Mitgliederdaten löschen: Was muss weg, was darf bleiben?

Warum es keine allgemeine Löschfrist für Mitgliederdaten gibt

Es gibt keine gesetzliche Frist, nach der Mitgliederdaten zu löschen sind. Wer eine sucht, sucht nach etwas, das der Gesetzgeber bewusst nicht geregelt hat. Die DSGVO arbeitet nicht mit Fristen, sondern mit Zwecken: Daten sind zu löschen, sobald sie für den Zweck, für den sie erhoben wurden, nicht mehr notwendig sind (Art. 17 Abs. 1 Buchstabe a DSGVO).

Die Aufsichtsbehörden führen das konsequent fort. Die Orientierungshilfe „Datenschutz im Verein“ des Landesbeauftragten für den Datenschutz Baden-Württemberg nennt keine Standardfristen, sondern verlangt vom Verein selbst festzulegen, welche Datenarten bis zu welchem Ereignis oder für welche Dauer verarbeitet werden. Empfohlen wird dafür eine eigene Datenlöschkonzeption.

Das klingt nach Mehrarbeit, ist aber die einzige Antwort, die trägt. Denn die pauschale Auskunft „drei Jahre nach Austritt“ ist für die Beitragsrechnung dieses Mitglieds zu kurz, für den abgelehnten Aufnahmeantrag deutlich zu lang und für das Protokoll der Mitgliederversammlung, in dem der Name steht, schlicht nicht anwendbar. Es gibt keine Frist für „Mitgliederdaten“. Es gibt Fristen für einzelne Datenarten.

• Kein Gesetz nennt eine allgemeine Löschfrist für Mitgliederdaten.
• Maßstab ist der Zweck: Ist er erreicht, entsteht die Löschpflicht (Art. 17 Abs. 1 Buchstabe a DSGVO).
• Die Aufsichtsbehörden geben bewusst keine Fristen vor, sondern verlangen ein eigenes Löschkonzept.
• Die Frist gehört deshalb je Datenart bestimmt, nicht je Person.

Löschpflicht und Aufbewahrungspflicht treffen denselben Datensatz

Der eigentliche Knoten liegt darin, dass zwei Rechtsgebiete gleichzeitig auf dieselben Daten zugreifen und Gegenteiliges verlangen. Die DSGVO sagt: löschen, sobald der Zweck entfällt. Das Steuerrecht sagt: aufbewahren, und zwar Jahre über den Austritt hinaus.

Die Auflösung steht im Gesetz selbst. Art. 17 Abs. 3 Buchstabe b DSGVO nimmt die Löschpflicht dort zurück, wo die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung nach Unionsrecht oder mitgliedstaatlichem Recht erforderlich ist. Die Aufbewahrungspflicht aus der Abgabenordnung ist eine solche Verpflichtung. Wer Belege aufhebt, verstößt damit nicht gegen die DSGVO. Er befolgt sie.

Entscheidend ist die Reichweite dieser Ausnahme. Sie rechtfertigt nicht, den kompletten Mitgliederdatensatz zehn Jahre lang unverändert weiterzuführen. Sie rechtfertigt genau die Daten, die in der aufzubewahrenden Unterlage stehen. Die Beitragsrechnung mit Name und Anschrift bleibt. Die Telefonnummer, die Konfektionsgröße für das Vereinstrikot und die Notiz zur letzten Absage stehen auf keinem Beleg und haben mit dem Austritt ihren Zweck verloren.

Ein zweiter Grund, der Daten hält, wird häufiger übersehen: Art. 17 Abs. 3 Buchstabe e DSGVO für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Er ist der Grund, warum Stammdaten nach dem Austritt nicht sofort verschwinden — offene Beitragsforderungen verjähren nicht am Tag der Kündigung.

Die drei Fristenquellen, aus denen sich Ihre Fristen ergeben

Praktisch jede Frist, die ein Verein braucht, stammt aus einer von drei Quellen. Wer sie auseinanderhält, kann jede Datenart selbst einordnen.

Erstens das Steuerrecht: § 147 Abs. 3 der Abgabenordnung staffelt in zehn, acht und sechs Jahre, je nach Art der Unterlage. Für die Vereinsbuchhaltung ist das ausführlich im Ratgeber zur GoBD dargestellt. Was Beleg oder Buchführung ist, folgt der Abgabenordnung. Die Frist beginnt erst mit dem Ende des Kalenderjahres.

Zweitens das Zivilrecht: Die regelmäßige Verjährungsfrist beträgt drei Jahre (§ 195 BGB). Ihr Beginn ist die Stelle, an der in der Praxis am häufigsten falsch gerechnet wird. Sie startet nicht mit dem Austritt, sondern nach § 199 Abs. 1 BGB mit dem Schluss des Jahres, in dem der Anspruch entstanden ist. Ein Austritt zum 31. Januar führt deshalb nicht zu einem Löschtermin drei Jahre später im Januar, sondern zu einem Ende der Verjährung am 31. Dezember des dritten Folgejahres — in Tagen gerechnet also fast vier Jahre.

Drittens der Zahlungsverkehr: Für Lastschriften gilt eine Erstattungsfrist von acht Wochen (§ 675x Abs. 4 BGB); fehlt ein gültiges Mandat, verlängert sie sich auf bis zu 13 Monate (§ 676b Abs. 2 BGB). Solange das Mitglied das Geld zurückholen kann, muss der Verein das Mandat vorlegen können. Diese Frist bestimmt die Aufbewahrung widerrufener Mandate, nicht die Mitgliedschaft.

• Steuerrecht: § 147 Abs. 3 AO, zehn / acht / sechs Jahre, Beginn mit Jahresende.
• Zivilrecht: drei Jahre regelmäßige Verjährung (§ 195 BGB), Beginn erst mit Schluss des Entstehungsjahres (§ 199 Abs. 1 BGB).
• Zahlungsverkehr: acht Wochen Erstattung (§ 675x Abs. 4 BGB), bis zu 13 Monate ohne gültiges Mandat (§ 676b Abs. 2 BGB).
• Alles, was in keine dieser Quellen fällt, hat keinen Aufbewahrungsgrund — und ist damit zu löschen.

Einschränken statt löschen: der Zwischenschritt nach Art. 18 DSGVO

Zwischen weiter im Zugriff und unwiderruflich weg liegt ein dritter Zustand, den die DSGVO ausdrücklich vorsieht und den kaum ein Verein nutzt: die Einschränkung der Verarbeitung nach Art. 18 DSGVO. Eingeschränkte Daten dürfen außer zur Speicherung nur noch in engen Ausnahmen verarbeitet werden, etwa zur Geltendmachung von Rechtsansprüchen.

Für den Vereinsalltag ist das der passende Zustand für alles, was aus dem laufenden Betrieb heraus ist, aber noch nicht gelöscht werden darf. Der Datensatz eines ausgetretenen Mitglieds gehört nicht mehr in den E-Mail-Verteiler, nicht in die Geburtstagsliste und nicht in die Auswertung der Altersstruktur — er muss aber greifbar bleiben, falls eine Forderung offen ist.

Praktisch heißt Einschränkung: Der Kreis der Zugriffsberechtigten wird enger, die Daten verlassen die Arbeitslisten, und sie werden für keine Auswertung mehr herangezogen. Die Orientierungshilfe der Aufsichtsbehörde beschreibt dafür ein Vereinsarchiv mit begrenztem Zugriff und weist zugleich darauf hin, dass die Nutzung archivierter Daten in personenbezogener Form nur sehr eingeschränkt zulässig ist. Ein Archiv ist also keine zweite Mitgliederdatei, aus der man weiterhin zum Vereinsjubiläum einlädt.

• Eingeschränkte Daten werden gespeichert, aber nicht mehr genutzt (Art. 18 Abs. 2 DSGVO).
• Richtiger Zustand für Stammdaten zwischen Austritt und Ablauf der Verjährung.
• Umsetzung: engerer Zugriff, raus aus Verteilern, Listen und Auswertungen.
• Ein Vereinsarchiv ist zulässig — als Archiv, nicht als zweite Adressdatei.

Vierzehn Datenarten mit Frist und Rechtsgrundlage

Sortiert wird nach Datenarten, nicht nach Personen. Zu jeder Zeile gehört das auslösende Ereignis, denn eine Frist ohne Startpunkt lässt sich nicht anwenden. Die Angaben sind ein belastbarer Ausgangspunkt: Wo eine Frist gesetzlich bestimmt ist, steht die Norm dabei; wo sie es nicht ist, steht ein begründeter Praxiswert, den Ihr Verein anpassen darf und im Zweifel anpassen sollte.

Die längste einschlägige Frist gewinnt. Sie gilt aber nur für die Daten, die sie tatsächlich erfasst. Dass die Beitragsrechnung acht Jahre bleibt, verlängert die Aufbewahrung der Handynummer nicht um einen Tag.

• Stammdaten aktives Mitglied (Name, Anschrift, Geburtsdatum, Eintritt): für die Dauer der Mitgliedschaft — Grundlage ist das Mitgliedschaftsverhältnis, keine Einwilligung.
• Stammdaten nach Austritt: bis zum Ablauf der Verjährung offener Ansprüche, § 195 in Verbindung mit § 199 Abs. 1 BGB. Praxiswert drei Jahre, gerechnet ab Schluss des Austrittsjahres.
• Kontaktdaten ohne Belegbezug (Telefon, private E-Mail, Notizen): mit dem Austritt zwecklos, zeitnah löschen.
• Aufnahmeantrag eines aufgenommenen Mitglieds: wie die Stammdaten, er belegt den Beitritt.
• Abgelehnter oder zurückgezogener Aufnahmeantrag: kein Aufbewahrungsgrund, Praxiswert wenige Monate für Rückfragen, dann löschen.
• Beitragsrechnungen und Buchungsbelege: acht Jahre nach § 147 Abs. 3 AO, Beginn mit Jahresende.
• Kassenbuch, Jahresabschlüsse, Aufzeichnungen: zehn Jahre nach § 147 Abs. 3 AO.
• Doppel der Zuwendungsbestätigung: aufzubewahren nach § 50 Abs. 7 EStDV, gerechnet wird mit zehn Jahren. Bei Übermittlung im Verfahren nach § 50 Abs. 2 EStDV entfällt die Pflicht zum Doppel.
• SEPA-Mandat, aktiv genutzt: solange Einzüge erfolgen; es verfällt 36 Monate nach dem letzten Einzug.
• SEPA-Mandat, widerrufen oder verfallen: bis zum Ablauf der Erstattungsfrist von 13 Monaten (§ 676b Abs. 2 BGB), Praxiswert 14 Monate mit Puffer.
• Einwilligung in Foto- und Videoaufnahmen: solange das Bild genutzt wird, plus Nachweisfähigkeit der Einwilligung (Art. 7 Abs. 1 DSGVO).
• Fotos und Videos selbst: bis zum Widerruf oder bis der Verwendungszweck endet; ein Widerruf wirkt für die Zukunft.
• Protokolle der Mitgliederversammlung mit Namen von Antragstellern und Gewählten: dauerhaft als Beschluss- und Wahlnachweis, jedoch mit eingeschränktem Zugriff.
• Zugriffs- und Änderungsprotokolle der Vereinssoftware: Praxiswert drei Jahre, danach entfällt der Nachweiszweck.

SEPA-Mandate: wie lange ein widerrufenes Mandat bleiben muss

Auf ein SEPA-Mandat wirken drei Fristen. Keine davon ist die Löschfrist, und genau daran scheitert die Suche nach der einen Zahl.

Die erste ist der Verfall: Ein Mandat erlischt, wenn 36 Monate lang kein Einzug darauf erfolgt. Die zweite ist die Erstattung: Acht Wochen lang kann das Mitglied eine Belastung ohne Angabe von Gründen zurückholen (§ 675x Abs. 4 BGB). Die dritte ist der Ernstfall: Fehlt ein gültiges Mandat oder wurde es widerrufen, verlängert sich die Erstattungsfrist auf bis zu 13 Monate (§ 676b Abs. 2 BGB). Genau in diesem Fall muss der Verein beweisen können, dass ein Mandat vorlag — mit dem widerrufenen Mandat, das er gerade zu löschen erwogen hat.

Daraus folgt die Regel, die in keiner der drei Vorschriften steht: Ein widerrufenes Mandat wird nicht mit dem Widerruf gelöscht, sondern frühestens, wenn die Erstattungsfrist für die letzte darauf gestützte Belastung abgelaufen ist. Wir rechnen dafür mit 14 Monaten — die 13 Monate aus dem Gesetz plus einen Monat Puffer für den Zeitraum zwischen Belastung und Widerruf. Dieser Wert ist in Bundaris als Standardfrist hinterlegt.

Die praktische Konsequenz ist unbequem und deshalb selten umgesetzt: Ein Verein, der bei einem Mitgliederwechsel die Kontodaten sofort überschreibt, nimmt sich genau den Nachweis, den er im Streitfall braucht. Richtig ist, das alte Mandat als widerrufen zu kennzeichnen und ein neues mit eigener Mandatsreferenz anzulegen.

Das Doppel der Zuwendungsbestätigung: Frist aus § 147 AO

Für dieses Dokument kursiert in Ratgebern durchgängig die Angabe zehn Jahre nach § 50 EStDV. Die Zahl ist im Ergebnis brauchbar, die Fundstelle ist es nicht — und der Unterschied ist mehr als eine Fußnote, wenn jemand die Frist gegenüber dem Finanzamt oder im eigenen Löschkonzept begründen muss.

§ 50 Abs. 7 Satz 1 EStDV verlangt, dass die Körperschaft die Vereinnahmung der Zuwendung und ihre zweckentsprechende Verwendung ordnungsgemäß aufzuzeichnen und ein Doppel der Zuwendungsbestätigung aufzubewahren hat. Eine Frist nennt die Vorschrift nicht — in keinem ihrer Sätze. Wir haben den Wortlaut dafür im Volltext geprüft.

Die Dauer ergibt sich erst aus der Abgabenordnung. Weil das Doppel zu den Aufzeichnungen über die Vereinnahmung gehört, wird mit der Zehn-Jahres-Frist für Aufzeichnungen gerechnet und nicht mit der auf acht Jahre verkürzten Frist für Buchungsbelege. Wer es kürzer handhaben möchte, sollte das mit seinem steuerlichen Berater klären; wer keine Diskussion führen will, bleibt bei zehn Jahren.

Ein zweiter Punkt aus derselben Vorschrift wird oft übersehen: Die Aufbewahrungspflicht für das Doppel entfällt in den Fällen des Absatzes 2 (§ 50 Abs. 7 Satz 2 EStDV). Gemeint ist nicht jede elektronische Übermittlung, sondern das Verfahren, in dem der Zuwendende den Verein bevollmächtigt, die Bestätigung unter Angabe seiner Identifikationsnummer an das Finanzamt zu übermitteln. Wer nur eine PDF-Datei per E-Mail verschickt, fällt nicht darunter. Die Aufzeichnungspflicht über die Vereinnahmung bleibt in beiden Fällen bestehen.

Löschkonzept aufschreiben: fünf Spalten und ein fester Termin

Ein Löschkonzept ist kein juristisches Gutachten. Es ist eine Tabelle mit fünf Spalten und der Angabe, wer sie pflegt. Die Aufsichtsbehörde erwartet keine Länge. Sie erwartet, dass die Fristen bewusst festgelegt und im Verein bekannt sind.

Der Weg dorthin führt über das Verzeichnis von Verarbeitungstätigkeiten, das Vereine ohnehin führen müssen. Dort sind die vorgesehenen Löschfristen anzugeben, wenn möglich (Art. 30 Abs. 1 Buchstabe f DSGVO). In der Praxis bleibt die Spalte leer oder enthält nach gesetzlicher Frist, was keine Angabe ist. Das Löschkonzept ist die Zuarbeit, die sie füllt.

Die Vorlage am Ende dieser Seite enthält die vierzehn Datenarten bereits vorbelegt, mit Ereignis, Frist, Rechtsgrundlage und einer Spalte für die verantwortliche Funktion. Ergänzt ist ein Löschprotokoll-Formular: Wer löscht, sollte festhalten können, was wann auf welcher Grundlage entfernt wurde — der Nachweis, dass gelöscht wurde, ist Teil der Rechenschaftspflicht.

• Datenarten sammeln: Was liegt tatsächlich vor? Der Blick in Mitgliederdatei, Buchhaltung, Postfach und Fotoordner reicht als Bestandsaufnahme.
• Je Datenart das auslösende Ereignis benennen: Austritt, Widerruf, Ablauf des Geschäftsjahres, Ende der Bildnutzung.
• Frist eintragen und begründen — die Norm oder, wo es keine gibt, den Praxiswert samt Überlegung dahinter.
• Verantwortliche Funktion festlegen, nicht die Person: Kassenwart, Mitgliederverwaltung, Vorstand.
• Einen festen Termin im Jahr setzen, an dem das Konzept angewendet wird; ohne Termin bleibt es Papier.
• Löschungen protokollieren: Datum, Datenart, Umfang, Grundlage.

Wie Bundaris Aufbewahrung und Löschung abbildet

In Bundaris sind Aufbewahrungsfristen kein Freitextfeld, sondern fünf Kategorien mit begründeten Standardwerten, die der Verein anpassen kann: Mitgliederdaten nach Austritt (drei Jahre), Protokolleinträge (drei Jahre), E-Mail-Versandprotokolle (zwölf Monate), Buchungen und Belege (zehn Jahre) sowie SEPA-Mandate nach Widerruf (14 Monate). Die Werte sind Vorbelegung, nicht Vorgabe: Jede Frist lässt sich ändern, und die Begründung dafür gehört in das eigene Löschkonzept.

Ein Austritt löscht in Bundaris nichts. Er setzt den Status auf gekündigt und trägt das Austrittsdatum ein; der Datensatz bleibt vollständig und nachvollziehbar. Kündigt die Verwaltung ein Mitglied, wird der Vorgang mit Vorher- und Nachher-Stand protokolliert. Für Auskunftsverlangen nach Art. 15 DSGVO gibt es einen Export mit Stammdaten, Mandaten, Beiträgen, Rechnungen und Änderungshistorie. Widerrufene SEPA-Mandate bleiben als eigener Datensatz erhalten, ein neues Mandat bekommt eine eigene Referenz.

Was Bundaris ausdrücklich nicht tut: automatisch löschen. Für Mitgliederdaten nach Austritt und für Protokolleinträge zählt die Übersicht, wie viele Datensätze außerhalb der Frist liegen; die übrigen Kategorien sind reine Festlegung. Ausgeführt wird nichts davon von selbst. Diese Entscheidung ist bewusst: Eine Automatik, die Mitgliederdaten entfernt, während eine Beitragsforderung offen oder eine Prüfung nicht abgeschlossen ist, richtet mehr Schaden an als die verspätete Löschung. Die Löschung bleibt deshalb ein Vorgang, den der Verein anstößt und verantwortet.

Ein Hinweis zur Frist für Mitgliederdaten, der über das Produkt hinausgeht: Der Standardwert von drei Jahren wird ab dem Austrittsdatum gerechnet. Die Verjährung, aus der er hergeleitet ist, beginnt nach § 199 Abs. 1 BGB dagegen erst mit dem Schluss des Austrittsjahres. Wer die Frist eng an der Verjährung ausrichten möchte, rechnet also ab dem 31. Dezember des Austrittsjahres — bei einem Austritt im Januar ist das fast ein Jahr Unterschied.