DATENSCHUTZ IM VEREIN

• Das Wichtigste zum Datenschutz im Verein auf einen Blick
• Was ist Datenschutz im Verein?
• Was sind personenbezogene Daten?
• Beispiele für personenbezogene Daten
• Was ist mit Datenverarbeitung gemeint?
• Wann ist die Datenverarbeitung generell zulässig?
• Die Auftragsdatenverarbeitung
• DSGVO-Konforme Datenverarbeitung im Verein
• Datensicherung im Verein
• Datennutzung durch den Verein
• Übermittlung von Daten durch den Verein
• Datenschutz auf der Vereinswebsite / im Internet
• Organisatorische Schritte zum Datenschutz im Verein
• Der Datenschutzbeauftrage im Verein
• Verzeichnis von Verarbeitungstätigkeiten
• Datenschutz-Verpflichtung für Beschäftigte im Verein

Das Wichtigste zum Datenschutz im Verein auf einen Blick

• Jede Verarbeitung personenbezogener Daten bedarf einer Rechtsgrundlage, die sich aus der DSGVO, aus dem sonstigen Unionsrecht oder dem Recht der Mitgliedsstaaten ergibt.
• Der Verein darf nur solche personenbezogenen Daten seiner Mitglieder erheben und verarbeiten, die für die Verfolgung des Vereinsziels, für die Mitgliederbetreuung und -verwaltung oder für sonstige klar definierte Zwecke erforderlich sind.
• Der Verein muss technische und organisatorische Maßnahmen ergreifen, um die Vorschriften der DSGVO einhalten zu können. Das bedeutet z. B., dass Vereinsmitglieder und Dritte ihre Zustimmung zur Datenverarbeitung geben müssen.
• Mitglieder oder sonstige Betroffene haben die in der DSGVO festgelegten Rechte und können z. B. Widerspruch einlegen, Einsicht in die Daten verlangen, den Verwendungszweck erfragen, die Daten berichtigen oder unter Umständen sperren lassen.
• Beschäftigen sich mindestens 20 Personen im Verein regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten, ist der Verein verpflichtet einen internen oder externen Datenschutzbeauftragten zu benennen.
• Im Falle der Auftragsdatenverarbeitung durch einen externen Dienstleister darf der Verein notwendige Daten weitergeben, ist aber nach wie vor für deren DSGVO-konforme Verarbeitung durch den Auftragnehmer verantwortlich und haftet ggf. für dessen Fehlverhalten.
• Die Veröffentlichung personenbezogener Daten im Internet durch den Verein ist grundsätzlich nur mit ausdrücklicher Einwilligung des Mitglieds zulässig.

Hier haben wir Ihnen eine DSGVO-Checkliste für Vereine zusammengestellt:

Was ist Datenschutz im Verein?

Sie kaufen online ein, Sie buchen eine Reise, Sie nutzen Apps auf dem Smartphone, Sie streamen Filme und Musik, posten auf Instagram, schließen eine Versicherung ab oder treten einem Verein bei. In allen Fällen übermitteln Sie wertvolle Daten zu Ihrer Person, Ihren Lebensumständen, Interessen und Gewohnheiten, die vor allem für die Wirtschaft von hohem Wert sind. Unternehmen nutzen diese Informationen, um Produkte und Services an Kundenwünsche anzupassen, aber auch um neue Kunden zu werben. Werden diese Daten unverschlüsselt weiterverarbeitet, sind die Informationen möglicherweise für Dritte frei verfügbar. Auf diese Weise kann es leicht zum Datenmissbrauch kommen. Es ist also wichtig, Daten zu schützen.

Datenschutz ist der Schutz der personenbezogenen Daten eines jeden Einzelnen vor unerlaubter Erhebung, Verarbeitung und Weitergabe. Ziel ist es, das allgemeine Persönlichkeitsrecht, der betroffenen natürlichen Personen zu schützen. Datenschutzgesetze legen fest, in welcher Form und in welchem Umfang Daten geschützt werden müssen. In Deutschland und der EU wird dies unter anderem durch die Datenschutzgrundverordnung, kurz DSGVO, geregelt.

Was sind personenbezogene Daten?

Durch die DSGVO sollen vor allem personenbezogene Daten vor Missbrauch geschützt werden. Damit sind alle Informationen gemeint, die einen Menschen und dessen Lebensumstände beschreiben, ihn also „identifizierbar“ machen. Art. 4 Nr. 1 der DSGVO stellt klar, dass alle Angaben, die Einblicke in die physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität von natürlichen Personen ermöglichen, als personenbezogene Daten gelten. Dies gilt für Informationen jedweder Art, also für Schrift, Bild oder Tonaufnahmen.

Das können beispielsweise Namen und Telefonnummern sein. Aber auch Informationen zum Aussehen, das Kfz-Kennzeichen, die IP-Adresse oder auch weniger eindeutige Informationen, wie beispielsweise die Trainingszeiten oder die Fahrtroute zum Vereinsgelände können dazu beitragen, eine Person zu identifizieren und können daher zu den personenbezogenen Daten zählen.

Beispiele für personenbezogene Daten

Name	Haarfarbe / Augenfarbe	Einkommen
Adresse	Größe und Gewicht	Steuerdaten
Geburtsdatum	Persönliche Interessen	Vertrags- und Besitz-Verhältnisse
Alter	Mitgliedschaften	Identifikationsnummer
Familienstand	Datum des Vereinsbeitritts	Sozialversicherungsnr.
Staatsangehörigkeit	Sportliche Leistungen	Personalausweisnummer
Beruf	Platzierungen	Sexuelle Orientierung
Parteimitgliedschaft	Auszeichnungen	Kfz-Kennzeichen
Konfession	Verletzungen	Steuernummer
E-Mail-Adresse	Krankheiten	Bankdaten
IP-Adresse	Zeugnisse	Intoleranzen

Einige sensible Daten, die z. B. Rückschlüsse auf die Herkunft, politische und religiöse Überzeugung, sexuelle Orientierung oder die Gesundheit zulassen, gelten dabei als besonders schützenswert. Ihre Verarbeitung ist an engere Bedingungen geknüpft.

Nicht von der DSGVO geschützt werden übrigens Angaben über Verstorbene, wie etwa in einem Nachruf für ein verstorbenes Vereinsmitglied im Vereinsblatt oder die Nennung auf einer Liste der Verstorbenen.

Was ist mit Datenverarbeitung gemeint?

In der DSGVO wird einheitlich der Begriff Datenverarbeitung verwendet, anstatt zum Beispiel konkret von Erheben, Erfassen, Verwenden, Verbreiten, Abgleichen etc. zu sprechen. Datenverarbeitung beinhaltet alles, was mit den personenbezogenen Daten in Ihrem Verein passiert, also jede Form der Verwendung und Nutzung der Informationen, angefangen beim Erfassen neuer Mitglieder über das Ordnen, Speichern, Aktualisieren oder Löschen der Datensätze bis hin zur Verwendung z. B. für den Newsletter-Versand, die Vertragsgestaltung oder das Aufsetzen von Meldungen an Verbände und andere Organisationen. Dabei spielt es keine Rolle, ob die Daten digital oder analog verarbeitet werden.

Wann ist die Datenverarbeitung generell zulässig?

Die Datenverarbeitung durch den Verein ist immer dann zulässig, wenn dies vereinsintern die Mitglieder- und Vereinsverwaltung betrifft und zur Erfüllung derVereinszwecke unbedingt erforderlich ist, bzw. ohne die Verarbeitung ein geregeltes Funktionieren des Vereins nicht möglich wäre. Aber Vorsicht: Das betrifft nicht automatisch alle Daten, sondern immer nur diejenigen Daten, die wirklich benötigt werden. Sieht die Satzung z. B. für den Mitgliedsbeitrag keinen Bankeinzug vor, dürfen vom Vereinsmitglied auch keine Kontodaten (ohne freiwillige Einwilligung) erhoben werden.

Wichtig: Der Vorstand sollte unbedingt für eine adäquate Absicherung sorgen, denn für Fehler bei Datenschutz & Co. haften Verein und Vorstand – der Vorstand sogar mit dem Privatvermögen. Im Rahmen des Vereins-Schutzbriefs bietet das DEUTSCHE EHRENAMT Ihrem Verein und Ihnen als persönlich haftenden Vorstand den notwendigen Versicherungsschutz, Rechtsberatung inkl. Überprüfung der Satzung sowie steuerrechtliche Beratung und die Betreuung unseres Expertenteams bei der Vereinsführung.

Die Auftragsdatenverarbeitung

Die Datenverarbeitung muss nicht immer durch den Verein selbst erfolgen. Im Rahmen der Auftragsdatenverarbeitung können personenbezogene Daten der Mitglieder durch einen externen Auftragnehmer gespeichert und genutzt werden. Das ist zum Beispiel der Fall, wenn der Verein vertraglich einen Buchhalter oder ein Steuerbüro beschäftigt oder seine Homepage durch einen selbstständigen Webdesigner pflegen lässt. In diesen Fällen darf der Verein die notwendigen Daten weitergeben, ist aber nach wie vor für die DSGVO-konforme Verarbeitung durch den Auftragnehmer verantwortlich und haftet ggf. für dessen Fehlverhalten.

Vereine, die mit externen Dienstleistern zusammenarbeiten, sollten sicherstellen, dass diese alle datenschutzrechtlichen Vorgaben einhalten und einen Vertrag mit diesem schließen.

Kurz-Check zur Auftragsdatenverarbeitung

• Wurde der Dienstleister (Auftragsverarbeiter) sorgfältig ausgewählt?
• Wurden die Regelungen zum Datenschutz in eine entsprechende vertragliche Vereinbarung aufgenommen?
• Hat der Auftragsverarbeiter seine konkreten Datenschutzmaßnahmen (am besten vertraglich) ausreichend dargestellt?
• Hat der Verein die Datenschutzmaßnahmen des Dienstleisters kontrolliert?
• Bei Beendigung des Vertrages: Müssen nach Ende der Vertragsbeziehungen Unterlagen zurückgegeben und Daten gelöscht werden?

DSGVO-Konforme Datenverarbeitung im Verein

ERHEBUNG VON DATEN DURCH DEN VEREIN

Tritt ein neues Mitglied dem Verein bei, stellt es dafür zunächst einen Aufnahme- bzw. Mitgliedsantrag oder eine Beitrittserklärung. Der Verein darf über den Antrag nur die Daten erheben, die zur Verfolgung der Vereinsziele und für die Betreuung und Verwaltung der Mitglieder notwendig sind. Dazu zählen grundsätzlich der Name, die Anschrift und meist auch das Geburtsdatum. Angaben zur Bankverbindung kann der Verein zum Beispiel nur verlangen, wenn laut Satzung die Zahlung des Mitgliedsbeitrags per Bankeinzug erfolgt. Muss sich der Verein z. B. aus Fürsorgegründen gegen bestimmte Risiken versichern, dürfen auch weitere, für die Versicherung notwendige Daten erhoben werden. Wichtig ist, im Antragsformular auf die Datenerhebung und –nutzung ausreichend hinzuweisen. (Hinweispflicht nach Art. 13 DSGVO)

Achtung: Die vom Verein erhobenen Daten dürfen nicht automatisch auch von dem Dachverband verarbeitet werden, dem der Verein angehört. Das ist nur erlaubt, wenn das Vereinsmitglied auch der anderen Vereinigung ausdrücklich und aufgrund eigener Erklärung beitritt. Es genügt nicht, dass der Verein selbst Mitglied eines anderen Vereins oder Dachverbands ist. Das Mitglied muss ansonsten der Weitergabe an den Dachverband ausdrücklich zustimmen.

Der Verein darf auch Daten von vereinsfremden Personen erheben, z. B. von Gästen, Zuschauern, fremden Spielern oder Teilnehmern an Lehrgängen und Wettkämpfen. Das ist aber nur dann zulässig, wenn eine Einwilligung vorliegt, dies zur Durchführung z. B. einer Veranstaltung notwendig ist oder der Verein ein berechtigtes Interesse nachweisen kann und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen. Meist betrifft das nur Daten, die für eine eindeutige Identifizierung erforderlich und ausreichend sind, d. h. Name, Vorname, Anschrift und Geburtsdatum, nicht jedoch Personalausweis- oder Passnummer.

Ein Beispiel: Beim Verkauf von Eintrittskarten etwa für ein Fußballspiel kann es zulässig sein, Daten zur Identifizierung von vereinsfremden Personen zu erheben, um abzuklären, ob gegen sie ein Stadionverbot verhängt wurde oder ob sie als gewaltbereit anzusehen sind.

Vereine sind hingegen datenschutzrechtlich nicht berechtigt, bei Dritten ohne deren Einwilligung Erkundigungen oder Kontrollen vorzunehmen, selbst wenn sich die Vereinigung, zum Beispiel ein Tierschutzverein oder ein Zuchtverband, solches zum satzungsmäßigen Ziel gesetzt hat.

Datensicherung im Verein

Dabei geht es sowohl um die technische als auch die organisatorische Datensicherung. Zu prüfen sind zum Beispiel die Verschlüsselung von Daten, die Belastbarkeit und Vertraulichkeit von Systemen aber auch der Zugang zu EDV-Räumen, die Vergabe und Geheimhaltung von Zugangsdaten, eine sichere Kommunikation, regelmäßige Updates etc.

Konkrete Maßnahmen werden in der DSGVO nicht vorgegeben. Diese liegen jeweils im Ermessen des Vereines, der die Pflicht hat, die in seiner Obhut befindlichen Daten vor Eingriffen Unbefugter und vor Verlust zu schützen. In Art. 32 Abs. 1 DSGVO werden Mindestanforderungen wie Pseudonymisierung, Verschlüsselung und Maßnahmen zur Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit der Daten genannt sowie Maßnahmen zur schnellen Wiederherstellung von Systemen bei technischen Zwischenfällen.

Kurz-Check zur Datensicherheit

• Arbeitet der Verein hinsichtlich Datenschutz und Datensicherheit mit der richtigen Software?
• Haben Sie klare Regeln zum DSGVO-konformen Umgang mit Daten aufgestellt und an die Vereinsmitarbeiter kommuniziert?
• Werden besonders vertrauliche Daten besonders geschützt und ist der Zugriff durch Dritte ausgeschlossen?
• Haben Sie für die Integrität Ihres Systems gesorgt, d. h. bleiben Daten unverändert und korrekt und können nicht verloren gehen? (Risiko des Datenverlusts)
• Ist der Internetauftritt des Vereins sicher und ist das auch ersichtlich? (z. B. durch die Verschlüsselung von Zahlungsvorgängen und klare transparente Sicherheitsrichtlinien)
• Führen Sie regelmäßige Datensicherheitskontrollen im Verein durch?

Datennutzung durch den Verein

Die Vereinssatzung regelt, wer wofür zuständig ist. Nach diesen Zuständigkeiten richtet sich auch die jeweilige Datennutzung. Das bedeutet, jeder Funktionsträger darf nur die für die Erfüllung seiner Aufgaben erforderlichen Mitgliederdaten kennen, verarbeiten oder nutzen. So darf etwa der Vorstand auf alle Mitgliederdaten zugreifen, wenn er diese zur Aufgabenerledigung benötigt, während es in der Regel für den Kassierer genügt, wenn er die für den Einzug der Mitgliedsbeiträge relevanten Angaben kennt. Dabei dürfen die Daten grundsätzlich nur zur Verfolgung des Vereinszwecks bzw. zur Betreuung und Verwaltung von Mitgliedern genutzt werden.

Neben der allgemeinen Mitgliederverwaltung nutzen Vereine personenbezogene Daten in der Regel auch für Werbe- und Marketingmaßnahmen. Auf diese Weise können neue Mitglieder, Sponsoren und Spendengelder gewonnen werden, die dem Verein einen gesunden Mitgliederbestand sowie genügend finanzielle Mittel sichern. Die Nutzung der Daten von Vereinsmitgliedern für Spendenaufrufe und für Werbung kann grundsätzlich erlaubt sein, sofern der Verein dadurch die eigenen satzungsgemäßen Ziele erreichen kann.

Übermittlung von Daten durch den Verein

Unter Datenübermittlung versteht man die Weitergabe von personenbezogenen Daten innerhalb des Vereins oder an Dritte. Dazu gehört auch jede Art von Veröffentlichung, z. B. der Zeitungsartikel über den Turniersieg oder der Bericht über das Vereinsfest im Internet, aber auch die Mannschaftsaufstellung am „Schwarzen Brett“ oder im Vereinsblatt.

Sofern es für die Verwaltung und Betreuung der Mitglieder erforderlich ist, können deren Daten grundsätzlich an bestimmte Dritte weitergegeben werden. Darüber hinaus darf der Verein die Daten von Mitgliedern und Dritten nur übermitteln, wenn er bzw. der Empfänger daran ein berechtigtes Interesse hat und es dem Vereinszweck dient. Auch dürfen die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person dem nicht entgegenstehen. Die Öffentlichkeitsarbeit des Vereins kann ein berechtigtes Interesse darstellen, das eine Veröffentlichung zulässig macht.

Sobald aber schutzwürdige Belange der Betroffenen einer Veröffentlichung entgegenstehen, wird es kritisch. Deswegen sollte in der Regel die Einwilligung der betroffenen Personen vor eine Berichterstattung auf der Website oder in den sozialen Medien eingeholt werden. Dies kann z. B. durch Unterzeichnung eines Dokuments beim Einlass erfolgen. Insbesondere bei rein internen Vereinsveranstaltungen bedarf es einer Einwilligung der betroffenen Personen, wenn der Verein Informationen veröffentlichen will.

Grundsätzlich gilt: Für die Veröffentlichung eines Fotos, auf dem Personen eindeutig erkennbar sind und die kein zeitgeschichtliches Ereignis oder eine Versammlung zeigen, benötigt man immer die Einwilligung der erkennbaren Personen (Recht am eigenen Bild) – egal, ob es sich um eine interne oder öffentliche Situation handelt.

LÖSCHUNG VON DATEN DURCH DEN VEREIN

Nach den Regelungen der DSGVO hat jedes Vereinsmitglied das Recht auf Löschung bzw. das Recht auf das Vergessenwerden seiner personenbezogenen Daten, wenn

• sie für die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr notwendig sind,
• die betroffene Person ihre Einwilligung widerruft oder Widerspruch gegen die Verarbeitung einlegt,
• die personenbezogenen Daten unrechtmäßig verarbeitet wurden,

• die Löschung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist

Das bedeutet auch, dass der Verein nach Beendigung einer Mitgliedschaft alle Daten des ehemaligen Mitglieds löschen und auch bei eventuellen Auftragsverarbeitern sowie dem Dachverband und allen weiteren Stellen die Löschung anweisen muss. Dabei gilt die Faustregel, dass eine Löschung erst geboten, aber dann auch tatsächlich vorzunehmen ist, wenn der Verein nach dem Austritt eines Mitgliedes nicht mehr mit Rückfragen wegen der erloschenen Mitgliedschaft rechnen muss.

Die erforderlichen Regelungen zu Speicherfristen sowie zur Sperrung und Löschung von Daten können auch außerhalb der Satzung in einer Datenschutzordnung bzw. in einer gesonderten Datenlöschkonzeption festgelegt werden.

Datenschutz auf der Vereinswebsite / im Internet

Um sich selbst darzustellen, Werbung in eigener Sache zu betreiben aber auch, um schnell und flexibel zu informieren, ist das Internet für Vereine und Verbände unverzichtbar. Allerdings birgt es datenschutzrechtlich auch hohe Risiken für die betroffenen Vereinsmitglieder. Werden ihre personenbezogenen Daten im Internet ohne Passwortschutz veröffentlicht, werden sie damit quasi an Jedermann weitergegeben. Das ist in vielerlei Hinsicht problematisch, denn im Internet können die Informationen

• unkontrolliert weltweit verbreitet werden
• nur sehr schwer oder gar nicht gelöscht werden
• von jedem recherchiert und ausgewertet werden
• ungewollt von Dritten für Zwecke der Profilbildung und Werbung genutzt werden
• in Staaten abgerufen werden, die keine mit der DSGVO vergleichbaren Schutzbestimmungen kennen

• leicht gefälscht werden

Schon die harmlose Information, dass jemand eine bestimmte Sportart ausübt, lässt Rückschlüsse auf eine bestimmte Altersgruppe zu oder bescheinigt ihm ein unfallträchtiges Hobby. Das ist u. U. für Arbeitgeber oder die Werbeindustrie relevant und kann kaum wieder aus dem Netz gelöscht werden. Deswegen ist die Veröffentlichung personenbezogener Daten durch einen Verein im Internet grundsätzlich unzulässig, wenn sich der Betroffene nicht ausdrücklich damit einverstanden erklärt hat.

Bestimmte Informationen über Vereinsmitglieder, wie z. B. Spielergebnisse und persönliche Leistungen, Mannschaftsaufstellungen, Ranglisten oder Torschützen können allerdings ausnahmsweise auch ohne Einwilligung ins Internet eingestellt werden, wenn dies den berechtigten Interessen des Vereins dient, die Betroffenen darüber informiert sind und keine schutzwürdigen Interessen oder Grundrechte und Grundfreiheiten der Veröffentlichung im Einzelfall überwiegen.

Organisatorische Schritte zum Datenschutz im Verein

Der Datenschutzbeauftrage im Verein

Der Verein ist verpflichtet, einen Datenschutzbeauftragten (DSB) zu benennen, wenn mindestens 20 Personen im Verein regelmäßig mit der automatisierten (digitalen) Verarbeitung personenbezogener Daten beschäftigt sind. Als DSB kann eine externe Person oder ein Vereinsmitglied benannt werden, das nicht dem Vorstand angehört. Der DSB hat primär eine beratende Funktion und soll in diesem Rahmen bei der Umsetzung einer DSGVO-konformen Vereinsarbeit unterstützen.

Hier erfahren Sie mehr zu diesem Thema:

Verzeichnis von Verarbeitungstätigkeiten

Vereine, die mehr als 250 Mitarbeitende beschäftigen, müssen ein Verzeichnis ihrer Verarbeitungstätigkeiten führen. Das ist in der Regel überschaubar und gibt im Wesentlichen einen Überblick über die im Rahmen der Vereinstätigkeit vorgenommene Datenverarbeitung. Bei der Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten können sich Vereine an zahlreichen Musterverzeichnissen orientieren.

Datenschutz-Verpflichtung für Beschäftigte im Verein

Alle Beschäftigte des Vereins, die mit personenbezogenen Daten umgehen, müssen vom Verein über die wesentlichen datenschutzrechtlichen Vorschriften und deren Inhalt informiert und dahingehend schriftlich verpflichtet werden, dass die Verarbeitung der personenbezogenen Daten durch sie nach den Grundsätzen der DSGVO erfolgt.

Für Neubeschäftigte muss die Verpflichtung vor Aufnahme der Tätigkeit erfolgen, also bevor die verpflichtete Person zum ersten Mal mit personenbezogenen Daten in Kontakt kommt. Es bietet sich daher an, diese Unterschrift zusammen mit der Unterschrift des Arbeitsvertrages einzuholen.

Die DSGVO schreibt keine bestimmte Form der Verpflichtung vor. Aus Gründen der Nachweisbarkeit sollte jedoch mindestens ein elektronisches       Dokument verwendet werden. Auf diesem sollten neben dem eigentlichen Inhalt der Verpflichtung auch Ort, Datum und die (digitalen) Unterschriften des Vereinsverantwortlichen und des zu Verpflichtenden festgehalten werden.