Das Verzeichnis von Verarbeitungstätigkeiten ist das zentrale Nachweisdokument der DSGVO und für die meisten Vereine das wichtigste Datenschutz-Dokument überhaupt. Es bündelt an einer Stelle, welche personenbezogenen Daten der Verein verarbeitet, wofür, auf welcher Grundlage und wie lange. Seine Rechtsgrundlage ist Art. 30 DSGVO.
Im Vereinsalltag wird das Verzeichnis oft als lästige Pflicht empfunden. Tatsächlich ist es ein nützliches Werkzeug: Wer es einmal sauber angelegt hat, kann Auskunftsanfragen schneller beantworten, Löschfristen einhalten und gegenüber der Aufsichtsbehörde nachweisen, dass der Verein seine Datenverarbeitung im Griff hat.
Wer das Verzeichnis führen muss
Art. 30 DSGVO sieht für kleinere Organisationen Erleichterungen vor. Vereine mit weniger als 250 Beschäftigten sind unter bestimmten Voraussetzungen nicht zur Führung verpflichtet. Diese Ausnahme greift allerdings nicht, wenn die Verarbeitung ein Risiko für die Rechte der Betroffenen bergen kann, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft.
Weil die laufende Mitgliederverwaltung regelmäßig stattfindet, fällt sie nicht unter „nur gelegentlich". In der Praxis sollten deshalb auch kleine Vereine ein Verzeichnis führen. Der Aufwand ist gering, der Nutzen für die eigene Übersicht dagegen hoch.
Hinzu kommt ein praktischer Aspekt: Die Aufsichtsbehörden gehen in ihrer Beratung in der Regel davon aus, dass ein Verzeichnis vorhanden ist. Wer im Kontakt mit der Behörde kein Verzeichnis vorlegen kann, wirkt unvorbereitet, selbst wenn im Einzelfall eine Ausnahme greifen würde. Es ist deshalb sinnvoll, das Dokument unabhängig von der formalen Pflicht zu führen und damit von vornherein auf der sicheren Seite zu sein.
Welche Angaben hineingehören
Für jede Verarbeitungstätigkeit verlangt Art. 30 DSGVO bestimmte Pflichtangaben. Du beschreibst also nicht jeden einzelnen Datensatz, sondern bündelst gleichartige Vorgänge zu Tätigkeiten wie „Mitgliederverwaltung" oder „Beitragseinzug". Die folgende Übersicht zeigt die typischen Felder.
| Feld | Beispiel Mitgliederverwaltung |
|---|---|
| Zweck | Verwaltung der Mitgliedschaft |
| Datenkategorien | Name, Anschrift, Geburtsdatum, Eintrittsdatum |
| Betroffene | Mitglieder des Vereins |
| Empfänger | Vorstand, ggf. Dachverband |
| Löschfrist | Nach Austritt, soweit keine Aufbewahrungspflicht besteht |
| Schutzmaßnahmen | Zugriffsbeschränkung, Passwortschutz |
Werden besondere Datenkategorien nach Art. 9 DSGVO verarbeitet, etwa Gesundheitsdaten in einem Reha-Sportverein, ist das gesondert zu vermerken und besonders sorgfältig zu behandeln. Solche Daten genießen einen erhöhten Schutz, weshalb der Verein hier besonders genau prüfen sollte, ob die Verarbeitung wirklich erforderlich ist.
Die Pflichtangaben unterscheiden sich leicht danach, ob der Verein als Verantwortlicher auftritt oder Daten im Auftrag eines anderen verarbeitet. Für den typischen Verein, der seine eigenen Mitgliederdaten verwaltet, gilt die Variante des Verantwortlichen. Hier stehen Zweck, Datenkategorien und Löschfristen im Vordergrund. Beschreibe die Felder in eigenen Worten, statt eine fremde Vorlage abzuschreiben, denn nur so spiegelt das Verzeichnis die echten Abläufe wider.
Rechtsgrundlagen pro Tätigkeit festhalten
Ein häufig vergessenes, aber wichtiges Feld ist die Rechtsgrundlage. Für jede Verarbeitung solltest du benennen, worauf sie sich stützt. Die laufende Mitgliederverwaltung beruht in der Regel auf der Erfüllung des Mitgliedschaftsverhältnisses nach Art. 6 Abs. 1 lit. b DSGVO. Der Newsletter dagegen stützt sich meist auf eine Einwilligung nach Art. 6 Abs. 1 lit. a, und der sichere Betrieb der Website lässt sich oft über das berechtigte Interesse begründen.
Diese Zuordnung zwingt dazu, jede Verarbeitung kritisch zu prüfen. Wer keine passende Rechtsgrundlage findet, sollte die Verarbeitung überdenken, denn ohne Grundlage ist sie unzulässig. Das Verzeichnis wird damit zu einem Werkzeug, das nicht nur dokumentiert, sondern auch Lücken sichtbar macht und so den Verein vor unzulässigen Verarbeitungen bewahrt.
Typische Verarbeitungstätigkeiten im Verein
Welche Tätigkeiten dein Verzeichnis enthält, hängt von der Vereinsarbeit ab. Die meisten Vereine kommen auf eine Handvoll Einträge, die sich klar voneinander abgrenzen lassen. Beginne mit den offensichtlichen und ergänze, was im Laufe der Zeit dazukommt.
- Mitgliederverwaltung mit Stammdaten und Mitgliedschaftshistorie.
- Beitragseinzug mit Kontodaten und Lastschriftmandaten.
- Öffentlichkeitsarbeit auf Website und in sozialen Medien.
- E-Mail-Kommunikation und Newsletter an Mitglieder.
- Verwaltung von Übungsleitern oder ehrenamtlichen Helfern mit Verträgen.
Jeder dieser Punkte wird als eigene Tätigkeit beschrieben. So bleibt nachvollziehbar, welche Daten zu welchem Zweck gehören, was wiederum bei Auskunfts- und Löschanfragen hilft.
Kommen Dienstleister ins Spiel, etwa eine Vereinssoftware in der Cloud oder ein externer Newsletter-Versand, gehört auch das ins Verzeichnis. Solche Auftragsverarbeiter verarbeiten Daten im Namen des Vereins, weshalb häufig ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich ist. Im Verzeichnis vermerkst du, welcher Dienstleister für welche Tätigkeit eingesetzt wird, damit der Überblick erhalten bleibt.
Häufige Fehler beim Verzeichnis
In der Praxis tauchen einige typische Stolpersteine auf. Der häufigste ist das unveränderte Übernehmen einer Mustervorlage, die Tätigkeiten enthält, die es im Verein gar nicht gibt, oder die wesentliche Verarbeitungen auslässt. Ein solches Verzeichnis erfüllt seinen Zweck nicht, weil es die Realität nicht abbildet.
Ein zweiter Fehler ist das einmalige Erstellen ohne anschließende Pflege. Sobald sich Abläufe ändern, veraltet das Dokument. Ebenfalls verbreitet ist das Fehlen klarer Löschfristen, was später zu unnötig langer Datenspeicherung führt. Wer diese drei Punkte vermeidet, hat den größten Teil der Arbeit richtig gemacht.
- Vorlage unverändert übernommen, statt sie an den Verein anzupassen.
- Verzeichnis einmal erstellt und danach nie aktualisiert.
- Löschfristen fehlen oder sind zu unbestimmt formuliert.
- Eingesetzte Dienstleister nicht erfasst.
Pflege und Verbindung zu anderen Dokumenten
Ein Verzeichnis, das einmal erstellt und dann vergessen wird, verliert seinen Wert. Plane deshalb ein, es regelmäßig zu prüfen, etwa einmal jährlich oder immer dann, wenn sich etwas Wesentliches ändert: ein neues Tool, ein neuer Dienstleister oder eine neue Datenart. So bleibt die Dokumentation belastbar.
Das Verzeichnis hängt eng mit anderen Datenschutzthemen zusammen. Die auf der Website beschriebenen Verarbeitungen gehören ebenso hinein wie die Foto-Einwilligungen. Vertiefende Beiträge findest du im Ratgeber zur Datenschutzerklärung für die Vereinswebsite und zur Fotoeinwilligung im Verein.
Ein gut gepflegtes Verzeichnis spart im Ernstfall viel Zeit. Stellt ein Mitglied eine Auskunftsanfrage, kannst du anhand der erfassten Tätigkeiten schnell zusammenstellen, welche Daten der Verein über diese Person verarbeitet. Auch eine Anfrage der Aufsichtsbehörde lässt sich mit einem aktuellen Verzeichnis souverän beantworten. Wer dagegen erst im Ernstfall mit der Dokumentation beginnt, gerät unter Zeitdruck und macht leichter Fehler.
Lege fest, wer im Vorstand für die Pflege zuständig ist. In vielen Vereinen übernimmt das der Vorsitzende oder der Schriftführer. Wichtig ist, dass die Verantwortung klar zugeordnet ist, damit das Verzeichnis nicht zwischen den Zuständigkeiten verloren geht. Ein fester Termin, etwa im Rahmen der jährlichen Vorbereitung der Mitgliederversammlung, hilft, die Durchsicht nicht zu vergessen und das Verzeichnis dauerhaft aktuell zu halten.
Format und Aufbewahrung des Verzeichnisses
Die DSGVO schreibt kein bestimmtes Format vor. Das Verzeichnis kann als Tabelle, als Textdokument oder in einer Software geführt werden. Entscheidend ist, dass es schriftlich vorliegt, was auch in elektronischer Form erfüllt ist, und dass es auf Verlangen der Aufsichtsbehörde vorgelegt werden kann. Für kleine Vereine ist eine übersichtliche Tabelle mit einer Zeile je Verarbeitungstätigkeit meist die praktischste Lösung.
Bewahre das Verzeichnis an einem Ort auf, an dem der zuständige Teil des Vorstands darauf zugreifen kann, der aber gleichzeitig vor unbefugtem Zugriff geschützt ist. Da das Verzeichnis selbst zwar keine sensiblen Personendaten enthalten muss, aber Aufschluss über die gesamte Datenverarbeitung des Vereins gibt, gehört es nicht in offen zugängliche Ablagen.
Versioniere das Dokument, indem du bei jeder Änderung das Datum festhältst. So lässt sich nachvollziehen, wann das Verzeichnis zuletzt aktualisiert wurde, was die Pflege erleichtert und gegenüber der Aufsichtsbehörde einen sorgfältigen Umgang belegt. Bei einem Wechsel im Vorstand sollte das Verzeichnis ausdrücklich übergeben werden, damit das Wissen über die Datenverarbeitung des Vereins nicht verloren geht.
So erstellst du dein Verzeichnis
Sammle zuerst alle Stellen, an denen dein Verein personenbezogene Daten verarbeitet, von der Mitgliederliste über das Vereinskonto bis zur Website. Beschreibe jede Tätigkeit anhand der Pflichtfelder und lege das Verzeichnis an einem Ort ab, an dem der Vorstand darauf zugreifen kann. Den strukturierten Einstieg erleichtert der DSGVO-Generator für Vereine, der die typischen Tätigkeiten als fertiges Gerüst liefert.
Einen Überblick über alle Datenschutzpflichten liefert der DSGVO-Leitfaden für Vereine. Bei Sonderfällen, etwa der Verarbeitung von Gesundheitsdaten oder Datenübermittlungen an Dritte, solltest du die Einordnung vorab mit deinem Datenschutzbeauftragten oder der Aufsichtsbehörde abstimmen.
