VereinswissenDatenschutz im Verein – Das müsst ihr beachten

Ihr seid ein Verein in Deutschland oder Österreich und fragt euch, was ihr datenschutzrechtlich zu beachten habt? Datenschutz mag auf den ersten Blick wie eine bürokratische Anforderung erscheinen, die nur Unternehmen betrifft. Doch jeder Verein, von der Freiwilligen Feuerwehr bis zum Sportclub, muss sich mit der Verarbeitung personenbezogener Daten auseinandersetzen und sich an die Datenschutz-Grundverordnung halten. 

Die EU-Datenschutz-Grundverordnung (DSGVO) hat das Bewusstsein für den Datenschutz bei Firmen und Organisationen, aber auch in weiten Teilen der Bevölkerung geschärft und klare Richtlinien gesetzt, die auch im Vereinswesen unerlässlich sind. Für Vereine geht es darum, ein Verständnis zu entwickeln, welche Daten und zu welchem Zweck erhoben werden, wie sie verarbeitet und geschützt werden müssen und dass die Privatsphäre der Mitglieder stets gewahrt bleibt. Ihr erfahrt hier, wie wichtig Datenschutz im Verein in Deutschland und Österreich ist, wie ihr die Daten eurer Vereinsmitglieder am besten schützen könnt und worauf ihr für die Einhaltung der DSGVO achten solltet.

DSGVO konforme Mitgliederverwaltung im Verein

Mit eurem Verein steht ihr vor der Herausforderung, effizient den Überblick über die Mitgliederdaten zu behalten und gleichzeitig den Datenschutz zu gewährleisten. Hierbei ist es entscheidend, dass eure internen Prozesse so gestaltet werden, dass alle, die auf Mitgliederdaten zugreifen müssen, dies schnell und einfach können, alle anderen aber keinen Zugriff auf eure personenbezogenen Daten haben. 

Praktische Umsetzung der Datenschutzbestimmungen

Datenschutz in Deutschland und Österreich ist also mehr als das Sammeln von Einwilligungserklärungen. Es geht auch darum, aktiv zu managen, welche Informationen erhoben werden, wie lange sie aufbewahrt und wie sie sicher gelöscht werden. Unabhängig davon, mit welchen Hilfsmitteln ihr personenbezogene Daten verwaltet, solltet ihr in eurem Verein regelmäßig prüfen, ob die gespeicherten Daten noch aktuell sind und ob sie noch benötigt werden. Ein datenschutzkonformes Vorgehen erfordert eine konstante Auseinandersetzung mit den gespeicherten Informationen und ein bewusstes Datenmanagement.

Datenschutz und Vertragsbeziehungen im Verein

Wenn Mitglieder eures Vereins Dienstleistungen in Anspruch nehmen, wie etwa die Teilnahme an Trainings oder einem Kurs, müsst ihr die entsprechenden Daten verarbeiten und speichern damit ihr die Leistung überhaupt erbringen könnt (z.B. über eine Verschiebung informieren oder eine Rechnung schicken könnt). Daher dürft ihr solche Daten speichern. Hierbei ist es von größter Bedeutung, dass ihr nur die notwendigen Daten erfasst und diese nicht länger als nötig aufbewahrt werden. So werden die Mitglieder geschützt und ihr stellt sicher, dass euer Verein die DSGVO-Anforderungen einhält. 

Die Bedeutung von Information und Transparenz

Jedes Mitglied hat das Recht darauf zu wissen, welche Daten vom Verein gesammelt werden und zu welchem Zweck. Transparenz ist ein Schlüsselelement des Datenschutzes. Euer Verein ist verpflichtet, klar und verständlich zu kommunizieren, wie mit den Daten umgegangen wird und warum die Daten benötigt werden. Auch über ihre Rechte in Bezug auf die Daten müssen die Mitglieder informiert werden.

Datenschutz bei berechtigtem Interesse des Vereins

Es gibt Situationen, in denen euer Verein personenbezogene Daten verarbeiten muss, um legitime Interessen zu verfolgen, etwa bei der Veranstaltungsorganisation oder der Mitgliederverwaltung. In solchen Fällen müsst ihr eine Interessenabwägung vornehmen und sicherstellen, dass die Interessen eurer Mitglieder in Bezug auf Datenschutz nicht überwiegen.

Einverständnis für Veröffentlichung

Wenn ihr Daten von Mitgliedern z.B. auf eurer Webseite veröffentlicht, auch wenn diese nur für andere Mitglieder oder sogar nur für Mitglieder desselben Teams oder derselben Gruppe sichtbar sind, müsst ihr von den Mitgliedern darüber ein Einverständnis einholen. Ein Muster findet ihr in folgendem PDF auf Seite 22.

Bei Bildern, die keine besonderen Kategorien personenbezogener Daten preisgeben, könnte der Verein ein berechtigtes Interesse an der Öffentlichkeitsarbeit haben, wenn nicht überwiegende Interessen der betroffenen Person entgegenstehen. Grundsätzlich regt z.B. der Datenschutzbeauftragte von Mecklenburg-Vorpommern an, sparsam mit Fotos umzugehen, die Mitglieder eindeutig erkennbar zeigen. Im entsprechenden PDF wird auf Seite 17 ausgeführt: "Ein Siegerportrait ist natürlich ok, aber bei Fotos von Kindern im Training empfehlen wir solche Aufnahmen für die Homepage auszuwählen, bei denen Gesichter nicht unbedingt erkennbar sind, oder im Zweifel eine Einwilligung einzuholen."

Besondere Sorgfalt bei sensiblen Daten

Besonders sensible Daten, erfordern eine gesonderte Behandlung und dürfen nur mit ausdrücklicher Einwilligung der betroffenen Personen verarbeitet werden. Euer Verein muss in diesen Fällen besondere Sorgfalt walten lassen und die Einwilligung eurer Mitglieder klar und unmissverständlich einholen. Dazu gehören folgende Daten:

• Gesundheitsdaten (z.B. Allergien, Unverträglichkeiten, Verletzungen)
• personenbezogene Daten, aus denen rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen einer Person hervorgehen
• Gewerkschaftszugehörigkeit
• genetische Daten, biometrische Daten, die ausschließlich zur eindeutigen Identifizierung einer natürlichen Person verarbeitet werden
• Daten zum Sexualleben oder zur sexuellen Orientierung einer Person

Umgang mit Mitgliederlisten im Sinne des Datenschutzes

Mitgliederlisten sind ein klassisches Beispiel für den sorgfältigen Umgang mit personenbezogenen Daten. Es muss klar definiert sein, welche Personen in eurem Verein Zugriff auf solche Listen haben und zu welchem Zweck die Mitgliederlisten genutzt werden dürfen. Die Verteilung solcher Listen muss kontrolliert erfolgen, um den Datenschutz nicht zu gefährden. 

Software-Tipp
Mit einer Vereinssoftware wie ClubDesk könnt ihr ganz einfach Regeln festlegen, wer auf welche Mitgliederdaten Zugriff hat. Dennoch solltet ihr die Leute auf jeden Fall darauf hinweisen, dass die Daten innerhalb von ClubDesk sicher sind, aber dass dies beim Herunterladen auf den privaten PC oder beim Verschicken per E-Mail ohne entsprechende Schutzmassnahmen (Anonymisierung, Verschlüsselung, Passwortschutz etc.) nicht mehr der Fall ist.

Datenschutz im Verein in Deutschland und Österreich bedeutet also weit mehr als nur die Erfüllung gesetzlicher Vorgaben. Es geht um den verantwortungsbewussten Umgang mit Informationen und das Vertrauen eurer Mitglieder. Jeder Verein sollte eine Datenschutz-Policy haben, die nicht nur auf dem Papier existiert, sondern auch gelebt wird. Dazu gehört die Sensibilisierung und die regelmäßige Schulung der Verantwortlichen zum Umgang mit personenbezogenen Daten.

Regelmäßige Schulungen, mehr Bewusstsein

Eine zentrale Rolle für den bewussten Umgang mit personenbezogenen Daten spielt die Schulung der Verantwortlichen in eurem Verein. Datenschutz ist ein komplexes Thema und bedarf einer gewissen Weiterbildung über die Rechte und Pflichten, die sich daraus ergeben. Ihr könnt innerhalb eures Vereins beispielsweise Workshops anbieten oder Informationsmaterial bereitstellen, um das Bewusstsein für den Datenschutz zu schärfen und so Fehlern vorzubeugen.

Hier findet ihr zwei ausführliche, aber klare Leitfäden, die sich als Grundlage für eine Schulung eignen und viele weitere konkrete Fragen beantworten:

• Vom Landesbeauftragten für Datenschutz Niedersachsen (2023)
• Vom Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg Vorpommern (2018)

Die Rolle der Datenschutzbeauftragten

Größere Vereine oder solche, die besonders sensible Daten (siehe oben) verarbeiten, sollten eine*n Datenschutzbeauftragte*n ernennen. Diese Person ist in eurem Verein nicht nur für die Überwachung der Einhaltung der Datenschutzbestimmungen zuständig, sondern auch Ansprechpartner*in für Mitglieder und Behörden. Datenschutzbeauftragte sollten entsprechend qualifiziert sein und unabhängig agieren können.

Ein Datenschutzbeauftragter ist für einen Verein erforderlich, wenn mindestens 20 Personen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Es spielt keine Rolle, ob diese Personen ehrenamtlich, fest angestellt, freiberuflich oder in Teilzeit tätig sind. Entscheidend ist, dass ihre Aufgaben mehrheitlich in der Datenverarbeitung liegen (z.B. Trainer und Trainerinnen deren Hauptaufgabe das Trainieren und nicht das ständige Bearbeiten von Daten ist, zählen daher nicht mit).

Technische und organisatorische Maßnahmen zum Datenschutz

Euer Verein sollte nicht nur organisatorische, sondern auch technische Maßnahmen für den Datenschutz ergreifen (auch TOMs genannt). Dazu zählen beispielsweise die Verschlüsselung von Daten, sichere Passwörter und der Schutz vor unberechtigtem Zugriff. Euer Verein muss sicherstellen, dass die technische Infrastruktur den Anforderungen des Datenschutzes gerecht wird und dass sie regelmäßig aktualisiert wird.

Software-Tipp
Durch die Nutzung einer modernen Vereinssoftware wie ClubDesk, könnt ihr viele der folgenden Massnahmen outsourcen - aber nicht ganz alle. Um Themen wie sichere Passwörter oder Regeln zur Veröffentlichung von Daten müsst ihr euch auf jeden Fall kümmern.

Zu den wichtigsten technischen Massnahmen der DSGVO gehören:

Als Verein seid ihr dafür verantwortlich, dass diese technischen Massnahmen auch auf den privaten Computern von allen ehrenamtlichen Vereinsmitarbeitern umgesetzt werden, sobald auf diesen Geräten personenbezogene Daten gespeichert sind. Es ist also schon problematisch, eine Excel-Liste mit den Teilnehmern eines Trainings auf einem heimischen PC zu speichern, wenn dieser nicht mit einem sicheren Passwort geschützt ist, die Festplatte nicht verschlüsselt wurde oder das Gerät gar vom Ehepartner oder den Kindern mit genutzt wird.

Software-Tipp
Mit einer Online-Vereinssoftware wie ClubDesk könnt ihr euch zum Glück ganz einfach jede Menge Aufwand und Massnahmen ersparen, weil die Vereinsdaten mit ClubDesk nicht ausserhalb des Rechenzentrums gespeichert werden, es gar nicht möglich ist ohne Passwort z.B. auf die Mitgliederdaten zuzugreifen und Daten auch nicht verschickt oder an andere Personen weitergegeben werden müssen.

Zu den wichtigsten organisatorischen Massnahmen der DSGVO gehören:

Mehr Infos zu Technisch-organisatorischen Maßnahmen (TOMs) hier >>

Software-Tipp
Auch das Definieren und Dokumentieren der organisatorischen Massnahmen, ist mit einer Vereinssoftware wie ClubDesk natürlich deutlich weniger aufwändig. Tritt jemand aus dem Vorstand aus, müsst ihr in ClubDesk nur an einer Stelle die Zugriffsrechte dieser Person ändern und festlegen, wer das macht. Arbeitet ihr stattdessen mit verschiedenen Softwaretools und lokal gespeicherten Daten, solltet ihr unbedingt dokumentieren, wer alles auf welche Dienste und Daten Zugriff hat. Nur so wisst ihr (und nicht nur eine Person) bei einem Austritt, wo überall ihr Zugriffsrechte abschalten müsst und wer das macht (und wenn es mehrere Tools sind, eventuell mit einer Anleitung, wie genau sie abgeschaltet werden müssen). Zudem stellt ihr sicher, dass die ausscheidende Person vertrauliche Daten sicher an den bzw. die Nachfolgerin übergibt (z.B. Verschlüsselungsregeln beim Versand per E-Mail) und wie ihr gewährleistet, dass alle personenbezogenen Daten wirklich komplett vom privaten Rechner dieser Person gelöscht werden.

Incident-Response-Plan bei Datenschutzverletzungen

Trotz aller Vorsichtsmaßnahmen, die euer Verein ergreift, kann es zu Datenschutzverletzungen kommen. Für solche Fälle sollte euer Verein einen sogenannten Incident-Response-Plan haben. Dieser legt fest, wie im Falle einer Datenpanne zu reagieren ist, wer informiert werden muss und wie die betroffenen Mitglieder zu benachrichtigen sind. Eine schnelle und transparente Reaktion kann das Vertrauen der Vereinsmitglieder erhalten und den Schaden minimieren.

Dokumentation und Nachweisführung

Die DSGVO fordert in Ländern der EU - also nicht nur in Deutschland und Österreich -, dass euer Verein Maßnahmen zum Datenschutz und die Einhaltung der Datenschutzbestimmungen nachweisen kann. Das bedeutet, dass euer Verein dokumentieren muss, welche Datenverarbeitungsaktivitäten stattfinden, auf welcher rechtlichen Grundlage sie basieren und welche Schutzmaßnahmen getroffen wurden. Diese Dokumentation ist nicht nur für die Aufsichtsbehörden wichtig, sondern dient auch als Selbstkontrolle für euren Verein.

DSGVO-Checkliste für euren Verein

Zusammenfassung: Datenschutz im Verein

Datenschutz im Verein ist ein fortlaufender Prozess, der sorgfältige Planung und kontinuierliche Anpassung erfordert. Es geht darum, ein Gleichgewicht zu finden zwischen dem effizienten Vereinsmanagement und dem Recht der Mitglieder auf Privatsphäre und Schutz ihrer personenbezogenen Daten. Ein proaktiver Ansatz und die Einbindung aller Mitglieder sind dabei der Schlüssel zum Erfolg. Eine Vereinssoftware wie ClubDesk erleichtert die DSGVO konforme Verarbeitung von Mitgliederdaten enorm. 

Häufige Fragen zum Datenschutz im Verein

Ihr habt noch Fragen zum Thema Datenschutz im Verein? Die häufigsten Fragen beantworten wir euch hier:

Über den Autor: