Zweckbindung personenbezogener Daten im Verein

Personenbezogene Daten dürfen nach der Datenschutz-Grundverordnung (DSGVO) nur unter bestimmten Voraussetzungen verarbeitet werden. Einer der zentralen Grundsätze ist dabei die sogenannte Zweckbindung. Sie stellt sicher, dass personenbezogene Daten nicht beliebig genutzt oder weiterverarbeitet werden, sondern ausschließlich für klar definierte und legitime Zwecke.

Gerade Vereine in Österreich verarbeiten regelmäßig personenbezogene Daten, etwa von Mitgliedern, Eltern, Ehrenamtlichen oder Kursteilnehmenden. Umso wichtiger ist es, dass du den Zweck der Datenverarbeitung von Beginn an eindeutig festlegst und konsequent einhältst.

Das Wichtigste in Kürze

• Vereine dürfen personenbezogene Daten nur für klar festgelegte und legitime Zwecke verarbeiten (Art. 5 Abs. 1 lit. b DSGVO).
• Der Zweck der Datenverarbeitung muss vor Beginn festgelegt und gegenüber den betroffenen Personen transparent gemacht werden.
• Es dürfen nur jene Daten erhoben werden, die für den jeweiligen Zweck erforderlich sind.
• Eine spätere Nutzung der Daten ist nur zulässig, wenn sie mit dem ursprünglichen Zweck vereinbar ist oder eine neue Rechtsgrundlage besteht.
• Sobald der Zweck erreicht ist und keine gesetzlichen Aufbewahrungspflichten bestehen, müssen die personenbezogenen Daten gelöscht werden.

Was bedeutet „Zweckbindung“ und wo ist sie geregelt?

Die Zweckbindung ist ein grundlegender Datenschutzgrundsatz nach Art. 5 Abs. 1 lit. b DSGVO, der in Österreich unmittelbar gilt. Danach dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden.

Das bedeutet konkret: Der Zweck der Datenverarbeitung muss vor Beginn der Verarbeitung klar bestimmt sein. Außerdem musst du betroffene Personen darüber informieren. Diese Information ist Teil der Informationspflichten nach Art. 13 und 14 DSGVO.

Darüber hinaus musst du den Zweck auch im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentieren.

Die Zweckbindung ist damit nicht nur ein theoretischer Grundsatz, sondern eine organisatorische Pflicht, die du im Vereinsalltag aktiv umsetzen musst.

Zweckbindung in der Vereinspraxis: ein typisches Beispiel

Wenn du in deinem Verein neue Mitglieder aufnehmen möchtest, ist der Zweck der Datenverarbeitung klar definierbar, etwa:

„Bearbeitung eines Mitgliedschaftsantrags und Verwaltung der Mitgliedschaft“.

Um diesen Zweck zu erfüllen, benötigst du bestimmte personenbezogene Daten, zum Beispiel:

• Name
• Anschrift
• Geburtsdatum
• E-Mail-Adresse

Der Zweck der Verarbeitung ist hier eindeutig: die ordnungsgemäße Aufnahme und Verwaltung der Mitgliedschaft.

Die passende Rechtsgrundlage ergibt sich in diesem Fall regelmäßig aus Art. 6 Abs. 1 lit. b DSGVO (Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen).

Wichtig ist dabei, dass du nur jene Daten erhebst, die für diesen Zweck tatsächlich erforderlich sind. Dieses Prinzip ergibt sich aus dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.

Zweckänderung und Weiterverarbeitung: Was ist erlaubt?

Wenn du personenbezogene Daten später für einen anderen Zweck verwenden möchtest, musst du besonders sorgfältig prüfen, ob das zulässig ist.

Eine solche Weiterverarbeitung ist nur dann erlaubt, wenn der neue Zweck mit dem ursprünglichen Zweck vereinbar ist. Diese Prüfung richtet sich nach Art. 6 Abs. 4 DSGVO.

Dabei musst du unter anderem folgende Aspekte berücksichtigen:

• den Zusammenhang zwischen ursprünglichem und neuem Zweck
• die Art der personenbezogenen Daten
• mögliche Folgen für die betroffenen Personen
• vorhandene Schutzmaßnahmen, etwa Zugriffsbeschränkungen

Ist der neue Zweck nicht mit dem ursprünglichen Zweck vereinbar, brauchst du eine neue Rechtsgrundlage, etwa eine Einwilligung der betroffenen Person.

Wann wird die Zweckbindung missachtet?

Ein bekanntes Praxisbeispiel sind die zeitweise verpflichtenden Kontaktnachverfolgungslisten während der COVID-19-Pandemie in Gastronomie oder Veranstaltungsbetrieben.

Dabei wurden personenbezogene Daten wie Name, Adresse und Telefonnummer ausschließlich zum Zweck der behördlichen Kontaktnachverfolgung erhoben.

Eine Nutzung dieser Daten für andere Zwecke, etwa:

• Werbung des Betriebs
• Weitergabe an Dritte
• Verkauf an Adresshändler

wäre unzulässig gewesen, da diese Verarbeitungen mit dem ursprünglichen Zweck nicht vereinbar sind.

Dieses Beispiel zeigt deutlich: Die Zweckbindung schützt Betroffene davor, dass ihre Daten zweckentfremdet verwendet werden.

Löschung nach Zweckerreichung

Ein weiterer wichtiger Datenschutzgrundsatz ist die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO.

Das bedeutet: Sobald der Zweck der Verarbeitung erreicht ist und keine gesetzliche Aufbewahrungspflicht besteht, musst du personenbezogene Daten löschen.

Daten dürfen also nicht „auf Vorrat“ gespeichert werden, nur weil sie vielleicht später noch einmal nützlich sein könnten.

Organisation und Zweckbindung im Vereinsalltag

Datenschutzprobleme entstehen im Vereinsumfeld häufig nicht aus böser Absicht, sondern aus fehlender Struktur. Typische Beispiele sind:

• Personenbezogene Daten liegen verteilt in Excel-Listen, E-Mails oder Messenger-Chats.
• Zwecke der Datenverarbeitung sind unklar oder nicht dokumentiert.
• Zugriffsrechte sind nicht eindeutig geregelt.

Eine klare organisatorische Trennung von Zwecken, Daten und Zuständigkeiten ist daher essenziell. Du solltest Datenverarbeitungen eindeutig dokumentieren, Verantwortlichkeiten festlegen und Zugriffe kontrollieren.

Mit Plattformen wie campai lassen sich beispielsweise Mitgliedsdaten, Kursanmeldungen und interne Verwaltungsprozesse getrennt organisieren, was die Einhaltung datenschutzrechtlicher Vorgaben im Vereinsalltag erleichtert.

Fazit

Der Grundsatz der Zweckbindung verpflichtet dich als Verein in Österreich dazu,

• den Zweck jeder Datenverarbeitung vorab klar festzulegen,
• die Verarbeitung auf diesen Zweck zu beschränken,
• betroffene Personen transparent zu informieren,
• personenbezogene Daten nach Zweckerreichung zu löschen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Die Einhaltung dieses Grundsatzes ist zwingend. Bei Verstößen drohen nicht nur Vertrauensverluste, sondern auch Maßnahmen der österreichischen Datenschutzbehörde (DSB) sowie Verwaltungsstrafen.

Häufig gestellte Fragen zur Zweckbindung nach DSGVO

Muss der Zweck der Datenverarbeitung schriftlich festgehalten werden?

Ja. Der Zweck muss sowohl in den Datenschutzinformationen für betroffene Personen als auch im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentiert werden.

Darf ein Verein personenbezogene Daten für mehrere Zwecke erheben?

Ja, sofern jeder Zweck klar benannt wird und für jeden Zweck eine geeignete Rechtsgrundlage besteht.

Was passiert, wenn sich der Zweck später ändert?

Eine Zweckänderung ist nur zulässig, wenn sie mit dem ursprünglichen Zweck vereinbar ist. Andernfalls sind zusätzliche Informationspflichten oder gegebenenfalls eine neue Rechtsgrundlage erforderlich.

Wie lange dürfen personenbezogene Daten gespeichert werden?

Nur so lange, wie sie für den festgelegten Zweck erforderlich sind oder gesetzliche Aufbewahrungsfristen bestehen, etwa nach steuer- oder vereinsrechtlichen Vorschriften.

Wie kannst du Zweckbindung organisatorisch besser umsetzen?

Durch klare Prozesse, dokumentierte Zuständigkeiten und Systeme, die Daten nach Zweck, Zugriff und Nutzung strukturieren. Digitale Vereinslösungen wie campai können dir dabei helfen, Struktur und Transparenz in deine Datenverarbeitung zu bringen.