Kort fortalt
Fitnesscentre håndterer mere personlig data end de fleste andre SMV'er — sundhedsoplysninger, billeder, betalinger. De fem ting du skal have styr på: lovgrundlag, opbevaring, samtykker, databehandleraftaler og brugerrettigheder.
Bemærk: denne artikel er en praktisk introduktion, ikke juridisk rådgivning. Få konkrete vurderinger valideret af en advokat eller Datatilsynet.
Hvad kræver GDPR af et fitnesscenter?
Fem områder skal være på plads:
- Lovgrundlag for hver type data du behandler
- Klare opbevaringsperioder dokumenteret
- Eksplicit samtykke for marketing og sundhedsoplysninger
- Databehandleraftale med alle eksterne leverandører
- System til at håndtere brugerrettigheder (indsigt, sletning, eksport)
1. Hvilken data behandler du egentlig?
Start med en datakortlægning. Skriv ned hvilken data du indsamler, hvor den ligger, hvem der har adgang og hvor længe den gemmes. Typiske kategorier i et fitnesscenter:
Almindelige personoplysninger (navn, adresse, telefon, e-mail). Sundhedsoplysninger hvis I har skader, allergier eller helbredsformularer — det er en særlig kategori der kræver eksplicit samtykke. Billeder fra centret eller hold hvis de er identificerbare. Betalingsdata. Adgangsdata fra adgangskontrolsystemer.
2. Hvad er dit lovgrundlag for at behandle den?
Hver type data skal have et lovgrundlag. De fire mest relevante for fitnesscentre er:
Kontraktopfyldelse: du må behandle data der er nødvendig for at opfylde aftalen — fx betaling, booking, adgang.
Samtykke: nødvendigt for marketing, billeder du publicerer, og særlige kategorier som sundhed.
Legitim interesse: kan dække ting som sikkerhed og forebyggelse af svig — men kræver en interesseafvejning du kan dokumentere.
Lovkrav: regnskab, skat, hvidvask osv.
3. Hvor længe må du gemme det?
Sletteperioder skal være konkrete og dokumenterede. Ikke "indtil videre". Typiske eksempler: bogføringsmateriale 5 år, almindelige medlemsdata efter ophør 6-12 måneder (hvis ikke andre regler kræver længere), marketing-samtykker indtil tilbagekaldelse.
Det vigtige er ikke at perioden er rigtig på tværs af alle centre — det er at I har taget stilling og kan begrunde valget.
4. Databehandleraftaler
Hver gang en ekstern leverandør behandler personoplysninger på dine vegne — bookingsystem, e-mail udbyder, betalingsgateway — skal der være en databehandleraftale (DPA). Det er et lovkrav, ikke en formalitet.
En god DPA beskriver konkret hvilken data der behandles, til hvilket formål, hvor længe, og hvilke sikkerhedsforanstaltninger der er på plads.
5. Medlemmers rettigheder
Hvert medlem har ret til indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. Du skal kunne reagere på en sådan henvendelse indenfor 30 dage.
Praktisk betyder det: du skal vide hvor data ligger, du skal kunne trække den ud i et læsbart format, og du skal kunne slette den uden at lade kopier blive tilbage. Det er svært hvis data er spredt over Excel, mailbokse og post-it sedler. Det er trivielt hvis det ligger i ét system.
Næste skridt
Læs vores privatlivspolitik for et eksempel på struktur. Eller book en demo og se hvordan FitnessBooking gør det nemmere at overholde rettigheder og opbevaring.
GDPR-compliant booking fra dag ét
Book en demo og se hvordan FitnessBooking er bygget med GDPR i tankerne.
