DSGVO und Serverstandort

Coaching-Software und DSGVO: wo die Daten wirklich liegen

Gewicht, Körpermaße, Fortschrittsfotos, Schlaf und Blutwerte sind Gesundheitsdaten nach Art. 9 DSGVO. Verantwortlich dafür ist nicht die Software, sondern du: der Coach, der sie erhebt. Die Software ist Auftragsverarbeiter, und genau deshalb schuldest du ihr gegenüber einen Vertrag und deinen Athleten gegenüber eine Auskunft, wo ihre Daten liegen.

„DSGVO-konform“ steht auf praktisch jeder Anbieterseite. Der Satz kostet nichts und bedeutet nichts, solange niemand ihn prüft. Prüfbar sind drei Dinge, und alle drei stehen im Kleingedruckten: der Serverstandort in der Datenschutzerklärung, der Auftragsverarbeitungsvertrag nach Art. 28, und die Liste der Unterauftragnehmer mit ihren Standorten.

Unten steht, was zehn Anbieter dazu selbst schreiben, wörtlich, mit Link und Abrufdatum. Das Ergebnis vorweg: von den geprüften Anbietern nennen zwei Deutschland überhaupt als Speicherort, und zwei deutsche Unternehmen sind nicht darunter.

Wo die Anbieter speichern

Jede Angabe stammt aus der Datenschutzerklärung, dem AVV oder der Unterauftragnehmerliste des Anbieters selbst. Wo nichts steht, steht auch hier nichts: eine fehlende Angabe ist kein Beweis für einen schlechten Standort, sondern eine Frage, die du im Gespräch stellen solltest.

AnbieterSpeicherort laut eigener AngabeNennt Deutschland
Fitness Coach Suite
Marko Svitlica, München, Deutschland
Datenbank und Dateien in Frankfurt am Main. AVV und Liste der Unterauftragnehmer öffentlich lesbar. ja
Virtuagym
Virtuagym B.V., Amsterdam, Niederlande
Privacy Statement wörtlich: „Our servers are located in Ireland, and Germany“, Weitergabe an Dritte in den USA möglich. ja
Coachway
Coachway ApS, Kopenhagen, Dänemark
EU-Infrastruktur laut AVV (Railway, Northflank, PostHog jeweils EU), Sentry in den USA, Stripe in Irland nein
TRAINDOO
nutrilize GmbH, Kuhardt, Deutschland
Firebase Cloud der Google Ireland Limited, Dublin. Die eigene Datenschutzerklärung schließt Übermittlungen an Google LLC in den USA nicht aus. nein
nutrilize
nutrilize GmbH, Kuhardt, Deutschland
Firebase Cloud der Google Ireland Limited, Dublin. Übermittlungen an Google LLC in den USA laut eigener Datenschutzerklärung nicht auszuschließen. nein
Gymkee
KEEZOKU SAS, Paris, Frankreich
Amazon Web Services, Irland/EU, in der Unterauftragnehmerliste als HDS-zertifiziert geführt. Website über Cloudflare Pages, KI über Google LLC. nein
My PT Hub
Fitii Ltd, Vereinigtes Königreich
Eigene Datenschutzerklärung wörtlich: „your data is hosted in the United States on Amazon Web Services“, Übermittlung über Standardvertragsklauseln. nein
Trainero
Rechtsträger auf der geprüften Preisseite nicht genannt
Auf der Preisseite nicht genannt, kein öffentlicher Standort gefunden nein
ABC Trainerize
ABC Fitness Solutions, LLC, USA
AWS, Region nicht genannt. Die Nutzungsbedingungen nennen „facilities in Canada“. nein
Everfit
Everfit Technologies, Inc., San Francisco, USA
AWS ohne Regionsangabe. Der AVV nennt „servers and databases located in the United States and anywhere else in the world“. nein
Lenus eHealth
Lenus eHealth ApS, Kopenhagen, Dänemark
USA. Die eigene Prozessorenliste führt Hosting und Speicherung bei AWS und Heroku mit Standort „United States“. nein

Was du als Coach selbst schuldest

Die Software kann dir vier Dinge erleichtern, aber sie kann sie dir nicht abnehmen. Verantwortlicher im Sinne der DSGVO bist du.

Ein Auftragsverarbeitungsvertrag, den du vorzeigen kannst

Art. 28 DSGVO verlangt einen schriftlichen Vertrag zwischen dir und jedem Dienst, der Daten deiner Athleten verarbeitet. Ohne ihn verarbeitest du unrechtmäßig, unabhängig davon, wie sicher die Software ist. Frag danach, bevor du das erste Foto hochlädst, und lies, ob er die Unterauftragnehmer benennt.

Wissen, wo die Daten liegen, und es begründen können

Gewicht, Maße, Fotos, Schlaf und Blutwerte sind Gesundheitsdaten nach Art. 9 DSGVO, also die Kategorie mit dem strengsten Schutz. Liegt etwas davon außerhalb der EU, brauchst du eine Rechtsgrundlage für die Übermittlung und musst sie in deiner eigenen Datenschutzerklärung benennen.

Löschen können, vollständig

Art. 17 DSGVO: Auf Verlangen muss alles weg, nicht nur die Zeile in der Kundenliste. Also auch Check-in-Fotos, Chat-Anhänge, Videos und Kopien in Backups. Teste das mit einem Wegwerf-Konto, statt es anzunehmen.

Auskunft geben und Daten herausgeben

Art. 15 und 20 DSGVO: Deine Athleten dürfen wissen, was gespeichert ist, und eine Kopie in einem gängigen Format verlangen. Wenn deine Software das nicht kann, musst du es von Hand tun, innerhalb eines Monats.

Was bei uns in Frankfurt liegt

  • Datenbank und Dateien liegen in Frankfurt am Main, darunter Pläne, Check-ins, Fotos, Nachrichten und Messwerte
  • Auftragsverarbeitungsvertrag nach Art. 28 DSGVO öffentlich lesbar, Bestätigung bei der Einrichtung
  • Vollständige Liste der Unterauftragnehmer mit Zweck, Datenart und Standort, öffentlich
  • Dateien liegen in privaten Buckets, Zugriff nur über signierte Links mit Ablauf
  • Kontolöschung entfernt Dateien und Tabellenzeilen, nicht nur den Login
  • Athleten exportieren ihre Daten in der App als Datei, Coaches ihre Mitgliederliste als CSV
  • Keine Verwendung von Kundendaten zum Training von KI-Modellen

Was nicht in Frankfurt liegt

  • Videos für Kurse und Übungen laufen über ein Streaming-Netz mit weltweiten Auslieferungspunkten. Die Datei liegt dort, nicht nur in Frankfurt.
  • Die KI-Funktionen laufen über einen Dienst mit Sitz in Irland.
  • Push-Nachrichten gehen technisch bedingt über Apple und Google.
  • Zahlungen für dein eigenes Abo laufen über Stripe in Irland.
  • Alle vier stehen mit Zweck, Datenart und Standort in der Subprozessorenliste. Wir nennen sie hier, weil „Server in Deutschland“ sonst mehr verspricht, als eine vollständige Liste hergibt.
Unseren AVV lesen Liste der Unterauftragnehmer Wie eine Löschung abläuft

Häufige Fragen

Welche Coaching-Software hat Server in Deutschland?

Von den hier geprüften Anbietern nennen zwei Deutschland: Fitness Coach Suite speichert Datenbank und Dateien in Frankfurt am Main, und Virtuagym schreibt im Privacy Statement „Our servers are located in Ireland, and Germany“. Die deutschen Anbieter TRAINDOO und nutrilize hosten laut eigener Datenschutzerklärung in der Firebase Cloud von Google Ireland. Ein deutscher Vertragspartner und ein deutscher Serverstandort sind zwei verschiedene Dinge.

Reicht es, wenn der Anbieter „DSGVO-konform“ auf die Website schreibt?

Nein. Das ist eine Selbstauskunft ohne Prüfinstanz. Prüfbar sind drei Dinge, und alle drei stehen im Kleingedruckten statt auf der Startseite: Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28, und ist er ohne Verkaufsgespräch lesbar? Nennt er die Unterauftragnehmer mit Standort? Und sagt die Datenschutzerklärung, in welchem Land die Daten gespeichert werden? Wer diese drei Fragen stellt, sortiert das Feld in zehn Minuten.

Sind Check-in-Fotos und Gewichtsdaten Gesundheitsdaten?

Ja. Gewicht, Körpermaße, Fortschrittsfotos, Schlaf, Ruhepuls und erst recht Blutwerte fallen unter Art. 9 DSGVO, also die besonderen Kategorien personenbezogener Daten. Das ist der Grund, warum ein geteilter Cloud-Ordner für Check-in-Fotos keine gute Idee ist, und der Grund, warum der Serverstandort bei Coaching-Software mehr wiegt als bei einem Rechnungsprogramm.

Bekomme ich bei Fitness Coach Suite einen AVV?

Ja, und du kannst ihn lesen, bevor du dich anmeldest: er steht öffentlich unter /avv, zusammen mit der vollständigen Liste der Unterauftragnehmer unter /subprozessoren. Bei der Einrichtung bestätigst du ihn einmal, die Version ist gespeichert. Ändert sich etwas an der Liste, wirst du erneut gefragt.

Was passiert mit den Daten, wenn ein Athlet sein Konto löscht?

Die Zeilen in allen Tabellen, die zu dieser Adresse gehören, werden entfernt, und die hochgeladenen Dateien dazu: Check-in-Fotos, Essensfotos, Chat-Anhänge, Blutbilder. Die Liste der Tabellen und die Löschung werden aus derselben Quelle gespeist wie der Datenexport, damit nicht eine von beiden eine Tabelle vergisst, die die andere kennt.

Diese Seite ist eine Orientierung, keine Rechtsberatung. Für deinen konkreten Fall, besonders bei Blutwerten oder Anamnesebögen, fragst du besser jemanden mit Zulassung. Alle Anbieter im Vergleich

Starte heute. Ohne Umsatzbeteiligung.

39 €/Monat netto, monatlich kündbar, 2 Mitglieder immer frei, ab dem 21. Mitglied kostet jedes weitere 5 €. Nach einem Demo-Gespräch sind die ersten 30 Tage ohne Grundgebühr. Daten in der EU (Frankfurt).

Demo buchen

30 Tage kostenlos testen, unbegrenzt Testkunden, Einrichtung gemeinsam.

Ohne Demo starten: 39 €/Monat, monatlich kündbar
🇪🇺 Made in Germany·100% DSGVO·Stripe-Sicherheit