist. Frag danach, bevor du das erste Foto hochlädst, und lies, ob er die Unterauftragnehmer benennt.

Wissen, wo die Daten liegen, und es begründen können

Gewicht, Maße, Fotos, Schlaf und Blutwerte sind Gesundheitsdaten nach Art. 9 DSGVO, also die Kategorie mit dem strengsten Schutz. Liegt etwas davon außerhalb der EU, brauchst du eine Rechtsgrundlage für die Übermittlung und musst sie in deiner eigenen Datenschutzerklärung benennen.

Löschen können, vollständig

Art. 17 DSGVO: Auf Verlangen muss alles weg, nicht nur die Zeile in der Kundenliste. Also auch Check-in-Fotos, Chat-Anhänge, Videos und Kopien in Backups. Teste das mit einem Wegwerf-Konto, statt es anzunehmen.

Auskunft geben und Daten herausgeben

Art. 15 und 20 DSGVO: Deine Athleten dürfen wissen, was gespeichert ist, und eine Kopie in einem gängigen Format verlangen. Wenn deine Software das nicht kann, musst du es von Hand tun, innerhalb eines Monats.

Was bei uns in Frankfurt liegt

Datenbank und Dateien liegen in Frankfurt am Main, darunter Pläne, Check-ins, Fotos, Nachrichten und Messwerte; Videos liegen bei einem Videodienst in der EU (siehe unten)
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO öffentlich lesbar, Bestätigung bei der Einrichtung
Vollständige Liste der Unterauftragnehmer mit Zweck, Datenart und Standort, öffentlich
Dateien liegen in privaten Buckets, Zugriff nur über signierte Links mit Ablauf
Kontolöschung entfernt Dateien und Tabellenzeilen, nicht nur den Login
Athleten exportieren ihre Daten in der App als Datei, Coaches ihre Mitgliederliste als CSV
Keine Verwendung von Kundendaten zum Training von KI-Modellen

Was nicht in Frankfurt liegt

Videos liegen nicht in Frankfurt, sondern bei Bunny (BunnyWay d.o.o., Slowenien): Kurs- und Übungsvideos ebenso wie die Videos, die du und deine Athleten austauschen (Check-in-Feedback, Chat, Technik-Checks), diese in einer eigenen, zugriffsgeschützten Bibliothek mit ablaufenden Links. Ausgeliefert wird über ein Streaming-Netz mit weltweiten Auslieferungspunkten.
Die KI-Funktionen laufen über einen Dienst, der die Anfragen in den USA verarbeitet. Übermittelt wird nur die jeweilige Eingabe, ohne Namen und E-Mail-Adresse.
Push-Nachrichten gehen technisch bedingt über Apple und Google.
Zahlungen für dein eigenes Abo laufen über Stripe in Irland.
Alle stehen mit Zweck, Datenart und Standort in der Subprozessorenliste. Wir nennen sie hier, weil „Server in Deutschland“ sonst mehr verspricht, als eine vollständige Liste hergibt.

Unseren AVV lesen Liste der Unterauftragnehmer Wie eine Löschung abläuft

Häufige Fragen

Welche Coaching-Software hat Server in Deutschland?

Von den hier geprüften Anbietern nennen vier Deutschland: Fitness Coach Suite speichert Datenbank und Dateien in Frankfurt am Main (Videos bei einem Videodienst in der EU), Virtuagym schreibt im Privacy Statement „Our servers are located in Ireland, and Germany“, Body Control schreibt auf der Startseite, die App werde „auf Servern in Deutschland betrieben“, und Online Coach App wirbt mit „deutsche Server“; die beiden letzten nennen keinen Hosting-Anbieter und keinen öffentlichen AVV. Die deutschen Anbieter TRAINDOO und nutrilize hosten laut eigener Datenschutzerklärung in der Firebase Cloud von Google Ireland. Ein deutscher Vertragspartner und ein deutscher Serverstandort sind zwei verschiedene Dinge.

Reicht es, wenn der Anbieter „DSGVO-konform“ auf die Website schreibt?

Nein. Das ist eine Selbstauskunft ohne Prüfinstanz. Prüfbar sind drei Dinge, und alle drei stehen im Kleingedruckten statt auf der Startseite: Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28, und ist er ohne Verkaufsgespräch lesbar? Nennt er die Unterauftragnehmer mit Standort? Und sagt die Datenschutzerklärung, in welchem Land die Daten gespeichert werden? Wer diese drei Fragen stellt, sortiert das Feld in zehn Minuten.

Sind Check-in-Fotos und Gewichtsdaten Gesundheitsdaten?

Ja. Gewicht, Körpermaße, Fortschrittsfotos, Schlaf, Ruhepuls und erst recht Blutwerte fallen unter Art. 9 DSGVO, also die besonderen Kategorien personenbezogener Daten. Das ist der Grund, warum ein geteilter Cloud-Ordner für Check-in-Fotos keine gute Idee ist, und der Grund, warum der Serverstandort bei Coaching-Software mehr wiegt als bei einem Rechnungsprogramm.

Bekomme ich bei Fitness Coach Suite einen AVV?

Ja, und du kannst ihn lesen, bevor du dich anmeldest: er steht öffentlich unter /avv, zusammen mit der vollständigen Liste der Unterauftragnehmer unter /subprozessoren. Bei der Einrichtung bestätigst du ihn einmal, die Version ist gespeichert. Ändert sich etwas an der Liste, wirst du erneut gefragt.

Was passiert mit den Daten, wenn ein Athlet sein Konto löscht?

Die Zeilen in allen Tabellen, die zu dieser Adresse gehören, werden entfernt, und die hochgeladenen Dateien dazu: Check-in-Fotos, Essensfotos, Chat-Anhänge, Blutbilder. Die Liste der Tabellen und die Löschung werden aus derselben Quelle gespeist wie der Datenexport, damit nicht eine von beiden eine Tabelle vergisst, die die andere kennt.

Diese Seite ist eine Orientierung, keine Rechtsberatung. Für deinen konkreten Fall, besonders bei Blutwerten oder Anamnesebögen, fragst du besser jemanden mit Zulassung. Alle Anbieter im Vergleich

Starte heute. Ohne Umsatzbeteiligung.

39 €/Monat netto, monatlich kündbar, 2 Mitglieder immer frei, ab dem 21. Mitglied kostet jedes weitere 5 €. Nach einem Demo-Gespräch sind die ersten 30 Tage ohne Grundgebühr. Daten in der EU (Frankfurt).

Einführung anfragen Gleich loslegen

Einführung anfragen: 30 Tage kostenlos testen, unbegrenzt Testkunden, Einrichtung gemeinsam.
Gleich loslegen: 39 €/Monat ab dem ersten Tag, monatlich kündbar.

🇪🇺 Made in Germany·100% DSGVO·Stripe-Sicherheit