Rechtmäßige Verarbeitung personenbezogener Daten im Verein

Personenbezogene Daten spielen im Alltag deines Vereins, aber auch in Unternehmen und Organisationen, eine zentrale Rolle. Ob Mitgliederverwaltung, Öffentlichkeitsarbeit, Veranstaltungsorganisation oder die Veröffentlichung von Ergebnissen, nahezu jede dieser Tätigkeiten ist mit der Verarbeitung personenbezogener Daten verbunden.

Der folgende Beitrag gibt dir einen strukturierten Überblick darüber, wann du personenbezogene Daten verarbeiten darfst, welche Rechtsgrundlagen die DSGVO vorsieht und worauf du insbesondere im Vereinskontext achten solltest.

Das Wichtigste in Kürze

• Du brauchst für jede Datenverarbeitung eine geeignete Rechtsgrundlage nach Art. 6 DSGVO und musst diese nachvollziehbar dokumentieren.
• Im Vereinsalltag sind vor allem Vertragserfüllung, berechtigtes Interesse und teilweise Einwilligungen relevant.
• Für besondere Datenarten gilt zusätzlich Art. 9 Abs. 2 DSGVO.
• Ob eine Veröffentlichung zulässig ist, hängt vom konkreten Zweck und Umfang ab.
• Eine saubere Interessenabwägung und Dokumentation sorgen für Rechtssicherheit.

Grundsatz: Verbot mit Erlaubnisvorbehalt

Im Datenschutzrecht gilt der Grundsatz des sogenannten „Verbots mit Erlaubnisvorbehalt“. Das bedeutet: Die Verarbeitung personenbezogener Daten ist grundsätzlich untersagt und nur dann zulässig, wenn eine gesetzliche Erlaubnisnorm sie ausdrücklich gestattet.

Die Auswahl der passenden Rechtsgrundlage liegt bei dir als verantwortlicher Stelle, also bei deinem Verein oder deiner Organisation. Du musst sie vor Beginn der Datenverarbeitung festlegen. Im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO musst du die Rechtmäßigkeit der Verarbeitung jederzeit nachweisen können.

Welche Art personenbezogener Daten willst du verarbeiten?

Die Wahl der Rechtsgrundlage hängt maßgeblich davon ab, welche Art personenbezogener Daten du verarbeiten möchtest.

Einfache personenbezogene Daten

Art. 6 Abs. 1 DSGVO nennt sechs mögliche Rechtsgrundlagen für die Verarbeitung sogenannter „einfacher“ personenbezogener Daten. Hierzu zählen unter anderem:

• Name
• Adresse
• Geburtsdatum
• Kontaktdaten

Besondere Kategorien personenbezogener Daten

Nach Art. 9 Abs. 1 DSGVO gelten für bestimmte Daten erhöhte Schutzanforderungen. Dazu zählen insbesondere:

• Gesundheitsdaten
• Angaben zur Religion
• politische Meinungen
• Gewerkschaftszugehörigkeit
• genetische und biometrische Daten
• Angaben zur sexuellen Orientierung

Für diese Daten gilt grundsätzlich ein Verarbeitungsverbot.

Wichtig: Wenn du eine solche Datenkategorie verarbeiten willst, benötigst du nicht nur eine Rechtsgrundlage nach Art. 6 DSGVO, sondern zusätzlich einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO. Beide Voraussetzungen müssen kumulativ erfüllt sein.

Im Vereinskontext kann beispielsweise Art. 9 Abs. 2 lit. d DSGVO relevant sein, wenn du Daten im Rahmen berechtigter Tätigkeiten deines Vereins verarbeitest.

Die Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO im Überblick

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Die Einwilligung ist eine häufig genutzte Rechtsgrundlage. Sie unterliegt jedoch strengen formellen Anforderungen.

Nach Art. 7 DSGVO musst du das Vorliegen einer wirksamen Einwilligung jederzeit nachweisen können. Die Einwilligung muss freiwillig, informiert, unmissverständlich und in klarer sowie verständlicher Sprache formuliert sein. Zudem darf die betroffene Person keine Nachteile erleiden, wenn sie die Einwilligung verweigert.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf muss ebenso einfach möglich sein wie die Erteilung.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Du darfst personenbezogene Daten verarbeiten, wenn dies für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.

Die Mitgliedschaft in deinem Verein stellt ein solches Vertragsverhältnis dar. Die Vereinssatzung, Beitragsordnungen oder weitere Regelwerke definieren regelmäßig die Zwecke der Datenverarbeitung. Für typische Verwaltungstätigkeiten, etwa Mitgliederverwaltung oder Beitragseinzug, bildet der Mitgliedschaftsvertrag daher häufig die zentrale Rechtsgrundlage.

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)

Musst du personenbezogene Daten verarbeiten, um einer gesetzlichen Verpflichtung nachzukommen, ist diese Rechtsgrundlage einschlägig. Das betrifft insbesondere steuerrechtliche oder handelsrechtliche Aufbewahrungspflichten.

Die Verarbeitung darf sich dabei nur auf das zur Erfüllung der jeweiligen gesetzlichen Pflicht erforderliche Maß beschränken.

Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d DSGVO)

Diese Rechtsgrundlage greift, wenn die Verarbeitung erforderlich ist, um lebenswichtige Interessen einer natürlichen Person oder einer anderen Person zu schützen. Typische Fälle sind akute Notfallsituationen, in denen du beispielsweise medizinische Informationen weitergeben musst, um eine Gefahr für Leben oder Gesundheit abzuwenden.

Sind dabei Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten betroffen, brauchst du zusätzlich einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO. In Notfällen kommt insbesondere Art. 9 Abs. 2 lit. c DSGVO in Betracht.

Im regulären Vereinsalltag spielt diese Rechtsgrundlage eher eine untergeordnete Rolle, kann aber etwa bei Sportveranstaltungen relevant werden.

Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e DSGVO)

Diese Rechtsgrundlage kommt zur Anwendung, wenn eine Verarbeitung zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.

Für private Vereine ist diese Norm in der Regel nicht einschlägig, es sei denn, deinem Verein wurde durch Gesetz ausdrücklich eine öffentliche Aufgabe übertragen.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Das berechtigte Interesse ist eine praxisrelevante Rechtsgrundlage für viele Datenverarbeitungsvorgänge im Vereinskontext.

Voraussetzung ist eine dreistufige Prüfung:

1. Besteht ein berechtigtes Interesse deines Vereins oder eines Dritten?
2. Ist die Verarbeitung zur Erreichung dieses Interesses erforderlich?
3. Überwiegen nicht die Interessen oder Grundrechte der betroffenen Personen?

Im Rahmen der Rechenschaftspflicht solltest du diese Interessenabwägung nachvollziehbar dokumentieren.

Praxisbeispiel: Veröffentlichung von Turnierergebnissen

Wenn du Turnierergebnisse, etwa auf deiner Vereinswebsite oder in sozialen Medien, veröffentlichst, verarbeitest du personenbezogene Daten.

Als mögliche Rechtsgrundlagen kommen insbesondere die Einwilligung der betroffenen Personen oder das berechtigte Interesse deines Vereins in Betracht.

Ob eine Veröffentlichung zulässig ist, hängt maßgeblich vom konkreten Kontext ab. Zu berücksichtigen sind unter anderem:

• der Umfang der veröffentlichten Daten
• ob die Veröffentlichung öffentlich oder nur vereinsintern erfolgt
• ob Kinder oder Jugendliche betroffen sind
• die berechtigte Erwartungshaltung der Mitglieder

Du solltest daher immer eine sorgfältige Einzelfallprüfung durchführen und deine Entscheidung über die gewählte Rechtsgrundlage dokumentieren.

Organisation und Dokumentation: Struktur schafft Rechtssicherheit

Datenschutz im Vereinsalltag erfordert eine strukturierte und nachvollziehbare Herangehensweise. Neben der rechtlichen Bewertung einzelner Verarbeitungsvorgänge ist insbesondere eine transparente Organisation deiner Prozesse entscheidend.

Plattformen wie campai helfen dir, interne Kommunikation, Beteiligungsprozesse und Dokumentation übersichtlich zu strukturieren und datenschutzrechtliche Anforderungen im Alltag besser umzusetzen.

Fazit

Jede Verarbeitung personenbezogener Daten benötigt eine geeignete Rechtsgrundlage. Welche einschlägig ist, hängt vom konkreten Zweck der Verarbeitung und von der Art der betroffenen Daten ab.

Im Vereinskontext spielen insbesondere die Vertragserfüllung, das berechtigte Interesse sowie, in bestimmten Fällen, die Einwilligung eine zentrale Rolle. Bei besonderen Kategorien personenbezogener Daten musst du zusätzlich die Voraussetzungen des Art. 9 Abs. 2 DSGVO erfüllen.

Entscheidend ist, dass du die Rechtsgrundlage vor Beginn der Verarbeitung festlegst und im Rahmen deiner Rechenschaftspflicht nachvollziehbar dokumentierst. Nur so kannst du eine datenschutzkonforme Verarbeitung dauerhaft sicherstellen.

Häufig gestellte Fragen zur Verarbeitung personenbezogener Daten

Benötigt jede Datenverarbeitung eine Rechtsgrundlage?

Ja. Jede Verarbeitung personenbezogener Daten ist nur dann zulässig, wenn sie auf einer geeigneten Rechtsgrundlage beruht.

Reicht eine Einwilligung immer aus?

Nein. Eine Einwilligung muss freiwillig, informiert und widerrufbar sein. In vielen Fällen ist eine andere Rechtsgrundlage, etwa die Vertragserfüllung, sachgerechter.

Wann kommt das berechtigte Interesse in Betracht?

Wenn die Verarbeitung erforderlich ist und keine überwiegenden Interessen oder Grundrechte der betroffenen Personen entgegenstehen. Eine nachvollziehbare Interessenabwägung ist dabei notwendig.

Wann ist Art. 9 DSGVO einschlägig?

Art. 9 DSGVO ist relevant, wenn du besondere Kategorien personenbezogener Daten verarbeiten möchtest. In diesem Fall benötigst du zusätzlich zu Art. 6 DSGVO einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO.

Muss die Wahl der Rechtsgrundlage dokumentiert werden?

Ja. Im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO musst du die Rechtmäßigkeit der Verarbeitung nachweisen können. Deshalb solltest du die gewählte Rechtsgrundlage nachvollziehbar dokumentieren.