Wann ist ein Datenschutzbeauftragter im Verein Pflicht?

Zur automatisierten Verarbeitung personenbezogener Daten im Verein zählt die elektronische Verwaltung folgender Daten:

• Mitgliederdaten für die Mitgliederverwaltung
• Angestellten Daten des Vereins (Arbeitsverträge)
• Daten von Spielern (Spielerpässe, Meldungen zu Veranstaltungen)
• Daten zu Mitgliedsbeiträgen
• Daten zu Spendern und Sponsoren (Spendenbescheinigung, Vertragserfüllung)
• Gästelisten

Die Zwanzig-Personen-Grenze ist dann erreicht, sobald mindestens 20 Personen im Verein ständig bei der automatisierten Datenverarbeitung tätig sind.

Entscheidend dafür, welche Tätigkeit bei der Zwanzig-Personen-Grenze berücksichtigt wird, ist, ob die Datenverarbeitung erstens automatisiert und zweitens ständig ausgeübt wird. Grundsätzlich kann dabei jeder Beschäftigte des Vereins hinzugezählt werden, der diese Kriterien erfüllt.

Dabei kommt es im Übrigen stets auf die konkrete Tätigkeit, nicht auf die Art des Beschäftigungsverhältnisses an. So ist es nicht weiter wichtig, ob es sich um einen festangestellten oder freien Mitarbeiter, einen Teilzeitbeschäftigten, einen Ehrenamtler oder ein Vereinsmitglied handelt.

Sollte Ihr Verein in mehrere Beratungsstellen unterteilt sein, so werden alle Beschäftigten aus allen Stellen, die mit der automatisierten und ständigen Verarbeitung von personenbezogenen Daten zu tun haben, ebenfalls hinzugezählt. Der Vorstand wird hier nicht ohne Weiteres berücksichtigt.

Beispiele

Folgende Tätigkeiten im Verein sind üblicherweise mit der ständigen und automatisierten Verarbeitung personenbezogener Daten beschäftigt. In Folge werden sie auch in die Zwanzig-Personen-Grenze hinzugezählt:

• Kassenwart
• Tätigkeiten in der Mitgliederverwaltung
• Tätigkeiten, bei denen Spielerdaten für die Wettkampf- und Spielorganisation verarbeitet werden

Diese Tätigkeiten werden hingegen nicht bei der Zwanzig-Personen-Grenze berücksichtigt:

• Tätigkeiten, bei denen personenbezogene Daten verarbeitet werden, die jedoch nicht ständig stattfinden (z.B. nur einmal jährlich)
• Ehrenamtliche, die einem Vereinsmitglied via Einzelauftrag zugewiesen sind (z.B. Betreuer) und die nur in Einzelfällen auf Daten zugreifen können
• Übungsleiter eines Sportvereins, die ausschließlich zweimal jährlich die Mitgliederlisten aktualisieren
• Gruppenleiter, die regelmäßig die Anwesenheit durch manuelles Abhaken der Teilnehmer überprüfen

Damit eine Beschäftigung als ständig gilt, muss die automatisierte Datenverarbeitung regelmäßig durchgeführt werden. Als regelmäßig gilt die Tätigkeit, sobald ein Mitarbeiter 50 % seiner Arbeitszeit für die Verarbeitung von personenbezogenen Daten aufwendet.

Dabei spielt es keine Rolle, ob die Datenverarbeitung zu den Kerntätigkeiten der Beschäftigung zählt. Hat ein Mitglied nur ab und zu mit der automatisierten Verarbeitung personenbezogener Daten zu tun, wird die Tätigkeit nicht als ständig gewertet.

Grundsätzlich besteht die Kerntätigkeit eines Vereins in der umfangreichen Verarbeitung besonderer Kategorien von Daten dann, wenn im Verein Gesundheitsdaten (siehe Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen und Straftaten (siehe Art. 10 DSGVO) verarbeitet werden.

Dem Vereinsvorstand ist es nicht erlaubt, gleichzeitig die Aufgabe des Datenschutzbeauftragten auszuüben. Gleiches gilt bei anderen Vereinsorganen mit Leitungsfunktion, wie beispielsweise der Geschäftsführung oder dem Schatzmeister.

Der Grund: Die Wahrnehmung gleich beider Tätigkeiten erzeugt Interessenkonflikte und gefährdet damit die Neutralität der Leitungsfunktion. 

Muss kein Datenschutzbeauftragter benannt werden, ist der Verein verpflichtet sich eigenständig, für die Einhaltung der Datenschutzrichtlinien im Verein zu sorgen. Der Verein kann aber auch freiwillig einen Datenschutzbeauftragten aufstellen.

Eine allgemeine oder staatliche Ausbildung zum Datenschutzbeauftragten gibt es nicht. Das hinreichende Fachwissen können Sie sich jedoch im Regelfall bei einer mehrtägigen Schulung von Verbänden wie dem Berufsverband der Datenschutzbeauftragten Deutschlands (BvD)aneignen.

Der Verein muss die Kontaktdaten des Datenschutzbeauftragten veröffentlichen. Zum Beispiel kann die E-Mail-Adresse des Datenschutzbeauftragten auf Webseite des Vereins angegeben werden.

Darüber muss der Verein die Kontaktdaten des Datenschutzbeauftragten an die jeweils verantwortliche Aufsichtsbehörde beim Landesamt für Datenschutzaufsicht weiterleiten. Und auch im Verarbeitungsverzeichnis muss der Datenschutzbeauftragte gelistet werden.

Mitglieder des Vereins haben gemäß § 37 Abs. 1 BGB nur dann ein Anrecht auf eine Mitgliederliste, wenn ein berechtigtes Interesse dafür vorliegt. Beispielsweise ist das der Fall, wenn diese eine Mitgliederversammlung einberufen wollen.

Auch in konkreten Ausnahmefällen, in denen eine Kontaktaufnahme zu anderen Vereinsmitgliedern dringend notwendig ist, können einzelne Mitglieder eine Mitgliederliste erhalten. Das ist unter anderem der Fall, wenn spezifische Tagesordnungspunkte vor der Mitgliederversammlung abgestimmt werden müssen.

Schließlich können Vereinsmitglieder eine Mitgliederliste erhalten, wenn die Möglichkeit dazu in der Vereinssatzung verankert ist. Liegt kein dringender Grund vor und ist ein Anrecht auf eine Mitgliederliste nicht in der Satzung festgehalten, so darf keine Mitgliederliste herausgegeben werden.

Laut Art. 5 Abs. 1 DSGVO dürfen personenbezogenen Daten derweil sie für den Vereinszweck erforderlich sind, gespeichert und verarbeitet werden. Besteht der Zweck nicht mehr länger, so gilt der sogenannte Löschzwang. Die Daten müssen also gelöscht, das heißt entsprechend dem Medium (Papierform oder digitale Daten) unkenntlich gemacht werden.

Damit Sie die personenbezogenen Daten Ihrer Mitglieder aufnehmen können, benötigt Ihr Anmeldeformular eine Datenschutzerklärung. In der Datenschutzerklärung dürfen folgende Informationen keinesfalls fehlen:

• Rechtsgrundlage
• Zweck der Einwilligung
• Dauer der Verarbeitung
• Empfänger der personenbezogenen Daten
• Kontaktdaten des Datenschutzbeauftragten des Vereins

Eine PDF-Vorlage für einen Datenschutzerklärung erhalten Sie hier.