Brauchen wir eine Datenschutzbeauftragte?

Diese Seite erklärt die Frage, damit euer Vorstand weiß, was zu prüfen ist. Sie entscheidet sie nicht für euren Verein.

Allgemeine Information, keine Rechtsberatung. Gesetzliche Schwellen und Auslegungen ändern sich. Lass die Antwort von einer fachkundigen Stelle bestätigen, zum Beispiel vom Verband, der Landesdatenschutzbehörde oder einer Rechtsberatung.

Für wen

Vorsitz und Stellvertretung.

Voraussetzungen

Du weißt ungefähr, wie viele Personen in eurem Verein regelmäßig Mitgliederdaten digital bearbeiten.

Was ist zu prüfen?

Manche Organisationen müssen eine Datenschutzbeauftragte benennen. Für Vereine in Deutschland spielt vor allem § 38 BDSG zusammen mit Art. 37 DSGVO eine Rolle.

Schwellenwert nach § 38 BDSG: Eine Pflicht kann bestehen, wenn in der Regel eine bestimmte Zahl von Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist. Gemeint sind Personen, die dauerhaft damit arbeiten, zum Beispiel regelmäßig Mitgliederdaten pflegen, nicht jedes Mitglied. Die Zahl ist gesetzlich festgelegt und wurde schon geändert: Lies den aktuellen Wert nach, etwa bei der Landesdatenschutzbehörde oder beim Verband.
Besondere Fälle: Unabhängig von der Personenzahl kann eine Benennung nötig sein, etwa wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder die Kerntätigkeit in umfangreicher Verarbeitung besonderer Kategorien von Daten besteht (zum Beispiel Gesundheitsdaten). MyVerein speichert in Krankmeldungen bewusst keine Diagnosen.
Auch ohne Pflicht: Ein Verein darf freiwillig eine Datenschutzbeauftragte benennen oder eine Ansprechperson für Datenschutzfragen festlegen. Das hilft, ersetzt aber keine Prüfung.

Schritt für Schritt

Website

Schätze die Zahl der Personen, die dauerhaft Mitgliederdaten digital bearbeiten (Vorstand, Schriftführung, Abteilungsleitungen, Trainerinnen und Trainer mit Zugriff).
Prüfe oder lass prüfen, wie hoch der aktuelle Schwellenwert ist und ob ein Sonderfall vorliegt.
Halte das Ergebnis mit Datum fest, auch „keine Pflicht“ mit Begründung, zum Beispiel im Verzeichnis von Verarbeitungstätigkeiten.
Lege fest, wer Ansprechperson für Datenschutz ist. Trage den Kontakt unter Verwaltung, Datenschutz, Einstellungen ein. Er erscheint im Datenschutzhinweis.

App

Diese Einstellung gibt es nur auf der Website.

Wer darf das?

Die Datenschutz-Bereiche in MyVerein (Zugriffsprotokoll, Anfragen, Einwilligungen, Aufbewahrung) nutzen nur Vorsitz und Stellvertretung. Eine eigene Rolle „Datenschutz“ gibt es nicht. Eine Datenschutzbeauftragte arbeitet deshalb mit Vorsitz oder Stellvertretung zusammen.

Häufige Fragen

Wer ist verantwortlich, wenn wir MyVerein nutzen?

Der Verein. MyVerein ist Auftragsverarbeiter, der AV-Vertrag wird von der Inhaber:in des Vereins online angenommen. Siehe Datenschutzhinweis und Auftragsverarbeitung.