Coaching-Business & Software

DSGVO bei Coaching-Software: Was Coaches beim Datenschutz prüfen sollten

Coaching-Software verarbeitet persönliche und teils sensible Informationen. Erfahre, welche Datenschutzfragen Coaches vor der Auswahl prüfen sollten – von AV-Vertrag und Subprozessoren bis zu Rollen, Löschung und Datenexport.

Sven 20. September 2026 8 Min. Lesezeit

Coaching-Software verarbeitet personenbezogene Daten – und je nach Einsatz auch sehr persönliche Informationen über Ziele, Belastungen, Beziehungen, Arbeitssituationen oder Gesundheit. Genau deshalb sollte Datenschutz bei der Auswahl nicht als Fußnote behandelt werden. Gleichzeitig ist wichtig, sauber zu bleiben: Nicht jede Information im Coaching ist automatisch eine besondere Kategorie personenbezogener Daten, und ein Serverstandort in der EU macht ein Tool nicht automatisch DSGVO-konform. Entscheidend ist das gesamte Verarbeitungskonzept. Dieser Beitrag zeigt, welche Punkte Coaches vor dem Einsatz einer Coaching-Plattform prüfen sollten. Er ersetzt keine Rechtsberatung.

Warum Datenschutz bei Coaching-Software besonders relevant ist

Coaching lebt von Vertrauen. Digitale Systeme speichern dabei mehr als nur Name und E-Mail-Adresse. Je nach Prozess können Sessionnotizen, Aufgaben, Reflexionen, Ziele, Programme, Termine, Nachrichten, Dateien und Fortschrittsinformationen hinzukommen. Damit steigt die Verantwortung, genau zu verstehen, welche Daten verarbeitet werden, wer darauf zugreifen kann und welche Dienstleister im Hintergrund beteiligt sind.

Was bedeutet DSGVO für Coaches überhaupt?

Die DSGVO gilt für die Verarbeitung personenbezogener Daten im Rahmen von Tätigkeiten einer Niederlassung in der EU und unter bestimmten Bedingungen auch für Anbieter außerhalb der EU, wenn sie Personen in der EU Leistungen anbieten oder deren Verhalten beobachten. Für Coaches heißt das: Sobald personenbezogene Daten von Interessenten, Kunden oder Coachies verarbeitet werden, müssen die einschlägigen Datenschutzregeln berücksichtigt werden. Welche konkreten Pflichten gelten, hängt vom tatsächlichen Einsatz ab. Wenn Du zuerst die Software-Kategorie grundsätzlich einordnen möchtest, findest Du hier unseren Beitrag Was ist Coaching-Software?.

Verantwortlicher oder Auftragsverarbeiter – wer ist wer?

Die Europäische Kommission und der Europäische Datenschutzausschuss unterscheiden zwischen Verantwortlichem und Auftragsverarbeiter. Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Verarbeitung – vereinfacht: warum und wie personenbezogene Daten verarbeitet werden. Ein Auftragsverarbeiter verarbeitet Daten im Auftrag und nach Weisung des Verantwortlichen. In einem typischen Coaching-Setup kann der Coach oder das Coaching-Unternehmen für die eigene Kundendatenverarbeitung verantwortlich sein, während ein externer Softwareanbieter bestimmte Daten im Auftrag verarbeitet. Die konkrete Rolle hängt jedoch vom tatsächlichen Geschäfts- und Verarbeitungskontext ab.

Wann brauchst Du einen AV-Vertrag?

Wenn ein externer Dienstleister personenbezogene Daten in Deinem Auftrag verarbeitet, ist regelmäßig eine vertragliche Regelung zur Auftragsverarbeitung erforderlich. Die DSGVO verlangt dafür einen bindenden Vertrag oder einen anderen Rechtsakt. Darin sollten unter anderem dokumentierte Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützungspflichten und der Umgang mit weiteren Unterauftragnehmern geregelt sein. Ein Anbieter, der einen passenden AV-Vertrag nicht bereitstellen kann, sollte deshalb nicht einfach mit einem Marketing-Siegel ersetzt werden.

Subprozessoren: Wer verarbeitet Klientendaten noch?

Viele SaaS-Systeme bestehen nicht nur aus einem Anbieter. Hosting, E-Mail-Versand, Videofunktionen, KI, Support, Analyse oder Zahlungsabwicklung können über weitere Dienstleister laufen. Diese Unterauftragnehmer beziehungsweise Subprozessoren sind für die Datenschutzbewertung relevant. Nach den Leitlinien des EDPB darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nicht einfach ohne entsprechende Autorisierung einsetzen. Prüfe deshalb:

Gibt es eine aktuelle Liste der Subprozessoren?
Welche Daten verarbeitet welcher Dienstleister?
In welchen Ländern findet Verarbeitung statt?
Wie wirst Du über Änderungen informiert?
Kannst Du einer Änderung gegebenenfalls widersprechen?

EU-Server allein reichen nicht

EU-Hosting kann ein wichtiger Baustein sein, ist aber kein automatischer DSGVO-Nachweis. Datenschutz betrifft mehr als den Serverstandort. Entscheidend sind unter anderem Rollen, Verträge, Zugriffe, Sicherheitsmaßnahmen, Subprozessoren, Rechtsgrundlagen, Löschprozesse, Datentransfers und Transparenz gegenüber Betroffenen. Ein Anbieter kann also in Europa hosten und trotzdem andere relevante Datenschutzfragen offenlassen. Umgekehrt muss bei internationalen Verarbeitungsketten konkret geprüft werden, welche rechtlichen und technischen Voraussetzungen gelten.

Rollen und Berechtigungen im Coaching-System

Ein gutes Datenschutzkonzept beginnt nicht erst beim Vertrag, sondern in der Produktarchitektur. Ein Coach sollte nicht automatisch alles sehen, nur weil er im selben Unternehmen arbeitet. Ein Coachie sollte nicht versehentlich Daten anderer Coachies sehen können. Admin, Coach, Assistenz und Kunde brauchen unterschiedliche Rechte. Gerade bei Teams sind deshalb Fragen wichtig wie:

Wer darf Kundendaten sehen?
Wer darf Sessionnotizen bearbeiten?
Welche Inhalte sind für Coachies sichtbar?
Wie werden Rechte beim Ausscheiden eines Mitarbeiters entzogen?
Gibt es eine nachvollziehbare Rollen- und Berechtigungslogik?

Die Kundensicht selbst behandeln wir ausführlicher in Kundenportal für Coaches.

Welche Daten gehören überhaupt in eine Coaching-Software?

Datenschutz beginnt mit Datenminimierung. Nur weil ein Feld technisch vorhanden ist, muss es nicht genutzt werden. Vor jeder Dokumentation lohnt sich die Frage: Brauche ich diese Information für den Coachingprozess oder die erforderliche Organisation wirklich? Besonders vorsichtig solltest Du mit Informationen umgehen, die sehr persönlich sind oder besondere Kategorien personenbezogener Daten betreffen können. Dazu können je nach Inhalt beispielsweise Gesundheitsdaten gehören. Deshalb ist es sinnvoll, Vertriebsdaten, operative Coachingdaten und hochsensible Informationen nicht gedankenlos in einen einzigen Freitextbereich zu kippen. Die Abgrenzung zur reinen Kundenverwaltung erklären wir zusätzlich in CRM für Coaches.

Löschung, Aufbewahrung und Datenexport

Ein gutes System sollte nicht nur Daten sammeln können. Es sollte auch ermöglichen, sie kontrolliert zu exportieren, zu berichtigen und zu löschen. Vor der Auswahl solltest Du klären:

Wie lassen sich Kundendaten exportieren?
Welche Formate stehen zur Verfügung?
Wie funktioniert vollständige Löschung?
Was passiert nach Vertragsende?
Welche Backups oder Aufbewahrungsprozesse existieren?
Welche Daten bleiben aus gesetzlichen Gründen gegebenenfalls länger erhalten?

Ein schwer exportierbares System kann selbst dann problematisch sein, wenn es im Alltag bequem wirkt.

Braucht jeder Coach einen Datenschutzbeauftragten?

Nein. Die Pflicht zur Benennung eines Datenschutzbeauftragten hängt nicht einfach daran, dass jemand Coach ist. Die Europäische Kommission nennt unter anderem groß angelegte Verarbeitung besonderer Kategorien personenbezogener Daten oder groß angelegte regelmäßige und systematische Überwachung als relevante Kriterien. Ob eine konkrete Pflicht besteht, hängt vom jeweiligen Unternehmen und der Verarbeitung ab. Kleine Unternehmen sind also nicht automatisch verpflichtet, nur weil sie personenbezogene Daten verarbeiten.

Was Du bei KI-Funktionen zusätzlich prüfen solltest

KI-Funktionen können Coaching-Software deutlich leistungsfähiger machen – zum Beispiel bei Zusammenfassungen, Entwürfen, Suche oder Assistenzfunktionen. Gleichzeitig entstehen zusätzliche Datenschutzfragen. Prüfe unter anderem:

Welche Daten werden an ein KI-Modell übertragen?
Welcher Anbieter verarbeitet diese Daten?
Werden Inhalte für Training verwendet?
Wo findet die Verarbeitung statt?
Welche Daten werden protokolliert?
Kann KI für bestimmte Datentypen deaktiviert werden?
Ist klar, wann ein Mensch die finale Entscheidung trifft?

Gerade bei sensiblen Coachingkontexten sollte KI nicht einfach als unsichtbare Zusatzfunktion laufen.

Privacy by Design und Umgang mit Datenpannen

Datenschutz sollte nicht erst durch nachträgliche Verträge entstehen. Die DSGVO verlangt Verantwortlichkeit und geeignete technische und organisatorische Maßnahmen; dazu gehört auch, Datenschutz schon bei der Gestaltung von Prozessen und Systemen mitzudenken. Für Coaches heißt das praktisch: so wenige Daten wie nötig erfassen, Zugriffe begrenzen, sensible Informationen nicht unnötig vervielfältigen und klare Zuständigkeiten für Berechtigungen, Löschung und Exporte festlegen. Ebenso wichtig ist ein definierter Umgang mit Datenpannen. Wenn personenbezogene Daten versehentlich offengelegt, verändert, verloren oder unzugänglich werden, muss bewertet werden, welche Melde- und Informationspflichten entstehen. Ein Softwareanbieter sollte deshalb transparent machen, wie Sicherheitsvorfälle erkannt, dokumentiert und an betroffene Kunden kommuniziert werden. Auch hier gilt: Die konkrete rechtliche Bewertung hängt vom Einzelfall ab.

DSGVO-Checkliste für Coaching-Software

Ist klar, wer Verantwortlicher und wer Auftragsverarbeiter ist?
Gibt es einen passenden AV-Vertrag?
Ist die Liste der Subprozessoren transparent?
Sind internationale Datentransfers nachvollziehbar?
Gibt es klare Rollen und Berechtigungen?
Kannst Du Daten exportieren und löschen?
Sind Sicherheitsmaßnahmen nachvollziehbar beschrieben?
Ist geregelt, was bei Vertragsende mit Daten passiert?
Werden KI-Funktionen transparent beschrieben?
Kannst Du sensible Funktionen bei Bedarf einschränken?
Werden nur die Daten verarbeitet, die für den Prozess wirklich benötigt werden?
Ist die Dokumentation aktuell genug, um Deine eigene Prüfung zu ermöglichen?

Wie CoGether Datenschutz im Produkt denkt

Bei Co;Gether wird Datenschutz nicht nur als Vertragsthema betrachtet, sondern als Teil der Systemlogik: Rollen, Rechte, Datenzugriffe und unterschiedliche Perspektiven von Coach, Coachie und Team sollen sauber getrennt werden. Das bedeutet nicht, dass ein System allein Deine rechtlichen Pflichten übernimmt. Der jeweilige Coach beziehungsweise das Unternehmen bleibt dafür verantwortlich, den eigenen Verarbeitungskontext korrekt einzuordnen und die notwendigen organisatorischen Maßnahmen umzusetzen. Bei der Auswahl einer Plattform sollte deshalb immer beides zusammenpassen: technische Schutzmechanismen und ein rechtlich nachvollziehbarer Verarbeitungsrahmen. Die aktuellen Kosten- und Paketfragen findest Du ergänzend unter Was kostet Coaching-Software?. Die CoGether-B2B-Lösung und ihre Ausbaustufen findest Du unter Coaching-Software für Coaches & Unternehmen. Datenschutz ist ein Auswahlkriterium, nicht die ganze Systementscheidung: Für die funktionale Einordnung findest Du hier den Vergleich Coaching-Software vs. CRM vs. Kundenportal.

Besonders sensibel ist KI bei Session Notes und Transkripten: Welche Datenflüsse, Review-Schritte und Aufbewahrungsfragen dort wichtig werden, behandeln wir in KI für Coaching-Dokumentation.

Im Enterprise-Kontext wird Datenschutz Teil der Governance: Rollen, Auditierbarkeit, Organisationsstruktur und IT-Freigaben behandeln wir ergänzend in Coaching-Software für Unternehmen.

Quellen & fachliche Orientierung

DEIN FEEDBACK

War dieser Artikel hilfreich für Dich?

Ein Klick hilft uns zu verstehen, welche Inhalte Dir wirklich etwas bringen.

Als Nächstes Was kostet Coaching-Software? Preise, Kostenfallen und die richtige Kalkulation