DSGVO im Verein: Auskunft, Löschung und Fotos im Griff

Die Rechtsgrundlage ist meist der Vertrag, nicht die Einwilligung

Ein verbreitetes Missverständnis: Viele Vereine holen für alles eine Einwilligung ein. Das ist nicht nur unnötig, es ist riskant — eine Einwilligung kann jederzeit widerrufen werden. Wird sie widerrufen, entfällt die Grundlage, obwohl der Verein die Daten weiter braucht.

Für die Daten, die zur Durchführung der Mitgliedschaft nötig sind — Name, Anschrift, Geburtsdatum, Beitragsdaten, Bankverbindung —, ist die Grundlage die Erfüllung des Mitgliedschaftsverhältnisses. Eine Einwilligung braucht ihr für das, was darüber hinausgeht: Newsletter, Fotoveröffentlichungen, Geburtstagslisten im Vereinsheft.

• Mitgliedsdaten für Verwaltung und Beitrag: Vertragserfüllung, keine Einwilligung nötig.
• Meldung an den Verband, wenn satzungsmäßig vorgesehen: in der Regel ebenfalls gedeckt.
• Newsletter an Nichtmitglieder: Einwilligung mit Double-Opt-in.
• Fotos für Website und Social Media: Einwilligung, bei Kindern der Erziehungsberechtigten.
• Veröffentlichung von Geburtstagen oder Ehrungen: Einwilligung.

Datensparsamkeit: das häufigste Versäumnis

Viele Aufnahmeanträge fragen Dinge ab, die der Verein nie braucht: Beruf, Arbeitgeber, Konfession, zweite Telefonnummer. Jedes dieser Felder ist ein Datum, das ihr schützen, auskunftspflichtig beauskunften und irgendwann löschen müsst. Der billigste Datenschutz besteht darin, es gar nicht erst zu erheben.

Geht euren Aufnahmeantrag einmal Feld für Feld durch und fragt bei jedem: Wofür genau brauchen wir das, und was passiert, wenn es fehlt? Was ihr nicht beantworten könnt, streicht ihr.

Rollen statt geteiltem Passwort

Der praktisch bedeutsamste Mangel im Vereinssport ist banal: Alle Übungsleiter nutzen denselben Verwaltungszugang und sehen damit auch Bankverbindungen und Rechnungen. Das ist ein Verstoß gegen den Grundsatz, dass nur zugreifen darf, wer die Daten für seine Aufgabe braucht.

Die Lösung kostet nichts: persönliche Zugänge mit klar begrenzten Rechten. Ein Trainer sieht die Teilnehmerliste seiner Gruppe und die Notfall-Kontaktdaten — keine Beiträge, keine IBAN, keine fremden Gruppen. Beim Wechsel wird dieser eine Zugang entzogen, statt ein Passwort für alle zu ändern, das dann doch niemand ändert.

Auskunftsersuchen: was zu tun ist

Jede betroffene Person kann Auskunft darüber verlangen, welche Daten ihr über sie verarbeitet. Das kommt selten vor, und meist dann, wenn es Streit gab — also genau dann, wenn ihr euch keine Nachlässigkeit leisten solltet.

1. Identität der anfragenden Person prüfen, ohne dafür unnötig neue Daten zu erheben.
2. Frist beachten: Die Antwort erfolgt unverzüglich, spätestens innerhalb eines Monats; eine Verlängerung ist unter Voraussetzungen möglich und muss begründet mitgeteilt werden.
3. Alle Systeme durchsehen: Mitgliederverwaltung, Newsletter, Kontaktformulare, Anwesenheiten — nicht nur die Hauptliste.
4. Kopie der Daten bereitstellen, dazu Zwecke, Empfänger, Speicherdauer und die Rechte der betroffenen Person.
5. Anfrage und Antwort dokumentieren.

Löschung — und warum sie nicht immer sofort geht

Nach einem Austritt sind die Mitgliedsdaten grundsätzlich zu löschen. Vollständig löschen könnt ihr aber selten sofort: Steuerlich relevante Belege wie Rechnungen und Buchungen unterliegen Aufbewahrungsfristen, und solange Ansprüche im Raum stehen, dürft ihr die dafür nötigen Daten behalten.

Der saubere Weg ist, zwischen aktiven Stammdaten und aufbewahrungspflichtigen Belegen zu unterscheiden: Die Mitgliedschaft wird beendet und die Daten aus dem aktiven Bestand entfernt, die Rechnungen bleiben für die gesetzliche Frist erhalten. Legt einmal fest, welche Datenart wie lange bleibt, und haltet ihr sich daran.

Fotos: der Dauerbrenner

Fotos von Vereinsveranstaltungen auf Website und Social Media sind das Thema, bei dem am meisten improvisiert wird. Die Grundregel: Für die Veröffentlichung erkennbarer Personen braucht ihr eine Einwilligung; bei Minderjährigen die der Erziehungsberechtigten, bei älteren Kindern und Jugendlichen sinnvollerweise zusätzlich deren eigene.

• Einwilligung getrennt einholen — nicht im Aufnahmeantrag versteckt ankreuzen lassen.
• Konkret benennen, wo veröffentlicht wird: Website, Aushang, Instagram, Vereinsheft.
• Widerruf ermöglichen und dann tatsächlich umsetzen, auch rückwirkend auf der Website.
• Mannschaftsfotos und Einzelaufnahmen unterschiedlich behandeln.
• Bei Social Media beachten, dass ihr die Weiterverbreitung nicht kontrolliert — darauf hinweisen.

Praktisch bewährt hat sich eine Fotoeinwilligung mit klaren Optionen zum Ankreuzen und ein Vermerk am Mitglied, ob sie vorliegt. Wer vor dem Hochladen kurz nachsieht, spart sich das unangenehme Gespräch danach.

Was ihr schriftlich haben solltet

• Ein Verzeichnis von Verarbeitungstätigkeiten — auch kleine Vereine kommen daran meist nicht vorbei.
• Einen Auftragsverarbeitungsvertrag mit jedem Dienstleister, der Mitgliederdaten verarbeitet.
• Eine Datenschutzerklärung auf der Website, die zur tatsächlichen Praxis passt.
• Eine Festlegung, wer welche Rechte im Verwaltungssystem hat.
• Ein Löschkonzept mit Fristen je Datenart.

WhatsApp-Gruppen: der blinde Fleck

Kaum ein Verein kommt ohne Chatgruppen aus, und kaum einer hat sie datenschutzrechtlich betrachtet. Dabei entstehen dort zwei Probleme gleichzeitig: Jedes Mitglied der Gruppe sieht die Telefonnummern aller anderen, und der Betreiber des Dienstes erhält Zugriff auf Kontaktdaten von Personen, die dem nie zugestimmt haben.

• Teilnahme an Chatgruppen freiwillig halten — wer nicht dabei ist, darf keine Informationen verpassen.
• Verbindliche Informationen zusätzlich über den offiziellen Kanal versenden, nicht nur im Chat.
• Bei Kindergruppen die Erziehungsberechtigten einbeziehen, nicht die Kinder direkt.
• Keine Mitgliederdaten, Adresslisten oder Beitragsfragen im Chat teilen.
• Beim Ausscheiden aus dem Verein auch aus den Gruppen entfernen.

Die praktikable Haltung ist nicht das Verbot, sondern die Rollenteilung: Der Chat ist für die schnelle Absprache, die verbindliche Information läuft über Kalender, Portal oder E-Mail. Damit ist auch der neu eingetretene Spieler informiert, der noch in keiner Gruppe ist.

Wenn doch etwas passiert

Eine Datenpanne ist im Verein schneller passiert, als man denkt: die Rundmail mit allen Adressen im Kopierfeld, der verlorene USB-Stick mit der Mitgliederliste, der Laptop aus dem Vereinsheim. Für solche Fälle gilt eine kurze Frist — Verletzungen des Schutzes personenbezogener Daten sind der Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden zu melden, sofern ein Risiko besteht.

1. Vorfall sofort im Vorstand melden, nicht erst intern klären.
2. Dokumentieren: was ist passiert, wann, welche Daten, wie viele Personen.
3. Risiko einschätzen — Bankverbindungen wiegen schwerer als eine Terminliste.
4. Bei Risiko der Aufsichtsbehörde melden; bei hohem Risiko zusätzlich die Betroffenen informieren.
5. Ursache abstellen, damit derselbe Fehler nicht wieder passiert.

Auch wenn keine Meldung nötig ist, sollte der Vorfall intern dokumentiert werden. Das ist weniger Bürokratie als Selbstschutz: Wer belegen kann, dass er reagiert hat, steht deutlich besser da als jemand, bei dem sich niemand erinnert.