Sobald das Thema Schritte-Challenge intern aufkommt, dauert es meist nicht lange, bis die erste kritische Frage folgt: „Und wie sieht das mit dem Datenschutz aus?" Kurz darauf meldet sich jemand aus dem Betriebsrat zu Wort. Und plötzlich wirkt eine eigentlich unkomplizierte BGM-Maßnahme wie ein juristisches Minenfeld. Dabei ist die Realität deutlich entspannter – wenn man weiß, worauf es ankommt.
Was bei einer Schritte-Challenge datenschutzrechtlich wirklich auf dem Spiel steht
Zunächst zur Einordnung: Bei einer betrieblichen Schritte-Challenge werden Gesundheitsdaten verarbeitet – zumindest mittelbar. Schrittzahlen gelten nach herrschender Meinung als personenbezogene Daten, weil sie Rückschlüsse auf das Bewegungsverhalten und potenziell auf den Gesundheitszustand einer Person zulassen. Die DSGVO, konkret Art. 9, klassifiziert Gesundheitsdaten als besonders schützenswert. Das klingt erst mal bedrohlich.
In der Praxis zeigt sich aber: Schrittzahlen fallen nicht automatisch unter die Kategorie „Gesundheitsdaten" im engeren Sinne – es sei denn, sie werden in einem medizinischen Kontext erhoben oder kombiniert mit anderen sensiblen Informationen ausgewertet. Wer schlicht erfasst, wie viele Schritte jemand pro Tag gegangen ist, bewegt sich in einer anderen Kategorie als ein Krankenversicherungsunternehmen, das Bewegungsprofile zur Risikoeinschätzung nutzt. Viele HR-Abteilungen überschätzen das datenschutzrechtliche Risiko – und lassen aus Vorsicht Maßnahmen gar nicht erst entstehen, die legal umsetzbar gewesen wären.
Entscheidend ist, auf welcher Rechtsgrundlage die Datenverarbeitung basiert. Die freiwillige, informierte Einwilligung der Teilnehmenden nach Art. 6 Abs. 1 lit. a DSGVO ist der sauberste Weg – und in der Praxis auch der gängigste. Wichtig: Die Teilnahme an der Challenge darf keine Voraussetzung für betriebliche Vorteile sein, und der Widerruf muss jederzeit möglich sein, ohne Nachteile für die betroffene Person.
Fitness-Tracker im Unternehmen: Was HR wissen muss – und was nicht ihr Problem ist
Ein häufiges Missverständnis: HR denkt, sie müssten für den Einsatz privater Smartphones oder Fitness-Tracker haften. Das stimmt so nicht. Wenn Mitarbeitende ihr eigenes Gerät verwenden – ob Smartwatch, Schrittzähler oder Smartphone – und die Daten selbst in eine Plattform einspeisen, liegt die primäre Datenerhebung beim Endgerät, nicht beim Arbeitgeber. Das Unternehmen verarbeitet in diesem Fall lediglich die vom Mitarbeitenden übermittelten Daten, in der Regel aggregierte Schrittzahlen.
Anders sieht es aus, wenn das Unternehmen selbst Geräte ausgibt oder ein Tracking-System einführt, das ohne aktive Mitwirkung der Mitarbeitenden Daten erhebt. Hier wird es datenschutzrechtlich enger, und eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO kann erforderlich werden. Plattformen wie instingo setzen auf einen transparenten, DSGVO-konformen Ansatz: Teilnehmende melden sich selbst an, übertragen ihre Daten eigenverantwortlich und wissen jederzeit, was mit ihren Angaben passiert.
Konkret empfiehlt sich für HR: Klären Sie vorab mit Ihrem Datenschutzbeauftragten, welche Daten erhoben werden, wo sie gespeichert werden (Serverstandort!), wie lange sie vorgehalten werden und ob eine Auftragsverarbeitungsvereinbarung (AVV) mit dem Plattformbetreiber geschlossen werden muss. Diese Punkte lassen sich in den meisten Fällen innerhalb weniger Tage klären.
Der Betriebsrat: Hürde oder Partner?
Viele HR-Verantwortliche scheuen das Gespräch mit dem Betriebsrat, weil sie Einwände befürchten. Tatsächlich ist der Betriebsrat bei der Einführung technischer Systeme, die zur Überwachung des Verhaltens oder der Leistung von Mitarbeitenden geeignet sind, nach § 87 Abs. 1 Nr. 6 BetrVG zwingend zu beteiligen. Das gilt auch für digitale Schritte-Challenge-Plattformen – zumindest wenn eine Auswertung auf Individualebene möglich ist.
Aber: Mitbestimmungsrecht bedeutet nicht automatisch Veto. In der Praxis erleben viele HR-Teams, dass Betriebsräte positiv auf Gesundheitsmaßnahmen reagieren – besonders wenn sie frühzeitig eingebunden werden. Ein Betriebsrat, der erst aus dem Intranet von der geplanten Challenge erfährt, reagiert verständlicherweise anders als einer, der von Anfang an als Mitgestalter behandelt wird. Schließen Sie eine Betriebsvereinbarung ab, die klare Regelungen enthält: Freiwilligkeit der Teilnahme, keine Leistungsüberwachung durch den Arbeitgeber, Datenlöschung nach Abschluss der Challenge, Aggregation der Daten auf Teamebene statt Einzelauswertung durch das Management.
Eine solche Vereinbarung schützt beide Seiten und schafft Vertrauen – bei der Belegschaft und im Verhältnis zu den Arbeitnehmervertretern. Laut einer Befragung des Instituts für Betriebliche Gesundheitsförderung (IBG) aus 2023 sind Betriebsräte in über 70 Prozent der Fälle bereit, Gesundheitsinitiativen zu unterstützen, wenn Datenschutz und Freiwilligkeit transparent geregelt sind.
Freiwilligkeit ernst nehmen – und richtig kommunizieren
Das Prinzip der Freiwilligkeit ist bei betrieblichen Challenges nicht nur rechtlich geboten, es ist auch strategisch klug. Wer Mitarbeitende unter Druck setzt, erzeugt keine nachhaltige Bewegungskultur, sondern Widerstand. Gleichzeitig kann eine gut kommunizierte Challenge mit attraktiven Anreizen – ohne dabei zur Pflichtveranstaltung zu werden – eine Beteiligungsquote von deutlich über 70 Prozent erreichen. Das belegen Erfahrungswerte aus zahlreichen instingo-Challenges.
Für HR bedeutet das in der Kommunikation: Betonen Sie explizit, dass die Teilnahme freiwillig ist, keine beruflichen Konsequenzen hat und keine individuellen Daten an Vorgesetzte weitergegeben werden. Dieser Hinweis – klar, früh und wiederholt kommuniziert – senkt Hemmschwellen erheblich. Besonders bei Mitarbeitenden, die körperliche Aktivität aus gesundheitlichen Gründen eingeschränkt haben, ist die Botschaft wichtig: Mitmachen ist gut, Nicht-Mitmachen ist ebenso völlig in Ordnung.
Gut bewährt hat sich außerdem, die Challenge so zu gestalten, dass Teams und nicht Einzelpersonen im Vordergrund stehen. Wenn Schrittzahlen auf Teamebene aggregiert werden, entfällt ein wesentlicher Teil der Datenschutzbedenken – weil keine Rückschlüsse auf das Verhalten einzelner Personen möglich sind. Zudem stärkt das den Teamgedanken, worum es bei einer Schritte-Challenge letztlich geht.
Praktische Checkliste: So bereiten HR-Verantwortliche eine Schritte-Challenge rechtssicher vor
Damit die rechtliche Grundlage stimmt, müssen keine teuren Anwaltskanzleien bemüht werden. In den meisten mittleren Unternehmen reicht ein strukturierter Prozess, der folgende Punkte umfasst: Erstens, Einbindung des Datenschutzbeauftragten bereits in der Planungsphase – nicht erst kurz vor dem Start. Zweitens, Abschluss einer Auftragsverarbeitungsvereinbarung (AVV) mit dem Plattformanbieter, sofern dieser personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Drittens, Betriebsrat frühzeitig informieren und Betriebsvereinbarung aushandeln, wenn mitbestimmungspflichtige Systeme eingesetzt werden.
Viertens, Datenschutzhinweise für Teilnehmende erstellen, die klar und verständlich erklären, welche Daten wie verarbeitet werden. Fünftens, Einwilligungserklärung einholen – schriftlich oder digital, aber in jedem Fall dokumentierbar. Und sechstens, Löschkonzept definieren: Wann werden die Daten nach Ende der Challenge gelöscht? Dieser Punkt wird erstaunlich oft vergessen, ist aber essenziell für die DSGVO-Compliance.
Klingt nach viel? In der Praxis ist dieser Prozess, wenn er einmal etabliert ist, bei der nächsten Challenge auf wenige Stunden reduzierbar. Viele HR-Teams berichten, dass nach der ersten Challenge der gesamte Rechtsrahmen steht – und Folge-Challenges nahezu ohne zusätzlichen Aufwand stattfinden können.
Datenschutz als Vertrauensfaktor – nicht als Bremse
Ein Perspektivwechsel hilft: Datenschutz ist keine Hürde, er ist ein Qualitätsmerkmal. Unternehmen, die Datenschutz bei ihrer Schritte-Challenge ernst nehmen und transparent kommunizieren, signalisieren der Belegschaft: Wir nehmen eure Daten und eure Rechte ernst. Das stärkt das Vertrauen – und damit auch die Bereitschaft, an der Challenge teilzunehmen.
Laut dem Gallup Engagement Index Deutschland 2023 fühlen sich Mitarbeitende, die ihrem Arbeitgeber vertrauen, deutlich stärker mit dem Unternehmen verbunden. Dieses Vertrauen entsteht nicht durch große Gesten, sondern durch konsistentes Verhalten im Alltag – auch im Umgang mit Gesundheitsdaten. Eine sauber aufgesetzte Schritte-Challenge ist deshalb nicht nur rechtlich korrekt, sie ist auch ein Signal an die Belegschaft, dass das Unternehmen verlässlich handelt.
Die gute Nachricht für alle HR-Verantwortlichen, die jetzt zustimmend nicken, aber trotzdem noch unsicher sind: Die Fragen, die auftauchen, sind lösbar. Sie sind auch nicht neu. Unternehmen verschiedenster Branchen und Größen haben diese Fragen bereits durchgearbeitet – und am Ende eine Challenge gestartet, die ihre Belegschaft begeistert hat.
Jetzt starten: Mit instingo rechtssicher und unkompliziert zur eigenen Schritte-Challenge
instingo unterstützt Unternehmen dabei, ihre Schritte-Challenge von Anfang an rechtssicher aufzusetzen. Die Plattform ist DSGVO-konform konzipiert, die Datenverarbeitung findet auf europäischen Servern statt, und der Abschluss einer Auftragsverarbeitungsvereinbarung ist standardmäßig möglich. Viele HR-Teams, die zunächst zögerlich waren, berichten im Nachhinein: Der rechtliche Aufwand war deutlich geringer als befürchtet – und die Wirkung der Challenge deutlich größer als erwartet.
Wenn Sie sich fragen, ob Datenschutz, Betriebsrat und DSGVO Ihrer nächsten Schritte-Challenge im Weg stehen: Tun sie nicht. Sie sind lösbare Begleitthemen, keine Verhinderungsgründe. Was es braucht, ist ein klarer Prozess, ein transparenter Anbieter und die Bereitschaft, das Thema proaktiv anzugehen – statt es als Ausrede zu nutzen, warum eine Gesundheitsmaßnahme nicht stattfinden kann.
Starten Sie jetzt Ihre eigene Schritte-Challenge mit instingo – und erleben Sie, wie aus einem rechtlichen Fragezeichen schnell ein motiviertes Team wird, das gemeinsam in Bewegung kommt. Alle Informationen und den einfachen Einstieg finden Sie auf instingo.de.
