Datenschutz im Verein richtig umsetzen

Wer im Verein verantwortlich ist

Gegenüber Mitgliedern, betroffenen Personen und dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten tritt grundsätzlich der Verein als Verantwortlicher auf. Intern muss der Vorstand dafür sorgen, dass Aufgaben, Zugriffe und Entscheidungen klar zugeteilt sind. Eine Software, ein externer Kassier oder ein Cloudanbieter nimmt dem Verein diese Verantwortung nicht ab.

Haltet die Grundzuständigkeit in einem Vorstandsbeschluss fest. DieStatuten müssen nicht jedes technische Detail enthalten, der statutarische Zweck setzt aber den Rahmen dafür, welche Mitgliederdaten der Verein vernünftigerweise benötigt.

Mit einem Dateninventar beginnen

Eine Datenschutzerklärung allein löst das Problem nicht. Zuerst müsst ihr wissen, welche Daten tatsächlich vorhanden sind. Erstellt eine Arbeitsliste mit jedem Prozess, vom Beitrittsformular bis zur Archivablage.

• Welche Personengruppen sind betroffen, etwa Mitglieder, Eltern, Helfende, Spender oder Mitarbeitende?
• Welche Datenfelder werden erhoben und welche davon sind besonders schützenswert?
• Für welchen konkreten Vereinszweck werden sie benötigt?
• Wer hat intern Zugriff und an wen werden Daten weitergegeben?
• In welchen Ländern speichern Dienstleister die Daten?
• Wie lange werden die Daten gebraucht und wann werden sie gelöscht?
• Welche Schutzmassnahmen bestehen bei Verlust, Fehlversand oder Kontowechsel?

Diese Liste kann kleiner sein als ein formelles Verzeichnis der Bearbeitungstätigkeiten. Sie ist trotzdem die Grundlage für sinnvolle Berechtigungen, Löschfristen und Informationen an die Mitglieder.

Die fünf Regeln jeder Datenbearbeitung

Für die gewöhnliche Mitgliederverwaltung verlangt das DSG nicht bei jedem Schritt eine Einwilligung. Entscheidend ist, dass die Bearbeitung rechtmässig bleibt und die Datenschutzgrundsätze eingehalten werden.

1. Zweckbindung: Daten nur für einen bestimmten und erkennbaren Zweck beschaffen und passend dazu verwenden.
2. Verhältnismässigkeit: Nur Daten erheben, die der Verein wirklich benötigt.
3. Transparenz: Betroffene verständlich über die Bearbeitung informieren.
4. Richtigkeit: Falsche oder veraltete Daten berichtigen und unnötige Daten löschen.
5. Sicherheit: Risiken mit angemessenen technischen und organisatorischen Massnahmen begrenzen.

Braucht der Verein für eine Bearbeitung eine Einwilligung, muss sie nach angemessener Information freiwillig erfolgen. Bei besonders schützenswerten Personendaten oder Profiling mit hohem Risiko verlangt das DSG eine ausdrückliche Einwilligung. Gesundheitsangaben, religiöse Ansichten und bestimmte Daten über soziale Massnahmen verdienen deshalb besondere Aufmerksamkeit.

Datenschutzhinweis und Informationspflicht

Art. 19 DSG verpflichtet den Verein, bei der Beschaffung von Personendaten angemessen zu informieren. Die Information muss präzise, transparent, verständlich und leicht zugänglich sein. Ein Datenschutzhinweis sollte mindestens beantworten:

• Identität und Kontaktdaten des verantwortlichen Vereins
• Zwecke der Datenbearbeitung
• Empfänger oder Kategorien von Empfängern, soweit eine Bekanntgabe vorgesehen ist
• bei einer Bekanntgabe ins Ausland den Staat und gegebenenfalls die verwendeten Garantien
• eine verständliche Erklärung der wichtigsten Rechte und Kontaktwege

Platziert den Hinweis dort, wo Daten erhoben werden, etwa beim Onlinebeitritt, Newsletter, Kursformular oder Spendenprozess. Ein Link im Footer allein ist zu wenig, wenn die betroffene Person ihn beim Ausfüllen vernünftigerweise nicht wahrnimmt.

Mitgliederlisten, Fotos und Minderjährige

Eine Mitgliederliste ist kein frei verfügbares Adressbuch. Prüft vor jeder Weitergabe, welche Angaben die empfangende Person für den Vereinszweck benötigt. Für eine Helferliste reichen häufig Name, Einsatz und eine vereinbarte Kontaktmöglichkeit. Privatadressen, Geburtsdaten und Notfallinformationen gehören nicht automatisch dazu.

Erkennbare Personen auf Fotos sind Personendaten. Übersichtsaufnahmen eines öffentlichen Anlasses sind anders zu beurteilen als ein Porträt, ein Kinderfoto oder eine Werbekampagne. Informiert vor dem Anlass über Fotozweck und Veröffentlichungsorte. Für Porträts, Kinder und werbliche Nutzung ist eine klare Einwilligung die robuste Lösung. Organisiert zugleich einen einfachen Weg für Widerspruch und Entfernung.

Bei Minderjährigen hängt die Urteilsfähigkeit von Alter und Situation ab. Plant nicht mit einer pauschalen Alterszahl. Bezieht bei sensiblen oder weitreichenden Veröffentlichungen die gesetzliche Vertretung ein und achtet zusätzlich auf den erkennbaren Willen des Kindes.

Cloud, Vereinssoftware und externe Dienstleister

Nutzt der Verein eine Mitgliederverwaltung, Buchhaltungssoftware, Newsletterlösung oder einen Onlinespeicher, liegt häufig eine Auftragsbearbeitung vor. Der Anbieter darf Daten nur so bearbeiten, wie es der Verein selbst dürfte, und muss die Datensicherheit gewährleisten. Prüft Vertrag, Unterauftragnehmer, Speicherorte, Exportmöglichkeiten und Löschung bei Vertragsende.

Vergleicht Funktionen nicht nur nach Preis. Der Ratgeber zuVereinssoftware in der Schweiz hilft bei der Systemauswahl. Für Zahlungsdaten sollte die Mitgliederverwaltung zudem zur Logik der Mitgliederbeiträge passen.

Zugriff, Aufbewahrung und Löschung

Daten dürfen nicht einfach für immer liegen bleiben. Definiert für jede Kategorie einen Auslöser und eine Frist. Nach einem Austritt können Kontaktdaten oft rasch gelöscht werden, während Jahresrechnungen und Buchungsbelege wegen gesetzlicher Aufbewahrungspflichten zehn Jahre aufzubewahren sind. Löscht deshalb nicht ganze Konten ungeprüft, sondern trennt operative Mitgliederdaten von Belegen und Archiv.

• Zugriffe mindestens jährlich und bei jedem Ressortwechsel prüfen.
• Gemeinsame Logins durch persönliche Konten ersetzen.
• Backups verschlüsseln und Wiederherstellung testen.
• Exportdateien und lokale Listen nach dem Zweck wieder löschen.
• Löschentscheide und gesetzliche Aufbewahrungsgründe kurz dokumentieren.

Die Jahresrechnung und ihre Belege brauchen eine andere Aufbewahrungslogik als eine Newsletterliste. Ein einziges pauschales Löschdatum für alle Vereinsdaten ist deshalb selten richtig.

Verzeichnis und Folgenabschätzung

Verantwortliche und Auftragsbearbeiter müssen grundsätzlich ein Verzeichnis der Bearbeitungstätigkeiten führen. Vereine mit weniger als 250 Mitarbeitenden, einschliesslich freiwillig Mitarbeitenden, sind bei nur geringem Risiko grundsätzlich davon befreit. Die Befreiung gilt insbesondere nicht, wenn der Verein besonders schützenswerte Personendaten in grossem Umfang bearbeitet oder Profiling mit hohem Risiko durchführt.

Eine Datenschutz-Folgenabschätzung ist nötig, wenn eine geplante Bearbeitung voraussichtlich ein hohes Risiko für Persönlichkeit oder Grundrechte mit sich bringt. Dafür gibt es keine allgemeine Mitgliederzahl. Art, Umfang, Umstände und Zweck der Bearbeitung sind entscheidend. Ein Patientenverband mit umfangreichen Gesundheitsdaten hat ein anderes Risiko als ein kleiner Quartierverein mit Name und E-Mailadresse.

Datenpanne richtig behandeln

Eine Datensicherheitsverletzung liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht, verändert oder Unbefugten zugänglich werden. Typische Vereinsfälle sind ein falsch adressierter Mailanhang, ein gestohlenes Notebook, ein öffentlich freigegebener Cloudordner oder ein kompromittiertes Vorstandskonto.

1. Zugang stoppen, Freigabe entfernen und Beweise sichern.
2. Betroffene Daten, Personengruppen, Empfänger und mögliche Folgen erfassen.
3. Risiko für Persönlichkeit und Grundrechte nachvollziehbar beurteilen.
4. Bei voraussichtlich hohem Risiko den EDÖB so rasch als möglich melden.
5. Betroffene Personen informieren, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.
6. Ursache und Massnahmen dokumentieren und den Prozess verbessern.

Datenschutz-Checkliste für den Vorstand

• Verantwortliche Person und Stellvertretung im Vorstand festlegen.
• Datenprozesse, Empfänger, Systeme, Länder und Löschfristen inventarisieren.
• Datenschutzhinweis an allen Erhebungspunkten sichtbar machen.
• Berechtigungen, Mehrfaktor-Anmeldung und Backups prüfen.
• Verträge mit Auftragsbearbeitern und Unterauftragnehmern kontrollieren.
• Regeln für Fotos, Mitgliederlisten, Kinder- und Gesundheitsdaten beschliessen.
• Auskunfts-, Berichtigungs- und Löschanfragen intern zuweisen.
• Notfallblatt für Datenpannen mit EDÖB-Entscheid festlegen.
• Prüfen, ob Verzeichnis oder Datenschutz-Folgenabschätzung nötig ist.

Datenschutz ist kein einmaliges Dokument, sondern Teil des jährlichen Vorstandswechsels. Nehmt die Prüfung in eurenPflichten-Check auf. Bei sensiblen Daten, internationalen Cloudketten oder einer konkreten Panne sollte der Verein gezielt fachliche Hilfe holen. DerVergleich externer Unterstützungzeigt, welche Aufgaben intern bleiben können und wo ein Spezialist nötig ist.