DSGVO

Die Datenschutz-Grundverordnung (DSGVO, englisch GDPR — General Data Protection Regulation) ist seit dem 25. Mai 2018 EU-weit unmittelbar geltendes Recht und regelt den Umgang mit personenbezogenen Daten. Sie gilt vollumfänglich auch für Vereine — vom 80-Mitglieder-Musikverein bis zur 5.000-Mitglieder-Sportgemeinschaft. Begleitend gilt in Deutschland das Bundesdatenschutzgesetz (BDSG), das die DSGVO konkretisiert und in einigen Punkten Spezialregelungen trifft.

Was sind personenbezogene Daten?

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen — also:

• Name, Anschrift, Geburtsdatum, Telefonnummer
• E-Mail-Adresse (auch geschäftliche)
• IBAN, Kontodaten
• Mitgliedsnummer (sobald sie mit einer Person verknüpfbar ist)
• IP-Adresse beim Webseiten-Besuch
• Fotos und Videos, auf denen Personen erkennbar sind
• Standortdaten aus Apps
• Cookie-IDs und Tracking-Pixel

Besondere Vorsicht bei sensiblen Daten (Art. 9 DSGVO): Gesundheit, Religion, politische Meinung, Gewerkschaftszugehörigkeit, sexuelle Orientierung, biometrische Daten. Für deren Verarbeitung gelten strengere Anforderungen.

Sechs Grundprinzipien (Art. 5 DSGVO)

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
2. Zweckbindung: Daten nur für klar definierte Zwecke
3. Datenminimierung: nur was nötig ist
4. Richtigkeit: Daten aktuell halten
5. Speicherbegrenzung: Löschung, wenn Zweck erfüllt
6. Integrität und Vertraulichkeit: Schutz vor unbefugtem Zugriff

Rechtsgrundlagen für die Verarbeitung (Art. 6 DSGVO)

• Einwilligung (a) — Newsletter, Foto-Veröffentlichung
• Vertragserfüllung (b) — Mitgliedschaft, Beitragsabrechnung
• Rechtliche Verpflichtung (c) — Steuer, Buchhaltung
• Lebenswichtige Interessen (d) — selten
• Öffentliches Interesse (e) — bei Vereinen selten
• Berechtigtes Interesse (f) — z. B. interne Verwaltung, Spam-Schutz

Pflichten des Vereins (Auswahl)

• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) — Pflicht ab 250 Mitarbeitern, faktisch immer empfehlenswert. Liste alle Datenverarbeitungs-Vorgänge auf
• Bei systematischer Verarbeitung sensibler Daten oder bei Pflicht-Datenschutzbeauftragten-Schwelle: Datenschutzbeauftragter
• Informationspflicht gegenüber Betroffenen (Art. 13/14) — Datenschutzerklärung auf Webseite und im Mitglieder-Onboarding
• Auftragsverarbeitungsverträge mit allen Dienstleistern (Art. 28)
• Datenschutz-Folgenabschätzung bei hohem Risiko (z. B. Video­überwachung, Massendatenverarbeitung)
• Meldung von Datenpannen binnen 72 Stunden an die Aufsichtsbehörde (Art. 33), bei hohem Risiko zusätzlich an Betroffene (Art. 34)
• Technische und organisatorische Maßnahmen (Art. 32): Verschlüsselung, Zugriffskontrolle, Backups
• Privacy by Design / Default: Datenschutz in Prozesse einbauen, nicht aufpfropfen

Rechte der Betroffenen

• Auskunft (Art. 15) — Welche Daten habt ihr? Wozu? Mit wem teilt ihr sie? Pflicht zur kostenlosen Auskunft binnen 30 Tagen
• Berichtigung (Art. 16) — Falsche Daten korrigieren
• Löschung — „Recht auf Vergessenwerden" (Art. 17) — vorbehaltlich gesetzlicher Aufbewahrungspflichten (Steuer/Vereinsrecht)
• Einschränkung der Verarbeitung (Art. 18) — Daten dürfen gespeichert, aber nicht verarbeitet werden
• Datenübertragbarkeit (Art. 20) — Datenexport im strukturierten Format (z. B. JSON, CSV)
• Widerspruch (Art. 21) — gegen Werbung, Direktmarketing
• Beschwerde bei der Aufsichtsbehörde (Art. 77) — meist die Landesdatenschutzbeauftragte

Bußgelder

Bei Verstößen drohen Bußgelder bis 20 Mio. € oder 4 % des Jahresumsatzes — bei gemeinnützigen Vereinen wird in der Praxis verhältnismäßig sanktioniert (oft im vier- bis fünfstelligen Bereich), aber Vorstände können nach § 31a BGB persönlich haftbar gemacht werden, wenn Vorsatz oder grobe Fahrlässigkeit vorliegt. Hinzu kommen Schadenersatz-Ansprüche der Betroffenen nach Art. 82 DSGVO, die in Deutschland zunehmend zugesprochen werden (z. B. 500–2.000 € pro Fall bei Datenpannen).

Aufsichtsbehörden

Für jeden Verein ist die Datenschutz-Aufsichtsbehörde des Bundeslandes des Vereinssitzes zuständig (z. B. „Der Hessische Beauftragte für Datenschutz und Informationsfreiheit"). Dort gehen Beschwerden ein, dort meldet man Datenpannen, dort gibt es Beratung. Die Behörden veröffentlichen ihre Tätigkeitsberichte mit konkreten Fallbeispielen — Pflichtlektüre für jeden, der Datenschutz im Verein verantwortet.

Datenpannen — was tun?

Ablauf bei einer Datenpanne (z. B. versehentlich versendete Mail mit Mitgliederliste, gestohlener Laptop, Hacker-Angriff):

1. Sofort dokumentieren: Was ist passiert, wann, welche Daten, welche Personen
2. Risiko bewerten: gering, mittel, hoch
3. Innerhalb von 72 Stunden: Meldung an die Aufsichtsbehörde — Standardformular online
4. Bei hohem Risiko: zusätzlich Information an die betroffenen Mitglieder
5. Ursachen-Analyse und Verbesserungs-Maßnahmen dokumentieren