Datenschutz für Fitnessstudios in der Schweiz (nDSG 2026)

Was bedeutet das Schweizer Datenschutzgesetz (nDSG) für Studios?

Das revidierte Bundesgesetz über den Datenschutz der Schweiz (nDSG, auch revDSG genannt) gilt seit 1. September 2023, und es behandelt Gesundheitsdaten und identifizierende biometrische Daten als besonders schützenswerte Personendaten (DSG, SR 235.1, Art. 5). Für ein Studio oder einen Personal Trainer heißt das: Verletzungs- und Gesundheitsfragebögen, Körpermaße mit Gesundheitsziel und Fingerabdruck- oder Gesichtszutritt brauchen besondere Sorgfalt, und vorsätzliche Verletzungen zentraler Pflichten können Bußen bis CHF 250'000 gegen die verantwortliche Person nach sich ziehen.

Der Rest dieses Beitrags geht die Artikel durch, die für ein Fitnessunternehmen zählen, bietet eine Checkliste für einen Nachmittag, und zeigt, was du deinem Software-Anbieter fragen solltest. Stand Oktober 2026.

Das ist allgemeine Information, keine Rechtsberatung. Für deine eigene Situation prüf mit einem Datenschutzanwalt oder beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Welche Studio-Daten gelten nach dem nDSG als besonders schützenswert?

Nach Art. 5 Bst. c DSG gehören unter anderem Daten über die Gesundheit und biometrische Daten, die eine natürliche Person eindeutig identifizieren, zu den besonders schützenswerten Personendaten.

Das Gesetz nennt keine Fitness-Beispiele. Nach unserer Einordnung fallen diese Studio- und Coaching-Daten am ehesten in die schützenswerte Kategorie:

Die mittleren Zeilen sind Ermessenssache. Ein einfacher Ansatz: Behandle alle Aufnahme- und Fortschrittsdaten so, als wären sie schützenswert. Das kostet wenig und erspart das Rätselraten.

Die nDSG-Regeln, die für Studios und Trainer am wichtigsten sind

Sieben Bestimmungen decken das meiste ab, was ein Fitnessunternehmen täglich mit Mitgliederdaten macht.

Quelle: DSG auf Fedlex (Text Stand 1. September 2023).

Ein Unterschied zur EU-DSGVO überrascht viele. Das Schweizer Gesetz verlangt nicht für jede Bearbeitung eine Rechtsgrundlage. Eine Bearbeitung, die die Persönlichkeit verletzt, braucht eine Rechtfertigung, etwa Einwilligung, ein überwiegendes privates oder öffentliches Interesse oder das Gesetz (Art. 31 DSG). Für schützenswerte Gesundheitsdaten in einem Fragebogen ist die ausdrückliche Einwilligung der saubere Weg.

Folgenabschätzung und Verzeichnis der Bearbeitungstätigkeiten

Eine Datenschutz-Folgenabschätzung ist nötig, wenn eine Bearbeitung voraussichtlich zu einem hohen Risiko führt, namentlich bei umfangreicher Bearbeitung schützenswerter Daten (Art. 22 DSG). Ein kleines Studio mit ein paar Dutzend Aufnahmeformularen steht anders da als eine Kette, die Gesundheitsdaten von Tausenden Mitgliedern profiliert, aber die Frage lohnt sich einmal zu stellen und schriftlich festzuhalten.

Das Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG) kennt eine Ausnahme: Unternehmen mit weniger als 250 Mitarbeitenden und natürliche Personen müssen keines führen, außer sie bearbeiten besonders schützenswerte Personendaten in großem Umfang oder betreiben hochriskantes Profiling (Art. 24 der Datenschutzverordnung, DSV, Stand 15. September 2024). Datensicherheitsverletzungen müssen dokumentiert und die Dokumentation mindestens 2 Jahre ab der Meldung aufbewahrt werden (Art. 15 Abs. 4 DSV).

Bußen: wer zahlt

Die nDSG-Bußen richten sich gegen Privatpersonen, in der Regel nicht gegen das Unternehmen: bis CHF 250'000 bei vorsätzlicher Verletzung von Informations-, Auskunfts- und Sorgfaltspflichten, etwa der Bekanntgabe von Daten ins Ausland ohne erfüllte Voraussetzungen oder dem Einsatz eines Auftragsbearbeiters ohne die nötigen Garantien (Art. 60-61 DSG). Nur wenn höchstens CHF 50'000 Buße im Raum stehen und die Ermittlung der verantwortlichen Person unverhältnismäßigen Aufwand bedeuten würde, kann stattdessen das Unternehmen zur Zahlung verpflichtet werden (Art. 64 DSG). In einem kleinen Studio ist die verantwortliche Person oft der Inhaber.

Mitgliederdaten ins Ausland, auch in die USA

Die meisten Studio-Software-, E-Mail- und Zahlungstools speichern Daten irgendwo, und Art. 16 DSG entscheidet, ob das erlaubt ist.

Eine Bekanntgabe ins Ausland ist erlaubt in Länder, die der Bundesrat als angemessen geschützt einstuft, oder mit geeigneten Garantien wie Vertragsklauseln. Für die USA gilt seit 15. September 2024 das Swiss-U.S. Data Privacy Framework: Daten können ohne zusätzliche Garantien an zertifizierte US-Unternehmen gehen (Bundesrat, 14. August 2024). Ob ein bestimmter Anbieter zertifiziert ist, prüfst du pro Anbieter, du nimmst es nicht einfach an.

Deine Datenschutzerklärung sollte die Länder nennen, in die Mitgliederdaten gehen. Prüf das auf deiner eigenen Seite: Eine aus einer Vorlage kopierte Datenschutzseite sagt oft nichts über das E-Mail-Tool in den USA oder die anderswo gehostete Buchungsapp.

Häufige Fehler in Studios und PT-Betrieben

Viele Risiken stecken in Alltagsgewohnheiten, nicht in Hackerangriffen.

• Papier-Gesundheitsfragebögen in einer offenen Mappe am Empfang, lesbar für jeden hinter dem Tresen.
• Gesundheitsnotizen in einem Gruppenchat zwischen Trainern, über das Knie oder die Medikamente eines Mitglieds, auf einem privaten Handy.
• Ein gemeinsamer Login für die Studio-Software, sodass niemand nachvollziehen kann, wer was gesehen hat.
• Aufnahmeformulare, die alles fragen, auch Diagnosen ohne Bezug zum Training.
• Einwilligung versteckt in den AGB, was schwer argumentierbar macht, dass die Einwilligung für Gesundheitsdaten ausdrücklich war.
• Kein Plan für ein Auskunftsgesuch, sodass 30 Tage verstreichen, während jemand Exporte und Tabellen durchsucht.
• Ehemalige Trainer behalten Zugriff auf Mitgliederprofile nach ihrem Austritt.

nDSG-Checkliste für ein Schweizer Studio oder einen Personal Trainer

Geh diese Schritte einmal durch, dann überprüf sie jährlich oder bei einem Softwarewechsel.

1. Kartier deine Daten. List auf, was du sammelst (Kontakt, Vertrag, Zahlungen, Check-ins, Gesundheitsaufnahme, Masse, Fotos, biometrischer Zutritt), wo es liegt und wer Zugriff hat.
2. Streich, was du nicht brauchst. Frag nur die Gesundheitsfragen, die beeinflussen, wie du jemanden trainierst.
3. Hol ausdrückliche Einwilligung für Gesundheitsdaten mit einer separaten, klaren Erklärung im Aufnahmeformular, nicht einer Zeile in den AGB.
4. Veröffentliche eine Datenschutzerklärung (Art. 19): wer du bist, was du sammelst, warum, wer es bekommt und in welchen Ländern.
5. Vereinbare Auftragsbearbeitungsbedingungen mit jedem Anbieter, der Mitgliederdaten berührt (Software, E-Mail, Zahlungen), und prüf, wo er Daten speichert.
6. Beschränk den Zugriff im Team. Persönliche Logins, rollenbasierter Zugriff, wo deine Software das erlaubt, Entzug am letzten Arbeitstag.
7. Bereite einen Prozess für Datenpannen vor: wer entscheidet, wie du das Risiko einschätzt, wie du den EDÖB meldest, wo du es 2 Jahre dokumentierst.
8. Bereite eine Antwort auf Auskunftsgesuche vor, damit du innert 30 Tagen antworten kannst.
9. Prüf Folgenabschätzung und Verzeichnis der Bearbeitungstätigkeiten, wenn du Gesundheitsdaten in großem Umfang bearbeitest oder biometrischen Zutritt nutzt.
10. Leg Aufbewahrungsfristen fest für Gesundheitsdaten ehemaliger Mitglieder, und lösch sie, wenn der Zweck endet.

Schritte 3, 4 und 7 sind die Stelle, wo sich eine Stunde mit einem Anwalt auszahlt, weil der Wortlaut zählt.

Wo Trainera passt

Trainera ist die Software, in der viele dieser Daten liegen, aber das Studio oder der Trainer bleibt verantwortlich und entscheidet, was erhoben wird.

• Du bist verantwortlich. Das Studio (oder der freie Trainer) entscheidet, welche Mitgliederdaten erhoben werden und warum, und ist für Datenschutzerklärung, Einwilligung und Auskunftsgesuche verantwortlich.
• Fragebögen (Aufnahmeformulare) sind auf jedem Trainer-Plan enthalten, auch Free. Du wählst die Fragen, kannst Gesundheitsfragen also auf das Nötige beschränken und deine eigene Einwilligungserklärung ergänzen.
• Check-ins werden mit ihrer Quelle erfasst (QR, manuell, Drehkreuz, Anmeldung, offline). Die Mitglieder-App zeigt eine digitale Mitgliederkarte mit QR-Code.
• Trainings- und Ernährungspläne, Fortschritt und Chat liegen an einem Ort statt verteilt über Tabellen und private Handys, was ein Auskunftsgesuch leichter beantwortbar macht.
• Was wir nicht behaupten: Dieser Beitrag macht keine Aussage zu Traineras Hosting-Standort, Zertifikaten oder rechtlicher Compliance. Wie bei jedem Anbieter prüf die Bedingungen und Datenschutzinformationen selbst oder mit deinem Anwalt, bevor du Mitgliederdaten verschiebst.

Preise von trainera.fit/pricing für die Schweiz, Oktober 2026; die jährliche Abrechnung kostet das Zehnfache des Monatspreises. Wie Check-in-Daten erfasst werden, zeigen Check-in- und Zutrittssoftware fürs Fitnessstudio und QR-Check-in. Auch Lead-Formulare enthalten Personendaten: Lead-Management fürs Fitnessstudio behandelt die Pipeline-Seite. Für das übrige Schweizer Bild lies Fitnessstudio-Software in der Schweiz und die Schweizer Regeln für Mitgliedschaftsverträge.

Deine Ein-Seiten-nDSG-Zusammenfassung fürs Team

Druck das aus und häng es auf, wo Trainer und Empfangspersonal es sehen.

• Gesundheits- und biometrische Daten sind besonders schützenswert: ausdrückliche Einwilligung, minimale Fragen, beschränkter Zugriff.
• Mitglieder können fragen, was wir halten: Antwort innert 30 Tagen.
• Panne mit voraussichtlich hohem Risiko: sofort den Inhaber informieren; Meldung an den EDÖB so rasch als möglich; dokumentieren und 2 Jahre aufbewahren.
• Keine Gesundheitsdetails von Mitgliedern in privaten Chats oder auf privaten Handys.
• Daten ins Ausland nur mit angemessenem Schutz oder Garantien, und in der Datenschutzerklärung genannt.

Willst du Mitgliederdaten, Aufnahmeformulare und Check-ins an einem Ort statt in Mappen und Chats? Sieh, wie Trainera für Studios funktioniert.