Datenschutz im Verein

Wie Sie ein Verarbeitungsverzeichnis erstellen und wann ein Datenschutzbeauftragter erforderlich ist.

Auf den Punkt

• Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) regeln den Umgang mit personenbezogenen Daten.

• Zu schützende Daten umfassen u. a. Name, Anschrift, Geburtsdatum, Bankverbindung und Kontaktmöglichkeiten wie Telefonnummer oder E-Mail.

• Die Datenverarbeitung ist zulässig, wenn sie für die Betreuung und Verwaltung der Mitglieder und die Vereinsziele notwendig ist.

• Vereine müssen ein Verarbeitungsverzeichnis erstellen, das die ordnungsgemäße Verarbeitung der erhobenen Mitgliederdaten dokumentiert.

• Ein Datenschutzbeauftragter ist verpflichtend, wenn mindestens 20 Personen regelmäßig mit personenbezogenen Daten arbeiten.

Mitgliederdaten sicher verwalten

In einem Verein haben Sie es mit sensiblen Daten Ihrer Mitglieder wie Namen, Bankverbindungen, Anschriften und E-Mail-Adressen zu tun. Diese Daten unterliegen dem Persönlichkeitsrecht. Seit 2018 werden diese Daten EU-weit einheitlich durch die strengen Vorgaben der Datenschutz-Grundverordnung (DSGVO) geschützt. In Deutschland leitet daneben das Bundesdatenschutzgesetz (BDSG) zu verantwortungsvollem Umgang mit personenbezogenen Daten an.

Daten dürfen Sie erheben, speichern, ändern, übermitteln und nutzen, sofern dies dazu beiträgt, den Vereinszweck zu erfüllen. Die Vereinsmitglieder vertrauen Ihnen ihre Daten an, und egal, ob Ihr Verein eingetragen ist oder nicht, er muss das Persönlichkeitsrecht seiner Mitglieder berücksichtigen. Daran kann auch die Vereinssatzung nicht rütteln.

Übrigens: Auch auf der Vereinswebseite ist eine leicht zugängliche Datenschutzerklärung erforderlich – mit Angaben zu Verantwortlichen, Datenarten, Rechtsgrundlagen, Speicherfristen und Betroffenenrechten. Damit erfüllen Sie Ihre Informationspflichten nach Art. 13 DSGVO gegenüber Besuchern Ihrer Internetseite.

Welche Vereinsdaten müssen geschützt werden?

Personenbezogene Daten, die im gewöhnlichen Verein mindestens abgefragt und geschützt werden müssen, sind:

• Name und Anschrift
• Geburtsdatum
• Eintrittsdatum
• Bankverbindung

Oft werden weitere Daten erhoben, wie die Telefonnummer, der Beruf oder die E-Mail-Adresse. Auch diese gehören zu den Informationen über persönliche oder sachliche Verhältnisse eines bestimmten Menschen. Das Persönlichkeitsrecht endet erst, wenn die Person verstorben ist. Das bedeutet, Sie dürfen die persönlichen Daten verwenden, um einen Nachruf zu verfassen.

Der richtige Umgang mit Mitgliederdaten im Vereinszweck

Laut DSGVO ist die Datenverarbeitung unter anderem dann zulässig, wenn sie für die Begründung und die Durchführung eines Vertragsverhältnisses erforderlich ist. Mit dem Beitritt in den Verein gehen Ihre Mitglieder ein solches ein. Sie dürfen also alle Daten, die für die Betreuung und Verwaltung Ihrer Mitglieder und für die Verfolgung der Vereinsziele notwendig sind, erheben und verarbeiten.

Legen Sie daher am besten in der Satzung möglichst detailliert fest, zu welchen Vereinszwecken Sie Daten über Ihre Mitglieder sammeln, analysieren und verarbeiten. Das kann neben der Bankverbindung, die Sie für den Einzug der Beiträge benötigen, auch die Sprungweite des letzten Wettbewerbs eines Mitglieds sein, die Sie als Öffentlichkeitsarbeit in der Zeitung, am schwarzen Brett oder auf der Homepage veröffentlichen wollen.

Ansonsten dürfen Sie personenbezogene Daten verarbeiten, wenn es sich um allgemein zugängliche Daten handelt und Sie davon ausgehen können, dass der Betroffene oder die Betroffene nichts dagegen einzuwenden hat. Sie müssen die Mitglieder aber in jedem Fall darüber infor­mieren, welche Stelle die Daten verarbeitet, warum und an wen sie noch gelangen, sofern damit zu rechnen ist. Klären Sie diese Frage mit den Vorstandsmitgliedern und der Mitgliederversammlung.

Fassen Sie einen Beschluss und verpflichten Sie diejenigen, die Sie mit der sensiblen Datenverarbeitung betrauen, schriftlich dazu, das Datengeheimnis zu wahren.

Auch digital müssen Sie für Sicherheit sorgen, um zu verhindern, dass Daten an Unbefugte gelangen, missbräuchlich verwendet werden oder verloren gehen. Tipp: Verwenden Sie starke Passwörter, rollenbasierte Zugriffsrechte und sichern Sie regelmäßig Ihre Daten. Sensible Mitgliedsdaten sollten nur verschlüsselt oder über sichere Plattformen übermittelt werden.

Mitgliederlisten oder -verzeichnisse an Vereinsmitglieder herausgeben?

Persönliche Daten wie die Mitgliederliste dürfen Sie intern bekannt machen, wenn es Zweck Ihres Vereins ist, die Geselligkeit zu fördern. Ist das nicht der Fall, aber die Mitglieder haben Interesse daran, müssen Sie es mit eventuell gegensätzlichen Interessen des Vereins und der Mitglieder abwägen. Damit sich aber Mitglieder mit anderen zusammenfinden können, um zum Beispiel einen Minderheitsantrag zu stellen, müssen Sie Ihnen Einsicht in die Mitgliederliste gewähren.

Datenschutz bei Kindern und Jugendlichen

Nach der DSGVO gelten Minderjährige als besonders schutzbedürftig. Deshalb ist beim Umgang mit personenbezogenen Daten von Kindern und Jugendlichen besondere Sorgfalt geboten. Vereine dürfen personenbezogene Daten von Kindern (etwa Name oder Geburtsdatum) nur verarbeiten, wenn dafür eine klare Rechtsgrundlage besteht. In der Regel ist dies der Vertrag über die Mitgliedschaft im Verein, für dessen Gültigkeit aber die Zustimmung der Erziehungsberechtigten erforderlich ist. Zudem dürfen nur solche Daten erhoben werden, die für den Vereinszweck erforderlich sind, z. B. für die Anmeldung zu Wettkämpfen oder zur Organisation des Trainingsbetriebs.

Bei Veröffentlichungen auf der Website, in Vereinsheften oder auf Social Media ist größte Zurückhaltung geboten: Bilder und Namen dürfen nur mit ausdrücklicher Zustimmung der Eltern veröffentlicht werden – und auch nur dann, wenn das Kindeswohl dadurch nicht gefährdet wird.

Datenverarbeitung für fremde Zwecke und Weitergabe an Dritte

Sollte eines Ihrer Vereinsmitglieder jemandem einen Schaden zugefügt haben und die Polizei verlangt persönliche Informationen von Ihnen, dann dürfen Sie sie herausgeben.

Für vereinsfremde Zwecke gilt

Ein Verein darf personenbezogene Daten übermitteln oder nutzen, wenn:

• damit berechtigte Interessen eines Dritten gewahrt werden,
• dadurch Gefahren für die staatliche oder öffentliche Sicherheit abgewehrt werden können
• oder um Straftaten zu verfolgen.

Ansonsten dürfen die Daten nur mit vorheriger wirksamer Einwilligung der betroffenen Person übermittelt bzw. genutzt werden.

Datenweitergabe an Sponsoren, Verbände und die Öffentlichkeit

Je größer der Verein, desto häufiger erhalten Sie Anfragen zur Nutzung von Mitgliederdaten – sei es von Sponsoren, Verbänden oder Medien. Ohne klare Rechtsgrundlage oder ausdrückliche Einwilligung dürfen personenbezogene Daten nicht weitergegeben oder veröffentlicht werden.

Mit folgenden Interessen haben Sie es in Vereinen häufig zu tun:

• Daten wie die Zugehörigkeit zu einer Personengruppe, Name, Anschrift und Geburtsjahr werden für die Markt- und Meinungsforschung angefragt. Wirtschaftsunternehmen und Sponsoren verlangen manchmal die Mitgliederdaten für eine Leistung, um sie zu Werbezwecken einzusetzen. Dazu benötigen Sie die Einwilligung der betroffenen Mitglieder. Besonders, wenn es sich um schutzbedürftige Daten über die Gesundheit oder politische bzw. religiöse Einstellungen von Personen handelt. Diskutieren Sie das am besten auf einer Mitgliederversammlung und fassen Sie einen Beschluss.
• Fußball- und Leichtathletikvereine sind oft verpflichtet, die Daten ihrer Mitglieder regelmäßig einer Dachorganisation wie einem Bundes- oder Landesverband zu übermitteln. Nehmen Sie diese Information gleich in Ihre Vereinssatzung auf, sodass der Datenübertragung nichts im Weg steht.
• Vereine dürfen grundsätzlich keine Angaben über Mitglieder an die Presse oder an andere Medien übermitteln. Eine Ausnahme könnte aber sein, dass der Verein ins Gerede kommt, weil er ein Mitglied ausgeschlossen hat und eine Information darüber im Interesse des Vereins liegt.
• Will der Verein Informationen über seine Mitglieder wie etwa Spielergebnisse auf der Vereins-Website veröffentlichen, müssen die Betroffenen vorher schriftlich belehrt werden. Informieren Sie Ihre Mitglieder, welche Daten Sie ins Internet stellen wollen und warum, damit sie gegebenenfalls widersprechen können. Wählen Sie sorgfältig aus, was wirklich nötig ist, um sich online zu präsentieren. Weisen Sie die Betroffenen darauf hin, wie weit die Daten unkontrolliert verknüpft und verändert werden können, damit sie sich der Tragweite der Weitergabe bewusst werden.

Ein Verarbeitungsverzeichnis erstellen

Weil Sie als Verein regelmäßig personenbezogene Daten verwalten, verlangt die DSGVO ein sogenanntes Verarbeitungsverzeichnis. Hier wird die ordnungsgemäße Verarbeitung der erhobenen Mitgliederdaten dokumentiert. Für jede Datenkategorie sind Zweck und Rechtsgrund der Verarbeitung zu benennen. Folgende Punkte müssen im Verarbeitungsverzeichnis mindestens enthalten sein:

• Name und Kontaktdaten des Verantwortlichen und eines ggf. bestellten Datenschutzbeauftragten
• Zweck der Verarbeitung
• Beschreibung der Kategorien betroffener Personen (z. B. Mitglieder, angestellte oder ehrenamtliche Mitarbeiterinnen und Mitarbeiter) und der Kategorien personenbezogener Daten (z. B. Namen, Adressen, Geburtsdaten oder Bankverbindungen)
• Benennung der Kategorien externer Empfänger der Daten (z. B. Sportverbände, Stadtverwaltung oder Sponsoren)
• Fristen für die Löschung der Daten (z. B. bei Vereinsaustritt)
• Beschreibung der technischen und organisatorischen Maßnahmen zur Datensicherung

Löschfristen & Aufbewahrungspflichten

Vereinsmitglieder haben ein Recht auf Auskunft über ihre Daten und können diese korrigieren, sperren oder löschen lassen. Werden Sie dazu aufgefordert, bestimmte Informationen zu löschen, dann entsorgen Sie sie so, dass niemand Einblick nehmen kann. Mitglieder- oder Spendenlisten beispielsweise dürfen nicht einfach in den Mülleimer geworfen werden, sondern gehören in den Schredder.

Personenbezogene Daten dürfen im Verein nur so lange gespeichert werden, wie sie für den jeweiligen Zweck erforderlich sind. Danach sind sie zu löschen. Dabei gelten unterschiedliche Fristen:

• Mitgliederdaten dürfen nach dem Austritt eines Mitglieds grundsätzlich noch für einen Übergangszeitraum gespeichert werden – bis zu 10 Jahre, wenn sie beispielsweise für steuerliche Nachweise (z. B. Spenden oder Beitragszahlungen) relevant sind.
• Bewerberdaten, etwa bei der Suche nach Übungsleitern oder Funktionären, sind spätestens nach sechs Monaten zu löschen, wenn keine Aufnahme in den Verein erfolgt.
• Beitragsabrechnungen unterliegen den steuerrechtlichen Aufbewahrungspflichten und müssen zehn Jahre lang sicher aufbewahrt werden.

Gut zu wissen: Auch beim Löschen gibt es Datenschutzstandards, die eingehalten werden müssen. Demnach sind Papierunterlagen sicher zu vernichten (z. B. mit Aktenvernichter) und digitale Daten fachgerecht zu löschen.

Datenschutzbeauftragter im Verein

Ihr Datenschutzbeauftragter darf kein Vorstandsmitglied und nicht für die Datenverarbeitung verantwortlich sein. Und er muss kein Mitglied des Vereins sein. Üblicherweise wird er vom Vorstand bestellt, ihm unmittelbar unterstellt und vom Vorstand unterstützt. Der Datenschützer sollte nicht nur den Verein gut kennen, sondern auch das Datenschutzrecht. Muss der Verein keinen Datenschutzbeauftragten bestellen, hat der Vorsitzende sicherzustellen, dass der Verein die Regeln des Datenschutzes einhält.

Ob Ihr Verein einen Datenschutzbeauftragten für Ihren Verein bestimmen muss, erfahren Sie durch die Beantwortung der folgenden Fragen:

1. Werden Daten verarbeitet, die einer Vorabkontrolle bedürfen, zum Beispiel Angaben zur politischen Meinung, politischen Überzeugung oder zur Gesundheit?
   
   Ja: Ein Datenschutzbeauftragter ist erforderlich.
   Nein: Weiter mit Frage 2.
2. Sind mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt?
   
   Ja: Ein Datenschutzbeauftragter ist erforderlich.
   Nein: Weiter mit Frage 3.
3. Wird die Verarbeitung der personenbezogenen Daten von einer Behörde oder einer öffentlichen Stelle durchgeführt (Ausnahme: Gerichte)?
   
   Ja: Ein Datenschutzbeauftragter ist erforderlich.
   Nein: Weiter mit Frage 4.
4. Besteht die Kerntätigkeit des Verantwortlichen in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche, regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen?
   
   Ja: Ein Datenschutzbeauftragter ist erforderlich.
   Nein: Weiter mit Frage 5.
5. Besteht die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung von Daten nach Artikel 9 und 10 DSGVO?*
   
   Ja: Ein Datenschutzbeauftragter ist erforderlich.
   Nein: Es besteht keine Pflicht zur Benennung eines Datenschutzbeauftragten.

*Art. 9 DSGVO: Verarbeitung besonderer Kategorien personenbezogener Daten (1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

Art. 10 DSGVO: Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (1) Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln aufgrund von Artikel 6 Absatz 1 darf nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist. Ein umfassendes Register der strafrechtlichen Verurteilungen darf nur unter behördlicher Aufsicht geführt werden.

Ähnliche Artikel zum Thema