DSGVO im Verein: Was darf ich von Mitgliedern speichern?

Sobald ihr Mitglieder verwaltet, verarbeitet ihr personenbezogene Daten – ob in Excel, im Ordner oder in einer Software. Die DSGVO verbietet das nicht. Sie verlangt, dass ihr für jede Angabe einen Grund habt und dass ihr euch an ein paar Regeln haltet.

Die wichtigsten Rechtsgrundlagen für Vereine stehen in Art. 6 Abs. 1 DSGVO:

- Vertragserfüllung (lit. b): alles, was ihr für die Mitgliedschaft braucht.

- Rechtliche Verpflichtung (lit. c): etwa steuerlich relevante Unterlagen.

- Berechtigtes Interesse (lit. f): zum Beispiel eine Mitgliederstatistik für die Mitgliederversammlung.

- Einwilligung (lit. a): alles darüber hinaus, freiwillig und widerrufbar.

Dazu kommt der Grundsatz der Datenminimierung aus Art. 5: Erhebt nur, was ihr wirklich braucht. Ein Feld, das seit drei Jahren leer ist, war kein notwendiges Feld.

- Name, Anschrift, Eintrittsdatum, Mitgliedsnummer

- Geburtsdatum, wenn Alters- oder Beitragsklassen davon abhängen

- Kontaktdaten wie E-Mail und Telefonnummer für die Vereinskommunikation

- Bankverbindung und SEPA-Mandat für den Beitragseinzug

- Mannschaftszugehörigkeit, Spielberechtigung und Leistungsklasse

- Platzbuchungen und, wenn ihr sie erfasst, Spielergebnisse

Für den Spielbetrieb gebt ihr Daten an euren Verband weiter. Das gehört zur Mitgliedschaft im Verband dazu, sollte aber in eurer Datenschutzerklärung stehen, damit eure Mitglieder es nachlesen können.

Gesundheitsdaten sind besonders geschützt (Art. 9 DSGVO). Eine Verletzungsliste oder Allergien fürs Trainingslager braucht eine ausdrückliche Einwilligung – und sollte nur so lange existieren, wie sie gebraucht wird.

Fotos auf Website und Social Media: Holt euch eine Einwilligung, bei Kindern von den Sorgeberechtigten, und dokumentiert sie. Eine Einwilligung kann widerrufen werden; plant ein, dass ihr Bilder dann auch entfernt.

Mitgliederlisten: Eine Liste mit Telefonnummern, die im Vereinsheim aushängt oder per Mail an alle geht, ist keine gute Idee. Wer seine Nummer teilen will, soll das selbst entscheiden können.

Daten dürfen nur so lange gespeichert werden, wie sie gebraucht werden. Nach einem Austritt heißt das in der Regel: Stammdaten löschen, mit Ausnahme der Unterlagen, die ihr steuer- und handelsrechtlich aufbewahren müsst – dafür gelten die gesetzlichen Aufbewahrungsfristen.

Schreibt euch auf, welche Daten ihr wie lange behaltet und wer löscht. Ein Löschkonzept auf einer DIN-A4-Seite ist besser als keines.

Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Die Ausnahme für kleine Organisationen greift praktisch nicht, weil ihr Mitgliederdaten regelmäßig verarbeitet. Eine Tabelle mit Zweck, Datenarten, Empfängern und Fristen reicht für den Anfang.

Auftragsverarbeitungsvertrag (Art. 28). Jeder Dienstleister, der für euch Mitgliederdaten verarbeitet – Vereinssoftware, Buchungssystem, Newsletter-Dienst, Cloud-Speicher – braucht einen AVV. Fragt danach, bevor ihr startet.

Betroffenenrechte (Art. 15 bis 20). Mitglieder dürfen Auskunft verlangen, Berichtigung, Löschung und die Herausgabe ihrer Daten. Ihr müsst in der Regel innerhalb eines Monats antworten. Legt fest, wer im Vorstand zuständig ist.

Nach § 38 BDSG besteht die Benennungspflicht erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das trifft auf die wenigsten Vereine zu. Unabhängig davon lohnt es sich, eine Person im Vorstand als Ansprechpartner für Datenschutz zu benennen.

Dieser Artikel ist eine Orientierung, keine Rechtsberatung. Für den Einzelfall hilft euch euer Landessportbund weiter, der oft Mustervorlagen bereitstellt, oder eine auf Datenschutz spezialisierte Kanzlei.