Rechtmäßige Verarbeitung personenbezogener Daten im Verein

Personenbezogene Daten spielen im Alltag von Vereinen, aber auch in Unternehmen und Organisationen, eine zentrale Rolle. Ob Mitgliederverwaltung, Öffentlichkeitsarbeit, Veranstaltungsorganisation oder die Veröffentlichung von Ergebnissen, nahezu jede dieser Tätigkeiten ist mit der Verarbeitung personenbezogener Daten verbunden.

Der folgende Beitrag gibt einen strukturierten Überblick darüber, wann personenbezogene Daten verarbeitet werden dürfen, welche Rechtsgrundlagen die DSGVO vorsieht und worauf insbesondere im Vereinskontext zu achten ist.

Das Wichtigste in Kürze

• Du darfst personenbezogene Daten im Verein nur verarbeiten, wenn eine passende Rechtsgrundlage nach Art. 6 DSGVO vorliegt und diese dokumentiert ist.
• Häufig relevant sind Vertragserfüllung, berechtigtes Interesse oder eine Einwilligung.
• Bei besonderen Kategorien von Daten brauchst du zusätzlich einen Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO. Veröffentlichungen, etwa von Ergebnissen, erfordern eine sorgfältige Einzelfallprüfung.
• Klare Prozesse und Dokumentation sichern die Rechtmäßigkeit dauerhaft ab.

Grundsatz: Verbot mit Erlaubnisvorbehalt

Im Datenschutzrecht gilt der Grundsatz des sogenannten „Verbots mit Erlaubnisvorbehalt“. Das bedeutet: Die Verarbeitung personenbezogener Daten ist grundsätzlich untersagt und nur dann zulässig, wenn eine gesetzliche Erlaubnisnorm sie ausdrücklich gestattet.

Die Auswahl der passenden Rechtsgrundlage obliegt der verantwortlichen Stelle – also dem Verein oder der Organisation. Sie muss vor Beginn der Datenverarbeitung festgelegt werden. Im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO muss die Rechtmäßigkeit der Verarbeitung jederzeit nachweisbar sein.

Welche Art personenbezogener Daten soll verarbeitet werden?

Die Wahl der Rechtsgrundlage hängt maßgeblich davon ab, welche Art personenbezogener Daten verarbeitet werden soll.

Einfache personenbezogene Daten

Art. 6 Abs. 1 DSGVO nennt sechs mögliche Rechtsgrundlagen für die Verarbeitung sogenannter „einfacher“ personenbezogener Daten. Hierzu zählen unter anderem:

• Name
• Adresse
• Geburtsdatum
• Kontaktdaten

Besondere Kategorien personenbezogener Daten

Nach Art. 9 Abs. 1 DSGVO gelten für bestimmte Daten erhöhte Schutzanforderungen. Dazu zählen insbesondere:

• Gesundheitsdaten
• Angaben zur Religion
• politische Meinungen
• Gewerkschaftszugehörigkeit
• genetische und biometrische Daten
• Angaben zur sexuellen Orientierung

Für diese Daten gilt grundsätzlich ein Verarbeitungsverbot.

Wichtig: Soll eine solche Datenkategorie verarbeitet werden, ist nicht nur eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich, sondern zusätzlich ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO. Beide Voraussetzungen müssen kumulativ erfüllt sein.

Im Vereinskontext kann beispielsweise Art. 9 Abs. 2 lit. d DSGVO relevant sein, wenn Daten im Rahmen berechtigter Tätigkeiten eines Vereins verarbeitet werden.

Die Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO im Überblick

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Die Einwilligung ist eine häufig genutzte Rechtsgrundlage. Sie unterliegt jedoch strengen formellen Anforderungen.

Nach Art. 7 DSGVO muss die verantwortliche Stelle das Vorliegen einer wirksamen Einwilligung jederzeit nachweisen können. Die Einwilligung muss freiwillig, informiert, unmissverständlich und in klarer sowie verständlicher Sprache formuliert sein. Zudem darf die betroffene Person keine Nachteile erleiden, wenn sie die Einwilligung verweigert.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf muss ebenso einfach möglich sein wie die Erteilung.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist.

Die Mitgliedschaft in einem Verein stellt ein solches Vertragsverhältnis dar. Die Vereinssatzung, Beitragsordnungen oder weitere Regelwerke definieren regelmäßig die Zwecke der Datenverarbeitung. Für typische Verwaltungstätigkeiten, etwa Mitgliederverwaltung oder Beitragseinzug, bildet der Mitgliedschaftsvertrag daher häufig die zentrale Rechtsgrundlage.

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)

Müssen personenbezogene Daten verarbeitet werden, um einer gesetzlichen Verpflichtung nachzukommen, ist diese Norm einschlägig. Dies betrifft insbesondere steuerrechtliche oder handelsrechtliche Aufbewahrungspflichten.

Die Verarbeitung darf sich dabei nur auf das zur Erfüllung der jeweiligen gesetzlichen Pflicht erforderliche Maß beschränken.

Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d DSGVO)

Diese Rechtsgrundlage greift, wenn die Verarbeitung erforderlich ist, um lebenswichtige Interessen einer natürlichen Person oder einer anderen Person zu schützen. Typische Anwendungsfälle sind akute Notfallsituationen, in denen beispielsweise medizinische Informationen weitergegeben werden müssen, um eine Gefahr für Leben oder Gesundheit abzuwenden.

Soweit dabei Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten betroffen sind, ist zusätzlich ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO erforderlich. In Notfällen kommt insbesondere Art. 9 Abs. 2 lit. c DSGVO in Betracht, der die Verarbeitung erlaubt, wenn sie zum Schutz lebenswichtiger Interessen erforderlich ist und die betroffene Person aus physischen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu geben.

Im regulären Vereinsalltag spielt diese Rechtsgrundlage eher eine untergeordnete Rolle, ist jedoch insbesondere bei Sportveranstaltungen oder größeren Events nicht ausgeschlossen.

Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e DSGVO)

Diese Rechtsgrundlage kommt zur Anwendung, wenn eine Verarbeitung zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.

Für private Vereine ist diese Norm in der Regel nicht einschlägig, es sei denn, dem Verein wurde durch Gesetz ausdrücklich eine öffentliche Aufgabe übertragen.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Das berechtigte Interesse ist eine praxisrelevante Rechtsgrundlage für viele Datenverarbeitungsvorgänge im Vereinskontext.

Voraussetzung ist eine dreistufige Prüfung:

1. Besteht ein berechtigtes Interesse des Vereins oder eines Dritten?
2. Ist die Verarbeitung zur Erreichung dieses Interesses erforderlich?
3. Überwiegen nicht die Interessen oder Grundrechte der betroffenen Personen?

Im Rahmen der Rechenschaftspflicht sollte diese Interessenabwägung nachvollziehbar dokumentiert werden, um die Rechtmäßigkeit der Verarbeitung im Zweifel belegen zu können.

Praxisbeispiel: Veröffentlichung von Turnierergebnissen

Die Veröffentlichung von Turnierergebnissen, wie zum Beispiel auf der Vereinswebsite oder in sozialen Medien, stellt eine Verarbeitung personenbezogener Daten dar.

Als mögliche Rechtsgrundlagen kommen insbesondere die Einwilligung der betroffenen Personen oder das berechtigte Interesse des Vereins in Betracht.

Ob eine Veröffentlichung zulässig ist, hängt jedoch maßgeblich vom konkreten Kontext ab. Zu berücksichtigen sind unter anderem:

• der Umfang der veröffentlichten Daten
• ob die Veröffentlichung öffentlich oder nur vereinsintern erfolgt
• ob Kinder oder Jugendliche betroffen sind
• die berechtigte Erwartungshaltung der Mitglieder

Eine sorgfältige Einzelfallprüfung sowie eine dokumentierte Entscheidung über die gewählte Rechtsgrundlage sind daher erforderlich.

Organisation und Dokumentation: Struktur schafft Rechtssicherheit

Datenschutz im Vereinsalltag erfordert eine strukturierte und nachvollziehbare Herangehensweise. Neben der rechtlichen Bewertung einzelner Verarbeitungsvorgänge ist insbesondere eine transparente Organisation der Prozesse entscheidend.

Digitale Lösungen wie campai helfen Vereinen dabei, interne Kommunikation, Beteiligungsprozesse und Dokumentation übersichtlich zu strukturieren und datenschutzrechtliche Anforderungen im Alltag besser umzusetzen.

Fazit

Jede Verarbeitung personenbezogener Daten bedarf einer geeigneten Rechtsgrundlage. Welche Rechtsgrundlage einschlägig ist, hängt vom konkreten Zweck der Verarbeitung und von der Art der betroffenen Daten ab.

Im Vereinskontext spielen insbesondere die Vertragserfüllung, das berechtigte Interesse sowie, in bestimmten Fällen, die Einwilligung eine zentrale Rolle. Bei besonderen Kategorien personenbezogener Daten müssen zusätzlich die Voraussetzungen des Art. 9 Abs. 2 DSGVO erfüllt sein.

Entscheidend ist, dass die Rechtsgrundlage vor Beginn der Verarbeitung festgelegt und im Rahmen der Rechenschaftspflicht nachvollziehbar dokumentiert wird. Nur so kann eine datenschutzkonforme Verarbeitung dauerhaft sichergestellt werden.

Häufig gestellte Fragen zur Verarbeitung personenbezogener Daten

Benötigt jede Datenverarbeitung eine Rechtsgrundlage?

Ja. Jede Verarbeitung personenbezogener Daten ist nur dann zulässig, wenn sie auf einer geeigneten Rechtsgrundlage beruht.

Reicht eine Einwilligung immer aus?

Nein. Eine Einwilligung muss freiwillig, informiert und widerrufbar sein. In vielen Fällen ist eine andere Rechtsgrundlage, etwa die Vertragserfüllung, sachgerechter.

Wann kommt das berechtigte Interesse in Betracht?

Wenn die Verarbeitung erforderlich ist und keine überwiegenden Interessen oder Grundrechte der betroffenen Personen entgegenstehen. Eine nachvollziehbare Interessenabwägung ist dabei erforderlich.

Wann ist Art. 9 DSGVO einschlägig?

Art. 9 DSGVO ist relevant, wenn besondere Kategorien personenbezogener Daten verarbeitet werden sollen. In diesem Fall ist zusätzlich zu Art. 6 DSGVO ein Erlaubnistatbestand nach Art. 9 Abs. 2 DSGVO erforderlich.

Muss die Wahl der Rechtsgrundlage dokumentiert werden?

Im Rahmen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO muss die Rechtmäßigkeit der Verarbeitung nachweisbar sein. Daher sollte die gewählte Rechtsgrundlage nachvollziehbar dokumentiert werden.