Die Vorschrift kurz erklärt
Es dürfen nicht vorsorglich alle verfügbaren Daten gesammelt oder an sämtliche Helfenden verteilt werden. Zweck, notwendiger Umfang und Zugriffsrolle gehören zusammen. Gesundheitsdaten brauchen zusätzlich die Voraussetzungen für besondere Kategorien personenbezogener Daten.
Welche Daten werden für welchen Zweck gebraucht?
Artikel 5 DSGVO nennt unter anderem Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Sicherheit. Eine Teilnehmerliste für einen Termin hat einen anderen Zweck als die laufende Mitgliederverwaltung. Die gleichen Daten sollten daher nicht ohne Weiteres für Werbung oder einen öffentlichen Verteiler weiterverwendet werden.
Artikel 6 enthält mögliche Rechtsgrundlagen. Einwilligung ist eine davon, aber nicht automatisch für jede Verwaltungshandlung nötig oder passend. Eine Verarbeitung kann beispielsweise zur Durchführung des Mitgliedschaftsverhältnisses erforderlich sein; andere Vorgänge benötigen eine andere tragfähige Grundlage. Wer eine Einwilligung verwendet, muss den konkreten Zweck und ihre Anforderungen ernst nehmen. Eine Unterschrift unter ein pauschales Formular schafft keinen grenzenlosen Datenvorrat.
Gesundheitsangaben und Rechte der Mitglieder
Artikel 9 betrifft besondere Datenkategorien, darunter Gesundheitsdaten. Solche Angaben sind nicht einfach normale Kontaktdaten. Gerade bei betreuten Angeboten ist zunächst zu fragen, welche Information tatsächlich benötigt wird und wer sie wissen muss. Eine ausführliche Krankheitsgeschichte in einer allgemein zugänglichen Vereinscloud ist etwas anderes als eine zweckgebundene Notfallinformation mit eng begrenztem Zugriff.
Nach Artikeln 13 und 14 sind die jeweils erforderlichen Informationen über die Datenverarbeitung bereitzustellen. Artikel 15 regelt Auskunft; Artikel 17 enthält ein Löschungsrecht mit Voraussetzungen und Ausnahmen. Ein Austritt bedeutet daher weder, dass sämtliche Unterlagen sofort vernichtet werden müssen, noch dass Daten unbegrenzt ohne Zweck gespeichert werden dürfen. Aufbewahrungsgründe sollten konkret festgehalten werden.
Dienstleister, Sicherheit und Datenschutzverletzungen
Bei externen Verwaltungs-, Hosting- oder Clouddiensten kann Artikel 28 zur Auftragsverarbeitung einschlägig sein. Nicht jede andere Organisation ist dadurch automatisch Auftragsverarbeiter: Entscheidend sind die tatsächlichen Rollen. Artikel 32 verlangt angemessene technische und organisatorische Maßnahmen. Dazu gehören in der Vereinsorganisation beispielsweise passende Berechtigungen, sorgfältiger Umgang mit Zugangsdaten und ein nachvollziehbarer Wechsel bei Vorstandsübergaben.
Die Meldung an die Datenschutzaufsicht nach Artikel 33 und die Benachrichtigung betroffener Personen nach Artikel 34 sind verschiedene Schritte. Für die Behördenmeldung gilt unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden; sie entfällt, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Bei voraussichtlich hohem Risiko kann zusätzlich eine unverzügliche Benachrichtigung der Betroffenen erforderlich sein; die gesetzlichen Ausnahmen des Artikels 34 Absatz 3 bleiben zu beachten. Verletzungen und die ergriffenen Abhilfemaßnahmen sind nach Artikel 33 Absatz 5 zu dokumentieren. Eine interne Notiz allein ersetzt eine erforderliche Meldung oder Benachrichtigung nicht.
§ 38 Absatz 1 BDSG nennt als zusätzlichen deutschen Benennungsfall in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gemeint ist damit nicht einfach die Zahl der Vereinsmitglieder. Daneben können die besonderen Fälle des § 38, etwa eine datenschutzfolgenabschätzungspflichtige Verarbeitung, und die Kerntätigkeitskriterien des Artikels 37 DSGVO unabhängig von dieser Personenzahl eine Benennung erfordern. Unterhalb der Zahl entfällt deshalb weder jede Benennungspflicht noch der Datenschutz insgesamt.
Beispiel und Bedeutung für die Vereinsarbeit
Beispiel: Eine Reitgruppe benötigt Kontaktdaten, die Verwaltung führt Beitragskonten und beim Kinderangebot können erforderliche Notfallangaben hinzukommen. Die drei Zwecke rechtfertigen nicht automatisch denselben Zugriff aller Unterrichtenden oder Stallhelfenden.
Bei Turnier- und Lizenzmeldungen sollte der Verein erklären können, wer welche Daten erhält und wofür. Eine Verbandsmeldung und eine öffentliche Ergebnisdarstellung sind unterschiedliche Verarbeitungen.
Zugriff, Weitergabe und Vorstandswechsel konkret organisieren
Eine Mitgliederliste kann für die Verwaltung erforderlich sein, ohne dass jedes Mitglied eine vollständige Kopie erhalten muss. Zweck und Empfängerkreis sind getrennt zu betrachten. Wer nur eine Veranstaltung betreut, benötigt möglicherweise Teilnehmer- und Notfallangaben für diesen Zeitraum; daraus folgt kein unbegrenzter Zugriff auf sämtliche Beitrags- und Gesundheitsdaten.
Beim Wechsel im Vorstand sollten Zugänge und Unterlagen geordnet übergeben werden. Private E-Mail-Konten oder auf persönlichen Geräten verbliebene Listen erschweren es, Zuständigkeit und Datenbestand nachzuvollziehen. Alte Berechtigungen sollten nicht allein aus Bequemlichkeit bestehen bleiben. Welche Unterlagen aufzubewahren sind, ist von der Frage zu unterscheiden, wer sie im laufenden Betrieb lesen darf.
Für Mitglieder ist eine verständliche Kontaktstelle hilfreich. Ein Auskunfts- oder Löschungswunsch ist zunächst ein konkreter Vorgang, der Identität, Umfang und mögliche Gegenrechte berühren kann. Der Verein sollte die Anfrage nachvollziehbar bearbeiten und nicht pauschal auf eine allgemeine Datenschutzerklärung verweisen. Ebenso wenig rechtfertigt ein einzelner Wunsch die unkontrollierte Löschung sämtlicher gemeinsamer Buchhaltungsunterlagen.
Was Vorstand und Mitglieder vorbereiten können
- Mitgliederverwaltung, Teilnehmerlisten und Notfallangaben nach Zweck und Zugriffsrolle trennen.
- Beim Vorstandswechsel Zugänge übergeben und nicht mehr benötigte Berechtigungen entziehen.
- Mitgliedern eine Kontaktstelle für Auskunft und Berichtigung nennen.
Der Vorstand ordnet Zuständigkeiten zu; Mitglieder liefern die Informationen für ihre jeweilige Aufgabe. Die Beurteilung individueller Verträge, Bescheide und Ansprüche gehört in eine gesonderte Beratung.
Praktische Umsetzung und Arbeitsmittel
Vorlagen und Downloads
Wählen Sie die passende Fassung und speichern Sie vor dem Bearbeiten eine eigene Kopie.
- Tabelle herunterladen XLSXIn Excel oder einer kompatiblen Tabellenkalkulation öffnen und eine eigene Kopie speichern. Beachten Sie die Hinweise je Arbeitsblatt; Kennungen und Einträge werden nur dann automatisch geprüft, wenn dies ausdrücklich angegeben ist.
So gehen Verantwortliche vor
Beginnen Sie mit einem Vorgang, etwa einer Kontaktkorrektur oder einer Helferschicht. Schreiben Sie auf, welche Entscheidung oder Handlung erforderlich ist. Prüfen Sie jedes Datenfeld dagegen. Eine für andere Aufgaben vorhandene Mitgliederdatei ist kein fertiger Verteiler für diesen Vorgang.
Notieren Sie je Rolle den nötigen Lese- und Änderungsumfang. Prüfen Sie die Rechte am tatsächlichen System einschließlich Freigabelinks, Exporten und privaten Arbeitskopien. Externe Stellen wie ein Verband, Betreiber, eine Kommune oder geförderte Einrichtung werden als gesonderte Empfänger geprüft. Ein Ordnername oder eine Rolle in der Matrix richtet keine Berechtigung ein.
Legen Sie zuständige Person, Vertretung, konkreten Prüfanlass und ein begründetes Aufbewahrungs- beziehungsweise Löschverfahren fest. Diese Vorlage enthält keine universelle Frist. Bei einem Aufgabenwechsel werden Rechte, Verteiler, Kopien und Freigabelinks kontrolliert. Klärungsbedürftige Unterlagen werden nicht automatisch gelöscht.
Benennen Sie einen erreichbaren Kontakt. Eine Anfrage nach eigenen Daten, deren Berichtigung oder Löschung wird nach den jeweiligen Voraussetzungen bearbeitet; Datenschutzrechte sind keine unterschiedslosen Vollzugriffe auf fremde Akten. Die zuständige Person klärt, ob eine Identitätsprüfung erforderlich ist, welche Frist gilt und wie sie antwortet. Die Matrix ist keine Antwort auf eine konkrete Anfrage und kein vollständiges Verzeichnis von Verarbeitungstätigkeiten.
Konkrete Daten und Rollen
| Daten oder Vorgang | Zweck Ihrer Datenverarbeitung | Zuständige Person oder Empfänger | Benötigte Daten und Zugriffsgrenze |
|---|---|---|---|
| Hallenplan | Nutzung koordinieren | Anlagenkoordination | Zeit und benötigter Kontakt, keine Zahlungs- oder Gesundheitsdetails |
| Trainingsgruppe | Angebot organisieren | Trainerteam | Erforderliche Gruppeninformation für die konkrete Aufgabe |
| Vereinsausrüstung | Leihe und Rückgabe | Materialverantwortliche | Kennung und benötigter Leihkontakt |
| Pferdeunterlagen | Verantwortung zuerst klären | Tatsächlich zuständiger Halter oder Betreiber | Nur bei geklärter Zuständigkeit; Personenbezüge gesondert |
| Mitgliedsbeitrag | Beitrag bearbeiten | Kassenverwaltung | Nötige Zahlungsdaten |