Datenschutz im Verein

Ein Verein muss den Datenschutz beachten, wenn er personenbezogene Daten verarbeitet. Mitglieder- und Beschäftigtendaten fallen daher unter diesen Schutz. Die Nutzung dieser Informationen ist in der Regel zur Erfüllung der Vereinsziele zulässig.

Personenbezogene Daten dürfen nur dann verarbeitet, d. h. auch gespeichert werden, wenn es eine gesetzliche Grundlage gibt, die aus der Datenschutz-Gesetzgebung (z. B. DSGVO). Dies kann eine Einwilligung, ein Vertrag, ein Gesetz oder ein berechtigtes Interesse des Vereines sein.

Typischerweise besteht eine Bestellpflicht für Vereine, bei denen mehr als 20 Beschäftigte mit der Verarbeitung von personenbezogenen Daten betraut werden. Das trifft nicht für alle Vereine zu.

Eine Bestellpflicht kann sich jedoch auch bei einer geringen Anzahl von Beschäftigten ergeben – wenn Sie besonders sensible Daten, wie z. B. Gesundheitsdaten verarbeiten. 

Informieren Sie sich, wenn Sie nicht sicher sind, was man darunter versteht. Dies könnte sein, wenn Sie Tätigkeiten ausüben, die eine Datenschutz-Folgeabschätzung notwendig machen oder wenn Sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung vornehmen.

Die Aufgaben des Datenschutzbeauftragten sind in der DSGVO festgelegt. Neben der Unterrichtung und Beratung des Vereins muss er die Einhaltung der relevanten Datenschutzgesetze überwachen.

Er berät auch bei  Datenschutz-Folgenabschätzungen und kommuniziert mit den betroffenen  Personen und den Aufsichtsbehörden,

Die Arbeit des Datenschutzbeauftragten ist so abwechslungsreich, wie komplex.

In diesem sich noch stetig veränderten Rechtsgebiet empfiehlt es sich, einen erfahrenen Datenschutzbeauftragten zu bestellen, um die Umsetzung zügig und fachgerecht umzusetzen.

Mit meiner langjährigen Erfahrung bringe ich auch Ihren Verein praxisnah und wirtschaftlich in diesen Themen voran. Mein typischer Aufgabenbereich umfasst unter anderem folgende Bereiche:

• - Durchführung einer Bestandsaufnahme – Erstellung eines priorisierten Aktionsplanes für weitere Aktivitäten
• - Prüfung und ggf. Aktualisierung Ihrer bisher erarbeiteten Unterlagen
• - Beratung in sämtlichen datenschutzrelevanten Themengebieten
• - Unterstützung bei der Erstellung Ihrer Dokumentation, wie z. B. Verzeichnis der Verarbeitungstätigkeiten, Informationspflichten oder die Betroffenenanfragen
• - Erfüllung der Rolle des Datenschutzbeauftragten für ihren Golfverein gem. Art. 39 DSGVO
• - Prüfung und Dokumentation Ihrer Auftragsverarbeiter gem. Art. 28 DSGVO
• - Prüfung Ihrer Online-Auftritte auf Gesetzeskonformität und Erstellung der Informationspflichten und Datenschutzhinweise
• - Erstellung von Richtlinien und Anweisungen zur Informationssicherheit und zum Datenschutz

Wenn Sie Dienstleister beauftragen und diese personenbezogenen Daten im Kern verarbeiten, dann müssen Sie diverse Punkte beachten.

Neben dem Abschluss einer Auftragsverarbeitungsvereinbarung  müssen Sie den Auftragsverarbeiter auf Eignung vorab und dann regelmäßig prüfen. Dies müssen Sie gegenüber den Aufsichtsbehörden auch nachweisen können. Dieses Thema ist recht umfangreich, wird aber gerne auch bei Vereinen vernachlässigt. 

Vereine müssen nachweisen können, dass ihre Datenverarbeitungen datenschutzkonform sind (die sog. „Rechenschaftspflicht“). Die Dokumentationspflicht soll dies sicherstellen und das bedeutet, dass eine Dokumentation aller Verarbeitungstätigkeiten erfolgen muss. Der Vorstand sollte mindestens folgende Pflichten umsetzen und nachweisen können:

• - Inventur der Verarbeitungstätigkeiten
• - Erfüllung von Betroffenenrechte, wie z. B. Rechte auf Auskunft, Berichtigung und Löschung
• - Transparente Darstellung der Datenverarbeitungen (Informationspflichten) gegenüber den betroffenen Personen (z. B. Interessenten, Mitgliedern oder  Geschäftspartner)
• - Dokumentation der technische und organisatorischen Maßnahmen (TOMs)
• - Vertragsmanagement mit Auftragsverarbeitungsverarbeitern einschl. der vorherigen und regelmäßigen Eignungsprüfung
• - Prozesse zur Handhabung von Datenschutzverletzungen („Datenpanne")
• - Einhaltung der Datenschutzgrundsätze, d. h. Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Vertraulichkeit und Nachweispflicht pro Verarbeitungstätigkeit
• - Verpflichtung auf Vertraulichkeit und Schulung der Beschäftigten (auch Ehrenamtlichen) 

Weitere typische Datenverarbeitungen müssen ebenfalls beachtet werden, wie z. B. 

• - Nutzung von Mitgliederdaten für die Verwaltung einschl. der Beiträge
• - Erstellung und Verteilung von Vereinsprotokollen
• - Erstellung von Mitgliederlisten und -einsichtnahmen im Zusammenhang mit Versammlungen
• - Planung, Durchführung und Nachbereitung von Wettbewerben im Verein (Anmeldungen, Teilnehmerlisten, Veröffentlichung von Ranglisten, Ergebnissen und Aufstellungen)
• - Verarbeitung / Veröffentlichung von Daten der Funktionsträger 
• - Nutzung von Daten Dritter
• - Nutzung der Daten des Vereins für Spendenaufrufe und Werbung
• - Datenübermittlung an Vereinsmitglieder
• - Bekanntgabe zur Wahrnehmung satzungsmäßiger Mitgliederrechte
• - Mitteilungen in Aushängen und Vereinspublikationen
• - Datenübermittlung an Dachverbände und andere Vereine
• - Datenübermittlung an Sponsoren und Firmen zu Werbezwecken, u. a. auch an Versicherungen
• - Veröffentlichungen im Internet und im geschützten Vereinsbereich, z. B. zur Berichterstattung
• - Erteilung von Auskünften personenbezogener Daten an die Presse und sonstige Massenmedien
• - Übermittlung von Daten für Zwecke der Wahlwerbung
• - Übermittlung von Mitgliederdaten an die Gemeindeverwaltung
• - Datenübermittlung an den Arbeitgeber eines Mitglieds und an die Versicherung
• - Vereinsdokumentationen (z. B. Jahrbücher)
• - Verarbeitung von Daten mit ggf. Veröffentlichung von Jubiläen, Gratulationen und Ehrungen