Die Datenschutzgrundverordnung (DSGVO) muss seit dem 25. Mai 2018 in der Europäischen Union verbindlich umgesetzt werden. Auch Vereine fallen in den Geltungsbereich der DSGVO, wenn Sie personenbezogene Daten verarbeiten. In den ersten Jahren nach Inkrafttreten der DSGVO gerieten überwiegend Unternehmen in den Fokus der Datenschutzbehörden, weil diese ihren Pflichten nicht nachkamen oder sogar grob gegen die DSGVO verstoßen haben. An einige Unternehmen wurden dabei sehr hohe Bußgelder verhängt. Nun stehen auch Vereine im Fokus der Datenschutzaufsichtsbehörden.
Datenschutzrichtlinien: Erhalten Sie kostenlose Muster & Vorlagen in der e24-Community!
Vereine und Datenschutzaufsichtsbehörden | 23.06.2021 | Dr. Matthias Jantsch, Thomas Hanke
Mit einem im März 2021 verhängten Bußgeld von 300.000 € an den VfB Stuttgart ist nun erstmals auch ein sehr hohes Bußgeld an einen deutschen Verein verhängt worden. Im vorliegenden Fall wurden mehrere tausend Mitgliederdaten (hier zur Mitgliederdatenverwaltung) an einen externen Dienstleister weitergegeben, ohne dass ein Auftragsverarbeitungsvertrag abgeschlossen worden war. Im europäischen Vergleich ist dies bereits das vierte Bußgeld was an einen Sportverein verhängt wurde (siehe Tabelle). Bei allen sanktionierten Vergehen war die unerlaubte Weitergabe oder unerlaubte Veröffentlichung von personenbezogenen Daten ausschlaggebend. Um solchen empfindlichen Bußgeldern zu entgehen, sollten auch Vereine die Pflichten nach der DSGVO kennen und diese konsequent umsetzen. In diesem Blogbeitrag geben wir einen Überblick über die wichtigsten Pflichten, die ein Verein erfüllen muss. Ebenfalls bieten wir eine Beratung zum Thema Datenschutz im Verein an.
Hinweis: In der e24-Community, unserem kostenlosen Mitgliederbereich, können gemeinnützige Vereine Mustervorlagen herunterladen - darunter auch eine Mustervorlage für die Datenschutzrichtlinien.
Bisher an europäische Sportvereine verhängte Bußgelder (Quelle: www.dsgvo-portal.de, Stand: 6.Mai 2021)
Die DSGVO ist eine Verordnung, die den europaweiten Umgang mit personenbezogenen Daten regelt. Im Gegensatz zu einer Richtlinie gilt die Verordnung unmittelbar und für alle Mitgliedsstaaten gleichermaßen, was ihre Wichtigkeit verdeutlicht.
Die Europäische Datenschutzgrundverordnung klärt staatenübergreifend den Umgang mit personenbezogenen Daten innerhalb der Mitgliedsstaaten der Europäischen Union. Dazu zählen nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Zu solchen Informationen gehören: Name, Anschrift, Geburtsdatum, E-Mail-Adresse, aber auch Fotos und Beiträge im Internet sowie Daten zur Gesundheit oder Religion.
Mithilfe der Verordnung sollen klare Vorgaben für den Umgang mit diesen Daten für alle Wirtschafts- und Gesellschaftsteilnehmer geschaffen werden, zu denen auch Vereine zählen. Zusätzlich regelt die DSGVO, in welchen Fällen und für welche Zwecke personenbezogene Daten gespeichert oder sogar weitergegeben werden dürfen und ob die Zustimmung der betroffenen Person in jedem Fall vorliegen muss.
Ziel der Europäischen Datenschutzgrundverordnung ist insbesondere der Schutz des Grundrechts und der Grundfreiheiten natürlicher Personen und deren Recht auf Schutz personenbezogener Daten (siehe Art. 1 Abs. 2 DSGVO). Der Datenschutz unterliegt durch die Verordnung klaren Grundwerten, die für alle in der Europäischen Union agierenden Wirtschafts- und Gesellschaftsteilnehmer bindend sind, die personenbezogene Daten verarbeiten.
Wissensdatenbank & Expertenzugang
Werden Sie Teil einer geschlossenen Community, in der Sie umfangreiches Wissen zu vereinsrelevanten Themen erhalten. Erhalten Sie Zugang zu einer umfassenden Datenbank an Vereinsdokumenten, Factsheets, Guidelines & Mustervorlagen und profitieren Sie von verschiedenen Vergünstigungen für Ihren Verein.
Alle Verarbeitungen von personenbezogenen Daten im Verein müssen auf sicherer Rechtsgrundlage basieren. Legitim ist eine Verarbeitung, wenn diese aufgrund einer der folgenden drei Gründe erfolgt:
Da das Vorliegen eines vermeintlich berechtigten Interesses aus objektiver Sicht nicht immer gegeben ist, ist es ratsam, immer eine Einwilligung einzuholen.
Wichtig: Alle Tätigkeiten, bei denen personenbezogene Daten im Verein verarbeitet werden, sind in einem Verarbeitungsverzeichnis aufzulisten. Dieses Verzeichnis dient dem Nachweis der Einhaltung der DSGVO und ist auf Anfrage der Datenschutzaufsichtsbehörde vorzulegen. Weitere führende Infos, wie so ein Verzeichnis gestaltet werden muss, finden Sie hier.
Verarbeitungsverzeichnis
Alle Tätigkeiten, bei denen personenbezogene Daten im Verein verarbeitet werden, sind in einem Verarbeitungsverzeichnis aufzulisten. Dieses Verzeichnis dient dem Nachweis der Einhaltung der DSGVO und ist auf Anfrage der Datenschutzaufsichtsbehörde vorzulegen. Weitere führende Infos, wie so ein Verzeichnis gestaltet werden muss, finden Sie hier: Informationen zum Verarbeitungsverzeichnis
Auftragsverarbeitungsvertrag
Setzt der Verein einen externen Dienstleister ein, der personenbezogene Mitglieder- oder Mitarbeiterdaten für den Verein verarbeitet, so hat er mit dem Dienstleister einen sogenannten Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zu schließen. In der Regel ist der Abschluss eines Auftragsdatenverarbeitungsvertrags erforderlich, wenn Dienstleister im Bereich IT, Marketing oder Marketing für den Verein beschäftigt werden und diese nur auf Weisung des Vereins arbeiten. Kein Auftragsverarbeitungsvertrag muss dagegen mit der Post, die Vereinsinfos an die Mitglieder verteilt oder der Bank, die Mitgliedsbeiträge abbucht, sowie mit Steuerberatern (hier geht es zur Steuerberatung) geschlossen werden. Ein Muster wie so ein Auftragsverarbeitungsvertrag auszusehen hat und welche Punkte er zu berücksichtigen hat, finden Sie hier: https://www.lda.bayern.de/media/muster_adv.pdf
Hinweis: Auf VereinsGuide24 können Vereine & Verbände sich zum Thema Onlinebanking & Vereinskredite informieren. Zusätzlich finden Sie auf dieser Plattform eine digitale Beratungsstrecke, die Ihnen Empfehlungen zu verschiedenen vereinsrelevanten Themen ausspricht, wie Banking, Versicherung, Digitalisierung & Marketing im Verein.
Leistungen zugeschnitten auf Ihren Verein
Führt ein Verein eine neue Form der Verarbeitung ein, bei der neue Technologien verwendet werden und die aufgrund der Art, des Umfangs, der Umstände und des Zwecks voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, so hat der Verantwortliche hierzu eine Datenschutzfolgeabschätzung durchzuführen. Als Orientierung bei welchen Verarbeitungen Datenschutzfolgeabschätzungen durchzuführen sind, haben verschiedene Bundesländer so genannte Blacklists eingeführt, auf denen bereits bekannte Verarbeitungen aufgelistet sind. Eine Übersicht dazu finden sie im Vereinswiki von ehrenamt24 unter: DSGVO im Verein
Hinweis: Zur Einziehung des Mitgliedsbeitrags sind personenbezogene Daten wie Name und Bankverbindung notwendig. Mehr Informationen rund um Mitgliedsbeiträge im Verein können in diesem Blogbeitrag nachgelesen werden.
Vereine müssen einen Datenschutzbeauftragten bestellen, wenn mindestens einer der genannten Punkte zutrifft:
Die Cyber-Versicherung übernimmt Kosten und Schäden bei Angriffen auf die IT-Sicherheit. Sie wird immer wichtiger, da in Zeiten der Digitalisierung das Risiko Opfer eines Angriffes auf die IT-Sicherheit zu werden steigt. Das wichtigste ist, dass der Verein für eine gute IT-Sicherheit vorsorgt – IT-Risk-Management Konzept. Gerade bei Vereinen oder Verbänden ist abzuwägen, wie groß das individuelle Risiko eines Cyberangriffs ist und welche Schäden eine solche Attacke nach sich ziehen könnte.
Die Autoren
Das Wichtigste ist, nicht in Panik zu geraten. Das Internet bietet bereits umfassende Informationen, Tipps und Tricks, um sich als Verein vor Abmahnungen und Bußgeldern zu schützen. Die europäische Datenschutzgrundverordnung sollte nicht als schwarzes Tuch gesehen werden, sie schützt immerhin auch die persönlichen Daten von uns allen. Bei Bedarf kann zudem professionelle Unterstützung dazu genommen werden.
In unserer e24-Community erhalten Sie kostenlosen Zugang zu Mustern & Vorlagen für Ihre Vereinsverwaltung - darunter ebenfalls Dokumente zur Spendenbescheinigung sowie einen Musterantrag für die Gemeinnützigkeit.
Haben Sie Fragen?
ehrenamt24 ist eine Gemeinschaft von Experten, die für Vereine & Verbände in allen Fragen rund um digitale Lösungen und Mitgliederservice bereitsteht.
Gemeinsam mit Ihnen entwickeln wir innovative Ideen, die Ihr Vereins- und Verbandsleben effizienter, zukunftsfähiger & sozialer gestalten.
