1. Datenschutz

Die Zeiten von Aktenordnern und Karteikästen sind bei vielen deutschen Vereinen vorbei. Mitgliederdaten werden in Datenbanken verarbeitet, Vereins-Newsletter per E-Mail versandt und Vereins-Webseiten betrieben. So mancher Verein steht, in puncto Datenverarbeitung, einem mittelständischen Unternehmen in nichts nach. In Deutschland gibt es 620.000 Vereine mit über 50 Millionen Mitgliedern.

In dieser Summe, ist das gesamte Spektrum gesellschaftlichen Engagements vertreten – vom Sportverein, über den Behinderten Sportrehabilitationsverband, bis hin zur Suchtberatung, ist alles dabei. Wer schon einmal ein Ehrenamt innehatte, der weiß, dass hinter diesem Engagement auch viel administrative Arbeit steckt. Man ahnt es schon, auch Vereine, müssen sich an Datenschutzregeln halten – was durchaus vielfach beklagt wird. Wir möchten allerdings hier einmal die Vorteile datenschutzrechtlicher Pflichten aufzeigen und Ideen für Hilfe zur Selbsthilfe geben.

Im vorliegenden zweiten Teil der Artikelserie »Digitalisierung im Verein« betrachten wir datenschutzrechtliche Anforderungen und stellen Vorlagen zur Verfügung, die euch dabei unterstützen sollen, das Thema Datenschutz im Verein anzugehen/umzusetzen.

Gastbeitrag

Dieser Beitrag ist in Kooperation mit lacrosse entstanden.

Dieser Beitrag ist Teil einer Artikelserie:

2. Hilfestellungen der Aufsichtsbehörden

Sofern ihr euch mit Datenschutz noch nicht beschäftigt habt, solltet ihr zunächst die Hilfestellungen der Aufsichtsbehörden lesen. In diesem Beitrag werden »Datenschutz-Grundkenntnisse« vorausgesetzt. Anbei eine Liste mit Ratgebern und FAQs, die bereits im ersten Teil verlinkt waren:

Praxisratgeber: Datenschutz im Verein nach der DS-GVO (LfDI Baden-Württemberg)
FAQ Vereine: Antworten auf die häufigsten Fragen zur Vereinsarbeit (LfDI Baden-Württemberg)
FAQ Veröffentlichung von Fotos speziell für Vereine (LfDI Baden-Württemberg)
Bilder im Verein (Bayerisches Landesamtes für Datenschutzaufsicht)
Vereine und Datenschutz (Bayerisches Landesamtes für Datenschutzaufsicht)
Muster Verzeichnis der Verarbeitungstätigkeit (Bayerisches Landesamtes für Datenschutzaufsicht)
Themenfeld Datenschutz im Verein (LfDI Rheinland-Pfalz)
Praxisratgeber Datenschutz im Verein (Stiftung Datenschutz)
Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine für 5,50,- € (Bayerisches Landesamtes für Datenschutzaufsicht)

3. Vorteil(e) des Datenschutzes im Verein

Datenschutz wird von der Frage nach den konkreten Datenverarbeitungen getrieben. Oft konzentriert man sich dabei auf die Rechtsgrundlagen, d.h. die Erlaubnis diese Verarbeitungstätigkeiten überhaupt rechtfertigen zu können – dadurch entsteht natürlich Rechtssicherheit. Dabei wird oft übersehen, dass man bei der Bestandsaufnahme der Verarbeitungstätigkeiten, ein Überblick über die digitalen Tätigkeiten des Vereins entsteht – diese Transparenz erzeugt Vertrauen bei den Mitgliedern und hat nebenbei ganz praktische Vorteile. Der neue Vereinsvorstand muss nicht mühsam durch den Verein tingeln, um sich über dessen Datenverarbeitung kundig zu machen. Auch die vielfach schwierige, aber für Vereine oft wichtige Frage, wie und welcher Form kann man Fotos aus dem Vereinsleben veröffentlichen, kann dabei geklärt werden. Insbesondere, wenn es sich dabei um Kinder handelt. Der Datenschutz legt dabei die Spielregeln fest, um ein faires Miteinander zu gewährleisten.

3.1 Anwendungshinweis

Was folgt, sind Ideen für eine Hilfe zur Selbsthilfe. Vereinszwecke- und ziele sind höchst vielfältig. Dies spiegelt sich in den Datenverarbeitungen und den erfassten personenbezogenen Daten wider. Daher muss die Frage, ob die Beispiele in diesem Beitrag, einfach 1:1 übernommen werden können, verneint werden. Wir haben bei der Erstellung dieses Beitrages und der Beispieldokumente Sorgfalt walten lassen. Rechtliche oder inhaltliche Fehler können dennoch nicht ausgeschlossen werden.

4. Wichtige Bestandteile

Bürokratisch gesehen ist sowohl die Gründung als auch der Betrieb eines Vereins mit einigem Aufwand verbunden. Zu den wichtigen (schriftlichen) Bestandteilen eines Vereins zählen unter anderem die folgenden Dokumente:

Satzung, Vereinszweck und Satzungsziele
Datenschutzordnung
Mitgliedsantrag
Datenschutzinformation für Mitglieder
ggf. Einwilligung(en)
Verzeichnisse der Verarbeitungstätigkeiten

Um es gleich vorwegzunehmen. Nicht jede Datenverarbeitung im Verein benötigt eine Einwilligung. Die Mitgliedschaft ist ein vertragsähnliches Verhältnis, bei dem die Satzung den »Vertragsinhalt regelt« – aber auch hier gilt: Der Vereinszweck hat Einfluss auf den Satzungsinhalt, d.h. »überraschende« Regelungen, wie bspw. die Weitergabe von Mitgliederdaten zu Werbezwecken, sind i.d.R. zu unterlassen.

Die Mitgliedschaft in einem Verein ist als Vertragsverhältnis zwischen den Mitgliedern und dem Verein anzusehen, dessen Inhalt im Wesentlichen durch die Vereinssatzung und sie ergänzende Regelungen (z.B. eine Vereinsordnung) vorgegeben wird.

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (2018). Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO) Informationen über die datenschutzrechtlichen Rahmenbedingungen beim Umgang mit personenbezogenen Daten in der Vereinsarbeit. Abgerufen am 18. Dezember 2022

Dabei ist es unerheblich, ob dies nützlich für den Verein ist, sondern ob dies objektiv in Zusammenhang mit der Erfüllung der Satzungsziele erforderlich ist. Dementsprechend kann die Satzung als Rechtfertigung, z.B. für die Mitgliederverwaltung, dienen. Die Datenverarbeitung von Aufnahmewilligen kann als vorvertragliche Maßnahme gerechtfertigt werden.

Eine Vereinssatzung bestimmt insoweit die Vereinsziele, für welche die Mitgliederdaten genutzt werden können.

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Würrtemberg. (2018). Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO) Informationen über die datenschutzrechtlichen Rahmenbedingungen beim Umgang mit personenbezogenen Daten in der Vereinsarbeit. Abgerufen am 18. Dezember 2022

Daher ist der erste Schritt ein ausführlicher Blick in die Satzung, mit besonderem Augenmerk auf den Vereinszweck und die Satzungsziele. Es ist nicht ausgeschlossen, dass Satzungsziele konkretisiert werden müssen – bspw. kann es erforderlich sein, die Datenweitergabe an einen Dachverband zu erklären, indem die Mitgliedschaft bei jenem Dachverband in der Satzung erwähnt wird.

Die Grundzüge der Datenverarbeitungen im Verein sollten allerdings nicht in der Satzung geregelt werden, sondern in einer gesonderten Datenschutzordnung.

(…) in einem gesonderten Regelwerk niedergelegt werden. Für Letzteres gibt es keine feste Bezeichnung; am gebräuchlichsten sind noch die Begriffe „Datenschutzordnung“, „Datenschutzrichtlinie“ oder „Datenverarbeitungsrichtlinie“.

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (2018). Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO) Informationen über die datenschutzrechtlichen Rahmenbedingungen beim Umgang mit personenbezogenen Daten in der Vereinsarbeit. Abgerufen am 18. Dezember 2022

5. Datenschutz beginnt im Kopf

Auch Vereine müssen Aufwand in den Datenschutz stecken – das ist die Wahrheit. Vergesst die scheppernden Ankündigungen mancher Politiker, dass man Vereine vom Datenschutz befreien müsse. Damit ist nämlich nicht gemeint, dass Vereine Datenschutz nicht mehr beachten müssten. Die Fragestellung ist daher nicht, ob sich der Vorstand um den Datenschutz kümmern muss, sondern wie dieser effektiv und effizient zu diesem Ziel kommen. Die Sichtweise, dass gewisse Dokumentationspflichten (wie z.B. das Verzeichnis der Verarbeitungstätigkeiten) eher eine Chance, denn leidige Pflicht sind, ist durchaus hilfreich.

Den Verein trifft die Pflicht, die Grundzüge der Datenerhebung, -verarbeitung und -nutzung schriftlich festzulegen.

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (2018). Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO) Informationen über die datenschutzrechtlichen Rahmenbedingungen beim Umgang mit personenbezogenen Daten in der Vereinsarbeit. Abgerufen am 18. Dezember 2022

Denn sie befähigen den Verein quasi zu einer Inventur seiner Datenverarbeitungen. Nur wer weiß, was er wo hat und macht, kann effektiv und effizient handeln. Und wichtig: All das ist nur Mittel zum Zweck. Genauso wie Artikel 9 (1) des deutschen Grundgesetzes Bürger das Recht gibt, sich in Vereinen zu organisieren, ist Datenschutz ein Grundrechtsschutz (siehe z.B. Artikel 8 und 9 Grundrechtecharta der EU) – wir vermeiden daher absichtlich eine ausführliche Erklärung z.B. über die mittelbare Wirkung des allgemeinen Persönlichkeitsrechts (APR) auf das Zivilrecht bzw. dessen Entwicklung in der Rechtsprechung. Wichtig zu wissen ist: Dem Grundrechtsschutz sind Attribute wie »einfach« und »bequem« fremd. Er muss im Ergebnis wirkungsvoll sein. Nicht zuletzt ist es daher eine Kopfsache, mit welcher Einstellung man den Datenschutz angeht und wie man die Chancen nutzt, die sich aus den damit zusammenhängenden Verpflichtungen ergeben.

5.1 Kinder sind keine kleinen Erwachsenen!

Kinder mögen nur bedingt geschäftsfähig sein, sie sind aber auf jeden Fall grundrechtsfähig. Es ist zwar eine beliebte Feststellung, dass auch Kinder Rechte haben. Der Punkt dabei ist aber, wie wird denn diesen Rechten entsprochen? Minderjährige sind, bei der praktischen Wahrnehmung ihrer Rechte, auf Erwachsenen als Mittler angewiesen.

Kinder und Jugendliche können daher in die Verarbeitung ihrer personenbezogenen Daten selbst einwilligen, wenn sie in der Lage sind, die Konsequenzen der Verwendung ihrer Daten zu übersehen und sich deshalb auch verbindlich dazu zu äußern. Maßgeblich ist der jeweilige Verwendungszusammenhang der Daten und der Reifegrad bzw. die Lebenserfahrung des Betroffenen.

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (2018). Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO) Informationen über die datenschutzrechtlichen Rahmenbedingungen beim Umgang mit personenbezogenen Daten in der Vereinsarbeit. Abgerufen am 18. Dezember 2022

Der, eigens für das Vereins-Sommerfest, aufgestellte Pool und eine planschende Rasselbande von Kindern in Badebekleidung. Natürlich ist das ein tolles Motiv für die Vereinswebseite oder Social Media. Hier zählt aber erst nachrangig, was ein erwachsener Vereinsvertreter als nützlich für den Verein ansieht, sondern was den Interessen dieser schutzbedürftigen Gruppe entspricht. Daher ist bspw. der Veröffentlichung von Kinderfotos Zurückhaltung geboten und eine gute Kommunikation mit den Eltern erforderlich. Die Maßgabe muss daher lauten: Stellt klare Regeln im Verein auf und setzt diese durch. Beachtet die schutzbedürftigen Interessen von Kindern insbesondere dann, wenn sich eine Datenverarbeitung auf Art. 6 (1) lit. f.) DSGVO stützen sollte. Ein berechtigtes Interesse mag in der Interessenabwägung bei Erwachsenen funktionieren, bei Minderjährigen sieht die Sache ggf. schon anders aus.

Die DS-GVO stellt klar, dass Kinder einen besonderen Schutz verdienen, da sie sich der Risiken und Folgen einer Datenverarbeitung oft weniger bewusst sind. Art. 6 Abs. 1 f DS-GVO bestimmt, dass nach dieser Vorschrift Daten nicht verarbeitet, also Bilder nicht gemacht und veröffentlicht werden dürfen, wenn die Interessen der betroffenen Personen überwiegen, »insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt«. Daraus ergibt sich für die Praxis einerseits, dass auch Bilder von Kindern auf der Basis dieser Interessenabwägung gemacht und veröffentlicht werden dürfen, andererseits aber, dass die oben genannten Interessen von Kindern besonders beachtet werden müssen.

Quelle: Bayerisches Landesamt für Datenschutzaufsicht. (o. D.). Praxisratgeber Bilder und Verein. www.lda.bayern.de. Abgerufen am 18. Dezember 2022

5.2 Allgemeine Grundsätze bei Fotos können hilfreich sein!

Vereine haben ein großes Interesse daran, ihr Vereinsleben positiv darzustellen. Dabei spielt die Veröffentlichung von Fotos eine wichtige Rolle. Es kann sich dabei als nützlich erweisen, die Formulierung allgemeiner Grundsätze in Bezug auf Fotos, z.B. eine Datenschutzordnung aufzunehmen. Dabei geht es weniger um Rechtsgrundlagen oder Verarbeitungstätigkeiten, sondern um Fairness und ein gutes Miteinander. Dies kann beispielsweise so aussehen:

Der Verein veröffentlicht keine Fotos / Videos von peinlichen, unangenehmen oder unangemessenen Situationen
Bei Kindern überlegen wir, ob es für die Außendarstellung zwingend notwendig ist, das Gesicht des Kindes zu zeigen
Wir beschränken die Zusatzinformationen bei Fotos / Videos auf das notwendige Maß
Wir beziehen die Eltern ein, sei es in Form eines Gespräches oder einer Einwilligung
(…)

Obenstehendes ist zwar eigentlich selbstverständlich. Es zu formulieren, hat allerdings eine nicht zu unterschätzende Innenwirkung. An die Stelle des Verantwortlichen für die Vereinswebseite, der Fotos aus dem Verein einfach nach Gusto veröffentlicht, mag nun ein vereinsinterner Abstimmungsprozess treten.

6. Auf der Suche nach den Verarbeitungstätigkeiten bzw. Verarbeitungsprozessen

Der Dreh- und Angelpunkt einer guten »Datenschutzinventur« ist die Befähigung, Verarbeitungstätigkeiten zu benennen und den erforderlichen Detailgrad dafür zu bestimmen. Schaut euch an, wo in eurem Verein personenbezogene Daten verarbeitet werden – vereinfacht gesagt, findet heraus, wo die Daten »leben« und welche Technik die »Lebensumgebung« dafür ist. Ein kleiner Tipp: Nehmt euch einen Stift und Papier und zeichnet es auf! Dabei wird euch die logische Hierarchie der Verarbeitungstätigkeiten im Verein schnell klar werden.

Verarbeitungstätigkeiten

Quelle Bild: Durch den Autor erstellt. Die Verarbeitungstätigkeiten in kursiver Schrift. Quelle Cliparts: Opencliparts.org / License: CC0 1.0 Universal / Es wurde eine Spende überwiesen

Um den Detailgrad bestimmen zu können, d.h. zwischen welchen Verarbeitungstätigkeiten es zu unterscheiden gilt, braucht es Objektivität. Denn die Bereitstellung der Vereinswebseite und die Analyse bzw. eine Reichweitenmessung auf derselben, sind unterschiedliche Verarbeitungstätigkeiten. Damit eine Webseite funktioniert, sind Letztere nämlich objektiv nicht erforderlich. Kommen Tracking-Werkzeuge zum Einsatz und gehen diese gar mit einer Datenübermittlung in ein unsicheres Drittland einher, ist diese Datenübermittlung eigenständig zu bewerten und zu rechtfertigen.

Eine systematische Unterscheidung zwischen unterschiedlichen Verarbeitungstätigkeiten ist daher eine Grundvoraussetzung. Denn sowohl die Zweckbestimmung (»Was soll damit erreicht werden bzw. die Frage nach dem Warum?«), als auch die Rechtsgrundlage (»Das ist die Erlaubnis dafür«), können pro Verarbeitungstätigkeit variieren. Beispielsweise ist es ein Unterschied, ob ein E-Mail-Newsletter mit Vereinsinformation versandt oder per E-Mail zur Mitgliederversammlung eingeladen wird. Ein Newsletter dient der Innendarstellung (Information und ggf. Organisation) des Vereins, während letztere auf einer satzungsmäßigen Verpflichtung beruht. Für eine objektive Unterscheidung spielen Nützlichkeitserwägungen für die Vereinsarbeit zunächst einmal keine Rolle.

6.1 Der Spagat zwischen nützlich und erforderlich

Nicht alles, was nützlich ist, ist objektiv erforderlich. Beispielsweise mag die Angabe des ausgeübten Berufes auf dem Mitgliedsantrag für den Verein nützlich sein – schließlich gibt es immer etwas zu tun. Allerdings ist diese i.d.R. nicht für die Durchführung einer Mitgliedschaft erforderlich (Ausnahmen sind z.B. Berufsverbände).

Damit dürfen alle Daten erhoben werden, die zur Verfolgung der Vereinsziele und für die Betreuung und Verwaltung der Mitglieder (wie etwa Name, Anschrift, in der Regel auch das Geburtsdatum, ferner Bankverbindung, Bankleitzahl und Kontonummer) notwendig sind.

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (2018). Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO) Informationen über die datenschutzrechtlichen Rahmenbedingungen beim Umgang mit personenbezogenen Daten in der Vereinsarbeit. Abgerufen am 18. Dezember 2022

6.2 Rein und raus im Verein

Nicht zu vergessen ist der Umgang mit Menschen, die den Verein verlassen oder verlassen haben. D.h. der Verein verarbeitet auch Daten von Austrittswilligen und u.U. ehemaligen Mitgliedern. In diesem Zusammenhang sollte ein Löschkonzept erstellt werden. Dabei ist wichtig: Macht euch mit den gesetzlichen Aufbewahrungsfristen vertraut. Die Rechtsgrundlage für die Aufbewahrung ist die Erfüllung einer gesetzlichen Vorschrift gemäß Art. 6 (1) lit. c) DSGVO ggf. in Verbindung mit der entsprechenden Aufbewahrungsnorm z.B. § 147 Abgabenordnung.

7. Datenschutzordnung

Der Vorteil einer Datenschutzordnung ist, dass sie i.d.R. vom Vorstand beschlossen werden kann. D.h. es ist nicht, wie bei einer Satzungsänderung, notwendig eine Mitgliederversammlung einzuberufen. Nachfolgend möchten wir die Systematik als auch die Struktur einer Datenschutzordnung näher erläutern.

7.1 Systematik

Hat man seine Datenverarbeitungen systematisiert, kann man daran gehen, eine Datenschutzordnung zu erstellen. Dabei gibt es keine vorgeschriebene Form. Die folgende beispielhafte Regelung von Mikes Verein, hat die Grundidee möglichst viele Informationen weiter verwerten zu können. D.h. aus den Einträgen in der Datenschutzordnung können die Verzeichnisse der Verarbeitungstätigkeiten, Datenschutzinformationen (für Mitglieder) usw. befüllt werden bzw. helfen diese zu ergänzen.

Die Datenschutzordnung kann, wenn die Vereinssatzung nichts anderes bestimmt, vom Vorstand oder von der Mitgliederversammlung beschlossen werden und muss nicht die Qualität einer Satzung haben.

Quelle: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (2018). Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO) Informationen über die datenschutzrechtlichen Rahmenbedingungen beim Umgang mit personenbezogenen Daten in der Vereinsarbeit. Abgerufen am 18. Dezember 2022

Wie eingangs erwähnt, kommt den Satzungszielen dabei eine zentrale Rolle zu. Der Umfang, mit denen Verarbeitungstätigkeiten auf Art. 6 (1) lit. b) DSGVO (Vertrag; vorvertragliche Maßnahme) gestützt werden können, geben Satzung und Satzungsziele vor. Für alle anderen Verarbeitungstätigkeiten muss ebenso eine Rechtsgrundlage angegeben werden.

Datenschutzordnung Quelle Bild: Durch den Autor erstellt. Die Verarbeitungstätigkeiten in kursiver Schrift. Quelle Cliparts: Opencliparts.org / License: CC0 1.0 Universal / Es wurde eine Spende überwiesen

Zentrales Element: Datenschutzordnung

Das zentrale Element ist die Datenschutzordnung, die wir anbei beispielhaft zur Verfügung stellen. Gelb hervorgehobene Elemente sind in jedem Fall anzupassen. Aber auch weitere Inhalte sind natürlich an die Vorstellungen/Struktur eures Vereins anzupassen. Aus dieser Datenschutzordnung leiten sich die Datenschutzhinweise für die Mitglieder ab – auch dieses Dokument stellen wir beispielhaft zur Verfügung.

Eine grundlegende Gliederung der Datenschutzordnung sollte, der Übersichtlichkeit wegen, vorgenommen werden. D.h. man ordnet Datenverarbeitungen ihren übergeordneten Zwecken zu. Folgende Auflistung soll als Anregung dienen:

Durchführung einer Vereinsmitgliedschaft und Aufnahme von Beitrittswilligen
- Mitgliederverwaltung
- Beitragsverwaltung
- Beitragsrechnungsversand
- Aufnahme von Beitrittswilligen
- (…)
Vereinsverwaltung, -organisation und -führung
- IT-Betrieb eines Webservers und Bereitstellung einer Vereins-Homepage
- IT-Betrieb eines E-Mail-Servers und Bereitstellung einer Kommunikationsmöglichkeit per E-Mail
- Kommunikation per E-Mail
- Vereinsverwaltung, Führung der Geschäftsstelle: Postalische Vorgänge
- Vereinsinformation mittels Newsletter
- Einladung zur Mitgliederversammlung per E-Mail
- Spendenaufrufe
- Vereinshaftpflichtversicherung
- Bekanntgabe von Mitgliederlisten zur Wahrnehmung satzungsmäßiger Mitgliederrechte
- (…)
Mitarbeiterverwaltung
- Begründung neuer Beschäftigungsverhältnisse
- Lohnabrechnung & Lohnauszahlung
- (…)
Außendarstellung des Vereins
- Veröffentlichungen im Internet auf der Vereins-Homepage
- (…)

7.2 Struktur

Eine einheitliche Struktur innerhalb jeder erfassten Verarbeitungstätigkeit, fördert die Nachprüfbarkeit innerhalb der Datenschutzordnung. Die Übertragbarkeit in andere Dokumente (Verzeichnis der Verarbeitungstätigkeiten, Datenschutzinformationen) wird dadurch erleichtert. D.h. je sorgfältiger und strukturierter die Angaben in der Datenschutzordnung, desto weniger Aufwand hat man beim Erstellen der übrigen Dokumente. Folgende Oberpunkte sollen als Anregung dienen:

Was wird verarbeitet oder veröffentlicht?
Wer ist davon betroffen?
Zweck der Verarbeitung
Rechtsgrundlage(n)
An wen werden die Daten übermittelt?
Wie lange wird gespeichert?
An wen kann man sich wenden?
u.U. Sonstiges

Strukturiert man konsequent auch die Informationen innerhalb der Oberpunkte, erhält man nicht nur einen guten Überblick, sondern wird auch in die Lage versetzt, dem Auskunftsersuchen eines Betroffenen, nachzukommen – und zwar ohne in Hektik zu verfallen. Folgende Strukturangaben sollen als Anregung dienen:

Was wird verarbeitet? [1] Name, [2] Vorname, [3] Adressdaten, [4] Kontodaten, [5] E-Mail, [6] Telefon, [7] Mitgliedsnummer und [8] Eintritts- bzw. Austrittsdatum.

Wer ist davon betroffen? [a] Vereinsmitglieder, [b] Fördermitglieder, [c] ehemalige Vereinsmitglieder, [d] Austrittswillige, und [e] Mitarbeiter.

7.3 Mitgliedsantrag und sonstige Vereinsdokumente

Es ist wichtig, dass alle Dokumente, konsequent die Angaben aus der Datenschutzordnung übernehmen. Beispielsweise sollte der Mitgliedsantrag nur die Informationen (als Pflichtfelder) abfragen, die für die Mitgliederverwaltung erforderlich sind. Etwaige Einwilligungen (Rechtsgrundlage: Art. 6 (1) lit. a) DSGVO) für Datenverarbeitungen, die laut Satzung und Vereinszielen nicht zur Durchführung einer Mitgliedschaft erforderlich sind, müssen klar von Inhalten eines Aufnahmeantrages getrennt werden. Zudem sollte der Antrag auf veraltete Angaben, wie z.B. Verweise auf das Bundesdatenschutz (BDSG) alte Fassung geprüft werden.

Unterstütze den Blog mit einem Dauerauftrag!

Unabhängig. Kritisch. Informativ. Praxisnah. Verständlich.

Die Arbeit von kuketz-blog.de wird vollständig durch Spenden unserer Leserschaft finanziert. Sei Teil unserer Community und unterstütze unsere Arbeit mit einer Spende.

Mitmachen ➡

7.4 Vorlage: Datenschutzordnung & Datenschutzinformationen Mitglieder

Nachfolgend sind unsere Beispieldokumente für eine Datenschutzordnung und Datenschutzinformationen Mitglieder (erneut) verlinkt – OpenDocument-Format (Text/odt):

Datenschutzordnung

Datenschutzhinweise für Mitglieder

Hinweis

Wir haben bei der Erstellung der Beispieldokumente Sorgfalt walten lassen. Rechtliche oder inhaltliche Fehler können dennoch nicht ausgeschlossen werden.

8. Fazit

Die Erfüllung datenschutzrechtlicher Pflichten sollte nicht als lästige Bürde, sondern als Chance verstanden werden. Bei einer »Datenschutzinventur« bzw. Bestandsaufnahme der Verarbeitungstätigkeiten entsteht ein Überblick über die digitalen Tätigkeiten des Vereins. Das sorgt nicht nur Transparenz und Vertrauen gegenüber den Mitgliedern, sondern daraus lassen sich ebenso »Spielregeln« für ein faires Miteinader ableiten – eine wichtige Grundvoraussetzung für das Vereinsleben.

Im nachfolgenden Beitrag der Artikelserie möchte ich euch zu Wort kommen lassen. Sendet mir eure Erfahrungen mit der Digitalisierung des Vereinslebens zu. Nennt mir Tools/Dienste, die ihr einsetzt und wie es euch gelingt, die Mitgliederanforderungen mit der IT-Sicherheit bzw. dem Datenschutz in Einklang zu bringen.

Update 01.09.2023

Die Resonanz auf den Aufruf war leider zu gering – daher wird es keinen weiteren Teil der Serie geben.

Bildquellen:

Compliant: Freepik from www.flaticon.com is licensed by CC 3.0 BY

Über den Autor | Kuketz

Mike Kuketz

In meiner freiberuflichen Tätigkeit als Pentester / Sicherheitsforscher (Kuketz IT-Security) schlüpfe ich in die Rolle eines »Hackers« und suche nach Schwachstellen in IT-Systemen, Webanwendungen und Apps (Android, iOS). Des Weiteren bin ich Lehrbeauftragter für IT-Sicherheit an der Dualen Hochschule Karlsruhe, sensibilisiere Menschen in Workshops und Schulungen für Sicherheit und Datenschutz und bin unter anderem auch als Autor für die Computerzeitschrift c’t tätig.

Der Kuketz-Blog bzw. meine Person ist regelmäßig in den Medien (heise online, Spiegel Online, Süddeutsche Zeitung etc.) präsent.

Mehr Erfahren ➡

Unterstützen

Die Arbeit von kuketz-blog.de wird zu 100% durch Spenden unserer Leserinnen und Leser finanziert. Werde Teil dieser Community und unterstütze auch du unsere Arbeit mit deiner Spende.

Folge dem Blog

Wenn du über aktuelle Beiträge informiert werden möchtest, hast du verschiedene Möglichkeiten, dem Blog zu folgen:

Bleib aktuell ➡

Diskussion

Wenn du konkrete Fragen hast oder Hilfe benötigst, sind das offizielle Forum oder der Chat geeignete Anlaufstellen, um dein Anliegen zu diskutieren. Per E-Mail beantworte ich grundsätzlich keine (Support-)Anfragen – dazu fehlt mir einfach die Zeit. Kuketz-Forum

Abschließender Hinweis

Blog-Beiträge erheben nicht den Anspruch auf ständige Aktualität und Richtigkeit wie Lexikoneinträge (z.B. Wikipedia), sondern beziehen sich wie Zeitungsartikel auf den Informationsstand zum Zeitpunkt des Redaktionsschlusses.

Kritik, Anregungen oder Korrekturvorschläge zu den Beiträgen nehme ich gerne per E-Mail entgegen.

Artikel (400)

Ideen zur Selbsthilfe: Datenschutz im Verein – Digitalisierung im Verein Teil2