Datenschutz für Vereine: Was die DSGVO von Ihrem Verein verlangt

Gilt die DSGVO auch für kleine Vereine?

Ja. Die DSGVO kennt keine Ausnahme für Vereine, auch nicht für kleine oder rein ehrenamtlich geführte. Sobald Ihr Verein personenbezogene Daten verarbeitet, etwa eine Mitgliederliste, Bankdaten für den Beitragseinzug oder Fotos vom Sommerfest, gelten die Grundsätze des Art. 5 DSGVO und die Pflichten für Verantwortliche. Verantwortlich ist der Verein, vertreten durch den Vorstand. Das gilt für Sportvereine ebenso wie für Fördervereine, Chöre oder Elternvereine.

Die gute Nachricht: Für die meisten Verarbeitungen im Vereinsalltag gibt es eine klare Rechtsgrundlage. Mit einigen Dokumenten und festen Abläufen ist der Datenschutz im Verein gut zu bewältigen.

Mitgliederdaten und Rechtsgrundlagen

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Für Vereine sind vier wichtig:

Wichtig ist der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Erheben Sie nur, was Sie für den Vereinszweck brauchen. Beim Beitritt müssen Sie die Mitglieder nach Art. 13 DSGVO informieren, wer die Daten wofür verarbeitet, wie lange sie gespeichert werden und welche Rechte bestehen. Gesundheitsdaten, zum Beispiel für den Reha-Sport, sind besondere Kategorien nach Art. 9 DSGVO und brauchen eine eigene Ausnahme, meist eine ausdrückliche Einwilligung.

Legen Sie auch fest, wie lange Sie Daten speichern. Nach dem Austritt eines Mitglieds brauchen Sie die meisten Angaben nicht mehr. Was steuerrechtlich aufbewahrt werden muss, etwa Buchungsbelege zu Beiträgen, sperren Sie für andere Zwecke und löschen es nach Ablauf der Frist (Art. 17 DSGVO).

Geben Sie Mitgliederdaten an einen Dachverband weiter, etwa für Spielerpässe, sollte das in der Satzung geregelt und in den Datenschutzhinweisen beschrieben sein.

Fotos und Veröffentlichungen

Fotos, auf denen Personen erkennbar sind, sind personenbezogene Daten. Für die Veröffentlichung gilt neben der DSGVO das Kunsturhebergesetz: Bildnisse dürfen grundsätzlich nur mit Einwilligung verbreitet werden (§ 22 KUG). Ausnahmen gibt es etwa für Bilder von Versammlungen und ähnlichen Vorgängen, an denen die Personen teilgenommen haben (§ 23 Abs. 1 Nr. 3 KUG).

In der Praxis gilt: Übersichtsbilder von öffentlichen Veranstaltungen sind meist unproblematisch, Porträts und Fotos von Kindern nicht. Für Kinder brauchen Sie die Einwilligung der Eltern. Eine Einwilligung kann jederzeit widerrufen werden (Art. 7 Abs. 3 DSGVO). Legen Sie deshalb fest, wie Sie Fotos nach einem Widerruf von Website und Social Media entfernen. Details im Artikel Wann darf ein Verein Fotos veröffentlichen?

Website, Social Media und Newsletter

Die Vereinswebsite braucht eine Datenschutzerklärung nach Art. 13 DSGVO. Setzt sie Cookies oder Tracking ein, die nicht unbedingt erforderlich sind, ist nach § 25 TDDDG eine Einwilligung nötig. Eingebundene Dienste wie Videos, Karten oder Schriftarten von Drittanbietern sollten Sie prüfen. Mehr dazu in den Artikeln Was muss in einer Datenschutzerklärung stehen? und Brauche ich ein Cookie-Banner?

Vereinsinterne Mitteilungen an Mitglieder lassen sich in der Regel auf die Mitgliedschaft stützen. Ein Newsletter an Interessenten und Spender braucht meist eine Einwilligung, die Sie nach Art. 7 Abs. 1 DSGVO nachweisen können müssen. Dafür hat sich das Double-Opt-in-Verfahren bewährt. Siehe Newsletter-Anmeldungen.

Nutzen Sie Vereinssoftware, Cloud-Speicher, ein Newsletter-Tool oder einen Webhoster, verarbeitet der Anbieter Daten in Ihrem Auftrag. Dafür brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Datenschutzbeauftragter im Verein: wann er Pflicht ist

Auch für Vereine gilt § 38 Abs. 1 BDSG: Ein Datenschutzbeauftragter ist Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon besteht die Pflicht, wenn die Kerntätigkeit des Vereins in der umfangreichen Verarbeitung von Gesundheitsdaten oder anderen besonderen Kategorien besteht (Art. 37 Abs. 1 lit. c DSGVO) oder eine Verarbeitung eine Datenschutz-Folgenabschätzung erfordert (§ 38 Abs. 1 Satz 2 BDSG).

Beim Zählen kommt es nicht auf ein Arbeitsverhältnis an. Die Aufsichtsbehörden sagen dazu:

• Ehrenamtliche zählen mit. Nach dem LfDI Baden-Württemberg ist es unerheblich, ob eine Person beim Verein beschäftigt oder ehrenamtlich tätig ist. Die Aufgabe muss auch nicht ihre Hauptaufgabe sein.
• Wer typischerweise zählt: wer die Mitgliederverwaltung führt und wer laufend Spielerdaten für den Spielbetrieb pflegt (LfD Niedersachsen).
• Wer typischerweise nicht zählt: einmalige Helfer beim Vereinsfest und Übungsleiter, die zweimal im Jahr eine Liste aktualisieren (LfD Niedersachsen).
• Vorstand: Vorstandsmitglieder zählen nicht automatisch, sondern nur, wenn sie selbst ständig Daten verarbeiten.

Große Vereine mit vielen Abteilungen, in denen Ehrenamtliche dauerhaft digitale Listen führen, können die Grenze daher erreichen. Ein Verein ohne Pflicht kann freiwillig einen DSB benennen. Dann sollte zumindest geregelt sein, wer im Vorstand für Datenschutz und Datenpannen zuständig ist. Die Einzelheiten zur Zählung und zur geplanten Streichung der 20-Personen-Grenze finden Sie auf der Seite Datenschutzbeauftragter Pflicht.

Datenschutz für Vereine: die Checkliste für den Vorstand

• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO angelegt, etwa für Mitgliederverwaltung, Beitragseinzug, Website und Veranstaltungen. Nach dem LfDI Baden-Württemberg braucht jeder Verein ein VVT, weil er nicht nur gelegentlich Daten verarbeitet.
• Datenschutzhinweise nach Art. 13 DSGVO im Aufnahmeantrag und auf der Website
• Einwilligungen für Fotos, Geburtstagslisten und Newsletter schriftlich oder elektronisch dokumentiert
• Verträge zur Auftragsverarbeitung mit Softwareanbieter, Webhoster und Newsletter-Tool
• Ehrenamtliche mit Datenzugriff auf die Vertraulichkeit verpflichtet und eingewiesen
• Zugriffsrechte geregelt: Wer darf welche Mitgliederdaten sehen?
• Technische Schutzmaßnahmen nach Art. 32 DSGVO, etwa Passwörter, Verschlüsselung, Backups
• Löschregeln für ausgetretene Mitglieder unter Beachtung der Aufbewahrungsfristen
• Ablauf für Auskunftsanfragen nach Art. 15 DSGVO und für Datenpannen nach Art. 33 DSGVO festgelegt
• Prüfung, ob ein Datenschutzbeauftragter benannt werden muss

Wie Sie Ehrenamtliche verpflichten, erklärt der Artikel zur Verpflichtung auf den Datenschutz.

Typische Fehler im Vereinsalltag

• Offener E-Mail-Verteiler: Rundmails mit allen Adressen im Feld An oder CC legen die Adressen aller Empfänger offen. Nutzen Sie BCC oder eine Verteilerfunktion.
• Mitgliederlisten im Umlauf: Vollständige Listen mit Anschrift und Geburtsdatum gehören nicht in Messenger-Gruppen oder auf private Geräte ohne Schutz.
• Veröffentlichung ohne Grundlage: Geburtstage, Jubiläen oder Porträtfotos im Internet ohne Einwilligung.
• Daten ohne Ende: Daten ehemaliger Mitglieder werden nie gelöscht, obwohl keine Aufbewahrungspflicht mehr besteht.
• Kein Vertrag mit Dienstleistern: Vereinssoftware oder Cloud ohne Vertrag zur Auftragsverarbeitung.
• Übergabe ohne Regeln: Beim Vorstandswechsel bleiben Daten auf privaten Rechnern der alten Amtsträger.

Passiert trotzdem etwas, etwa ein gestohlener Laptop mit der Mitgliederliste, kann eine Meldepflicht binnen 72 Stunden bestehen. Siehe Datenpanne melden. Auch Vereine können mit Bußgeldern belegt werden, siehe Können auch Vereine bestraft werden?

Was ein externer Datenschutzbeauftragter für Ihren Verein übernimmt

Ein externer DSB nimmt dem Vorstand die Fachfragen ab, ohne dass ein Ehrenamtlicher sich in das Datenschutzrecht einarbeiten muss. Datenkodex übernimmt für Vereine:

• die Benennung als Datenschutzbeauftragter und die Meldung an die Aufsichtsbehörde
• die Bestandsaufnahme und den Aufbau von VVT, Datenschutzhinweisen und Einwilligungstexten
• die Prüfung von Vereinssoftware, Website und Verträgen mit Dienstleistern
• eine kurze Einweisung für Vorstand und Ehrenamtliche, siehe Datenschutzschulung
• die Bewertung und Meldung von Datenpannen
• die Beratung bei Anfragen von Mitgliedern und der Aufsichtsbehörde

Unsere Datenschutzbeauftragten verfügen über eine DEKRA-zertifizierte Fachkunde. Im kostenlosen Erstgespräch klären wir, was Ihr Verein braucht, und erstellen danach ein Festpreisangebot. Mehr zu den Kosten auf der Seite Kosten externer Datenschutzbeauftragter. Termin über die Kontaktseite oder unter 089 / 2000 1420.