DSGVO im Sportverein: welche Mitgliederdaten aufbewahren?

Fast jeder Vorstand denkt, beim Datenschutz gehe es um ein Formular, das die Mitglieder unterschreiben. Genau das ist der Teil, der am wenigsten zählt. Wo es in einem Sportverein wirklich schiefgeht: Niemand kann aufzählen, an wie vielen Stellen die Mitgliederdaten liegen, wer überall darauf zugreifen kann und was an dem Abend passiert, an dem eine ehrenamtliche Helferin den falschen Anhang mitschickt.

Du hast keine Mitgliederliste — du hast sieben

Frag einen Vorstand, wo die Mitgliederdaten liegen, und du bekommst eine Antwort: in der Mitgliederverwaltung. Geh danach eine Stunde durch den Verein, und du landest bei sieben oder acht Stellen:

• Die Verbandsverwaltung, über die der Verein Mitglieder für die Spielberechtigung an- und abmeldet.
• Die eigene Mitgliederverwaltung: Name, Adresse, Geburtsdatum, Art der Mitgliedschaft.
• Die Buchhaltung, mit Bankverbindungen, Lastschriften und Beitragsrückständen.
• Die Team-App oder das Trainerwerkzeug, mit Anwesenheit, Statistiken und Notizen pro Spieler.
• Die Gruppenchats: einer pro Mannschaft plus die der Ausschüsse, alle voller Telefonnummern.
• Die Tabellen der sportlichen Leitung, des Turnierausschusses und der Ehrenamtskoordination.
• Das gemeinsame Laufwerk, auf dem Jahresabschlüsse, alte Mitgliederlisten und die Zuverlässigkeitsnachweise der Ehrenamtlichen einfach liegen bleiben.
• Das Mailwerkzeug, mit Adressen, die seit Jahren zu keinem Mitglied mehr gehören.

Deshalb stimmt „wir haben die ehemaligen Mitglieder gelöscht“ fast nie: In der Mitgliederverwaltung wurde ein Knopf gedrückt, während dieselben Namen in allen anderen Systemen stehen bleiben — und ausgerechnet für die unteren vier dieser Liste ist niemand zuständig. Fang also nicht mit einem Formular an, sondern mit dieser Bestandsaufnahme.

Die Rechtsgrundlage: keine Einwilligung, sondern der Mitgliedsvertrag

Der häufigste Fehler: Vereine lassen ihre Mitglieder eine Einwilligung für die ganz normale Mitgliederverwaltung unterschreiben. Das ist nicht nur überflüssig, es ist die schwächste Wahl überhaupt — eine Einwilligung kann jederzeit widerrufen werden. Widerruft ein Mitglied sie, während du die Adresse brauchst, um die Mitgliedschaft überhaupt durchzuführen, stehst du mit leeren Händen da.

Die DSGVO (in anderen EU-Ländern GDPR oder AVG genannt: dieselbe Verordnung, dieselben Artikel) nennt sechs Rechtsgrundlagen. Ein Sportverein nutzt davon vier:

• Erfüllung des Vertrags (Artikel 6 Absatz 1b): die Mitgliederverwaltung selbst — Name, Adresse, Geburtsdatum, Kontaktdaten, Beitrag, Mannschaftseinteilung, Meldung beim Verband. Wer Mitglied wird, schließt einen Vertrag; dafür muss nichts zusätzlich unterschrieben werden.
• Rechtliche Verpflichtung (6 Absatz 1c): die Finanzbuchhaltung.
• Berechtigtes Interesse (6 Absatz 1f): der Newsletter an die eigenen Mitglieder, die Videoüberwachung in der Halle und die sportlichen Daten, die ein Trainer führt — Anwesenheit, Statistiken, Beobachtungen.
• Einwilligung (6 Absatz 1a): was übrig bleibt. Foto- und Videomaterial, der Newsletter an Nichtmitglieder und alles, was ein Mitglied ablehnen kann, ohne dass sich sonst etwas ändert.

Genau das ist der Test für Zweifelsfälle: Kann dieses Mitglied Nein sagen, ohne Folgen für seine Mitgliedschaft? Wenn nein, musst du eine der drei anderen Grundlagen benennen. Wenn ja, muss dieses Nein ohne Umstände möglich sein — und du musst in deinen Systemen sehen, wer es gesagt hat. Bildmaterial ist der bekannteste Fall, in dem du die Einwilligung pro Person festhältst; wie du das je Spieler machst, steht in welche Spielerdaten du als Trainer brauchst. Bei Minderjährigen unterschreibt ein Elternteil den Vertrag; das Alter, ab dem ein Kind für Online-Dienste selbst einwilligen darf, liegt laut Verordnung zwischen dreizehn und sechzehn Jahren und ist von Land zu Land unterschiedlich.

Das Verarbeitungsverzeichnis: eine Zeile pro System, kein Bericht

Artikel 30 verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Viele Vorstände überspringen das, weil kleine Organisationen es angeblich nicht brauchen. Diese Ausnahme gibt es, aber sie entfällt, sobald die Verarbeitung nicht gelegentlich, sondern dauerhaft erfolgt — und eine Mitgliederverwaltung ist per Definition dauerhaft. Geh also davon aus, dass du es brauchst.

Es ist kein Bericht, sondern eine Tabelle mit einer Zeile pro System aus der Bestandsaufnahme oben — bei den meisten Vereinen also rund zehn Zeilen — und sieben Spalten. System und zuständige Person. Welche Daten, in Kategorien: Kontakt-, Finanz-, Sport- und Gesundheitsdaten; die letzten fallen unter ein strengeres Regime (Artikel 9), halte diese Spalte also kurz. Wofür du sie nutzt. Auf welcher Rechtsgrundlage. Wer Zugriff hat, nach Rolle und nicht nach Name. Wie lange du sie aufbewahrst. Mit wem du sie teilst, und wo diese Daten dann liegen.

Das ist ein Abend Arbeit und bringt mehr als das ganze Regelwerk drumherum: Beim Ausfüllen der Spalten zu Zugriff und Aufbewahrung kommen die Lücken von selbst hoch. Leg das Verzeichnis ins Vereinshandbuch und aktualisiere es an dem Abend, an dem du auch den Haushalt machst.

Wie lange bewahrst du was nach einer Kündigung auf?

Es gibt keine allgemeine Aufbewahrungsfrist für Mitgliederdaten, und genau danach suchen Vorstände. Die Regel ist ein Prinzip: nicht länger als für den Zweck nötig. Du legst also je Datenart fest, wann der Zweck endet. In einem Sportverein sind das vier Stapel:

• Mitgliederverwaltung (Name, Adresse, Geburtsdatum, Kontaktdaten, Verbandsnummer): Der Zweck endet mit dem Ende der Mitgliedschaft. Rechne eine kurze Abwicklungszeit für den letzten Beitrag und die Abmeldung beim Verband ein und räum danach auf.
• Finanzbuchhaltung (Rechnungen, Beitragszahlungen, Lastschriftdaten): Die behältst du länger, denn dafür gilt eine gesetzliche Aufbewahrungspflicht. Wie lange, ist von Land zu Land verschieden, schlag diese Frist also bei deiner eigenen Steuerbehörde oder deinem Steuerberater nach und schreib die Zahl ins Verzeichnis. Sie gilt nur für die Finanzbuchhaltung, nicht für den Rest.
• Sportliche Daten (Anwesenheit, Statistiken, Notizen, Ziele): Der Zweck ist das Trainieren, und der endet, sobald jemand nicht mehr in der Mannschaft spielt. Das Saisonende nach dem Weggang ist ein vertretbarer Zeitpunkt; länger geht nur, wenn du erklären kannst, wofür.
• Ehrenamts- und Sicherheitsdaten (Zuverlässigkeitsnachweise — wie sie heißen und ob sie vorgeschrieben sind, ist von Land zu Land verschieden —, Ausschusskontakte, Meldungen bei der Vertrauensperson): Die gehören zu einer anderen Rolle als der Mitgliedschaft — und damit zu einer eigenen Frist und einem eigenen, engen Zugriff.

Das Vereinsarchiv darf bleiben, ist aber kein Freibrief, alte Mitgliederdateien vollständig aufzuheben: Behalte Namen, Mannschaften und Ergebnisse und nimm Adressen, Geburtsdaten und Bankdaten heraus. Setz danach einen festen Aufräumtermin in den Jahreskalender, zum Beispiel sechs Wochen nach dem letzten Spieltag. Ohne festes Datum wird Aufräumen nie jemandes Aufgabe, und der Stapel wächst jede Saison weiter. Was sonst noch passiert, wenn jemand geht, steht in ein Spieler verlässt die Mannschaft.

Die vier Fälle, zu denen kein DSGVO-Muster etwas sagt

Mustervorlagen für Vereine sind für eine Organisation mit einer Mitgliederliste und einem Newsletter geschrieben. Diese vier Situationen kommen in jedem Sportverein vor und stehen dort nie drin:

1. Die Trainernotizen zu einem Jugendmitglied. Das sind personenbezogene, manchmal sensible Daten. Sie dürfen existieren, solange sie dem Trainieren dienen, aber der Verein regelt zwei Dinge: dass sie sich auf Verhalten und Können beziehen und nicht auf Charakter oder Familiensituation, und dass ein Elternteil sie auf Nachfrage einsehen kann. Die Schreibregel, die das erzwingt, steht in Spielernotizen führen: Schreib nichts auf, was du den Spieler nicht lesen lassen würdest.
2. Die Anwesenheitshistorie von jemandem, der letztes Jahr aufgehört hat. Frag laut, wofür du die noch aufbewahrst. Für das ehemalige Mitglied gibt es keinen Zweck mehr; für den Verein schon, aber dann geht es um Summen — wie viele Spieler pro Mannschaft, wie sich die Teilnahme über die Saisons entwickelt hat. Behalte also die Mannschaftssumme und wirf die Zeilen pro Name weg.
3. Darf der neue Trainer die Notizen seines Vorgängers sehen? Bei Spielern, die noch in der Mannschaft sind: ja, denn der Zweck — diese Mannschaft trainieren — hat sich nicht geändert, und die Daten gehören dem Verein, nicht dem scheidenden Trainer. Bei Spielern, die weg sind: nein, die gehören in die Aufräumrunde. Mach daraus bei einer Trainerübergabe einen ausdrücklichen Moment.
4. Wer sieht die Telefonnummern von Jugendmitgliedern? Das ist die Lücke, die Vorstände am häufigsten übersehen. Sobald es einen Gruppenchat pro Mannschaft gibt, hat jedes Mitglied — und jedes hinzugefügte Elternteil, jede Aushilfe und jeder Ehemalige, den nie jemand entfernt hat — die Nummer jedes Kindes in dieser Mannschaft. Das hat niemand entschieden, und niemand räumt es auf. Legt also fest, wer einen Gruppenchat verwaltet und dass ausscheidende Mitglieder innerhalb einer Woche herausgenommen werden. Warum der Gruppenchat hier strukturell zu kurz greift, steht in warum die WhatsApp-Gruppe scheitert.

Wer im Verein darf an welche Daten?

Die DSGVO verlangt kein Schloss an der Tür, aber schon, dass der Zugriff zur Rolle passt. Genau hier fallen Vereine durch: Fast jeder hat einen gemeinsamen Ordner, auf den mehr Leute zugreifen können, als dort etwas zu suchen haben, und niemand weiß mehr, warum die letzte Person jemals dazukam. Eine praktikable Aufteilung:

• Mitgliederverwaltung: Name, Adresse, Geburtsdatum, Verbandsnummer, Status der Mitgliedschaft. Keine Notizen, keine Statistiken.
• Kassenwart: Name, Bankdaten, Beitragsstatus. Keine Gesundheitsangaben, keine sportlichen Daten.
• Trainer: nur die eigene Mannschaft — Kontaktdaten, Notfallnummer, was in der Halle gebraucht wird, und die eigenen Aufzeichnungen. Keine Bankdaten und keine Zahlungsrückstände: Dass ein Trainer weiß, wer noch nicht gezahlt hat, ist ein klassisches Leck.
• Sportliche Leitung: Name, Alter, Position, Mannschaftseinteilung und die Einschätzung, die ein Trainer schreibt — nicht das komplette Notizarchiv. Wie diese Gruppe ihre Entscheidungsmomente ordnet, steht in die sportliche Leitung und die vier Momente im Vereinsjahr.
• Vertrauensperson und Vorstand: Hat dein Verein diese Rolle — ob es sie gibt und wie sie heißt, unterscheidet sich je nach Land und Verband —, dann führt diese Person eine getrennte Akte; der Vorstand hat darauf kein automatisches Einsichtsrecht. Vorstandsverantwortung ist etwas anderes als Zugriff auf jedes Feld.

Der schnellste Test, ob das stimmt: Wer kann heute Abend, ohne jemanden zu fragen, die komplette Mitgliederliste mit Geburtsdaten und Telefonnummern herunterladen? Kannst du diese Namen nicht auswendig aufzählen, ist dein Zugriff nicht geregelt — egal, wie gut das Datenschutzkonzept geschrieben ist.

Software mit echten Rollen nimmt dir hier die meiste Arbeit ab: In Koach sieht ein Trainer nur die Mannschaften, mit denen er verknüpft ist, während die Vereinsverwaltung auf Vereinsebene sitzt. Das Prinzip gilt unabhängig vom Anbieter — jedes System ohne Rollen ist ein System, in dem alle alles sehen.

Auftragsverarbeitung: mit deiner Software, und der Verband separat

Sobald ein externer Anbieter in deinem Auftrag Mitgliederdaten verarbeitet, gehört ein Auftragsverarbeitungsvertrag dazu (Artikel 28). Für einen Verein sind das schnell acht Parteien: die Mitgliederverwaltung, die Buchhaltung, die Team-App, das Mailwerkzeug, das Formularwerkzeug, der Cloudspeicher, das Webhosting und manchmal ein Videodienst. Praktisch jeder ernsthafte Anbieter hat einen bereitliegen; heraussuchen und annehmen, keine Verhandlung.

Beim Verband liegt es anders. Viele Verbände bestimmen den Zweck ihrer Mitgliederverwaltung selbst und sind dann nicht dein Auftragsverarbeiter, sondern eigenständig verantwortlich — das unterscheidet sich je nach Land und Verband, frag also nach, wie deiner es festgelegt hat.

Die Lücke sitzt derweil bei den Werkzeugen, die niemand angemeldet hat: das private Laufwerk des Kassenwarts, das kostenlose Formularwerkzeug des Turnierausschusses, der Druckerzugang für die Mitgliedsausweise. Stell jedem Ausschuss eine einzige Frage: Welches Werkzeug nutzt ihr, in dem Namen oder Nummern stehen? Das bringt fast immer ein oder zwei Systeme ans Licht, die nicht im Verzeichnis standen.

Ein Mitglied, das Auskunft verlangt oder gelöscht werden will

Mitglieder haben Rechte, die der Verein umsetzen können muss: Auskunft (Artikel 15), Berichtigung (16), Löschung (17), Widerspruch (21) und Datenübertragbarkeit (20). In der Praxis sind das drei Absprachen. Eine Adresse auf der Website, zum Beispiel datenschutz@deinverein, die bei zwei Vorstandsmitgliedern ankommt — Anfragen, die bei einem beliebigen Trainer landen, verschwinden. Ein Monat Zeit zur Antwort, bei einem komplexen Antrag verlängerbar auf höchstens drei Monate, sofern du die Verlängerung innerhalb dieses ersten Monats mitteilst; bestätige deshalb immer sofort den Eingang. Und eine Runde durch alle Systeme: Ein Löschantrag, der nur in der Mitgliederverwaltung ausgeführt wird, ist nicht ausgeführt.

Zwei Situationen reiben. Ein Löschantrag kollidiert mit der steuerlichen Aufbewahrungspflicht: Dann löschst du alles außer den Finanzdaten, die du gesetzlich behalten musst, und erklärst das in zwei Sätzen — halb und schweigend ausgeführt bringt immer eine zweite, wütendere Nachricht. Und ein Antrag zu einem minderjährigen Mitglied läuft über das Elternteil; geht es aber um Aufzeichnungen über das Kind selbst, besprich sie mit Kind und Eltern gemeinsam. Die Trainerseite derselben Fragen steht in Datenschutz und Daten für Trainer.

Datenpanne: Die 72 Stunden beginnen beim Ehrenamtlichen

Eine Datenpanne klingt nach einem Hackerangriff, ist in einem Sportverein aber fast immer etwas Alltägliches: die Mitgliederliste als Anhang an die falsche Gruppe, ein Laptop aus dem Auto, ein ehemaliges Vorstandsmitglied mit noch gültigem Cloudzugang oder ein geteiltes Passwort, das seit vier Jahren die Runde macht.

Artikel 33 verlangt eine Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung und möglichst binnen 72 Stunden, es sei denn, ein Risiko für die betroffenen Personen ist unwahrscheinlich; bei hohem Risiko informierst du diese Personen selbst (Artikel 34). Der Haken sitzt im Startzeitpunkt: Diese 72 Stunden laufen, sobald die Organisation davon Kenntnis hat — also wenn die ehrenamtliche Helferin es merkt, nicht wenn der Vorstand zwei Wochen später darüber tagt. Welche Aufsichtsbehörde für dich zuständig ist, unterscheidet sich je nach Land; schreib Name und Meldestelle ins Handbuch, bevor du sie brauchst.

Regelt deshalb drei Dinge, und mehr auch nicht:

• Eine Meldeadresse und eine entscheidende Person, mit Vertretung. Alle — Trainer, Teammanager, Thekendienst — wissen, dass sie dort innerhalb von 24 Stunden melden, auch im Zweifel und auch, wenn es der eigene Fehler war.
• Ein internes Verzeichnis jeder Panne, auch der Pannen, die du nicht meldest. Das ist Pflicht (Artikel 33 Absatz 5) und das einzige Dokument, aus dem später hervorgeht, dass du abgewogen hast, statt nichts zu tun.
• Eine Haltung, die Melden sicher macht. Wer Ärger befürchtet, meldet nicht — und dann ist es nach drei Tagen ohnehin zu spät. Sag ausdrücklich dazu, dass eine Meldung nie zu einem Vorwurf führt.

Häufige Fragen