DSGVO im Verein: Rollen, Zugriffsrechte und Löschkonzept

DSGVO im Verein beginnt mit klaren Aufgaben: Welche Daten brauchst du, wer darf sie nutzen und wann wird ihre weitere Speicherung geprüft? Eine Vereinssoftware kann Berechtigungen und Abläufe unterstützen. Der Verein muss die Zwecke, Zuständigkeiten und Entscheidungen dazu festlegen und nachvollziehbar dokumentieren.

Allgemeine Orientierung, keine Rechts- oder Steuerberatung: Die passenden Rechtsgrundlagen, Aufbewahrungsfristen und Schutzmaßnahmen hängen von den tatsächlichen Verarbeitungen deines Vereins ab. Lass offene Rechtsfragen qualifiziert prüfen.

Mit Zweck und Datenminimierung anfangen

Erstelle eine kurze Übersicht eurer Arbeitsabläufe: Aufnahme, Mitgliederverwaltung, Beitragseinzug, Veranstaltungen und Öffentlichkeitsarbeit. Schreibe zu jedem Ablauf, welche Angaben benötigt werden. Ein Trainingsverteiler benötigt beispielsweise andere Daten als die Kasse.

Prüfe bestehende Freitextfelder und Zusatzlisten genauso wie das Hauptsystem. Eine alte Tabelle auf einem privaten Rechner bleibt eine zu berücksichtigende Datenkopie. Die Vereinsinformationen des BayLDA helfen dir, die organisatorischen Aufgaben einzuordnen.

Zugriffsrechte nach Aufgaben vergeben

Die folgende Rollenmatrix ist ein Arbeitsbeispiel, keine fertige Berechtigungsvorgabe. Prüfe sie gegen die tatsächlichen Aufgaben und die technischen Möglichkeiten eures Systems.

Aufgabe	Typischer Bedarf	Zusätzlich zu prüfen
Mitgliederpflege	Aufnahme- und Kontaktangaben bearbeiten	Welche Zahlungsdaten sind dafür nötig?
Kasse	Beitrags- und Zahlungsdaten bearbeiten	Ist der Zugriff auf weitere persönliche Notizen erforderlich?
Trainingsleitung	Benötigte Angaben der eigenen Gruppe sehen	Sind andere Abteilungen und Finanzdaten ausgeschlossen?
Dokumentenverantwortung	Bestimmte Unterlagen verwalten	Wer darf einzelne vertrauliche Dateien öffnen?
Technische Administration	Konten und Rechte verwalten	Wie werden Änderungen kontrolliert und Vertretungen geregelt?

Gib Adminrechte nur für entsprechende Aufgaben und verwende persönliche Konten. Prüfe Lesen, Bearbeiten und Exportieren getrennt. Bei einem Amtswechsel gehört der Entzug nicht mehr benötigter Rechte zur Übergabe.

Die Funktion Ämter und Rechte und die Anleitung zu Funktionen und Ämtern unterstützen die technische Zuordnung. Prüfe das Ergebnis mit einem Konto der jeweiligen Rolle, einschließlich abteilungsübergreifender Fälle.

Weisung und Vertraulichkeit verständlich dokumentieren

Erkläre Ehrenamtlichen vor dem Zugriff anhand ihrer Aufgaben, was sie mit Daten tun dürfen. Dazu gehören der zulässige Versand von Listen, der Umgang mit privaten Geräten und ein interner Meldeweg bei Fehlversand oder Verlust.

Die DSK empfiehlt eine nachweisbare Unterrichtung und Verpflichtung; auch ehrenamtlich Tätige sind einzubeziehen. Eine dokumentierte Erklärung und verständliche Arbeitsanweisungen helfen dabei. Wiederhole die Hinweise bei Aufgabenwechseln. Grundlage ist das DSK-Kurzpapier 19.

Verzeichnis der Verarbeitungstätigkeiten pflegen

Nutze das Verzeichnis als Überblick über konkrete Abläufe, nicht als Inventarliste aller Softwarefelder. Erfasse etwa Verantwortliche, Zwecke, betroffene Personen, Datenarten, Empfänger, Löschregeln und Schutzmaßnahmen. Das BayLDA-Muster für Vereine zeigt einen möglichen Einstieg.

Übernimm dessen Beispielwerte und Fristen nicht ungeprüft. Benenne für jede Verarbeitung eine Person, die Änderungen meldet. Ein neuer Antragsdienst oder ein zusätzlicher Datenempfänger ist beispielsweise Anlass, den Eintrag erneut anzusehen.

Ein Löschkonzept aus Zweck und Aufbewahrungsgrund entwickeln

Prüfe beim Zweckfortfall, ob ein anderer tragfähiger Grund für die Speicherung besteht, etwa eine gesetzliche Aufbewahrungspflicht oder die erforderliche Rechtsverteidigung. Speichere dann nur den benötigten Umfang und begrenze den Zugriff. Die DSGVO, insbesondere Artikel 5 und 17, bildet den Rahmen.

Lege pro Datenart Auslöser, Begründung, Prüftermin, Zuständigkeit und Löschweg fest. Beim Austritt kannst du etwa die weitere Notwendigkeit von Trainingsverteilern sofort prüfen, während Abrechnungsunterlagen gesondert bewertet werden. Das ist ein Prozessbeispiel und keine gesetzliche Pauschalfrist.

Berücksichtige Exporte, Papierakten, Postfächer und Sicherungen. Dokumentiere, wie gelöschte Daten bei einer Wiederherstellung aus einer Sicherung erneut berücksichtigt werden. Ein geänderter Mitgliederstatus ist noch keine Löschung.

Betroffenenrechte und Schutzmaßnahmen im Alltag

Richte eine erreichbare Anlaufstelle für Auskunft, Berichtigung und Löschanfragen ein. Halte Eingang, Identitätsprüfung, Zuständigkeit und Frist fest; prüfe das Begehren anhand der einschlägigen Rechte und Ausnahmen. Die DSGVO, Artikel 12 bis 22, enthält die Vorgaben.

Praktische Schutzmaßnahmen sind aktuelle Geräte, sichere Anmeldung, begrenzte Freigaben und überprüfte Sicherungen. Für vertrauliche Dokumente brauchst du eine passende Ablage und getestete Sichtbarkeit. Die Dokumentenverwaltung und die Anleitung zum Dokument-Upload zeigen die Konfiguration. Prüfe beim Online-Mitgliedsantrag ebenso den gesamten Weg der erhobenen Daten.

Braucht der Verein einen Datenschutzbeauftragten?

Die Zahl von 20 Personen bezieht sich nach § 38 BDSG auf Personen, die in der Regel ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, nicht auf die Mitgliederzahl. § 38 nennt außerdem Fälle unabhängig von dieser Zahl, unter anderem Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung.

Zusätzlich gelten die Benennungstatbestände aus Artikel 37 DSGVO, insbesondere bestimmte Kerntätigkeiten mit umfangreicher regelmäßiger Überwachung oder umfangreicher Verarbeitung besonders geschützter Daten. „Unter 20“ genügt daher nicht als alleinige Prüfung.

Sieben Punkte für deine Selbstprüfung

1. Jeder Datenbereich hat einen benannten Zweck und eine verantwortliche Person.
2. Rollen und tatsächlich sichtbare Daten wurden anhand konkreter Aufgaben getestet.
3. Ehrenamtliche kennen dokumentierte Arbeitsanweisungen und den Meldeweg bei Vorfällen.
4. Das Verzeichnis beschreibt die aktuell verwendeten Verfahren und Empfänger.
5. Löschregeln enthalten begründete Auslöser, Ausnahmen und Zuständigkeiten.
6. Anfragen betroffener Personen werden nachvollziehbar und fristbewusst bearbeitet.
7. Konten, Freigaben, Sicherungen und die mögliche Benennungspflicht werden regelmäßig überprüft.

Nutze ergänzend den Leitfaden zu notwendigen Mitgliederdaten. Wenn die organisatorischen Anforderungen feststehen, kannst du mit uns die Technische Umsetzung besprechen.

Quellen

• DSGVO: Grundsätze, Betroffenenrechte und organisatorische Pflichten
• BayLDA: Datenschutz im Verein
• BayLDA: Muster eines Verzeichnisses von Verarbeitungstätigkeiten im Verein
• Datenschutzkonferenz: Kurzpapier 19 zur Unterrichtung und Verpflichtung
• BDSG § 38: Datenschutzbeauftragte nichtöffentlicher Stellen