Datenschutz im Verein

Mitgliederdaten sicher verwalten

In einem Verein haben Sie es mit Bankverbindungen, Anschriften und E-Mail-Adressen zu tun. Diese Daten unterstehen dem Persönlichkeitsrecht. Spätestens seit Whistleblower Snowden hat sich jeder schon einmal Gedanken um seine persönlichen Daten im Netz gemacht. Seit 2018 werden diese Daten EU-weit einheitlich durch die strengen Vorgaben der Datenschutz-Grundverordnung (DSGVO) geschützt. In Deutschland leitet daneben das Bundesdatenschutzgesetz (BDSG) zu verantwortungsvollem Umgang mit personenbezogenen Daten an.

Führen Sie einen Verein, haben Sie es, angefangen beim Namen der Mitglieder, mit vielen sensiblen Daten zu tun. Sie dürfen sie erheben, speichern, ändern, übermitteln und nutzen, sofern dies dazu beiträgt, den Vereinszweck zu erfüllen. Die Vereinsmitglieder vertrauen Ihnen ihre Daten an, und egal, ob Ihr Verein eingetragen ist oder nicht, er muss das Persönlichkeitsrecht seiner Mitglieder berücksichtigen. Daran kann auch die Vereinssatzung nicht rütteln.

Welche Vereinsdaten müssen geschützt werden?

Personenbezogene Daten, die im gewöhnlichen Verein mindestens abgefragt und geschützt werden müssen, sind:

Oft werden weitere Daten erhoben, wie die Telefonnummer, der Beruf, die E-Mail-Adresse. Auch diese gehören zu den Informationen über persönliche oder sachliche Verhältnisse eines bestimmten Menschen, die Sie schützen müssen. Erst wenn die Person verstorben ist, endet das Persönlichkeitsrecht. Das bedeutet, Sie dürfen die persönlichen Daten – zum Beispiel den Namen und das Geburtsdatum – verwenden, um einen Nachruf zu verfassen.

Umgang mit Daten zu Vereinszwecken

Laut DSGVO ist die Datenverarbeitung unter anderem dann zulässig, wenn sie für die Begründung und die Durchführung eines Vertragsverhältnisses erforderlich ist. Mit dem Beitritt in den Verein gehen Ihre Mitglieder ein solches ein. Sie dürfen also alle Daten, die für die Betreuung und Verwaltung Ihrer Mitglieder und für die Verfolgung der Vereinsziele notwendig sind, erheben und verarbeiten.

Legen Sie daher am besten in der Satzung möglichst detailliert fest, zu welchen Vereinszwecken Sie Daten über Ihre Mitglieder sammeln, analysieren und verarbeiten. Das kann neben der Bankverbindung, die Sie für den Einzug der Beiträge benötigen, auch die Sprungweite des letzten Wettbewerbs eines Mitglieds sein, die Sie als Öffentlichkeitsarbeit in der Zeitung, am schwarzen Brett oder auf der Homepage veröffentlichen wollen.

Ansonsten dürfen Sie personenbezogene Daten verarbeiten, wenn es sich um allgemein zugängliche Daten handelt und Sie davon ausgehen können, dass der Betroffene oder die Betroffene nichts dagegen einzuwenden hat. Sie müssen die Mitglieder aber in jedem Fall darüber infor­mieren, welche Stelle die Daten verarbeitet, warum und an wen sie noch gelangen, sofern damit zu rechnen ist. Klären Sie diese Frage mit den Vorstands­mitgliedern und der Mitgliederversammlung.

Fassen Sie einen Beschluss und verpflichten Sie diejenigen, die Sie mit der sensiblen Datenverarbeitung betrauen, schriftlich dazu, das Datengeheimnis zu wahren.

Und wenn Sie die Vereinsmitglieder benachrichtigen, dann geben Sie ihnen den Hinweis, dass Sie ein Recht auf Auskunft über ihre Daten haben und dass sie diese korrigieren, sperren oder löschen lassen können. Werden Sie dazu aufgefordert, bestimmte Informationen zu löschen, oder Sie benötigen Daten nicht mehr, dann entsorgen Sie sie so, dass auch dann niemand Einblick nehmen kann. Mitglieder- oder Spendenlisten beispielsweise dürfen nicht an einem Stück in den Mülleimer geworfen werden. Sie brauchen einen Zerkleinerer, einen sicheren Aufbewahrungsort und Umgang.

Auch digital müssen Sie für Sicherheit sorgen, um zu verhindern, dass Daten an Unbefugte gelangen, missbräuchlich verwendet werden oder verloren gehen.

Mitgliederlisten oder -verzeichnisse an Vereinsmitglieder herausgeben?

Persönliche Daten wie die Mitgliederliste dürfen Sie intern bekannt machen, wenn es Zweck Ihres Vereins ist, die Geselligkeit zu fördern. Ist das nicht der Fall, aber die Mitglieder haben Interesse daran, müssen Sie es mit eventuell gegensätzlichen Interessen des Vereins und der Mitglieder abwägen. Damit sich aber Mitglieder mit anderen zusammenfinden können, um zum Beispiel einen Minderheitsantrag zu stellen, müssen Sie Ihnen Einsicht in die Mitgliederliste gewähren.

Datenverarbeitung für fremde Zwecke und Weitergabe an Dritte

Sollte eines Ihrer Vereinsmitglieder jemandem einen Schaden zugefügt haben und die Polizei verlangt persönliche Informationen von Ihnen, dann dürfen Sie sie herausgeben. Es gilt für vereinsfremde Zwecke: Ein Verein darf dann personenbezogene Daten übermitteln oder nutzen, wenn damit berechtigte Interessen eines Dritten gewahrt werden, dadurch Gefahren für die staatliche oder öffentliche Sicherheit abgewehrt werden können oder eben, um Straftaten zu verfolgen. Ansonsten nur mit vorheriger wirksamer Einwilligung der betroffenen Person.

Mit folgenden Interessen haben Sie es in Vereinen häufig zu tun:

Ein Verarbeitungsverzeichnis erstellen

Weil Sie als Verein regelmäßig personenbezogene Daten verwalten, verlangt die DSGVO von Ihnen, ein sogenanntes Verarbeitungsverzeichnis zu erstellen. In ihm wird die ordnungsgemäße Verarbeitung der erhobenen Mitgliederdaten dokumentiert. Für jede Datenkategorie müssen dort Zweck und Rechtsgrund der Verarbeitung benannt werden. Folgende Punkte müssen im Verarbeitungsverzeichnis mindestens enthalten sein:

Datenschutzbeauftragter im Verein

Ihr Datenschutzbeauftragter darf kein Vorstandsmitglied und nicht für die Datenverarbeitung verantwortlich sein. Und er muss kein Mitglied des Vereins sein. Üblicherweise wird er vom Vorstand bestellt, ihm unmittelbar unterstellt und vom Vorstand unterstützt. Der Datenschützer sollte nicht nur den Verein gut kennen, sondern auch das Datenschutzrecht. Muss der Verein keinen Datenschutzbeauftragten bestellen, hat der Vorsitzende sicherzustellen, dass der Verein die Regeln des Datenschutzes einhält.

Ob Ihr Verein einen Datenschutzbeauftragten für Ihren Verein bestimmen muss, erfahren Sie durch die Beantwortung der folgenden Fragen:

*Art. 9 DSGVO: Verarbeitung besonderer Kategorien personenbezogener Daten (1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

Art. 10 DSGVO: Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten(1) Die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln aufgrund von Artikel 6 Absatz 1 darf nur unter behördlicher Aufsicht vorgenommen werden oder wenn dies nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, das geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen vorsieht, zulässig ist. Ein umfassendes Register der strafrechtlichen Verurteilungen darf nur unter behördlicher Aufsicht geführt werden.