DSGVO im Verein: Was Sie wirklich brauchen — und was nicht

Der häufigste Irrtum: „Wir sind zu klein für ein Verzeichnis"

Art. 30 Abs. 5 DSGVO enthält eine Erleichterung für Einrichtungen mit weniger als 250 Beschäftigten. Daraus wird regelmäßig geschlossen, ein kleiner Verein brauche kein Verzeichnis von Verarbeitungstätigkeiten. Das ist falsch.

Die Erleichterung entfällt nämlich in drei Fällen, und es genügt, wenn einer davon vorliegt: wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, wenn sie nicht nur gelegentlich erfolgt, oder wenn besondere Datenkategorien nach Art. 9 DSGVO verarbeitet werden.

Der zweite Fall trifft auf jeden Verein zu, der Mitglieder verwaltet. Eine laufende Mitgliederdatei, ein jährlicher Beitragseinzug, Einladungen zur Versammlung — das ist keine gelegentliche Verarbeitung, sondern Dauerbetrieb. Der dritte Fall kommt häufig hinzu: Gesundheitsdaten im Sportverein, Religionszugehörigkeit bei kirchlichen Trägern, Angaben zu einer Behinderung bei Ermäßigungen.

Praktisch heißt das: Fast jeder Verein muss ein Verzeichnis führen. Die gute Nachricht ist, dass es kein großes Dokument sein muss. Für einen typischen Verein passt es auf wenige Seiten, und die Tätigkeiten sind in fast allen Vereinen dieselben. Die Vorlage unten ist bereits ausgefüllt und muss nur angepasst werden.

Auf welcher Grundlage Vereine Daten verarbeiten dürfen

Vor der Dokumentation steht die Frage, worauf sich eine Verarbeitung überhaupt stützt. Hier liegt der zweite verbreitete Fehler: Viele Vereine haben nach 2018 pauschal Einwilligungen eingeholt — auch für Daten, die sie ohnehin verarbeiten dürfen.

Für die Mitgliederverwaltung ist die Einwilligung in aller Regel nicht die passende Grundlage. Wer einem Verein beitritt, begründet ein Mitgliedschaftsverhältnis, und die zu dessen Durchführung erforderlichen Daten dürfen auf dieser Grundlage verarbeitet werden. Name, Anschrift, Geburtsdatum, Eintrittsdatum, Beitragsdaten und Bankverbindung für den Einzug gehören dazu.

Das hat einen praktischen Vorteil: Eine Einwilligung ist jederzeit widerruflich. Wäre sie die Grundlage der Mitgliederverwaltung, könnte ein Mitglied deren Verarbeitung widerrufen und gleichzeitig Mitglied bleiben — ein unlösbarer Zustand. Die Einwilligung bleibt deshalb den Verarbeitungen vorbehalten, die für die Mitgliedschaft nicht erforderlich sind.

• Mitgliedschaftsverhältnis: Stammdaten, Beitragsdaten, Bankverbindung für den Lastschrifteinzug, Teilnahme am Vereinsleben.
• Rechtliche Verpflichtung: steuerliche Aufzeichnungen, Aufbewahrung von Buchungsbelegen, Meldungen an Verbände oder Behörden, soweit vorgeschrieben.
• Berechtigtes Interesse: Vereinschronik, Sicherheit der Vereinsanlage, Abwehr von Ansprüchen — jeweils nach Abwägung mit den Interessen der Betroffenen.
• Einwilligung: Fotos für Öffentlichkeitsarbeit, Newsletter ohne Mitgliederbezug, Veröffentlichung von Geburtstagen oder Ehrungen, Weitergabe an Dritte ohne eigene Grundlage.
• Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten etwa für Sporttauglichkeit brauchen eine eigene Grundlage — meist die ausdrückliche Einwilligung.

Die sieben Verarbeitungstätigkeiten, die fast jeder Verein hat

Ein Verzeichnis wird nicht nach Datenfeldern geführt, sondern nach Tätigkeiten. Für jede Tätigkeit werden dieselben Angaben festgehalten: Zweck, betroffene Personen, Datenkategorien, Empfänger, Löschfrist und eine allgemeine Beschreibung der Schutzmaßnahmen. Diese sieben Tätigkeiten decken einen normalen Verein ab; die Vorlage enthält sie bereits ausformuliert:

• Mitgliederverwaltung — Stammdaten, Ein- und Austritt, Mitgliedsarten.
• Beitragswesen — Beitragsrechnungen, Lastschriftmandate, Zahlungsabgleich, Mahnungen.
• Buchhaltung und Steuer — Belege, Spendenbescheinigungen, Aufbewahrung nach Abgabenordnung.
• Vereinskommunikation — Einladungen, Rundschreiben, Newsletter.
• Veranstaltungen und Sportbetrieb — Anmeldungen, Teilnehmerlisten, Meldungen an Verbände.
• Öffentlichkeitsarbeit — Website, Aushänge, Vereinszeitung, Fotos und Videos.
• Ehrungen und Jubiläen — Mitgliedschaftsdauer, Geburtstage, Auszeichnungen.

Auftragsverarbeitung: wo Vereine überall einen Vertrag brauchen

Sobald ein Dienstleister im Auftrag des Vereins personenbezogene Daten verarbeitet, ist nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag erforderlich. Der Verein bleibt verantwortlich, der Dienstleister handelt weisungsgebunden.

In der Praxis fehlen diese Verträge fast überall nicht bei der Vereinssoftware — dort denkt man daran —, sondern bei den Nebenwerkzeugen, die nebenbei eingeführt wurden. Ein geteilter Cloud-Ordner mit der Mitgliederliste, ein Newsletter-Dienst, ein Terminplaner, eine Umfrage: All das sind Auftragsverarbeitungen.

Zwei Abgrenzungen ersparen unnötige Arbeit. Erstens: Die Steuerkanzlei und der beratende Rechtsanwalt sind keine Auftragsverarbeiter, sondern eigenständig Verantwortliche — sie arbeiten nicht weisungsgebunden. Zweitens: Die Bank ist es ebenfalls nicht, sie erfüllt eigene gesetzliche Pflichten.

• Vereinssoftware und Mitgliederverwaltung — AVV erforderlich.
• Cloud-Speicher, in dem Mitgliederlisten oder Protokolle liegen — AVV erforderlich.
• Newsletter- und Mailversand-Dienste — AVV erforderlich.
• Website-Hosting, Formulare, Besucherstatistik — AVV erforderlich.
• Steuerberatung und Rechtsberatung — kein AVV, eigene Verantwortlichkeit.
• Bank und Zahlungsdienstleister — kein AVV, eigene gesetzliche Pflichten.

Wie ein AVV in der Praxis zustande kommt

Wie das konkret abläuft, beschreiben Ratgeber selten, weil es die Sicht des Anbieters braucht. Bei Bundaris sieht es so aus — und der Ablauf ist bei den meisten Software-Anbietern ähnlich.

Der Vertrag ist keine individuell verhandelte Urkunde, sondern eine Vorlage, die der Verein annimmt. Die Annahme erfolgt durch eine ausdrückliche Bestätigung der vertretungsberechtigten Person im System; festgehalten werden dabei Zeitpunkt, handelnde Person und die angenommene Fassung. Dass die Fassung mitgeführt wird, ist der entscheidende Teil: Nur so lässt sich Jahre später belegen, welcher Text galt, als die Verarbeitung begann.

Der zweite Baustein ist die Liste der Sub-Auftragsverarbeiter. Kein Software-Anbieter erbringt alles selbst — es gibt ein Rechenzentrum, einen Mailversender, gegebenenfalls weitere Dienste. Diese Unterauftragnehmer müssen benannt sein, und der Verein muss Änderungen erfahren, um widersprechen zu können. Bundaris führt diese Liste deshalb öffentlich, mit Zweck, Standort und Vertragsstatus je Dienstleister; sie ist auf der Seite Subprozessoren einsehbar, ohne Anmeldung.

Was ein Verein daraus mitnehmen kann, ist eine Prüffrage an jeden Anbieter: Wo finde ich Ihren AVV, welche Fassung habe ich angenommen, und wo steht, wen Sie als Unterauftragnehmer einsetzen? Wer darauf keine klare Antwort bekommt, hat den Vertrag praktisch nicht.

Braucht Ihr Verein einen Datenschutzbeauftragten?

Diese Frage lässt sich zählen. Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Entscheidend ist das Wort „Personen": Es geht nicht um Angestellte. Ehrenamtliche zählen mit, wenn sie ständig mit Daten arbeiten — der Vorstand, Abteilungsleitungen mit Zugriff auf Mitgliederlisten, Übungsleitungen, die Anwesenheiten digital erfassen. In einem großen Verein ist die Zahl schneller erreicht, als die meisten annehmen; in einem kleinen bleibt sie klar darunter.

Unabhängig von der Personenzahl besteht die Pflicht außerdem, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder wenn geschäftsmäßig zum Zweck der Übermittlung oder für die Markt- und Meinungsforschung verarbeitet wird. Für normale Vereinsarbeit ist das selten einschlägig.

Wer die Schwelle nicht erreicht, braucht keinen Datenschutzbeauftragten — die übrigen Pflichten bleiben davon aber unberührt. Verzeichnis, Informationspflichten und Auftragsverarbeitungsverträge gelten unabhängig von der Vereinsgröße.

Fotos auf der Vereinswebsite: der Dauerbrenner

Kein Thema führt zu mehr Unsicherheit als Bilder vom Vereinsfest. Praktikabel ist eine Trennung nach Aufnahmesituation.

Bei Übersichtsaufnahmen von Veranstaltungen, auf denen einzelne Personen nicht im Mittelpunkt stehen, lässt sich eine Veröffentlichung regelmäßig auf ein berechtigtes Interesse an der Vereinsdarstellung stützen, wenn die Teilnehmenden vorab erkennbar informiert wurden — etwa durch einen Hinweis in der Einladung und am Eingang. Bei Porträts, gestellten Gruppenbildern und allen Aufnahmen von Kindern und Jugendlichen ist die Einwilligung der sichere Weg.

Wichtig ist die Widerrufbarkeit: Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden, und der Verein muss das Bild dann von seinen eigenen Kanälen entfernen. Für gedruckte Vereinszeitungen gilt das naturgemäß nur eingeschränkt — worauf die Einwilligung hinweisen sollte. Bei Minderjährigen entscheiden die Sorgeberechtigten; ab etwa dem 14. Lebensjahr ist es üblich, zusätzlich die Zustimmung der jugendlichen Person einzuholen. Die Vorlage unten deckt beide Fälle ab.

• Hinweis in Einladung und am Veranstaltungsort, dass fotografiert wird und wo die Bilder erscheinen.
• Einwilligung schriftlich für Porträts, gestellte Aufnahmen und alle Bilder von Minderjährigen.
• Zweck und Kanäle benennen: Website, Vereinszeitung, soziale Netzwerke — jeder Kanal einzeln.
• Widerruf ermöglichen und eine Kontaktstelle nennen; Widerrufe dokumentieren.
• Keine Kopplung: Die Teilnahme am Vereinsleben darf nicht von der Foto-Einwilligung abhängen.

Wenn doch etwas passiert: die 72 Stunden

Eine Datenschutzverletzung ist im Verein selten ein Hackerangriff. Der Regelfall ist banaler: Die Mitgliederliste geht an den falschen Verteiler, ein Rundschreiben zeigt alle Empfänger im offenen Adressfeld, ein Laptop mit Vereinsdaten verschwindet.

Solche Vorfälle sind der Aufsichtsbehörde grundsätzlich binnen 72 Stunden zu melden, sofern ein Risiko für die Betroffenen besteht. Die Frist läuft ab Kenntnis — nicht ab dem Zeitpunkt, an dem die Ursache geklärt ist. Deshalb ist die wichtigste Vorbereitung organisatorisch: Alle, die mit Daten arbeiten, sollten wissen, wem sie einen Vorfall sofort melden.

Führen Sie unabhängig von der Meldepflicht eine kurze interne Dokumentation jedes Vorfalls — was passiert ist, wann es bemerkt wurde, welche Daten betroffen waren, was unternommen wurde. Das ist selbst dann verlangt, wenn keine Meldung nötig war, und es dauert fünf Minuten.

Wie Bundaris die Vereinsseite unterstützt

Ein Software-Anbieter kann dem Verein die Verantwortung nicht abnehmen — das Verzeichnis, die Informationspflichten und die Entscheidung über Rechtsgrundlagen bleiben beim Verein. Was Bundaris beisteuert, ist die Anbieter-Hälfte.

Der Auftragsverarbeitungsvertrag liegt als Vorlage im System vor und wird durch die vertretungsberechtigte Person angenommen; Zeitpunkt, Person und angenommene Fassung werden festgehalten, sodass der Verein jederzeit belegen kann, welcher Text gilt. Die eingesetzten Sub-Auftragsverarbeiter sind mit Zweck, Standort und Vertragsstatus öffentlich gelistet. Die technischen und organisatorischen Maßnahmen sind auf der Seite Sicherheit beschrieben — genau die Angaben, die im Verzeichnis unter „technische und organisatorische Maßnahmen" einzutragen sind.

Auf der Vereinsseite hilft vor allem, dass Mitgliederdaten an einer Stelle liegen statt in Tabellen auf mehreren Rechnern: Auskunfts- und Löschverlangen lassen sich dann tatsächlich vollständig bearbeiten. Zugriffe sind an Rollen gebunden, sodass nicht jede Funktion im Verein jede Information sieht.