Datenschutz im Verein. Wer darf was wissen?

Rechtsgrundlagen und die wichtigsten Begriffe

Das für Vereine maßgebliche Datenschutzrecht ruht auf zwei Säulen. Auf europäischer Ebene bildet die Datenschutz-Grundverordnung (DSGVO) den zentralen Rahmen; sie ist seit 25. Mai 2018 unmittelbar anwendbar und regelt Zulässigkeit der Verarbeitung, Rechte der Betroffenen, Pflichten der Verantwortlichen und Sanktionen. Auf nationaler Ebene ergänzt das österreichische Datenschutzgesetz (DSG) die DSGVO, etwa mit Regelungen zur Bildverarbeitung und zum Recht auf Löschung, und richtet die Datenschutzbehörde als Aufsichtsbehörde ein.

Der sachliche Anwendungsbereich der DSGVO ist weit. Erfasst wird jede ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nichtautomatisierte Verarbeitung, wenn die Daten in einem Dateisystem gespeichert sind (Art 2 Abs 1 DSGVO). Ob elektronisch oder auf Papier gearbeitet wird, ist unerheblich; entscheidend ist allein, ob die Daten strukturiert und nach bestimmten Kriterien zugänglich sind. Die klassische Papierkartei mit Mitgliederdaten fällt damit ebenso unter die DSGVO wie eine Excel-Tabelle.

"Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art 4 Z 1 DSGVO); auf Verstorbene ist die DSGVO nicht anwendbar. Im Vereinsalltag zählen dazu vor allem die Stammdaten der Mitglieder wie Name, Anschrift, Geburtsdatum, Telefonnummer und E-Mail-Adresse, die für die Beitragsabbuchung nötigen Bankdaten samt Zahlungshistorie, Dienstnehmerdaten wie Sozialversicherungsnummer oder Religionszugehörigkeit, der Schriftverkehr mit Mitgliedern und Organwaltern sowie Fotos, auf denen Personen erkennbar sind.

Der Begriff der "Verarbeitung" von Daten ist ebenso weit: Er umfasst jeden Vorgang von der Erfassung über Speicherung, Veränderung, Verwendung, Offenlegung und Übermittlung bis zur Löschung (Art 4 Z 2 DSGVO). Praktisch alles, was ein Verein mit Personendaten tut, ist Verarbeitung – das Einpflegen des Beitrittsformulars in die Mitgliederdatenbank, der Versand von Zahlscheinen, der monatliche Newsletter, das Fotografieren beim Vereinsfest. Verantwortlich ist, wer über Zwecke und Mittel der Verarbeitung entscheidet (Art 4 Z 7 DSGVO). Das ist in aller Regel der Verein als juristische Person – nicht die Vorstandsmitglieder und nicht ein allfälliger Datenschutzbeauftragter. Verwaltungsstrafen treffen daher in erster Linie den Verein.

Wann ein Verein Daten verarbeiten darf

Die DSGVO folgt einem sogenannten Verbotsprinzip mit Erlaubnisvorbehalt: Die Verarbeitung fremder personenbezogener Daten ist grundsätzlich verboten, es sei denn, ein Rechtfertigungsgrund liegt vor. Für Vereine sind vier derartiger Gründe praktisch relevant (Art 6 Abs 1 DSGVO).

Der bei weitem wichtigste ist die Vertragserfüllung. Die Mitgliedschaft begründet ein rechtsgeschäftsähnliches Schuldverhältnis zwischen Mitglied und Verein, dessen Inhalt sich aus den Statuten ergibt. Alle Daten, die für Begründung, Durchführung oder Beendigung der Mitgliedschaft notwendig sind, darf der Verein daher ohne gesonderte Einwilligung verarbeiten. Damit kommt den Statuten eine zentrale Bedeutung zu: Sie bestimmen, welche Zwecke der Verein verfolgt und welche Tätigkeiten er dafür entfaltet – und daraus lässt sich ableiten, welche Mitgliedsdaten verarbeitet werden dürfen.

Hinzu tritt die Erfüllung gesetzlicher Verpflichtungen, etwa für steuerrechtliche Aufzeichnungs- und Buchführungspflichten oder die Anzeige der Wahl von Organwaltern gegenüber der Vereinsbehörde. Weiters kann ein berechtigtes Interesse des Vereins die Verarbeitung tragen, wenn es die Interessen und Grundrechte der betroffenen Person überwiegt – denkbar etwa beim Betrieb einer Vereinswebsite mit den Kontaktdaten der Organmitglieder oder bei der Weitergabe von Mitgliederdaten an den Dachverband im Rahmen geregelter Organisationsstrukturen. Erst dann, wenn keiner dieser Gründe greift, wird die Einwilligung der betroffenen Person erforderlich.

Die Einwilligung: freiwillig, informiert, bestimmt

Wo eine Einwilligung nötig ist, muss sie bestimmten Anforderungen genügen (Art 7 DSGVO). Sie kann formfrei erteilt werden, muss aber freiwillig, informiert, bestimmt und eindeutig sein.

Freiwillig heißt, dass die Einwilligung auf einer echten Wahlmöglichkeit beruht und nicht durch ein Machtgefälle oder Druck beeinflusst wird; insbesondere darf die Aufnahme in den Verein nicht von einer Einwilligung für vereinsfremde Zwecke abhängen. Erforderlich ist außerdem eine eindeutige bestätigende Handlung; vorangekreuzte Kästchen oder bloßes Schweigen genügen nicht, und eine Widerspruchslösung, nach der die Einwilligung als erteilt gilt, wenn jemand nicht explizit widerspricht, ist unzulässig. Informiert ist die Einwilligung, wenn die betroffene Person vorher verständlich erfahren hat, welche Daten zu welchem Zweck verarbeitet werden, wer verantwortlich ist, an wen die Daten gehen und dass der Widerruf jederzeit möglich ist. Bestimmt bedeutet, dass für jede Verarbeitungstätigkeit eine gesonderte Einwilligung einzuholen ist; eine Sammeleinwilligung ist nur zulässig, wenn die einzelnen Zwecke klar abgegrenzt und einzeln bestätigbar sind.

Bei Minderjährigen kommt es auf die konkrete Einsichtsfähigkeit im jeweiligen Verwendungszusammenhang an. Bei Kindern unter vierzehn Jahren ist regelmäßig die Einwilligung eines Sorgeberechtigten erforderlich; bei älteren Teenagern ist von Fall zu Fall zu prüfen, wobei die Einsichtsfähigkeit umso eher zu bejahen ist, je näher die Volljährigkeit rückt.

Die betroffene Person kann ihre Einwilligung jederzeit widerrufen; über dieses Recht ist sie bereits bei Erteilung zu informieren. Der Widerruf ist formfrei, muss aber ebenso einfach möglich sein wie die Erteilung; wer die Einwilligung über ein Webformular einholt, darf für den Widerruf nicht den eingeschriebenen Brief verlangen, da das schwieriger wäre als eine simple Zustimmung (respektive ein simpler Widerruf) über die Website. Nach einem Widerruf ist jede weitere Datenverarbeitung unzulässig, sofern sie nicht auf einem anderen Rechtfertigungsgrund ruht – bestimmte Daten dürfen also trotz Widerruf weiterverarbeitet werden, etwa zur Erfüllung steuerlicher oder sozialversicherungsrechtlicher Pflichten.

Mitgliederdaten: erheben, zugreifen, löschen

Beim Beitritt darf der Verein jene Daten erheben, die für Begründung und Durchführung der Mitgliedschaft erforderlich sind. Dabei gilt der Grundsatz der Datenminimierung (Art 5 Abs 1 lit c DSGVO): erhoben werden darf nur, was dem Zweck angemessen und auf das notwendige Maß beschränkt ist. Die Frage nach einer früheren oder parallelen Mitgliedschaft in konkurrierenden Organisationen ist daher in der Regel unzulässig.

Besondere Vorsicht ist bei den sensiblen Datenkategorien geboten: Angaben über rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gesundheitsdaten sowie Daten zum Sexualleben und zur sexuellen Orientierung unterliegen einem verschärften Schutzregime (Art 9 DSGVO). Im Vereinskontext ist das in vielen Fällen praxisrelevant, denn schon die Mitgliedschaft kann einschlägige Rückschlüsse zulassen – bei einem kirchlichen Verein auf die religiöse Überzeugung, bei einem Kulturverein auf die ethnische Herkunft, bei einem Verein zur Gleichstellung homosexueller Personen auf die sexuelle Orientierung. Für Vereine greift hier allerdings eine wichtige Erleichterung: Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie auf Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeit erfolgt, sich ausschließlich auf aktuelle oder ehemalige Mitglieder beziehungsweise auf Personen mit regelmäßigem Kontakt bezieht und die Daten nicht ohne Einwilligung nach außen offengelegt werden (Art 9 Abs 2 lit d DSGVO).

Innerhalb des Vereins gilt das Need-to-know-Prinzip: Jede Person darf nur auf jene Daten zugreifen, die sie für ihre konkreten Aufgaben braucht. Der Vorstand wird regelmäßig auf alle Mitgliederdaten zugreifen dürfen, um seinen Pflichten nachzukommen. Der Kassier benötigt Name, Anschrift, Bankverbindung und Beitragsinformationen, nicht aber Angaben zur weltanschaulichen Meinung eines Mitglieds; der Schriftführer braucht Zugriff auf Protokolle und Umlaufbeschlüsse.

Nach Beendigung der Mitgliedschaft besteht grundsätzlich ein Löschungsanspruch des ehemaligen Mitglieds (Art 17 DSGVO). Daten, die für steuerrechtliche Aufbewahrungspflichten – nach § 132 BAO sieben Jahre – weiter benötigt werden, dürfen und müssen aber aufbewahrt werden; ihre Nutzung ist dann auf diese steuerlichen Zwecke einzuschränken.

Prüfschema: In fünf Schritten zur Antwort

Ob eine Datenverarbeitung zulässig ist, lässt sich in Standardfällen anhand eines stringenten Schemas klären. Der erste Schritt ist die Frage, ob überhaupt personenbezogene Daten verarbeitet werden; bei anonymisierten Informationen greift die DSGVO nicht. Im zweiten Schritt ist zu klären, ob ein konkreter Verarbeitungszweck festgelegt ist. Er muss konkret, eindeutig und legitim sein (Art 5 Abs 1 lit b DSGVO), wobei Mitgliederverwaltung einen tauglichen Zweck darstellen kann.

Der dritte Schritt fragt nach der Rechtsgrundlage nach Art 6 DSGVO, also nach Vertragserfüllung, gesetzlicher Verpflichtung, berechtigtem Interesse oder Einwilligung. Fehlt sie, ist die Verarbeitung unzulässig, so sinnvoll der Zweck auch erscheinen mag. Im vierten Schritt ist zu prüfen, ob eine besondere Datenkategorie betroffen ist; dann genügt eine Rechtsgrundlage allein nicht, sondern es muss zusätzlich ein Ausnahmetatbestand nach Art 9 Abs 2 DSGVO vorliegen. Der fünfte Schritt schließlich betrifft die Information: Selbst eine inhaltlich zulässige Verarbeitung bleibt rechtswidrig, wenn der Verein seinen Informationspflichten nicht nachgekommen ist.

Informationspflichten und die Rechte der Betroffenen

Der Verantwortliche muss betroffenen Personen bestimmte Informationen zur Verfügung stellen (Art 12 DSGVO); das diesem Zweck dienende Dokument wird in der Praxis als "Datenschutzerklärung" oder "Datenschutzmitteilung" bezeichnet. Sie sollte Name und Kontaktdaten des Vereins enthalten, gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten, Zweck und Rechtsgrundlage jeder Verarbeitungstätigkeit, die Empfänger oder Empfängerkategorien, eine allfällige Absicht der Übermittlung in Drittländer, die Speicherdauer, eine Belehrung über die Betroffenenrechte, den Hinweis auf das Widerrufsrecht bei einwilligungsbasierter Verarbeitung, den Hinweis auf das Beschwerderecht bei der Datenschutzbehörde, Information über eine allfällige Pflicht zur Datenbereitstellung und deren Folgen sowie, falls einschlägig, einen Hinweis auf automatisierte Entscheidungsfindung.

Diese Informationen müssen klar, verständlich und leicht zugänglich sein. Verständlichkeit heißt, ein für den adressierten Personenkreis passendes Sprachniveau zu wählen. Leicht zugänglich wird die Information etwa dadurch, dass jedem Mitglied beim Beitritt ein Exemplar der Datenschutzerklärung ausgefolgt wird; ein Hinweis auf die Website genügt, wenn das Mitglied darauf tatsächlich Zugriff hat. Zeitlich gilt: Werden die Daten direkt bei der betroffenen Person erhoben, ist im Zeitpunkt der Erhebung zu informieren – das Neomitglied muss also spätestens vor Abgabe der Beitrittserklärung Gelegenheit haben, die Erklärung zu lesen. Werden Daten bei einem Dritten erhoben, ist binnen eines Monats zu informieren.

Unabhängig davon räumt die DSGVO den Betroffenen ein umfassendes Bündel an Rechten ein, deren Ausübung der Verein aktiv ermöglichen muss – auch dann, wenn die Antwort bereits in der Datenschutzerklärung steht. Das Auskunftsrecht (Art 15 DSGVO) erlaubt jeder Person zu erfahren, ob und welche Daten der Verein über sie verarbeitet, zu welchem Zweck, woher sie stammen, an wen sie weitergegeben wurden und wie lange sie gespeichert werden; die Auskunft ist kostenlos und spätestens binnen eines Monats zu erteilen, wobei bei besonders umfangreichen Anfragen eine einmalige Verlängerung um zwei Monate möglich ist, über die unverzüglich zu informieren ist. Umfasst ist auch die Übermittlung einer Kopie aller verarbeiteten Daten. Hinzu treten das Recht auf Berichtigung unrichtiger oder unvollständiger Daten (Art 16 DSGVO), das Recht auf Widerruf einer Einwilligung (Art 7 Abs 3 DSGVO), die Rechte auf Einschränkung der Verarbeitung und auf Widerspruch (Art 18 und 21 DSGVO), das Recht auf Datenübertragbarkeit in einem strukturierten, maschinenlesbaren Format (Art 20 DSGVO) sowie das Recht auf Löschung (Art 17 DSGVO). Schließlich kann jede betroffene Person bei der Datenschutzbehörde Beschwerde erheben (Art 77 DSGVO).

Weitergabe und Veröffentlichung von Daten

Jede Weitergabe personenbezogener Daten von Mitgliedern oder Organwaltern braucht eine Rechtsgrundlage nach Art 6 DSGVO. Unproblematisch ist das bei Behörden und Versicherungsträgern: Die Erfassung von Personaldaten der Vorstandsmitglieder im Zentralen Vereinsregister ist zur Erfüllung gesetzlicher Pflichten erforderlich, ebenso können Steuer- und Sozialversicherungsgesetze Offenlegungen verlangen, und schließt ein Sportverein eine Gruppenversicherung für seine Mitglieder ab, ist die Übermittlung gewisser Daten zur Vertragserfüllung nötig.

Schwieriger wird es bei Dachverbänden, die datenschutzrechtlich ebenfalls "Dritte" sind. Die Übermittlung von Mitgliederdaten an einen Dachverband sollte daher in den Statuten vorgesehen werden, um nachträgliche Diskussionen zu vermeiden. Ob ohne statutarische Grundlage die Einwilligung jedes einzelnen Mitglieds erforderlich ist oder schon ein hinreichendes berechtigtes Interesse vorliegt, ist von Fall zu Fall zu beurteilen. Jedenfalls muss der Mitgliedsverein sicherstellen, dass der Dachverband die Daten zweckgebunden verwendet.

So manche Verwendung personenbezogener Daten wirft im Vereinskontext Probleme auf und sollte wohl überlegt sein: Das gilt etwa für den Anschlag der Geburtstage von Mitgliedern des Kleingartenvereins auf dem Schwarzen Brett, die Einrichtung von WhatsApp-Gruppen für alle Vereinsmitglieder und Organwalter oder die Weitergabe von Mitgliederlisten durch den Vorstand an einzelne Vereinsmitglieder. Eine allgemeingültige, simplifizierende Beantwortung, ob derartige Formen der Datenverarbeitung zulässig sind, ist nicht möglich, sondern hat eine Beurteilung von Fall und Fall zu erfolgen. 

Dokumentation und Zuständigkeiten

Datenschutzerklärung

Bereits angesprochen wurde, dass so gut wie alle Vereine eine Datenschutzerklärung führen sollten. Mehr dazu findet sich im Kapitel "Informationspflichten und die Rechte der Betroffenen".

Verzeichnis von Verarbeitungstätigkeiten

Manchen Vereinen sei auch ein Verzeichnis von Verarbeitungstätigkeiten ans Herz zu legen. Darunter versteht man eine interne Dokumentation eines Datenverarbeiters, die der Datenschutzbehörde auf Aufforderung offenzulegen ist. Verantwortliche mit weniger als 250 Mitarbeitern sind von der Pflicht, ein Verarbeitungsverzeichnis zu führen, jedoch ausgenommen, sofern die Datenverarbeitung kein Risiko für die Rechte und Freiheiten der Betroffenen birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien umfasst. 

Inhaltlich hat ein solches Verzeichnis Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und verarbeiteter Daten, die Empfänger, die geplanten Löschfristen sowie die technischen und organisatorischen Schutzmaßnahmen zu enthalten.

Datenschutz-Folgenabschätzung

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine Verarbeitung personenbezogener Daten nach Art, Umfang, Umständen und Zwecken voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art 35 DSGVO). Bei den meisten Vereinen wird das nicht der Fall sein; anderes kann beispielsweise für Vereine gelten, deren Kerntätigkeit in der systematischen Verarbeitung von Gesundheitsdaten besteht. Eine Datenschutzfolgenabschätzung muss insbesondere die geplanten Verarbeitungsvorgänge und deren Zwecke beschreiben, die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung bewerten sowie die Risiken für die betroffenen Personen analysieren. Außerdem sind die Maßnahmen darzustellen, mit denen diese Risiken bewältigt und der Schutz personenbezogener Daten sichergestellt werden soll. In Österreich enthalten die Verordnungen der Datenschutzbehörde zudem Listen von Verarbeitungsvorgängen, für die eine Datenschutzfolgenabschätzung jedenfalls erforderlich bzw ausnahmsweise nicht erforderlich ist.

Datenschutzbeauftragter

Auch ein Datenschutzbeauftragter ist nur unter engen Voraussetzungen zwingend zu bestellen, nämlich wenn die Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Datenkategorien oder von Daten über strafrechtliche Verurteilungen besteht (Art 37 DSGVO). Der erste Fall wird bei Vereinen kaum vorkommen; denkbar ist der zweite Fall, etwa bei einem Verein, der Straftäter bei deren Resozialisierung begleitet.

Als Datenschutzbeauftragter ist geeignet, wer nachgewiesene Sachkunde im Datenschutzrecht und in der IT-Praxis besitzt, zuverlässig ist und keiner Interessenkollision unterliegt – ob das eine interne oder externe Person ist, ist unerheblich. Zu den zentralen Aufgaben des Datenschutzbeauftragten zählen die Beratung des Leitungsorgans, die Überwachung der Einhaltung von DSGVO und internen Regeln, die Funktion als Ansprechpartner für Behörden und Betroffene sowie Sensibilisierung und Schulung.

Technische Maßnahmen, Dienstleister und Datenpannen

Jeder Verantwortliche hat geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; die Anforderungen richten sich nach Art und Umfang der Verarbeitung und der Sensibilität der Daten. Organisatorisch empfehlen sich klare Zuständigkeiten, die regelmäßige Schulung aller Personen, die mit Daten umgehen, ein Konzept zur laufenden Löschung nicht mehr benötigter Daten und – am häufigsten übersehen – von Anfang an die Minimierung der überhaupt verarbeiteten Daten. Technisch kommen die physische Zugangssicherung durch versperrte Serverräume und Aktenschränke, die Verschlüsselung elektronischer Daten, ein abgestuftes Zugriffssystem und die regelmäßige Datensicherung in Betracht.

Beauftragt der Verein externe Dienstleister, die dabei notwendigerweise Zugriff auf personenbezogene Daten erlangen – Steuerberater und Lohnverrechner, IT-Dienstleister, Anbieter von Cloud-Lösungen –, liegt eine Auftragsverarbeitung vor, die einen eigenen Vertrag voraussetzt (Art 28 DSGVO). Dieser Auftragsverarbeitungsvertrag ist schriftlich oder in dokumentierter elektronischer Form abzuschließen und sollte Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen, die Rechte und Pflichten beider Seiten, Regelungen zur Beiziehung von Subauftragnehmern, die technischen und organisatorischen Schutzmaßnahmen sowie Löschung oder Rückgabe der Daten nach Vertragsende regeln.

Erfolgt die Verarbeitung außerhalb der Europäischen Union, gelten besonders strenge Vorgaben. Vereine sollten daher entweder europäische Auftragsverarbeiter beiziehen oder – wenn sich US-amerikanische Anbieter aufgrund ihrer Marktstellung aufdrängen – auf eine Leistungserbringung innerhalb der EU achten, etwa durch Auswahl europäischer Server.

Werden personenbezogene Daten rechtswidrig oder auch nur versehentlich veröffentlicht, verändert, vernichtet oder Dritten zugänglich gemacht, liegt eine Datenschutzverletzung vor (Art 4 Z 12 DSGVO). Das muss nicht der Hackerangriff sein: Es genügt, wenn ein Notebook gestohlen wird oder ein USB-Stick mit der Mitgliederliste verloren geht. Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen, ist die Datenschutzbehörde unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, zu informieren (Art 33 DSGVO). Besteht sogar ein hohes Risiko, sind zusätzlich die betroffenen Personen zu verständigen (Art 34 DSGVO). Kein Risiko wird dagegen in der Regel vorliegen, wenn das gestohlene Notebook mit einem nach dem Stand der Technik sicheren Passwort geschützt oder die Laufwerke adäquat verschlüsselt waren – dann ist niemand zu informieren. In jedem Fall aber ist die Verletzung intern zu dokumentieren, und diese Dokumentation ist der Behörde auf Aufforderung vorzulegen (Art 33 Abs 5 DSGVO); sie sollte den Sachverhalt einschließlich der ergriffenen Abhilfemaßnahmen und die möglichen Auswirkungen beschreiben.