Ratgeber · Datenschutz
DSGVO im Verein. Ohne Panik, mit Plan.
Datenschutz klingt im Ehrenamt nach großer Hürde, ist aber vor allem eine Frage von Ordnung. Hier steht, welche Pflichten ein Verein wirklich hat, was am häufigsten gefragt wird, und wo Technik die Arbeit abnimmt.
Warum es zählt
Ein Verein verwaltet mehr Daten, als ihm bewusst ist.
Mitgliederliste, Beiträge, E-Mail-Verteiler, Fotos vom Sommerfest, in Sozial- und Beratungsverbänden auch Gesundheits- und Beratungsdaten: Sobald personenbezogene Daten regelmäßig verarbeitet werden, gilt die DSGVO, für den eingetragenen Verein genauso wie für die kleine Initiative. Ein Bußgeld ist selten das eigentliche Risiko; das eigentliche Risiko ist der Vertrauensverlust, wenn Mitgliederdaten in falsche Hände geraten.
Die gute Nachricht: Für die meisten Vereine ist Datenschutz keine juristische Großbaustelle, sondern Ordnung mit System, wissen, welche Daten man hat, wer darauf zugreifen darf, und was passiert, wenn jemand geht oder fragt. Genau dabei helfen klare Zuständigkeiten und die richtige Technik.
Die Pflichten
Sechs Dinge, die ein Verein regeln sollte.
Verständlich zusammengefasst, mit der jeweils einschlägigen Norm. Das ordnet ein, ersetzt aber keine Rechtsberatung im Einzelfall.
Wissen, was Sie verarbeiten
Verzeichnis von Verarbeitungstätigkeiten · Art. 30 DSGVO
Mitgliederliste, Beitragsverwaltung, E-Mail, Fotos vom Vereinsfest: Halten Sie schriftlich fest, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten. Für die meisten Vereine ist das überschaubar, aber verpflichtend, sobald regelmäßig verarbeitet wird.
Zugriff begrenzen und absichern
Technische und organisatorische Maßnahmen · Art. 32 DSGVO
Nur wer Daten für sein Amt braucht, soll sie sehen; Zugänge gehören geschützt und Übertragungen verschlüsselt. Wer worauf zugreifen darf, sollte nachvollziehbar sein.
Verträge mit Dienstleistern
Auftragsverarbeitung · Art. 28 DSGVO
Sobald ein Dienstleister in Ihrem Auftrag Daten verarbeitet, etwa der Anbieter Ihrer E-Mail- oder Cloud-Lösung, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) und sollten wissen, wo die Daten liegen.
Anfragen von Mitgliedern beantworten
Betroffenenrechte · Art. 15–21 DSGVO
Mitglieder dürfen Auskunft verlangen, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Sie müssen in der Lage sein, die Daten einer Person zu finden, zu exportieren und zu löschen.
Datenpannen melden
Meldepflicht · Art. 33/34 DSGVO
Geht ein Postfach verloren oder gerät eine Mitgliederliste in falsche Hände, kann eine Meldung an die Aufsichtsbehörde binnen 72 Stunden nötig sein. Ein Protokoll, wer wann Zugriff hatte, hilft bei der Einordnung.
Nur so lange speichern wie nötig
Speicherbegrenzung · Art. 5 Abs. 1 lit. e DSGVO
Ausgeschiedene Mitglieder, alte Bewerbungen, erledigte Anfragen: Daten gehören gelöscht, wenn der Zweck entfällt und keine Aufbewahrungspflicht (z. B. steuerlich) mehr besteht. Endende Zugänge sollten sauber geschlossen werden.
Wo Technik hilft
Was Software abnimmt, und was nicht.
Den organisatorischen Teil (Verzeichnis, Löschkonzept, Schulung) müssen Sie selbst leisten. Für den technischen Teil gibt Connecteeva die Grundlage:
Rechte nach Amt
Jede Ebene verwaltet ihre eigenen Leute und sieht nur, was sie sehen soll, der Ortsverband nicht den halben Landesverband.
Wie das aussiehtNachvollziehbar
Administrative Aktionen sind protokolliert, in jedem Konto. So lässt sich im Zweifel zeigen, wer wann Zugriff hatte.
Zur SicherheitVerschlüsselt und in Deutschland
Übertragung verschlüsselt, E-Mail nach PGP und S/MIME, Hosting in deutschen Rechenzentren ohne US-Mutter (kein CLOUD Act).
Wo die Daten liegenSauberes Ausscheiden
Endet ein Amt, wird der Zugang an einer Stelle geschlossen, für alle Dienste zugleich, kein vergessenes Konto.
FunktionswechselExport und Löschung
Daten lassen sich exportieren und nach einer Kündigung mindestens 30 Tage vorhalten, danach löschen, in offenen Formaten.
Wie der Ausstieg abläuftAVV und TOM
Auftragsverarbeitungsvertrag und die technisch-organisatorischen Maßnahmen stellen wir auf Anfrage bereit.
Fragen Sie anKeine Software macht einen Verein „automatisch DSGVO-konform“, und dieser Ratgeber ersetzt keine anwaltliche Prüfung. Er soll Ihnen helfen, die richtigen Fragen zu stellen und die technische Grundlage sauber zu wählen.
Häufige Fragen
Was Vereine zum Datenschutz fragen.
Fünf Antworten zu Datenschutzbeauftragtem, besonderen Daten, US-Anbietern und Auskunftsrecht, kurz und ohne Juristendeutsch.
Braucht unser Verein einen Datenschutzbeauftragten?
Nicht automatisch. Ein Datenschutzbeauftragter ist erst ab einer bestimmten Zahl ständig mit der Datenverarbeitung befasster Personen oder bei besonders risikoreicher Verarbeitung Pflicht (Art. 37 DSGVO, § 38 BDSG). Viele kleine Vereine brauchen keinen, die übrigen Pflichten gelten aber trotzdem. Im Zweifel klären Sie das mit fachkundiger Beratung.
Zählen Mitgliederdaten als „besondere“ Daten?
Der Name und die Adresse in der Regel nicht. Sobald Sie aber Gesundheits-, Weltanschauungs- oder ähnliche Angaben verarbeiten, etwa in der Beratung oder bei einem Sozialverband, sind das besondere Kategorien nach Art. 9 DSGVO mit strengeren Anforderungen an Zugriff und Absicherung.
Dürfen wir Microsoft 365 oder Google Workspace für Mitgliederdaten nutzen?
Nutzen dürfen Sie es, aber Sie tragen die Verantwortung: US-Anbieter unterliegen dem US CLOUD Act, US-Behörden können die Herausgabe von Daten verlangen, auch bei Rechenzentren in der EU. Wer das ausschließen will, wählt einen Anbieter mit Sitz und Hosting in Deutschland. Mehr dazu auf unserer Sicherheitsseite und im Microsoft-365-Vergleich.
Was müssen wir tun, wenn ein Mitglied Auskunft verlangt?
Sie müssen der Person auf Anfrage mitteilen, welche Daten Sie über sie verarbeiten, und ihr diese auf Wunsch in einem gängigen Format bereitstellen (Art. 15 DSGVO). Dafür müssen Sie die Daten einer Person überhaupt zusammenführen können, eine Verwaltung, in der alles an einem Konto hängt, macht das einfacher.
Wie hilft Connecteeva beim Datenschutz, und wobei nicht?
Connecteeva liefert die technische Grundlage: Rechte nach Amt, Protokollierung in jedem Konto, Verschlüsselung nach PGP und S/MIME, Hosting in Deutschland und sauberes Schließen von Zugängen. Den organisatorischen Teil, Verzeichnis, Löschkonzept, Schulung der Ehrenamtlichen, nimmt Ihnen keine Software ab. Und eine anwaltliche Prüfung ersetzt dieser Ratgeber nicht.
Wer hier schreibt
Aus der Verbandspraxis, nicht aus dem Lehrbuch.
Dieser Ratgeber stammt von der czichos.net GmbH aus Berlin, dem Team hinter Connecteeva. Wir betreuen seit vielen Jahren die IT des größten Sozialverbands Deutschlands, dort, wo Datenschutz nicht Theorie ist, sondern täglich mit echten Beratungs- und Mitgliederdaten gelebt wird.
Und ja, wir bieten eine der Lösungen an, die hier vorkommen. Deshalb sagen wir offen, was Technik leisten kann und was nicht. Mehr über uns steht auf der Seite Über uns.
Unsicher, wo Sie stehen? Reden wir über Ihren Verein.
Erzählen Sie uns kurz, welche Daten Sie verwalten und was Sie heute nutzen. Sie bekommen eine ehrliche Einschätzung, wo die technische Grundlage schon passt und wo nicht, ohne Verkaufsdruck.
Ohne Vertrag und ohne Zahlungsdaten. Sie entscheiden, ob es bei einer Anfrage bleibt oder Sie Connecteeva gleich ausprobieren.
Lieber direkt? E-Mail schreiben · 030 994048000 anrufen
Königsweg 220
14129 Berlin