DSGVO und Gym-Marketing: was du täglich falsch machst und was es dich kosten kann
Dein Gym verstößt wahrscheinlich gerade gegen die DSGVO, und nicht aus den Gründen, die du vermutest. Nicht der Cookie-Banner auf deiner Website ist das Problem: Es ist die WhatsApp-Gruppe, in der alle Mitglieder die Nummern der anderen sehen, die Mitgliederfotos auf Instagram ohne unterschriebene Bildrechte und der Newsletter, in den du jeden Lead einträgst, ohne ihn zu fragen. Die Bußgelder der spanischen Datenschutzbehörde AEPD für KMU liegen bei solchen Verstößen zwischen 1.000 und 20.000€, und die Fitnessbranche taucht in den Bescheiden häufiger auf, als du denkst.
Ein nötiger Hinweis vorweg: Das hier ist praktische Orientierung von jemandem, der Gym-Marketing lebt, keine Rechtsberatung. Für deinen konkreten Fall brauchst du einen Fachmann. Aber die meisten Verstöße eines Studios erkennt man ohne Anwalt: Man braucht diesen Artikel und einen Nachmittag Arbeit.
Warum das Gym eine DSGVO-Risikozone ist
Ein Gym verwaltet keine Daten wie ein Schuhgeschäft. Es verwaltet Gesundheitsdaten, und die fallen unter Artikel 9 der DSGVO als besondere Kategorie: die höchste Schutzstufe.
Denk mal nach: Das Eingangs-PAR-Q fragt nach Verletzungen, Medikamenten und Herzerkrankungen. Die Körperzusammensetzungswaage speichert Gewicht, Körperfett und Muskelmasse mit Verlauf. Der Trainer notiert "Bandscheibenvorfall L5, kein Kreuzheben" in der Mitgliederakte. Jeder dieser Datenpunkte ist stärker geschützt als eine E-Mail-Adresse oder Telefonnummer, und ihre Verarbeitung ohne ausdrückliche, spezifische Einwilligung gehört zu den Verstößen, die die Behörden am konsequentesten ahnden.
Das Paradox der Branche: Je besser dein Service (ernsthafte Eingangsanalyse, individuelles Follow-up), desto mehr sensible Daten sammelst du und desto größer wird deine Risikooberfläche. Das ist kein Grund, schlechteren Service zu liefern. Es ist ein Grund, die Unterlagen zu ordnen.
Die Alltagsverstöße
Was Gym-Marketing routinemäßig falsch macht:
Jeden Lead automatisch in den Newsletter eintragen. Jemand fragt über das Formular nach Preisen und bekommt eine Woche später deinen Monatsbulletin. Die Einwilligung zur Beantwortung einer Anfrage deckt kein wiederkehrendes Marketing ab, das sind unterschiedliche Zwecke und brauchen unterschiedliche Checkboxen.
Die WhatsApp-Gruppe des Clubs. Eine „GymX-Ankündigungen"-Gruppe mit 200 Mitgliedern, in der jedes die Nummer der anderen 199 sieht. Das ist eine Weitergabe personenbezogener Daten zwischen Mitgliedern ohne Einwilligung. Eine Weile löste man das mit Broadcast-Listen; heute ist die Lösung WhatsApp über API, bei der jedes Gespräch einzeln geführt wird.
Mitgliederfotos auf Instagram. Das Samstags-Kursfoto mit erkennbaren Gesichtern, gepostet ohne unterschriebene Bildrechte. Das Bild einer Person ist ein personenbezogenes Datum. Eine allgemeine Klausel im Mitgliedsvertrag reicht oft nicht, und schon gar nicht bei jemandem, der ihn vor sechs Jahren für einen anderen Zweck unterschrieben hat.
Kontaktlisten kaufen. Direkt illegal, kein Spielraum: Eine Datenbank mit „Fitness-Interessierten aus deiner Stadt", die von einem Dritten gekauft wurde, hat keine gültige Einwilligung für deine Nutzung. Das ist eine der wenigen Praktiken, bei denen eine Beschwerde fast automatisch zur Sanktion führt.
Daten von abgemeldeten Mitgliedern auf ewig behalten. Das Mitglied hat 2019 gekündigt und ist noch immer in deiner Datenbank und bekommt die Januar-Promo. Daten haben einen Lebenszyklus; „falls sie wiederkommen" ist keine Rechtsgrundlage.
Die Rechtsgrundlagen verständlich erklärt
Die DSGVO verlangt für jeden Datenverarbeitungszweck eine Rechtsgrundlage. Für ein Gym decken drei fast alles ab:
| Rechtsgrundlage | Was sie in deinem Club abdeckt | Braucht sie eine Checkbox? |
|---|---|---|
| Vertragserfüllung | Abbuchungen, Belege, Servicemitteilungen (Kursänderung, Feiertagsschließung, Buchungserinnerung) | Nein |
| Berechtigtes Interesse | Marketing an aktuelle Mitglieder über ähnliche Angebote wie die, die sie schon nutzen, mit einfacher Abbestellmöglichkeit in jeder Nachricht | Nein, aber sichtbares Opt-out erforderlich |
| Ausdrückliche Einwilligung | Leads, Newsletter, Fotos, Gesundheitsdaten, Weitergabe an Dritte | Ja, separat und nicht vorangekreuzt |
Die wichtige Unterscheidung: Du kannst deinem Mitglied von einem neuen Spinning-Kurs berichten, ohne extra Erlaubnis einzuholen (berechtigtes Interesse, ähnlicher Service). Den Lead, der nur nach Preisen gefragt hat, kannst du ohne abgehaktes Kästchen in nichts Wiederkehrendes einbeziehen. Und PAR-Q-Daten passen in keine der ersten beiden Zeilen: Gesundheitsdaten erfordern immer ausdrückliche Einwilligung und werden nie für Marketing genutzt.
Das berechtigte Interesse hat eine Falle für Selbsttäuschung: Es heißt nicht „das interessiert mich, also ist es legitim". Es setzt voraus, dass das Mitglied diese Kommunikation vernünftigerweise hätte erwarten können, und dass es sich mit einem Klick abmelden kann. Wenn deine Abbestellmöglichkeit einen Anruf an der Rezeption zu Morgenstunden erfordert, hast du kein berechtigtes Interesse, du hast eine Beschwerde in der Entstehung.
Das richtige Lead-Formular
Das Formular, das rechtskonform ist und trotzdem konvertiert, hat diese Struktur:
- Name und Telefonnummer (die Mindestfelder im Funnel, die außerdem besser konvertieren).
- Kurzer Informationstext darunter: wer die Daten verarbeitet, wofür, und Link zur vollständigen Datenschutzrichtlinie.
- Checkbox 1, Pflichtfeld zum Absenden: „Ich habe die Datenschutzrichtlinie gelesen und stimme zu, dass GymX mich zur Beantwortung meiner Anfrage kontaktiert."
- Checkbox 2, freiwillig und NICHT vorangekreuzt: „Ich möchte Angebote und Neuigkeiten von GymX erhalten."
Zwei Checkboxen, nicht eine. Die erste deckt die Antwort auf die Anfrage des Leads ab; die zweite das künftige Marketing. Die zweite vorab anzukreuzen macht die Einwilligung unwirksam (so sagt es die DSGVO, bestätigt vom EuGH), und beide in einer zusammenzufassen, vergiftet beide.
Verliert die extra Checkbox Conversion? Etwas schon, vielleicht 20-40% der Leads kreuzen die zweite nicht an. Ein akzeptabler Kompromiss: Wer sie ankreuzt, gibt dir eine saubere und rechtssichere Marketing-Basis; wer es nicht tut, bekommt trotzdem eine Antwort auf seine Anfrage, dort, wo der Abschluss wirklich passiert. Eine kleine, rechtskonforme Basis ist mehr wert als eine große, riskante, besonders wenn der Moment für Reaktivierungskampagnen kommt, wo die eigene Rechtsgrundlage genau das ist, was dir erlaubt, diese Kontakte anzuschreiben.
WhatsApp und DSGVO
WhatsApp ist ein gültiger Kanal für Gym-Marketing unter zwei Bedingungen: vorherige Einwilligung und ein funktionierendes Opt-out.
Ersteres bedeutet, dass Checkbox 2 im Formular den Kanal nennen oder hinreichend breit formuliert sein muss („Angebote und Neuigkeiten per E-Mail oder WhatsApp"). Jemandem auf WhatsApp zu schreiben, dessen Nummer du nur bekommen hast, „damit ihr mich anrufen könnt", ist unsicheres Terrain.
Letzteres ist der Punkt, an dem fast alle scheitern: Wenn ein Mitglied STOP antwortet, muss die Abmeldung tatsächlich in deinem System erfolgen, nicht im Gedächtnis der Rezeptionistin. Mit dem persönlichen Club-WhatsApp ist das nicht zuverlässig garantierbar; mit der WhatsApp-API ist es eine automatische Regel. Und nebenbei löst du das Gruppen-Problem: Einzelgespräche, keine exponierten Nummern, mit Aufzeichnung von Einwilligungen und Abmeldungen.
Ein Detail, das gerne vergessen wird: Schweigen ist kein Opt-in. Dass ein Lead sich über deine letzten drei Nachrichten nicht beschwert hat, schafft keine rückwirkende Einwilligung.
Die Rechte, die dir gegenüber ausgeübt werden
Früher oder später schickt dir ein ehemaliges Mitglied (oft ein verärgertes) eine E-Mail und fordert, „alle meine Daten zu löschen". Das Recht auf Löschung existiert und du musst es innerhalb eines Monats erfüllen, aber es bedeutet nicht, alles zu löschen:
- Du musst löschen: Marketing-Daten, Fotos, Trainingsakte, Gesundheitsdaten, Verlauf kommerzieller Gespräche.
- Du kannst (und musst) aufbewahren: Rechnungen und Abrechnungsdaten für die steuer- und handelsrechtlichen Fristen, die in Spanien 4 bis 6 Jahre betragen. Eine gesetzliche Verpflichtung überwiegt das Recht auf Löschung, aber nur für diese Daten und nur für diesen Zweck: Das aus steuerrechtlichen Gründen aufbewahrte ehemalige Mitglied darf keine einzige Promo mehr erhalten.
Das Auskunftsrecht ist das andere häufige Thema: „Ich möchte wissen, welche Daten ihr von mir habt." Wenn deine ehrliche Antwort lautet „die liegen verteilt auf der Software, einem Excel, dem Telefon des Trainers und in einem Ordner", hast du ein Architekturproblem, bevor du ein rechtliches hast. Eine anständige Verwaltungssoftware exportiert die vollständige Mitgliederakte in Minuten; der Rest des Zoos nicht.
Frist für beides: ein Monat, verlängerbar auf drei bei komplexen Fällen. Die Anfrage zu ignorieren ist das, was aus einer Unannehmlichkeit eine förmliche Beschwerde macht.
Was es kostet, es falsch zu machen
Die Schlagzeilen-Bußgelder der DSGVO (20 Millionen, 4% des Umsatzes) sind für Google. Was ein spanisches KMU tatsächlich erhält, liegt in einem anderen Bereich, tut aber genauso weh: Die typischen Sanktionen der AEPD für Kleinunternehmen liegen je nach Verstoß und Verhalten des Sanktionierten zwischen 1.000 und 20.000€.
Reale Fälle aus dem Sektor, anonymisiert: Ein Sportzentrum wurde mit mehreren tausend Euro bestraft, weil es Bilder eines Mitglieds in sozialen Netzwerken ohne nachweisbare Einwilligung veröffentlicht hatte; ein Gym wurde gebüßt, weil es einem ehemaligen Mitglied nach einem Löschantrag weiterhin Werbemitteilungen schickte (die Kombination ignorierter Löschantrag plus Spam ist eine, bei der die AEPD wenig Nachsicht zeigt); und Sanktionen im Bereich 2.000–5.000€ für schlecht beschilderte Überwachungskameras oder solche, die Bereiche erfassten, die sie nicht erfassen sollten, der absolute Klassiker in Bescheiden gegen Sportzentren.
Das Muster der Beschwerden: Fast keine kommen von Inspektionen von Amts wegen. Sie kommen von einem verärgerten Ex-Mitglied, einem Ex-Mitarbeiter oder einem Nachbarn. Die Wahrscheinlichkeit einer Beschwerde steigt genau dann, wenn eine Beziehung schlecht endet, also genau dann, wenn deine Löschprozesse auf die Probe gestellt werden.
Und die Geldstrafe ist nicht der einzige Kostenfaktor: Das Verfahren kostet Zeit und Anwaltskosten, und der Bescheid ist mit dem Namen deines Unternehmens öffentlich zugänglich.
Das Mindest-Compliance-Kit
Ein Nachmittag Arbeit, kein Masterstudium:
- Verzeichnis von Verarbeitungstätigkeiten. Ein einfaches Dokument, das auflistet, welche Daten du verarbeitest, wofür, auf welcher Rechtsgrundlage und wie lange du sie speicherst. Die AEPD selbst bietet Vorlagen für KMU an (Facilita RGPD). Zwei Stunden.
- Rechtstexte in Formularen. Die zwei Checkboxen aus dem obigen Abschnitt, auf der Website und auf dem Papierformular an der Rezeption. Eine Stunde.
- Auftragsverarbeitungsverträge mit deinen Tools. Deine Verwaltungssoftware, deine E-Mail-Plattform und dein WhatsApp-Anbieter verarbeiten alle Daten in deinem Auftrag, du brauchst einen unterzeichneten AVV mit jedem. Seriöse Anbieter haben ihn als herunterladbare Anlage; wenn einer ihn nicht hat, sagt dir das schon etwas über diesen Anbieter, ein Punkt, der vor jeder Software-Migration zu prüfen ist. Eine Stunde für Downloads und Unterschriften.
- Protokoll zur Datenlöschung. Was wird gelöscht, was wird aus steuerrechtlicher Verpflichtung aufbewahrt und wer führt es aus, wenn eine Anfrage eingeht. Eine halbe Seite schriftlich ist mehr wert als die beste Absicht. Eine Stunde.
Mit diesen vier Bausteinen bist du nicht unverwundbar, aber du wechselst von „Sanktion fast sicher, wenn jemand Beschwerde einlegt" zu „sorgfältiger Betrieb mit kleineren Unregelmäßigkeiten", und das ist der Punkt, an dem die AEPD Bußgelder reduziert oder Verfahren einstellt.
Was dich nicht beruhigen sollte: „Mich hat noch niemand beschwert" ist keine Strategie, genauso wenig wie ohne Versicherung fahren, weil man noch nie einen Unfall hatte. Das Gute ist: Legales Marketing und Marketing, das funktioniert, überschneiden sich mehr, als es scheint, eigene Datenbanken, echte Einwilligung, Nachrichten, die die Leute wirklich empfangen wollen, und Abmeldungen, die respektiert werden. Das ist dieselbe Hygiene, die deine Kampagnen auch besser konvertieren lässt.