Datenschutz im Verein: Leitfaden für den Vorstand

Sportverein, Förderverein, Kleingartenverein, Chor: Auch Vereine verarbeiten personenbezogene Daten, von der Mitgliederliste über Bankdaten für den Beitragseinzug bis zu Fotos auf der Website. Die DSGVO gilt für sie genauso wie für Unternehmen. Viele ehrenamtliche Vorstände sind deshalb verunsichert. Mit einigen Grundregeln lässt sich Datenschutz im Verein aber pragmatisch umsetzen.

Wer ist verantwortlich?

Verantwortlicher im Sinne der DSGVO ist der Verein als solcher, vertreten durch den Vorstand. Der Vorstand muss dafür sorgen, dass die Datenschutzpflichten erfüllt werden. Ehrenamtliche Übungsleiter, Kassenwarte oder Abteilungsleiter, die mit Mitgliederdaten arbeiten, handeln für den Verein und sind auf die Vertraulichkeit zu verpflichten.

Mitgliederdaten: Was ist erlaubt?

Daten, die für die Mitgliedschaft erforderlich sind, also Name, Anschrift, Geburtsdatum, Bankverbindung für den Beitragseinzug und Abteilungszugehörigkeit, dürfen auf Grundlage der Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO) verarbeitet werden. Eine Einwilligung ist dafür nicht nötig. Für alles, was darüber hinausgeht, braucht es eine eigene Rechtsgrundlage, häufig eine Einwilligung, etwa für die Veröffentlichung von Geburtstagen in der Vereinszeitung oder für Fotos im Internet.

Typische Fragen aus der Praxis

• Für Übersichtsaufnahmen von öffentlichen Vereinsveranstaltungen gelten andere Maßstäbe als für Porträts. Für gezielte Einzelaufnahmen auf Website und Social Media sollte eine Einwilligung eingeholt werden, bei Kindern die der Eltern. Grundsätze dazu in unserem Beitrag zu Fotos auf der Website.
• Möchte ein Mitglied die Mitgliederliste haben, etwa um eine Mitgliederversammlung zu beantragen, kann ein berechtigtes Interesse bestehen. Die Herausgabe ist auf das Erforderliche zu beschränken.
• Die Veröffentlichung von Namen in Ergebnislisten und Spielberichten ist im Sportbereich vielfach üblich und kann auf berechtigte Interessen gestützt werden; Mitglieder sollten vorab informiert werden und widersprechen können.
• WhatsApp-Gruppen sind praktisch, aber datenschutzrechtlich heikel, weil Telefonnummern für alle sichtbar sind. Die Teilnahme sollte freiwillig sein, Alternativen sollten angeboten werden; siehe WhatsApp im Unternehmen.
• Nach dem Austritt sind die Daten ehemaliger Mitglieder zu löschen, soweit keine Aufbewahrungspflichten, etwa für Beitragsbuchungen, bestehen.

Die Pflicht-Basics für jeden Verein

1. Datenschutzhinweise im Aufnahmeantrag und auf der Website.
2. Ein Verzeichnis von Verarbeitungstätigkeiten, für Vereine meist mit wenigen Einträgen erledigt; siehe unsere Anleitung.
3. Die Verpflichtung der Ehrenamtlichen auf Vertraulichkeit.
4. Sichere Aufbewahrung: Mitgliederdaten gehören nicht unverschlüsselt auf private USB-Sticks, für private Rechner braucht es klare Regeln.
5. Auftragsverarbeitungsverträge mit Dienstleistern wie Anbietern von Vereinsverwaltungssoftware oder dem Webhoster.
6. Ein Ablauf für Anfragen, etwa zu Auskunft und Löschung.

Braucht der Verein einen Datenschutzbeauftragten?

Für die Benennungspflicht nach § 38 BDSG zählen auch Ehrenamtliche, wenn sie in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Kleine Vereine erreichen die Schwelle von 20 Personen meist nicht. Große Vereine mit vielen Abteilungen sollten sie aber prüfen. Einzelheiten in unserem Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

Mit Datenschutzhinweisen, einem kleinen Verarbeitungsverzeichnis und verpflichteten Ehrenamtlichen ist ein Verein gut aufgestellt. Wenn Ihr Vorstand Unterstützung braucht, etwa bei Einwilligungen für Fotos oder bei Anfragen von Mitgliedern, sprechen Sie uns an. Kontaktformular oder Termin buchen.