Nützliche Tipps für den Umgang mit sensiblen Daten

Spätestens seit Inkrafttreten der Datenschutzgrundverordnung (DSGVO) im Jahr 2018 ist der Datenschutz in aller Munde – oft als gefürchtetes Thema. Nicht ganz zu Unrecht: Bereits aus wenigen Daten lassen sich manchmal erschreckend genaue Zusammenhänge erschließen. Uns selbst erscheinen „die paar Daten“ unwichtig, wir schauen nur auf die Vorteile, die wir für ihre Preisgabe erhalten. Wir freuen uns über die bequem bestellten Konzertkarten und über die gesammelten Punkte im Supermarkt. Doch auf der anderen Seite machen unsere persönlichen Daten ganze Unternehmen sehr reich und mächtig.

Auch im Kleinen ist es darum wichtig, sensibel mit Daten umzugehen. Für Vereine gibt es dabei gar nicht so viel zu beachten. Denn der beste Datenschutz ist Datensparsamkeit. Wer nur wenige Daten erhebt, kann wenig falsch machen und schützt die Privatsphäre seiner Mitglieder. Gerade im Verein kann man gut mit wenigen Daten für die formale Mitgliederverwaltung auskommen. Denn die lebendige Gemeinschaft im Verein beruht auf persönlicher Bekanntschaft und freundschaftlichem Interesse aneinander.

Wovor schützt Datenschutz?

Datenschutz schützt das Recht auf informationelle Selbstbestimmung. Dieses Recht hat das Bundesverfassungsgericht im Volkszählungsurteil 1983 zu einem Grundrecht erhoben, weil man sich nicht mehr trauen würde, frei und selbstbestimmt zu handeln, wenn man nicht sicher sein könnte, wer welche privaten Informationen über unser Verhalten und unsere Persönlichkeit hat und nutzen kann.

Außerdem umfasst Datenschutz den technischen Schutz von Daten vor Diebstahl, Missbrauch und Manipulation, also IT-Sicherheit.

Wer mit Daten (z.B. Adresse, Alter, Essgewohnheiten, Instrumentenwahl) anderer Menschen zu tun hat (digital auf dem Computer oder analog in Aktenordnern, Art. 2, 4 Nr. 6 DSGVO), muss sie also gut schützen und darf sie nur zu den Zwecken verwenden, die dem Datenbesitzer vorher bekannt gegeben worden sind.

Was sind die wichtigsten Regeln beim Datenschutz?

Wichtig ist, dass der Verein gegenüber seinen Mitgliedern erklärt,

• wofür er welche Daten benötigt,
• wie lange er sie speichert,
• und dass die Mitglieder ihre Zustimmung zur Datennutzung jederzeit widerrufen können.

Außerdem ist wichtig, dass der Verein diesen Grundsatz beherzigt: Je weniger Daten gesammelt werden, desto besser.

Welche Daten benötigt ein Verein?

In der Vereinssatzung oder in einer an den Mitgliedsantrag angefügten Datenschutzerklärung ist geregelt, für welche Zwecke ein Verein die persönlichen Daten (genauer: die personenbezogenen Daten, also alle Daten, die sich auf eine bestimmte oder bestimmbare Person beziehen, Artikel 4 DSGVO) seiner Mitglieder nutzen darf (siehe: Mustersatzung für Vereine, § 11). Für alle Daten, die der Verein erheben möchte, braucht er ein berechtigtes Interesse. Meistens darf der Verein die Daten allein zur Mitgliederverwaltung verwenden, also z.B. zur Einladung zu Mitgliederversammlungen und zum Einzug des Mitgliedsbeitrags. Auch die Zusendung der Vereinszeitschrift bzw. des digitalen Newsletters und die Ankündigung von Probenterminen per E-Mail fallen unter diese Zwecke. Mehr als Namen, Adresse und Bankverbindung braucht der Verein in der Regel nicht, um seine Mitglieder gut zu verwalten.

Im Einzelfall kann und sollte der Verein noch weitere Daten erheben. Wenn ein Verein z.B. häufig Kinderfreizeiten anbietet, sollte er sich nach Lebensmittelallergien erkundigen. Es kann auch sinnvoll sein, besondere Kompetenzen der Mitglieder zu erfragen, die für die Vereinsziele nützlich sind. Dabei ist aber immer zu überlegen, wie groß der Nutzen dieser Datenerhebung tatsächlich ist und ob sich bestimmte Informationen nicht einfach durch Gespräche erlangen lassen, ohne dass sie in einer Datenbank oder in Aktenordnern gespeichert werden müssen. Bei der Erhebung der Daten von Kindern (bis 14 Jahre) müssen die Eltern zustimmen.

Wer mag, kann auf freiwilliger Grundlage das Geburtsdatum erfragen, um Glückwünsche zum Geburtstag zu verschicken.

Will der Verein persönliche Daten am Schwarzen Brett, im passwortgeschützten Bereich auf der Homepage oder in der Vereinszeitschrift veröffentlichen, braucht er hierfür die Zustimmung der betroffenen Mitglieder. Auch hier sollte der Verein genau überlegen und abwägen, warum er welche Daten erfragt und bekannt macht, bevor er seine Mitglieder um die freiwillige Herausgabe bestimmter Informationen bittet. Es kann z.B. durchaus sinnvoll sein, die Adressen der Mitglieder untereinander bekannt zu geben, um Fahrgemeinschaften bilden zu können. In einem großen Verein mag es dagegen den Mitgliedern unliebsam sein, dass so viele, zum Teil eher fremde Personen wissen, wo sie wohnen.

Mustervorlagen für die Bitte um das Einverständnis zur Datenerhebung z.B. durch Videoaufzeichnungen auch von Kindern sind hier zu finden: Fotos und Videos rechtssicher bei der Öffentlichkeitsarbeit verwenden.

Beschäftigt der Verein Personal, gilt dasselbe: Je weniger Daten erhoben werden, desto besser ist der Schutz. Allerdings braucht man von Personal mehr Daten als von Mitgliedern. So sollte zur eindeutigen Identifizierung das Geburtsdatum erfragt werden. Je nach den gewählten Abrechnungsmodalitäten braucht der Verein auch die Steuernummer der/des Beschäftigten.

Auch Daten Dritter müssen nach dem Prinzip der Datensparsamkeit geschützt werden, etwa die Daten von Sponsor*innen, Bühnen-Roadies oder Aushilfen.

Wie lassen sich die Daten schützen?

Der Verein muss die erhobenen Daten gut davor schützen, dass Unbefugte darauf zugreifen können (Art. 32 DSGVO). Dazu gehört die Nutzung von Passwörtern, die Verschlüsselung der Daten, die Installation einer Firewall. Wer z.B. als Kassenwart*in die Mitgliederdaten nutzt, muss seinen PC entsprechend ausrüsten. Guten Rat dazu bietet digitalcourage.de. Es muss nicht jede technische Sicherung eingesetzt werden, aber der Verein sollte sich keine Sorglosigkeit im Umgang mit Daten vorwerfen lassen können (z.B. durch Verwendung von „1234“ als Passwort). Dabei gilt: Je mehr Daten der Verein erhebt, je intensiver er sie nutzt und je größer das Risiko für Datenmissbrauch ist, desto sicherer muss der Verein die Daten verwahren.

Dr. Kiyomi v. Frankenberg
05.08.2022