Drei Kundenprojekte, drei komplett unterschiedliche Buchungstools – und in jedem einzelnen Fall blieb der Datenschutztext an derselben Stelle hängen. Als Webdesigner in Köln baue ich immer wieder Websites für Yoga-Studios, und das Muster wiederholt sich: Sobald ein externes Kursbuchungssystem wie Eversports, Fitogram oder Mindbody eingebunden wird, reicht der übliche 08/15-Generator nicht mehr aus, um die Kursbuchung wirklich rechtssicher zu machen. Für diesen Text habe ich die gängigen DSGVO-Tools noch einmal nebeneinandergelegt und beantworte hier die Fragen, die mir Studio-Betreiber dazu am häufigsten stellen.
Kurz zur Transparenz, bevor es weitergeht: In diesem Artikel stecken Affiliate-Links – bucht ihr über einen davon ein Tool, bekomme ich eine Provision, am Preis für euch ändert sich nichts. Empfohlen wird hier nur, was ich bei echten Kundenprojekten selbst eingesetzt habe. Zur Einordnung noch: Ich bin Webdesigner, kein Anwalt – dieser Text ist ein Erfahrungsbericht aus der Praxis, keine Rechtsberatung. Im Zweifel gehören die Texte immer noch mal vor einen Fachanwalt.
Ein normaler Generator reicht bei der Kursbuchung selten aus
Buchungstools wie Eversports, Fitogram oder Mindbody funktionieren ähnlich wie eine externe Putzkolonne für Daten – sie kommen rein, sammeln Termine, Zahlungsdaten und Cookies ein und laufen technisch auf einem fremden Server weiter. Ein einfacher Generator, der nur nach Branche und Adresse fragt, weiß von dieser Schnittstelle nichts. Wer die Datenschutz-Grundverordnung ernst nimmt, muss aber genau erklären, was so ein Tool mit den Daten der Kursteilnehmer macht – ob sie in Drittländer wie in die USA übertragen werden, gehört da genauso rein wie der Verweis auf den Anbieter selbst.
Ob dafür in jedem Fall ein kompletter eigener Auftragsverarbeitungsvertrag nötig ist oder das Buchungstool das schon mitliefert, ist vor allem bei Kunden mit eigener Software eine andere Rechnung, die ich mir bei SaaS- und Entwicklerprojekten separat anschaue.
Die Vorlage aus 2018, die ich besser ausgetauscht hätte
Zwei Jahre lang habe ich für neue Kundenprojekte im Kern immer dieselbe Datenschutzvorlage aus dem Jahr 2018 weiterverwendet und nur Name und Anschrift ausgetauscht. Bei einer reinen Info-Seite ohne Tracking ging das lange gut. Bei einem Studio, das plötzlich ein neues Buchungstool samt Zahlungsanbieter einband, fiel die Lücke erst auf, als ich die Klauseln Zeile für Zeile gegen das tatsächlich eingebundene Skript geprüft habe – das Buchungstool tauchte im Text schlicht nicht auf. Der Bürostuhl quietschte laut auf dem PVC-Boden, als ich mich zurücklehnte und merkte, wie viele Cookie-Namen darin fehlten.
Reine Einmal-Generatoren, an die ich früher bedenkenlos jeden Kunden verwiesen habe, landen bei mir inzwischen nicht mehr auf der Empfehlungsliste, weil sie nach dem ersten Speichern nichts mehr mitbekommen, was sich am Tool oder am Skript ändert.
Automatisierung oder Einmal-Generator: was beim nächsten Update noch hält
Genau umgekehrt lief es neulich bei einem laufenden Projekt: Eine Mail landete morgens in meinem Postfach mit der Meldung, dass die Datenschutztexte automatisch angepasst worden waren, noch bevor mir der Kunde überhaupt vom neuen Cookie-Skript seines Buchungsanbieters erzählt hatte. Das ist der Unterschied zwischen einem Text, der einmal geschrieben wird, und einem, der mitdenkt; zwischen statischen und dynamischen Rechtstexten liegt genau diese Zeitersparnis, die ich in einem separaten Vergleich mal genauer durchgerechnet habe.
Ein Tool, das mich dabei durch seine Beständigkeit überzeugt hat, ist die Impressum/Datenschutz Automatisierung vom Anbieter Paragraf7, der nach eigenen Angaben seit über acht Jahren am Markt ist, was man den eher seltenen Überraschungen in den Texten anmerkt. Für kleinere Studios mit knapperem Budget ist easyRechtssicher oft die pragmatischere Wahl, ein Monats-Abo für rund 19 Euro, das sich auch wieder kündigen lässt, wenn ein Kurs mal pausiert. Ich kombiniere solche Abos gerne mit meinen Wartungsverträgen, damit Kundenseiten nicht veralten; wie das im Workflow aussieht, steht in meinem Artikel über Impressum und Datenschutz für Wartungsverträge.
Welches der vier Tools aus meinem Werkzeugkasten am Ende gewinnt, hängt weniger vom Namen ab als von ein paar klaren Kriterien, Update-Automatik, Sprachqualität der Texte, Preismodell, die ich in einem eigenen Funktionsvergleich einmal komplett durchdekliniert habe.
Outdoor-Kurse und die Standortdaten-Falle
Fast jeder Standard-Generator übersieht mobile Kurse an wechselnden Treffpunkten. Nehmen wir eine Yoga-Lehrerin, die ihre Sommerstunden nicht im Studio, sondern draußen am Rheinauhafen anbietet und den Treffpunkt über eine eingebettete Geodaten-Karte von Google Maps zeigt: Damit gehen automatisch Standortdaten an Google, und das gehört explizit in die Datenschutzerklärung, nicht als Nebensatz, sondern als eigener Abschnitt.
Ohne einen sauber eingebundenen Cookie-Banner nützt selbst der beste Text an dieser Stelle wenig, weil die Karte technisch schon vor jeder Einwilligung laden könnte. Das Zusammenspiel zwischen Banner und Erklärung ist aber noch mal ein eigenes Thema für sich.
Für solche Fälle, bei denen neben der Datenschutzerklärung auch Verträge für Outdoor-Termine oder Retreats eine Rolle spielen, greife ich zusätzlich oft auf das Paket Vertrag und AGB für Online Unternehmer zurück, das die reine Datenschutzerklärung um die vertragliche Seite ergänzt.
Sobald der Online-Shop dazu kommt: AGB und Widerrufsrecht
Bei einem reinen Kursstudio ohne eigenen Verkauf reicht die Kombination aus automatisierter Datenschutzerklärung und passendem Cookie-Banner in aller Regel aus. Sobald dasselbe Studio aber auch Yogamatten, Gutscheine oder Zehnerkarten über einen eigenen Online-Shop verkauft, kommt zusätzlich das Thema AGB und Widerrufsrecht dazu – bei einem Yoga-Studio würde ich dafür eher zu einem separaten AGB-Baustein raten, während ich bei einem reinrassigen Online-Shop von Anfang an ein Tool nehme, das Widerrufsbelehrung und AGB direkt mitliefert.
Wer haftet, wenn im Buchungstool selbst der Fehler steckt?
Diese Frage bekomme ich regelmäßig gestellt, meistens nachdem irgendwo ein Fehlerbild die Runde gemacht hat: Verursacht der Anbieter des Buchungstools ein Datenleck, haftet erst mal er; trotzdem lohnt sich ein genauerer Blick darauf, wo die Verantwortung von Webdesigner, Studio und Software-Anbieter jeweils anfängt und aufhört, was ich in einem eigenen Beitrag Punkt für Punkt aufgedröselt habe.
Mehrere Kundenseiten als Agentur im Griff behalten
Wer nicht nur ein Studio, sondern gleich mehrere Kundenseiten betreut, stellt sich früher oder später die Frage, ob dafür eine einzelne Lizenz reicht oder ob jedes Projekt sein eigenes Tool-Abo braucht. Die Antwort hängt stark vom jeweiligen Anbieter und dessen Agentur-Konditionen ab, dazu gibt es einen eigenen Praxis-Check.
Dazu kommt technisch noch die Frage, wie sauber sich das gewählte Tool überhaupt in das jeweilige CMS oder Shopsystem einbinden lässt; bei WordPress-Templates hakt das öfter, als der Marketingtext des Anbieters vermuten lässt.
Newsletter-Pop-ups und die Einwilligung, die kaum jemand liest
Ein Feature, das mich im Alltag regelmäßig nervt, ist die Standardeinstellung mancher Cookie-Banner, bei der das Newsletter-Pop-up eines Kunden schon Pixel feuert, bevor überhaupt eine Einwilligung erteilt wurde. Das merkt man erst, wenn man selbst mit offenen Entwicklertools durch die eigene Seite klickt.
Bei Anmeldeformularen für den Newsletter kommt dazu meistens noch das Double-Opt-in-Verfahren ins Spiel, das sauber protokolliert werden muss – ein Thema, das ich in einem eigenen Vergleich der Newsletter-Generatoren im Detail behandle.
Sonderfälle: Arztpraxis, Schweizer Kundschaft und Buchung über Instagram
Nicht jeder Sonderfall betrifft Yoga-Studios direkt, aber die Anfragen dazu häufen sich, deshalb kurz der Reihe nach: Bei Coaches und Beratern, die keine festen Kurse, sondern Einzelsitzungen verkaufen, gelten noch mal andere Pflichtangaben, die ich separat aufgeschlüsselt habe. Sobald es um echte Gesundheitsdaten geht, etwa bei einer Arztpraxis nebenan, landet man in einer ganz anderen Kategorie besonders geschützter Daten mit entsprechend höheren Anforderungen. Hat das Studio auch Schweizer Kundschaft oder eine eigene Dependance dort, greift zusätzlich Schweizer Datenschutzrecht statt der DSGVO, was ich in einem eigenen Tool-Vergleich für Schweizer Seiten durchgespielt habe. Und läuft die Kursbuchung hauptsächlich über Instagram oder TikTok statt über die eigene Website, gilt die Impressumspflicht trotzdem, nur eben auf der Plattform selbst statt im Footer.
Fazit für Yoga-Studios in und um Köln
Wer nur eine kleine, statische Seite ohne Kursbuchung hat und keine Daten sammelt, kommt vermutlich noch mit einem einfachen Generator durch. Sobald aber Buchungstool, Newsletter und eine Standortkarte zusammenkommen, ist Handarbeit aus meiner Sicht grob fahrlässig. Ohne die richtige Ausrichtung verletzt man sich beim Yoga schließlich auch auf Dauer. Was das unterm Strich kostet, Tool-Lizenz plus eventuelle Anwaltsstunden für die kniffligen Stellen, ist noch mal eine eigene Rechnung, die ich an anderer Stelle aufgemacht habe.
Ich rate den meisten Studios inzwischen zur automatisierten Lösung oder zu easyRechtssicher, je nach Budget und Kundenzahl. Der Einbau dauert bei mir in der Praxis knapp eine Stunde, danach läuft das Ding weitgehend von selbst, während ein Bekannter von mir am Wochenende lieber mit dem Mountainbike den Rheinuferweg entlangfährt, sitze ich an solchen Nachmittagen eher am Laptop und vergleiche neue Tool-Updates.
Betreust du neben dem Yoga-Studio auch andere soziale oder pädagogische Projekte, lohnt sich zusätzlich ein Blick in meinen Vergleich für Kitas und Schulen. Dort gelten noch mal andere Maßstäbe. Und falls für die Retreats zusätzlich Ferienwohnungen vermietet werden, ist der Guide für Vermieter von Ferienwohnungen einen Blick wert. Dafür mache ich das Ganze schließlich: damit sich das Studio auf die Kurse konzentrieren kann und ich mich auf eine Website, die nicht an einem simplen Datenschutzfehler strauchelt.