DSGVO im Jugendfußball: Welche Spielerdaten darf ein Verein verarbeiten?

Ein Verein darf Spielerdaten verarbeiten, die für den Trainings- und Spielbetrieb erforderlich sind: Stammdaten wie Name und Geburtsdatum, Kontaktdaten, Trainingsteilnahme und Belastungsdaten grundsätzlich auf Basis der Mitgliedschaft. Sensible Gesundheits- und Wellness-Daten — Schlaf, Stimmung, Verletzungen — sind dagegen nach Art. 9 DSGVO besonders geschützt und brauchen in der Regel eine ausdrückliche Einwilligung. Bei minderjährigen Spieler:innen kommt zusätzlich Art. 8 DSGVO ins Spiel: Eltern müssen eingebunden sein. Und jede Software, die diese Daten im Auftrag des Vereins verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

In der Praxis fällt das oft erst spät auf: Ein Jugendtrainer legt vor Saisonbeginn eine Tabelle an — Name, Geburtsdatum, Handynummer der Eltern und, weil es praktisch scheint, ein paar Notizen zu Vorverletzungen und wie ausgeschlafen ein Spieler nach den Ferien wirkt. Niemand im Verein hat je die Frage gestellt, ob das so einfach zulässig ist. Sie stellt sich meist erst, wenn eine Elternfrage, eine Kreisverbandsprüfung oder ein neues Tool die Lücke sichtbar macht.

Dieser Artikel ordnet die Fragen ein, die dir in der Vorstandssitzung oder beim Elternabend tatsächlich begegnen — als praktische Orientierung, nicht als Rechtsberatung. Für vereinsspezifische Fälle bleibt der Weg zu deiner Datenschutzbeauftragten oder einer Rechtsberatung der richtige.

Welche Spielerdaten fallen im Trainingsalltag überhaupt an?

Bevor sich die Frage nach der Rechtsgrundlage überhaupt stellt, hilft ein nüchterner Blick darauf, was in einem Amateurverein tatsächlich an Spielerdaten entsteht. In der Praxis lassen sich fünf Kategorien unterscheiden, die unterschiedlich streng behandelt werden müssen:

Stammdaten: Name, Geburtsdatum, Vereinszugehörigkeit, Mannschaft. Unproblematisch, weil für Meldewesen und Organisation ohnehin nötig.
Kontaktdaten: Telefonnummer und E-Mail — bei Minderjährigen in der Regel die der Eltern, nicht des Kindes selbst.
Trainings- und Anwesenheitsdaten: Wer war bei welcher Einheit dabei, wer hat abgesagt.
Belastungsdaten: Der Belastungs-Index, der aus Trainingsteilnahme und der subjektiven Anstrengungseinschätzung (Session-RPE) berechnet wird, plus optional Wearable-Daten.
Wellness- und Gesundheitsdaten: Schlafqualität, Stimmung, Muskelkater, gemeldete Verletzungen — alles, was ein Wellness-Check-in typischerweise abfragt.

Die ersten drei Kategorien sind für den laufenden Spielbetrieb schwer zu vermeiden — ein Verein, der weiß, wer in welcher Mannschaft spielt und wann trainiert wird, verarbeitet zwangsläufig Stamm- und Anwesenheitsdaten. Bei den letzten beiden Kategorien wird es rechtlich anspruchsvoller: Belastungsdaten sind personenbezogen und sagen etwas über den Trainingszustand eines einzelnen Spielers aus, Wellness- und Gesundheitsdaten fallen sogar unter eine eigene, strengere Schutzkategorie der DSGVO. Wie genau sich das auf die Praxis auswirkt, klären die beiden folgenden Abschnitte.

Wann brauchst du die Einwilligung der Eltern? (Art. 8 DSGVO, Minderjährige)

Sobald ein Spieler minderjährig ist und die Datenverarbeitung auf einer Einwilligung beruht — etwa für ein Wellness-Check-in oder eine App-Nutzung —, reicht die Zustimmung des Kindes allein grundsätzlich nicht aus. Art. 8 DSGVO regelt genau diesen Fall für Dienste der Informationsgesellschaft: Unterhalb einer bestimmten Altersgrenze braucht die Einwilligung die Zustimmung oder Genehmigung der Eltern. Deutschland hat von der Öffnungsklausel, diese Grenze abzusenken, keinen Gebrauch gemacht — es bleibt bei 16 Jahren.

Für deinen Vereinsalltag heißt das praktisch: Bei den meisten Jugendmannschaften, von den F- bis zu den B-Junioren, sind die Spieler:innen jünger als 16. Wo dein Verein oder eine Trainingssoftware Daten auf Einwilligungsbasis verarbeitet — etwa ein freiwilliges Wellness-Check-in oder eine App, die Spieler selbst installieren —, müssen die Eltern diese Einwilligung erteilen, nicht das Kind allein. Für Daten, die ohnehin zur Vereinsmitgliedschaft gehören (Stammdaten, Meldewesen), stützt sich ein Verein dagegen meist auf die Mitgliedschaft selbst als Rechtsgrundlage, nicht auf eine gesonderte Einwilligung — auch hier ist es aber gute Praxis, Eltern bei der Anmeldung transparent zu informieren, was erfasst wird und wozu.

Das ist der Grund, warum sinnvoll gebaute Trainingssoftware eine eigene Eltern-Rolle vorsieht: Eltern erteilen die Einwilligung für ihr minderjähriges Kind, sehen dessen Belastungs- und Wellness-Daten und können bei Bedarf stellvertretend Rückmeldungen geben. Mehr dazu, wie das konkret aussieht, gibt es auf der Seite KAIZEA für Eltern — inklusive der Frage, welche Daten Eltern einsehen und wie die Einwilligung technisch abgebildet ist.

Warum sind Wellness- und Gesundheitsdaten besonders geschützt? (Art. 9 DSGVO)

Ein Wellness-Check-in, der nach Schlafqualität, Muskelkater oder einer gemeldeten Verletzung fragt, verarbeitet mehr als eine gewöhnliche Trainingsnotiz. Art. 9 DSGVO stuft Gesundheitsdaten als besondere Kategorie personenbezogener Daten ein — zusammen mit Angaben etwa zu ethnischer Herkunft oder religiöser Überzeugung. Für diese Kategorie gilt ein grundsätzliches Verarbeitungsverbot, das nur durch enge Ausnahmen durchbrochen wird — in der Vereinspraxis vor allem durch eine ausdrückliche Einwilligung der betroffenen Person beziehungsweise, bei Minderjährigen, der Eltern.

Das betrifft im Trainingsalltag konkret: eine gemeldete Verletzung, Angaben zu Reha-Status, aber auch subjektive Wellness-Werte wie Schlafdauer oder Erschöpfungslevel, sobald sie systematisch erfasst und einer Person zugeordnet werden. Genau deshalb ist es ein Unterschied, ob ein Trainer sich nach dem Training kurz erkundigt, wie es jemandem geht — oder ob ein System diese Angaben speichert, über Wochen auswertet und einer Person zuordenbar macht. Zweiteres braucht eine klare, dokumentierte Einwilligung, keine implizite Annahme, dass "wird schon in Ordnung sein".

Praktisch folgt daraus eine einfache Regel für dich als Vorstand: Wo ein Tool Gesundheits- oder Wellness-Daten erhebt, muss die Einwilligung explizit eingeholt werden — nicht als Kleingedrucktes in der AGB, sondern als eigener, verständlicher Schritt beim Onboarding. Und diese Daten dürfen nur den Personen zugänglich sein, die sie für die Trainingssteuerung tatsächlich brauchen: Trainer:in und gegebenenfalls Athletiktrainer:in, nicht die gesamte Mannschaft oder ein offen einsehbares Vereinsboard.

Was muss ein Verein von seiner Software verlangen? (AV-Vertrag nach Art. 28, EU-Hosting, Datenexport)

Sobald ein Verein eine externe Software zur Trainingssteuerung nutzt, verändert sich die rechtliche Konstellation: Der Verein bleibt datenschutzrechtlich Verantwortlicher, die Software wird zum Auftragsverarbeiter. Für dieses Verhältnis schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AV-Vertrag) vor — er regelt, wozu die Software die Daten verarbeiten darf, welche technischen und organisatorischen Maßnahmen gelten und was im Fall einer Datenpanne passiert. Ohne diesen Vertrag verstößt der Verein gegen die DSGVO, unabhängig davon, wie sorgfältig die Software selbst gebaut ist.

Drei Punkte solltest du deshalb konkret von jeder Trainingssoftware verlangen, bevor Spielerdaten — insbesondere Jugenddaten — dort landen:

Ein AV-Vertrag nach Art. 28 DSGVO, der als fester Bestandteil des Onboardings bereitsteht, nicht als Sonderwunsch, den man extra anfragen muss.
EU-Hosting. Liegen die Daten in Rechenzentren innerhalb der EU, entfällt das zusätzliche Risiko einer Datenübermittlung in Drittländer außerhalb der EU — ein Kriterium, das Datenschutzbeauftragte deutscher Vereine im Regelfall explizit prüfen.
Datenexport ohne Lock-in. Ein Verein sollte seine Daten jederzeit vollständig exportieren können — auch bei einem Anbieterwechsel. Das ist keine reine Bequemlichkeitsfrage, sondern Ausdruck der Datenhoheit, die laut DSGVO grundsätzlich beim Verein als Verantwortlichem bleibt, nicht beim Software-Anbieter.

Wie KAIZEA diese drei Punkte konkret umsetzt — EU-Rechenzentren in Deutschland und den Niederlanden, AV-Vertrag als Standard-Onboarding-Bestandteil, rollenbasierte Zugriffsrechte und Datenexport auf Anfrage — ist auf der Seite Sicherheit & Datenschutz im Detail beschrieben.

Checkliste für den Vorstand

Die folgende Checkliste ersetzt keine rechtliche Prüfung, hilft dir aber, die wichtigsten Punkte vor der nächsten Vorstandssitzung durchzugehen:

Datenkategorien kennen: Ist dokumentiert, welche Spielerdaten der Verein überhaupt erhebt — Stammdaten, Belastungsdaten, Wellness- und Gesundheitsdaten?
Rechtsgrundlage klären: Läuft die Verarbeitung über die Mitgliedschaft, über eine Einwilligung — oder wurde das nie entschieden?
Elterneinwilligung einholen: Liegt bei Spieler:innen unter 16 Jahren eine dokumentierte Einwilligung der Eltern vor, wo eine Einwilligung nötig ist (Art. 8 DSGVO)?
Gesundheitsdaten besonders behandeln: Werden Wellness- und Verletzungsdaten nur mit ausdrücklicher Einwilligung und nur für die Personen sichtbar erfasst, die sie für die Trainingssteuerung brauchen (Art. 9 DSGVO)?
AV-Vertrag einfordern: Liegt für jede genutzte Software ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor?
Hosting-Standort prüfen: Werden die Daten in der EU gehostet, oder gibt es eine Übermittlung in Drittländer?
Exit-Option sichern: Lassen sich alle Vereinsdaten jederzeit exportieren, falls der Verein die Software wechselt?
Zuständigkeit benennen: Weiß im Verein jemand konkret, wer bei Datenschutzfragen Ansprechpartner ist — Datenschutzbeauftragte:r oder zumindest ein zuständiges Vorstandsmitglied?

Für Vereine mit mehreren Mannschaften kommt eine zusätzliche Dimension hinzu: Wenn Trainer wechseln oder Mannschaften zusammengelegt werden, muss die Datenhistorie beim Verein bleiben, nicht in der privaten Tabelle eines einzelnen Trainers verschwinden. Wie ein vereinsweiter Blick auf Datenschutz, Rollen und Zuständigkeiten für die sportliche Leitung aussieht, beschreibt die Seite KAIZEA für sportliche Leitung.

Häufig gestellte Fragen

Braucht ein Amateurverein einen Datenschutzbeauftragten?

Das hängt von Größe und Datenverarbeitung des Vereins ab und ist eine Einzelfallfrage, die eine Rechtsberatung oder der Kreis-/Landesverband verlässlicher beantwortet als ein Marketing-Artikel. Unabhängig davon sollte jeder Verein mindestens eine Person benennen, die für Datenschutzfragen konkret zuständig ist.

Dürfen Trainer Gesundheitsdaten von Spielern über WhatsApp austauschen?

Davon raten Datenschutzbeauftragte in der Regel ab. WhatsApp ist nicht für die geschützte Verarbeitung von Gesundheitsdaten nach Art. 9 DSGVO gebaut, es gibt keinen Auftragsverarbeitungsvertrag mit dem Verein und Nachrichten verbleiben oft auf privaten Geräten ohne Löschkonzept. Für Belastungs- und Wellness-Daten ist eine dafür gebaute Trainingssoftware mit AV-Vertrag die verlässlichere Lösung.

Was passiert mit den Spielerdaten, wenn ein Kind den Verein verlässt?

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie der Verarbeitungszweck es erfordert — danach müssen sie gelöscht oder anonymisiert werden. Ein Verein sollte für seine Trainingssoftware klären, nach welcher Frist Daten ausgeschiedener Spieler:innen gelöscht werden und ob ein Export vor der Löschung möglich ist.

Reicht eine mündliche Einwilligung der Eltern beim Trainingsauftakt?

Rechtlich sicherer ist eine dokumentierte, nachweisbare Einwilligung — etwa digital über eine Eltern-Rolle in der Trainingssoftware oder schriftlich beim Anmeldeformular. Eine rein mündliche Zusage lässt sich im Zweifel nicht belegen, was bei einer Nachfrage der Datenschutzbeauftragten zum Problem werden kann.

Datenschutz im Jugendfußball ist kein Formalitätsproblem, das sich mit einer einmaligen Unterschrift erledigt — er ist eine laufende Aufgabe, die mit jeder neuen Saison, jedem Trainerwechsel und jedem neuen Tool wieder relevant wird. Der pragmatischste Hebel ist, Software zu verwenden, die die Grundlagen von Anfang an mitbringt: AV-Vertrag, EU-Hosting, rollenbasierte Zugriffe und eine echte Eltern-Rolle für Minderjährige — statt sie nachträglich in eine Excel-Tabelle oder einen WhatsApp-Chat hineinzukonstruieren.

Wie das in der Praxis aussieht, zeigen wir gern in einer persönlichen Demo für deinen Verein.

Demo buchen