Fitnessstudio Website DSGVO-konform erstellen: Die vollständige Anleitung

Eine Website ist für Fitnessstudios kein Nice-to-have mehr. Buchungsformulare, Probetraining-Anfragen, Newsletter-Anmeldungen — all das läuft über die Website. Und genau deshalb ist die DSGVO für Fitnessstudios kein abstraktes Compliance-Thema, sondern tägliche Praxis.

Dabei gibt es eine Besonderheit, die viele Studiobetreiber unterschätzen: Fitnessstudios verarbeiten Gesundheitsdaten. Sobald ein Interessent im Anmeldeformular Trainingsziele, körperliche Einschränkungen oder Vorerkrankungen angibt, gilt Artikel 9 DSGVO — die strengste Datenschutzkategorie überhaupt. Das erhöht die Anforderungen an Ihre Website deutlich gegenüber einem normalen Gewerbebetrieb.

Dieser Artikel erklärt, welche Pflicht-Elemente eine DSGVO-konforme Fitnessstudio-Website braucht, welche Fehler Behörden und Abmahnanwälte gezielt suchen — und wie viel Aufwand eine rechtssichere Umsetzung wirklich bedeutet.

Warum Fitnessstudios ein erhöhtes DSGVO-Risiko tragen

Die Berliner Datenschutzbehörde verhängte 2024 gegen eine Fitness-Kette ein Bußgeld von 85.000 Euro. Grund: fehlende Auftragsverarbeitungsverträge mit Website-Dienstleistern. In Hamburg folgte 2025 ein Bußgeld von 12.000 Euro gegen ein Boutique-Studio, weil Google Analytics ohne gültige Einwilligung lief.

Das sind keine Ausnahmen. Aufsichtsbehörden haben ihre Kontrollkapazitäten seit 2023 deutlich ausgebaut. Hinzu kommt: Abmahnungen durch Wettbewerber und spezialisierte Kanzleien sind ein echtes Geschäftsmodell geworden. Systematische Website-Prüfungen auf fehlende Impressumsangaben, unvollständige Datenschutzerklärungen oder fehlerhafte Cookie-Banner sind heute Standard. Eine Abmahnung kostet schnell 500 bis 2.000 Euro — noch vor der eigentlichen Korrektur.

Für Fitnessstudios kommt erschwerend hinzu: Der Gesetzgeber unterscheidet zwischen normalen personenbezogenen Daten (Name, E-Mail, Telefon) und Gesundheitsdaten (Artikel 9 DSGVO). Letztere sind nur verarbeitbar, wenn eine ausdrückliche, informierte Einwilligung vorliegt — oder ein anderer enger Ausnahmetatbestand greift. Ein Probetraining-Formular mit dem Feld "Gibt es gesundheitliche Einschränkungen, die wir berücksichtigen sollen?" ist damit automatisch Artikel-9-relevant.

Eine weitere Unterscheidung, die oft untergeht: Der Datenschutz auf Ihrer Website ist rechtlich vom Datenschutz im Studio selbst getrennt. Beide Bereiche müssen abgedeckt sein, und beide haben eigene Anforderungen.

Die sieben Pflicht-Elemente einer DSGVO-konformen Studio-Website

1. Datenschutzerklärung — vollständig und aktuell

Die Datenschutzerklärung ist das Herzstück. Sie muss für jedes eingesetzte Tool einzeln erklären:

• Welche Daten werden erhoben (Name, E-Mail, IP-Adresse, Trainingspräferenzen)?
• Zu welchem Zweck (Probetraining-Anfrage, Newsletter, Analytics)?
• Auf welcher Rechtsgrundlage (Einwilligung nach Art. 6 Abs. 1 lit. a, berechtigtes Interesse nach lit. f, Vertrag nach lit. b)?
• Wie lange werden die Daten gespeichert?
• Wer verarbeitet die Daten (Auftragsverarbeiter, Drittstaaten-Transfers)?

Für eine typische Fitnessstudio-Website müssen folgende Bereiche in der Datenschutzerklärung erscheinen:

Der häufigste Fehler: Generische Vorlagen, die nicht zum tatsächlichen Tool-Einsatz passen. Wenn Ihre Erklärung Mailchimp erwähnt, Sie aber Brevo nutzen — das ist ein Verstoß. Jede Tool-Änderung macht eine Aktualisierung der Datenschutzerklärung nötig.

Hinweis: Für eine rechtlich wasserdichte Datenschutzerklärung empfehlen wir die Einbindung eines Datenschutzbeauftragten oder Anwalts. Dieser Artikel informiert, ersetzt aber keine Rechtsberatung.

2. Impressum nach § 5 TMG

Das Impressum muss von jeder Unterseite mit maximal zwei Klicks erreichbar sein — ein Link im Footer genügt. Pflichtangaben:

• Vollständiger Name des Betreibers oder der Gesellschaft
• Vollständige Postanschrift (kein Postfach)
• Telefonnummer und E-Mail-Adresse
• Handelsregisternummer und zuständiges Gericht (falls eingetragen)
• Umsatzsteuer-ID (falls vorhanden)
• Bei GmbH/UG: Name des Geschäftsführers

Studios mit Personal-Training-Angeboten oder Ernährungsberatung müssen zusätzlich prüfen, ob berufsrechtliche Angaben erforderlich sind.

3. Cookie-Banner und Consent-Management

Seit dem EuGH-Urteil "Planet49" (2019) gilt: Cookies, die nicht technisch zwingend notwendig sind, dürfen erst nach aktiver Einwilligung gesetzt werden. Vorausgefüllte Häkchen oder automatisches Setzen beim Seitenaufruf sind illegal.

Ein rechtssicherer Cookie-Banner muss:

• Vor dem Setzen nicht-essentieller Cookies erscheinen
• Die Ablehnung so einfach machen wie die Annahme (gleich prominenter Button)
• Granulare Optionen bieten (Analytics separat von Marketing-Cookies)
• Die Einwilligung dokumentieren und widerrufbar machen
• Einen Link zur Datenschutzerklärung enthalten

Tools wie Cookiebot, Borlabs Cookie oder Usercentrics erfüllen diese Anforderungen. Kostenlose Lösungen sind oft unvollständig. Eine Investition von 8–20 Euro pro Monat in ein zertifiziertes Consent-Management-Tool ist hier gut angelegt.

Praxis-Hinweis: Google Analytics und der Facebook-Pixel dürfen erst laden, nachdem der Nutzer Analytics- bzw. Marketing-Cookies aktiv akzeptiert hat. Viele Studios, die wir bei unserer Arbeit kennengelernt haben, hatten Analytics-Skripte im Seitencode, die beim ersten Aufruf sofort feuerten — ohne Einwilligung.

4. SSL-Zertifikat (HTTPS)

HTTPS ist seit 2018 technisches Mindeststandard. Ohne gültige SSL-Verschlüsselung:

• Zeigen Chrome und Safari die Warnung "Nicht sicher"
• Rankt Google die Website schlechter
• Sind Formulardaten bei der Übertragung unverschlüsselt
• Liegt ein Verstoß gegen Art. 32 DSGVO vor (technische Schutzmaßnahmen)

Let's Encrypt-Zertifikate sind kostenlos und werden von den meisten Hosting-Anbietern automatisch eingerichtet. Prüfen Sie, ob Ihre Domain mit https:// beginnt — ein Schloss-Symbol in der Adresszeile zeigt die aktive Verschlüsselung.

5. Auftragsverarbeitungsverträge (AVV)

Immer wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, ist nach Art. 28 DSGVO ein schriftlicher Auftragsverarbeitungsvertrag Pflicht. Für Studio-Websites betrifft das in der Regel:

• Hosting-Anbieter
• Newsletter-Tools
• Buchungssysteme
• Analytics-Dienste
• CRM-Systeme

Seriöse Anbieter stellen AVV-Vorlagen oder Online-Vereinbarungen bereit. Die Unterzeichnung dauert meist wenige Minuten. Nicht unterzeichnete AVVs gehören laut unserer Erfahrung mit kleinen Unternehmen zu den häufigsten und teuersten DSGVO-Lücken. Viele Studios sind sich nicht bewusst, dass schon das Hosting-Paket einen AVV erfordert.

6. Hosting in der EU

Personenbezogene Daten dürfen nur dann in Drittstaaten (z. B. USA) übertragen werden, wenn geeignete Garantien bestehen — etwa ein EU-US Data Privacy Framework-Zertifikat oder Standardvertragsklauseln. Einfacher ist es, von Anfang an einen Hosting-Anbieter mit Rechenzentrum in Deutschland oder der EU zu wählen.

Für Fitnessstudios empfehlenswert: Hetzner (Deutschland), ALL-INKL (Deutschland), netcup (Deutschland). Alle drei bieten AVVs und EU-Rechenzentren.

7. Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verlangt "geeignete technische und organisatorische Maßnahmen", um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für Ihre Website bedeutet das konkret:

• Regelmäßige Updates aller genutzten Systeme (CMS, Plugins, PHP)
• Starke Passwörter und Zwei-Faktor-Authentifizierung für den Admin-Bereich
• Backup-Konzept (tägliche Backups, externe Speicherung)
• Minimalprinzip: Nur die Daten erheben, die wirklich benötigt werden

Gesundheitsdaten im Anmeldeformular: Was jetzt gilt

Wenn Ihr Online-Formular für Probetraining oder Mitgliedschaft Felder wie "Vorerkrankungen", "Trainingsziele" oder "körperliche Einschränkungen" enthält, verarbeiten Sie Gesundheitsdaten nach Art. 9 DSGVO. Die Anforderungen:

• Ausdrückliche Einwilligung ist erforderlich (Art. 9 Abs. 2 lit. a) — ein Pflicht-Häkchen mit informiertem Text, kein vorausgewähltes Kästchen
• Die Einwilligung muss jederzeit widerrufbar sein
• Im Formular muss erklärt werden, wozu die Gesundheitsdaten genutzt werden

Praktische Lösung: Gesundheitsbezogene Felder erst nach dem ersten Kontakt abfragen — etwa beim persönlichen Gespräch im Studio, wo eine schriftliche Einwilligung einfacher zu dokumentieren ist.

Häufige Fehler bei Fitnessstudio-Websites

Auf Basis unserer Arbeit mit kleinen Unternehmen sehen wir immer wieder dieselben Lücken:

Fehler 1 — Google Maps lädt ohne Einwilligung. Sobald Google Maps auf Ihrer Website eingebettet ist, überträgt der Browser automatisch die IP-Adresse des Besuchers an Google-Server. Das ist ohne Einwilligung nicht zulässig. Lösung: Maps mit einem Zwei-Klick-Verfahren einbetten — beim ersten Klick erscheint ein Hinweisbild, erst beim zweiten Klick lädt die echte Karte.

Fehler 2 — YouTube-Videos starten sofort. Dasselbe Prinzip gilt für eingebettete Videos. Nutzen Sie den "Privacy-Enhanced Mode" von YouTube (youtube-nocookie.com) oder laden Sie Videos erst nach Einwilligung.

Fehler 3 — Newsletter ohne Double-Opt-in. Der Deutsche und der österreichische Gesetzgeber verlangen für Newsletter-Anmeldungen das Double-Opt-in-Verfahren: Der Interessent erhält nach der Anmeldung eine Bestätigungs-E-Mail und muss aktiv bestätigen. Wer ohne dieses Verfahren Newsletter versendet, riskiert Abmahnungen.

Fehler 4 — Datenschutzerklärung zuletzt aktualisiert 2021. Tools und Dienste ändern sich. Eine Datenschutzerklärung, die nicht mehr den tatsächlichen Tool-Einsatz spiegelt, ist wertlos. Überprüfen Sie mindestens einmal im Jahr, ob alle genutzten Tools korrekt aufgeführt sind.

Fehler 5 — Kein Löschkonzept. DSGVO verlangt, dass Daten gelöscht werden, wenn der Zweck entfallen ist. Probetraining-Anfragen von Interessenten, die keine Mitglieder wurden, dürfen nicht unbegrenzt gespeichert bleiben.

DSGVO-Checkliste für Fitnessstudio-Websites

Nutzen Sie diese Liste als Erstprüfung:

• [ ] Datenschutzerklärung vorhanden und aktuell (alle genutzten Tools aufgeführt)?
• [ ] Impressum vollständig und von jeder Seite erreichbar?
• [ ] Cookie-Banner rechtskonform (Ablehnung so einfach wie Annahme)?
• [ ] HTTPS aktiv (Schloss-Symbol in der Adresszeile)?
• [ ] AVV mit Hosting-Anbieter unterzeichnet?
• [ ] AVV mit Newsletter-Tool unterzeichnet?
• [ ] AVV mit Buchungssystem unterzeichnet?
• [ ] Google Maps und YouTube nur nach Einwilligung ladend?
• [ ] Newsletter mit Double-Opt-in?
• [ ] Gesundheitsdaten-Felder mit ausdrücklicher Einwilligung?
• [ ] Hosting-Anbieter mit EU-Rechenzentrum?
• [ ] Admin-Bereich mit 2-Faktor-Authentifizierung gesichert?
• [ ] Regelmäßige Backups eingerichtet?

Was kostet eine DSGVO-konforme Fitnessstudio-Website?

Die DSGVO-Konformität hängt stark davon ab, wie Ihre Website technisch aufgebaut ist. Hier liegt ein wichtiger Unterschied zwischen verschiedenen Ansätzen:

WordPress-Installationen benötigen für jeden Dienst (Analytics, Maps, Videos, Formulare) separate Plugins. Jedes Plugin ist ein potenzielles Datenschutz-Loch, das gepflegt werden muss. Plugin-Updates erfolgen unkoordiniert, und jede neue Plugin-Version kann die Datenschutzeinstellungen überschreiben.

In unserer Arbeit mit Fitnessstudios und anderen kleinen Unternehmen, bei der wir über 100 Seiten betreut haben, war WordPress-Plugin-Chaos einer der häufigsten Gründe für DSGVO-Lücken — nicht böser Wille, sondern die schleichende Komplexität eines Systems, das kontinuierlich Pflege braucht.

Wir bei whitespace Marketing setzen für unsere Kunden auf Astro — dasselbe Framework, das Google und Microsoft für ihre Entwickler-Dokumentation nutzen. Der Vorteil: Kein Plugin-Chaos, keine unkontrollierten Drittanbieter-Skripte, 95+ PageSpeed. Datenschutzrelevante Dienste wie Maps oder Analytics werden von Anfang an technisch korrekt eingebunden — mit Zwei-Klick-Verfahren oder Consent-Gate, nicht als nachträgliches Plugin.

Eine vollständig DSGVO-konforme Firmen-Website für ein Fitnessstudio, inklusive rechtssicherem Cookie-Banner, SSL, EU-Hosting und korrekter Tool-Einbindung, erstellen wir ab 399 Euro Festpreis. Die laufenden Kosten für ein zertifiziertes Consent-Management-Tool kommen dazu (ca. 8–20 Euro pro Monat, je nach Anbieter).