Trainingsdaten von Jugendlichen sind Gesundheitsdaten — und damit besonders geschützt. Was Art. 8 und Art. 9 DSGVO konkret verlangen, wer verantwortlich ist und warum die WhatsApp-Gruppe das schwächste Glied ist.
Dieser Beitrag ordnet die Rechtslage allgemein ein und ersetzt keine Rechtsberatung. Für den konkreten Einzelfall — insbesondere bei Verträgen, Verzeichnissen von Verarbeitungstätigkeiten oder Auftragsverarbeitung — sollte fachkundiger Rat eingeholt werden.
Sobald ein Verein Trainingsdaten seiner Nachwuchsfahrer:innen erfasst, verarbeitet er personenbezogene Daten. Und weil Herzfrequenz, Trainingsbelastung oder Gewicht Rückschlüsse auf den Gesundheitszustand zulassen, fallen sie unter eine besonders geschützte Kategorie. Das ist kein Formalismus: Für diese Daten gelten strengere Regeln als für Name und Adresse.
Die Verarbeitung von Gesundheitsdaten ist zunächst grundsätzlich verboten und nur zulässig, wenn eine der Ausnahmen greift. Im Vereinskontext ist das praktisch immer die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a. „Ausdrücklich" heißt: eine bewusste, aktive Handlung — kein vorangekreuztes Kästchen, keine Einwilligung im Kleingedruckten der Vereinssatzung.
Zu den Gesundheitsdaten zählen im Trainingsalltag unter anderem:
Art. 8 regelt, wer die Einwilligung erteilen darf, wenn digitale Dienste direkt gegenüber Kindern angeboten werden. Die DSGVO setzt die Grenze bei 16 Jahren und erlaubt den Mitgliedstaaten, sie auf bis zu 13 Jahre abzusenken.
| Land | Altersgrenze | Bedeutung |
|---|---|---|
| Deutschland | 16 Jahre | Unter 16 muss die Einwilligung durch die Sorgeberechtigten erteilt oder zumindest mitgetragen werden. |
| Österreich | 14 Jahre | Abgesenkte Grenze nach § 4 Abs. 4 DSG. |
| Schweiz | keine feste Grenze | Nicht DSGVO, sondern revDSG; maßgeblich ist die Urteilsfähigkeit im Einzelfall. |
Für einen typischen deutschen Nachwuchskader heißt das: In der U15 und weiten Teilen der U17 entscheiden die Eltern. Praktisch sinnvoll ist es, die Jugendlichen trotzdem einzubeziehen — eine Einwilligung, von der die betroffene Person nichts weiß, ist auch dann heikel, wenn sie formal wirksam ist.
Die Frage entscheidet darüber, wer Informationspflichten erfüllen muss und wer bei einer Panne haftet. Zwei Konstellationen kommen im Verein vor:
| Konstellation | Verantwortlich | AV-Vertrag nötig? |
|---|---|---|
| Der Verein legt Konten für seine Mitglieder an und bestimmt, was mit den Daten geschieht | der Verein; der Anbieter ist Auftragsverarbeiter | Ja, nach Art. 28 |
| Die Nutzer:innen melden sich selbst an und erteilen ihre Einwilligung direkt gegenüber dem Anbieter | der Anbieter | Nein |
Die zweite Variante entlastet den Verein spürbar. Sie setzt aber voraus, dass der Verein tatsächlich keine Konten anlegt und keine Daten im eigenen Auftrag verarbeiten lässt — sonst rutscht man doch in die erste Konstellation.
In der Praxis scheitert Datenschutz im Verein selten an der Trainingssoftware, sondern am Drumherum. Typische Stolperstellen:
Fast alle Datenschutz-Checklisten für Vereine drehen sich um den Trainerzugriff. Die schwierigere Frage ist eine andere: Was dürfen die Eltern sehen? Und dort ist die Antwort nicht „weniger", sondern in der Regel mehr.
Der Grund liegt in Art. 8 DSGVO selbst. Bei einem Kind unter 16 sind die Sorgeberechtigten diejenigen, die die Einwilligung erteilen — und sie üben die Betroffenenrechte des Kindes aus, darunter das Auskunftsrecht nach Art. 15. Ein Verein, der Eltern die Daten ihres Kindes verweigert, verweigert sie damit der Person, die rechtlich darüber verfügt.
Ein Schalter „Herzfrequenz für Eltern: aus" klingt datenschutzfreundlich und ist es nicht. Er verspricht etwas, das die Rechtslage nicht hält: Eltern bekommen die Daten auf Nachfrage ohnehin. Ein Versprechen, das man nicht einlösen kann, ist schlechter als gar keins — besser ist, die Einsicht offen zu benennen und sie dem Kind zu erklären.
Praktisch trägt eine Abstufung nach Datenart weiter als eine nach Person:
Und eine Grenze, die sich aus keinem Artikel ergibt, sondern aus dem Umgang mit Jugendlichen: Körperzustand ist nicht Training. Wie viel jemand gefahren ist, betrifft den Verein und die Eltern. Wie jemand geschlafen hat und wie erholt der Körper ist, betrifft zuerst die Person selbst. Diese Trennung steht in keinem Gesetz und ist trotzdem die, die im Alltag den Unterschied macht.
Wer Trainingsdaten automatisiert auswerten lässt, sollte drei Punkte im Blick behalten:
Wie VeloNext das umsetzt — granulare Einwilligungen, EU-Hosting, keine GPS- oder Herzfrequenz-Rohdaten für Trainer:innen — steht in der Datenschutzerklärung, der Eltern-Information und der Vereins-Info.
In der Regel ja. Herzfrequenzdaten, Trainingsbelastung, Gewicht oder Leistungsdiagnostik lassen Rückschlüsse auf den Gesundheitszustand zu und fallen damit unter Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich verboten und im Vereinskontext praktisch nur mit ausdrücklicher Einwilligung zulässig.
In Deutschland ab 16 Jahren. Darunter muss die Einwilligung durch die Sorgeberechtigten erteilt oder mitgetragen werden. Die DSGVO erlaubt den Mitgliedstaaten eine Absenkung bis auf 13 Jahre; Österreich hat sie auf 14 Jahre gesetzt. In der Schweiz gilt statt der DSGVO das revDSG ohne feste Altersgrenze.
Das hängt davon ab, wer über die Datenverarbeitung entscheidet. Legt der Verein Konten für seine Mitglieder an und bestimmt die Zwecke, ist er Verantwortlicher und braucht einen AV-Vertrag nach Art. 28 DSGVO. Melden sich die Nutzer:innen selbst an und erteilen ihre Einwilligung direkt gegenüber dem Anbieter, ist dieser Verantwortlicher und ein AV-Vertrag entfällt.
Sie ist zumindest problematisch. Alle Mitglieder sehen die Telefonnummern aller anderen, einschließlich der Minderjährigen; Krankmeldungen im Chat sind Gesundheitsangaben ohne Rechtsgrundlage und lassen sich kaum wieder löschen; und WhatsApp gibt ein Mindestalter vor, das ein Teil der jüngeren Jahrgänge nicht erreicht.
Ja. Eine Einwilligung in die Speicherung von Trainingsdaten deckt deren automatisierte Auswertung nicht automatisch mit ab — dafür ist eine gesonderte Einwilligung erforderlich. Zusätzlich ist zu prüfen, ob Daten an Anbieter außerhalb der EU fließen, und nach Art. 22 DSGVO muss ein Mensch jeden Vorschlag prüfen, statt ihn automatisch umzusetzen.