Datenschutz im Verein: praktische Umsetzung (Teil 2)

Im ersten Teil unserer Reihe haben wir die Grundlagen des Datenschutzes im Verein beleuchtet, von der rechtlichen Basis bis zu den erforderlichen Einwilligungen. Nun geht es um die Umsetzung in der Praxis: Wie informieren wir unsere Mitglieder transparent? Welche Rechte haben sie? Und wie können Vereine Daten sicher verwalten? Dieser zweite Teil zeigt konkrete Beispiele und Handlungshinweise, die helfen, Datenschutz im Vereinsalltag zuverlässig und vertrauensvoll umzusetzen.

1. Grundsätzliche Vereinsorganisation (betrifft Vorstand und Verwaltung)

Datenschutzbeauftragter

Ein Verein muss einen Datenschutzbeauftragten benennen, wenn mindestens 20 Personen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Verzeichnis von Verarbeitungstätigkeiten

Vereine müssen dokumentieren, welche Daten verarbeitet werden, zu welchem Zweck und wer Zugriff hat. Die Verwaltung der Mitgliederdaten durch den Verein ist eine Datenverarbeitung im Sinne des Art. 6 Abs. 1 S. 1 lit. b DSGVO. Diese Vorschrift erlaubt eine Datenverarbeitung zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person. Sind also zum Beispiel Mitgliedsausweise zu erstellen oder müssen Mitgliedsbeiträge eingefordert werden, können die Mitglieder erwarten, dass ihre beim Beitritt erhobenen Daten vom Verein verwendet werden. Einer Einwilligung im Sinne des Art. 6 Abs. 1 S. 1 lit. a DSGVO i. V. m. Art. 7 DSGVO bedarf es dafür nicht.¹

Datensicherheit

Es sind technische und organisatorische Maßnahmen zu treffen, um Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten.

Meldepflicht bei Datenpannen

Bei einer Datenschutzverletzung muss der Verein innerhalb von 72 Stunden die zuständige Aufsichtsbehörde und gegebenenfalls die betroffenen Personen informieren.

Veröffentlichung von Daten der Funktionsträger

Die Veröffentlichung von Namen, ausgeübter Funktion und vereinsbezogener Erreichbarkeit (zum Beispiel Telefonnummer oder E-Mail-Adresse) von Funktionsträgern eines Vereins (z. B. des Vorstands) ist in der Regel auf Grundlage von Art. 6 Abs. 1 S. 1 lit. f DSGVO nach Interessenabwägung zugunsten des Vereins zulässig. Ein Verein hat ein berechtigtes Interesse daran, konkrete Ansprechpartner zu benennen, um eine Kontaktaufnahme zu ermöglichen. Die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Funktionsträger überwiegen dieses Interesse regelmäßig nicht. Hintergrund ist insbesondere, dass die Veröffentlichung der genannten vereinsbezogenen Daten einen nur geringfügigen Eingriff in das Persönlichkeitsrecht darstellt.

Für darüber hinausgehende personenbezogene Daten, etwa Privatanschrift oder private Telefonnummer, überwiegen in der Regel die Interessen der betroffenen Personen.
Art. 6 Abs. 1 S. 1 lit. f DSGVO scheidet dann als Rechtsgrundlage aus. Die Veröffentlichung bedarf in diesen Fällen einer Einwilligung der betroffenen Personen (Art. 6 Abs. 1 S. 1 lit. a DSGVO). Die Einwilligung kann vermieden werden, wenn anstelle privater Kontaktdaten die Kontaktadresse und Erreichbarkeit des Vereins oder der Geschäftsstelle angegeben werden.

2. Beitritt (betrifft Neumitglieder)

Informationspflicht

Mitglieder müssen transparent über die Datenverarbeitung informiert werden, idealerweise bereits beim Eintritt in den Verein. Der Zweck der Informationspflichten ist vor Beginn der Datenerhebung zu erfüllen, damit die betroffene Person entscheiden kann, ob sie mit der Verarbeitung einverstanden ist oder Einwände erhebt. Jede betroffene Person kann ihre Einwilligung jederzeit ohne Angabe von Gründen widerrufen.²

Einwilligungen einholen

Für Fotos, Newsletter oder die Weitergabe an Dritte ist eine ausdrückliche, am besten schriftliche Einwilligung erforderlich. Vor einer Veröffentlichung von Fotos einzelner Personen im Internet sind grundsätzlich Einwilligungen der Abgebildeten einzuholen. Ausnahmen bestehen etwa bei Bildern,
auf denen Personen nur als Beiwerk neben einer Landschaft oder Örtlichkeit erscheinen, oder bei Aufnahmen von Versammlungen, Aufzügen und ähnlichen Vorgängen (zum Beispiel Vereinsfesten),
an denen die dargestellten Personen teilgenommen haben.

3. Mitgliedschaft (betrifft alle laufenden Mitglieder)

Rechte der Mitglieder

Mitglieder haben das Recht auf:

Auskunft über ihre gespeicherten Daten,
Berichtigung unrichtiger Daten

4. Austritt (betrifft Ehemalige)

Löschung der Daten („Recht auf Vergessenwerden“)

Ein Löschungsanspruch kann zum Beispiel bestehen, wenn:

die personenbezogenen Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind,
die betroffene Person ihre Einwilligung widerruft und es an einer anderen Rechtsgrundlage fehlt,
die betroffene Person Widerspruch gegen die Verarbeitung einlegt,
die personenbezogenen Daten unrechtmäßig verarbeitet wurden.

Beispiel:

X tritt aus dem Verein aus. Seine Mitgliedsdaten sind, sofern keine gegenseitigen Ansprüche mehr im Raum stehen, für die ursprünglichen Zwecke (etwa Mitglieder- oder Beitragsverwaltung) nicht mehr erforderlich und daher grundsätzlich zu löschen.
Eine Ausnahme gilt, wenn X eine Einwilligung erteilt hat (zum Beispiel zur Aufnahme in eine Ehemaligenliste) oder steuerrechtliche Aufbewahrungspflichten der Löschung entgegenstehen. In letzterem Fall sind die Daten zu sperren, das heißt, sie dürfen nur noch zur Erfüllung der Aufbewahrungspflichten aufbewahrt werden und nicht, um X zu kontaktieren.

Hinweis für die Praxis

Für die schnelle Umsetzung im Alltag stellen wir eine kompakte Checkliste zum Download bereit.
Sie fasst die wichtigsten Punkte zusammen und unterstützt Vorstände und Funktionsträger bei der täglichen Arbeit.

Gemeinsam Verantwortung tragen

Datenschutz gehört heute selbstverständlich zu einer guten Vereinsarbeit. Er schafft Vertrauen und zeigt, dass uns die Gemeinschaft im Kleingarten am Herzen liegt. Ich danke Ihnen für Ihr Interesse an diesem Thema und für Ihr Mitwirken, den Datenschutz im Verein verantwortungsvoll umzusetzen.

Autor:

Rolf Rosendahl

Vorsitzender des Landesverbandes Westfalen und Lippe der Kleingärtner e.V.

E-Mail schreiben

Quellen:

¹Quelle: Broschüre „Datenschutz im Verein“ nach der Datenschutz-Grundverordnung (DSGVO) des Landesbeauftragen für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

² Quelle: Grüne Schriftreihe BKD Seminar Recht II