Source: https://www.datenschutzstelle.li/datenschutz/fuer-vereine
Timestamp: 2019-05-24 15:08:40
Document Index: 337358676

Matched Legal Cases: ['Art. 2', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 13', 'Art. 13', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 21', 'Art. 28', 'Art. 25', 'Art. 25', 'Art. 37', 'Art. 35', 'Art. 13']

Für Vereine :: Datenschutzstelle
Es gibt wohl keinen Verein, welcher keine Personendaten verarbeitet. Eine Mitgliederverwaltung oder auch Buchhaltung und Abrechnungen sind ohne die Verarbeitung personenbezogener Daten nicht möglich. Somit fällt die Datenverarbeitung auch grundsätzlich unter den Anwendungsbereich der DSGVO. Diese besagt, dass Personendatenverarbeitungen rechtmässig sein müssen.
Auf dieser Seite finden Sie detaillierte Informationen für Vereine und ihre Verpflichtungen unter der DSGVO.
Geltung der DSGVO für Vereine
Verarbeitet ein Verein ganz oder teilweise automatisiert personenbezogene Daten seiner Mitglieder und sonstiger Personen (Sponsoren, Förderer, ehrenamtliche oder hauptamtliche Mitarbeitende, Lieferanten, etc.) oder erfolgt eine nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, ist nach Art. 2 Abs. 1 DSGVO deren Anwendungsbereich eröffnet.
Unerheblich ist dabei, ob der Verein eingetragen ist und damit eine eigene Rechtspersönlichkeit besitzt, oder ob es sich um einen nicht rechtsfähigen Verein handelt.
Welche personenbezogenen Daten ein Verein erhalten und verarbeiten darf, regeln im Normalfall die Vereinsstatuten. Entsprechend dem Grundsatz der Datenminimierung unter der DSGVO dürfen Vereine nur jene personenbezogenen Daten erheben und verarbeiten, die zur Mitgliederbetreuung sowie -verwaltung und zum Verfolgen des Vereinsziels notwendig sind.
Der Verein ist für die Einhaltung sämtlicher datenschutzrechtlicher Vorgaben der DSGVO und des nationalen Datenschutzgesetzes1 verantwortlich. Nicht die Vereinsorgane (z.B. Vorstand oder Mitgliederversammlung) oder ein eventuell bestellter Datenschutzbeauftragter sind „Verantwortliche“ aus Datenschutzsicht, sondern der Verein selbst.
1 Das Datenschutzgesetz wird aktuell revidiert und wird voraussichtlich bis Ende 2018 in der revidierten Fassung in Kraft treten. Bis dahin gilt das Datenschutzgesetz (DSG) vom 14. März 2002.
Ein Verein hat wie auch ein Unternehmen bestimmte Verpflichtungen unter der DSGVO zu erfüllen und ist dafür rechenschaftspflichtig.
Die Erfüllung dieser Verpflichtungen ist zweifellos mit einigem Aufwand verbunden und erfordert eine sorgfältige Planung und Umsetzung. Die Datenschutzstelle möchte Vereine auf dem Weg zur DSGVO-Konformität unterstützen und zeigt im Folgenden anhand von 7 Schritten auf, wie Vereine die wichtigsten Verpflichtungen erfüllen können.
1. Sensibilisieren Sie die Mitarbeitenden und Vereinsmitglieder!
Personenbezogene Daten sind heute in jedem Verein in der einen oder anderen Weise präsent, weshalb Datenschutz ein Thema ist, dem sich kein Verein ganz entziehen kann. Die ehrenamtlich oder hauptamtlich tätigen Mitarbeitenden im Verein haben ebenfalls mit Daten zu tun und es ist unumgänglich, dass auch sie die neuen Anforderungen im Datenschutz kennen und Sie alle gemeinsam daran arbeiten, dass Ihr Verein datenschutzkonform ist.
Bei der Aufnahme der Tätigkeit sind Beschäftigte (z.B. Vorstand und/oder Kassier), die mit personenbezogenen Daten umgehen, zu informieren und dahingehend zu verpflichten, dass die Verarbeitung der personenbezogenen Daten auch durch sie nach den Grundsätzen der DSGVO erfolgt. Nähere Informationen sowie ein Muster für eine Verpflichtungserklärung finden Sie hier.
Art. 30 DSGVO sieht vor, dass jeder Verantwortliche ein Verzeichnis der unter ihrer Verantwortung ausgeführten Datenverarbeitungstätigkeiten führen muss.
Der Inhalt des Verzeichnisses ist in Art. 30 Abs. 1 DSGVO für den Verantwortlichen detailliert beschrieben. Nähere Hinweise zum Inhalt des Verzeichnisses finden Sie hier. Eine Vorlage sowie ein auf einen Verein zugeschnittenes Muster eines Verzeichnisses finden Sie hier oder siehe unten.
Das Verzeichnis muss im Verein verfügbar sein und der Aufsichtsbehörde jederzeit auf Anfrage zur Verfügung gestellt werden.
Bevor Sie beginnen, das Verzeichnis zu erstellen, machen Sie eine Bestandsaufnahme aller personenbezogenen Daten, die Sie in Ihrem Verein verarbeiten und stellen Sie sich die folgenden Fragen:
Welche Daten verarbeiten Sie in Ihrem Verein? (Kontaktdaten der Mitglieder oder Sponsoren, eventuell sensible Daten wie Gesundheitsdaten, etc.)
Welchen Personen(gruppen) lassen sich die Daten zuordnen? (Vereinsmitglieder, Sponsoren, Mitarbeitende, Kunden, Lieferanten, Besucher Ihrer Internetseite, etc.)
Zu welchem Zweck verarbeiten Sie die Daten? (zur Mitgliederverwaltung, etc.)
Auf welchem Weg haben Sie die Daten erhalten? (direkt von der betroffenen Person oder aus einem öffentlichen Verzeichnis, etc.)
Nur Unternehmen/Vereine mit weniger als 250 Beschäftigten sind von dieser Pflicht ausgenommen (vgl. Art. 30 Abs. 5 DSGVO), wenn
Vereine, die regelmässig Mitgliederverwaltung und Beitragsabrechnung oder Lohnverrechnung durchführen, müssen ein – vom Umfang her überschaubares – Verzeichnis ihrer Verarbeitungstätigkeiten führen.
Vereine müssen nur jene Datenverarbeitungen in das Verzeichnis aufnehmen, die unter die oben genannten drei Varianten fallen. Beispielsweise wird ein Verein bei regelmässiger Durchführung die Mitgliederverwaltung, die Veröffentlichung von Fotos der Mitglieder auf der Internetseite und Beitragsabrechnung durchführt, nur diese in das Verzeichnis aufnehmen. Andere Daten, die er nur gelegentlich verarbeitet, muss er nicht verzeichnen.
3. Informationspflichten gegenüber betroffenen Personen (Art. 13 DSGVO)
Erfolgt eine Erhebung personenbezogener Daten direkt bei der betroffenen Person, so hat der Verein zum Zeitpunkt der Datenerhebung eine entsprechende datenschutzrechtliche Information vorzunehmen (Art. 13 Abs. 1 und Abs. 2 DSGVO). Daraus folgt, dass der Verein etwa in jedem Formular, das er zur Erhebung personenbezogener Daten nutzt (z.B. Antrag auf Mitgliedschaft, Einwilligungserklärung zur Veröffentlichung von Fotos auf der Internetseite des Vereins, Spendenformular, etc.), auf Folgendes hinweisen muss:
Name und Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters (=Verein);
Kontaktdaten des Datenschutzbeauftragten (sofern der Verein einen bestellen muss);
Zwecke der Verarbeitung (bitte im Detail aufzählen; z.B. Aufnahme der Daten in das Mitglieder- oder Sponsorenverzeichnis; Veröffentlichung Fotos, Betrieb der Internetseite etc.);
Rechtsgrundlage der Verarbeitung (z.B. Mitgliedsvertrag, berechtigte Interessen, Zustimmung oder gesetzliche Verpflichtung);
Empfänger oder Kategorien von Empfängern (z.B. Weitergabe personenbezogener Daten an eine Versicherung oder den Dachverband);
Absicht über Drittlandtransfer (z.B. bei Mitgliederverwaltung in einer ausländischen Cloud);
Speicherdauer der personenbezogenen Daten;
Belehrung über Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht gegen Verarbeitung);
Hinweis auf jederzeitiges Widerrufsrecht bei Einwilligung;
Hinweis auf Beschwerderecht bei der Aufsichtsbehörde (=Datenschutzstelle).
Das Informationsblatt kann im Vereinslokal gut sichtbar aufgelegt oder ausgehängt werden, oder Sie geben den Betroffenen eine Kopie mit. Es muss nicht unterzeichnet werden, sondern dient nur der Information!
Vergessen Sie nicht, auch die Besucher Ihrer Internetseite zu informieren, was mit ihren Daten passiert, während Sie sich Ihre Internetseite anschauen! Nähere Informationen zur Ausgestaltung einer Datenschutzerklärung sowie Bausteine für eine solche Erklärung finden Sie hier.
Eines der wesentlichen Ziele bei der europäischen Reform des Datenschutzes durch die DSGVO ist die Stärkung der Betroffenenrechte. Sie müssen daher sicherstellen, dass in Ihrem Verein Verfahren vorhanden sind, die es erlauben, die Rechte der betroffenen Personen zu wahren.
Diese Aufgabe wird umso seltener auf Sie zukommen, je besser Sie die Betroffenen informieren. Je transparenter und nachvollziehbarer die Datenverarbeitung in Ihrem Verein durchgeführt wird, umso seltener wird mit Anfragen von Betroffenen zu rechnen sein.
5. Rechtmässigkeit der Verarbeitung (Art. 6 DSGVO)
Eine Auflistung mit den zulässigen Rechtfertigungsgründen für die Verarbeitung personenbezogener Daten findet sich in Art. 6 Abs. 1 DSGVO.
Was bedeutet dies konkret für einen Verein?
Als Verein müssen Sie vor jeder Verarbeitung personenbezogener Daten prüfen, welche rechtmässige Grundlage für die konkrete Verarbeitungstätigkeit in Frage kommt. Achten Sie darauf, von Beginn an mit der richtigen Grundlage zu arbeiten, denn Sie sollten nicht zu einem späteren Zeitpunkt ohne Grund zu einer anderen Grundlage wechseln.
Nachstehend finden Sie nähere Informationen dazu, auf welchen Rechtfertigungsgrund Sie im Verein die einzelnen Datenverarbeitungen basieren können:
Art. 6 Abs. 1 Bst. b (Erfüllung vertraglicher Verpflichtungen):
Mitgliederverwaltung (Führen eines (internen) Mitglieder- oder Sponsorenverzeichnisses; Anwesenheitslisten bei Veranstaltungen, etc.);
Korrespondenz mit Mitgliedern oder Sponsoren;
Einladungen zu Vereinsveranstaltungen.
Art. 6 Abs. 1 Bst. a (Einwilligung)
Für bestimmte Arten der Verarbeitung personenbezogener Daten bedarf es einer eindeutigen Einwilligungserklärung der Mitglieder, der Sponsoren oder anderer betroffener Personen. Dabei muss die Zustimmung zu einem genau festgelegten Zweck der Verarbeitung erfolgen, etwa
für die Zusendung von Newslettern oder Werbung, die über den Vereinszweck hinausgeht;
für Spendenwerbung per E-Mail;
für die Veröffentlichung von Fotos oder Videos im Internet;
für die Veröffentlichung von privaten Ereignissen (Heirat, Geburt eines Kindes, etc.) am Schwarzen Brett;
für die meisten Fälle der Verarbeitung besonderer Kategorien von personenbezogenen Daten durch einen Verein;
Weitergabe von Mitgliederdaten an Versicherungsunternehmen oder Versicherungsvertreter im Rahmen von Gruppenversicherungsverträgen.
Idealerweise erfolgt die Einwilligung schriftlich (z.B. Papier- oder Online-Formular). Einwilligungserklärungen können Vereine zum Beispiel im Antrag auf Mitgliedschaft integrieren oder auf jedem weiteren Formular zur Verfügung stellen.
Für die Gestaltung eines entsprechenden Formulars zur Einholung der Einwilligung ist zu raten, die einzelnen Verarbeitungszwecke (z. B. Spendenwerbung per E-Mail, Zusendung von Newslettern, Veröffentlichung von Fotos) in jeweils separaten Einwilligungs­erklärungen zu formulieren, die vom (künftigen) Mitglied ebenso separat angekreuzt/ angeklickt oder unterzeichnet werden müssen. Dem Mitglied muss die Freiheit verbleiben, sich für oder gegen einzelne der beabsichtigten Verarbeitungen zu entscheiden.
Nähere Informationen zur Einwilligung finden Sie hier. Ein Muster für die Einwilligung zur Veröffentlichung von personenbezogenen Daten im Internet finden Sie unten.
Art. 6 Abs. 1 Bst. f (berechtigten Interessen des Verantwortlichen oder eines Dritten)
Veröffentlichung von Ergebnissen aus Vorstandswahlen oder Jahreshauptversammlungen;
Veröffentlichung der Kontaktdaten des Vorstands im Internet, Jahresbericht, etc.;
Veröffentlichung von Ergebnissen aus Wettbewerben. Die Wettbewerbe werden im Regelfall öffentlich ausgetragen und der Verein hat ein sogenanntes „berechtigtes Interesse“ daran, relevante Ergebnisse der Aussenwelt zugänglich zu machen;
Fotos von öffentlichen Veranstaltungen, bei denen die Ansammlung von Menschen – und nicht eine konkrete Person – im Vordergrund steht;
Weitergabe von Daten an den Dachverband;
Weitergabe von Daten an Gemeinden zwecks finanzieller Unterstützung des Vereins.
Idealerweise werden die Ziele und Zwecke eines Vereins in den Statuten genannt. Nachdem der Verein nachweisen muss, dass er ein berechtigtes Interesse an der Datenverarbeitung hat und die Rechte und Freiheiten der einzelnen Betroffenen nicht überwiegen, ist es von Vorteil, wenn in den Statuten geregelt ist, welche Datenverarbeitungen im Interesse des Vereins zur Erreichung des Vereinszwecks nötig sind.
Folgende Fälle können nicht immer eindeutig einem der genannten Rechtfertigungsgründe zugeordnet werden. Es hängt von den jeweiligen Umständen ab, welche Rechtfertigung zum Tragen kommt:
Weitergabe der Mitgliederlisten an Vereinsmitglieder:
Bei den Vereinsmitgliedern handelt es sich im Verhältnis zum Verein um Dritte. Vereinsmitglieder dürfen also nicht einfach Einsicht in die Daten der anderen Mitglieder haben. Das heisst es darf ihnen nicht ohne weiteres eine Mitgliederliste weitergegeben werden.
Vielmehr müssen die rechtlichen Voraussetzungen für die Zulässigkeit einer Weitergabe vorhanden sein.
Besteht der Vereinszweck darin, die persönlichen oder geschäftlichen Kontakte zu pflegen, ist die Herausgabe einer Mitgliederliste zur Erreichung des Vereinsziels nach Art. 6 Abs. 1 Bst. b) DSGVO zulässig. Dieser Vereinszweck muss sich aus den Vereinsstatuten ergeben. Dies kann insbesondere bei Selbsthilfe- und Ehemaligenvereinen der Fall sein. Welche Angaben dabei in die Mitgliederliste aufgenommen werden dürfen, hängt vom jeweiligen Vereinszweck ab, wobei die Interessen und die schutzwürdigen Belange der Mitglieder angemessen zu berücksichtigen sind. Bei der Herausgabe der Mitgliederliste ist darauf hinzuweisen, dass diese nur für Vereinszwecke verwendet werden darf und eine Verwendung für andere Zwecke (insbesondere für kommerzielle Zwecke) sowie die Überlassung der Liste an Dritte nicht zulässig ist.
Dient die Datenübermittlung an andere Vereinsmitglieder nicht der Förderung des Vereinszwecks, können personenbezogene Daten der Vereinsmitglieder durch den Verein an andere Vereinsmitglieder nur übermittelt werden, wenn der Verein oder der Empfänger ein berechtigtes Interesse daran hat. Dabei hat die Übermittlung zu unterbleiben, wenn erkennbar ist, dass Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen (Art. 6 Abs. 1 Bst. f) DSGVO). In letzterem Fall bedarf es einer Einwilligung.
Personenbezogene Daten in Aushängen oder Publikationen des Vereins
Obwohl die Aushänge oft innerhalb des Vereinsgebäudes erfolgen, können sie auch von Besuchern, etc. und somit Dritten eingesehen werden.
Personenbezogene Daten dürfen daher nach Art. 6 Abs. 1 Bst. b) und Bst. f) DSGVO nur offenbart werden, wenn es für die Erreichung des Vereinszwecks unbedingt erforderlich ist - was etwa bei Spielergebnissen oder Veranstaltungshinweisen angenommen werden kann - oder wenn der Verein oder die Personen, die davon Kenntnis nehmen können, ein berechtigtes Interesse an der Veröffentlichung haben und Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person nicht überwiegen.
Bei folgenden Informationen ist von einem Überwiegen der Interessen der Betroffenen auszugehen und die Einwilligung einzuholen:
Informationen aus dem persönlichen Lebensbereich eines Vereinsmitglieds (z.B. Eheschliessungen, Geburt von Kindern, Abschluss von Schul- und Berufsausbildungen);
Informationen zu Spenden eines Vereinsmitgliedes oder externer Sponsoren.
Die Daten seiner Vereinsmitglieder darf der Verein
nur für Spendenaufrufe und für Werbung zur Erreichung der eigenen Ziele des Vereins nutzen (Art. 6 Abs. 1 Bst. b) DSGVO);
für die Werbung oder Spendenaufrufe Dritter ausschliesslich mit Einwilligung der Mitglieder nutzen.
Die Daten Dritter, die dem Verein bekannt sind, etwa von Personen, die regelmässig Eintrittskarten für Wettbewerbe, Konzerte oder Ausstellungen beziehen, darf der Verein für eigene Werbezwecke nutzen,
wenn diese Personen entweder eingewilligt haben oder
der Verein berechtigte Interessen an der Nutzung zu Werbezwecken hat und keine Interessen oder Grundrechte des Dritten überwiegen (Art. 6 Abs. 1 Bst. f) DS-GVO). Informiert der Verein transparent und umfassend über eine vorgesehene Nutzung der Daten, geht die Erwartung der betroffenen Person in aller Regel auch dahin, dass ihre Daten entsprechend genutzt werden. Zu beachten ist jedoch, dass die von der Werbung betroffene Person ein jederzeitiges Widerspruchsrecht hat, auf das der Verein ausdrücklich hinzuweisen hat (Art. 21 Abs. 4 DSGVO).
6. Auftragsverarbeitung (Art. 28 DSGVO)
Prüfen Sie, ob für Ihren Verein Auftragsverarbeiter tätig sind und wenn ja, schliessen Sie mit diesen einen Auftragsverarbeitungsvertrag. Dies ist zum Beispiel der Fall, wenn Sie Ihre Daten in einer Cloud speichern, Ihren Newsletter von einem externen Dienstleister versenden lassen oder die Buchhalung oder Lohnverrechnung auslagern.
7. Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)
In der Praxis bedeutet dies, dass Datensicherheit gemäss Art. 25 DSGVO mittels Technikgestaltung (privacy by design) und datenschutzfreundlichen Voreinstellungen (privacy by default) schon im Vorfeld der Datenverarbeitung wie auch nachgehend während des gesamten Datenverarbeitungsprozesses verwirklicht werden muss. Dieses Konzept ist nicht neu, sondern war bereits vor Geltung der DSGVO als "Privacy by Design" Teil des Datenschutzrechts. Neu ist allerdings, dass die DSGVO es zu einer gesetzlichen Verpflichtung macht.
Mit der Erledigung der Aufgaben in diesen 7 Schritten sind die prioritären datenschutzrechtlichen Anforderungen an die Vereine erledigt.
Es ist allerdings zu beachten, dass in seltenen Ausnahmefällen auch noch weitere Aufgaben hinzukommen können, dies wäre die Bestellung eines Datenschutzbeauftragten gemäss Art. 37 DSGVO sowie die Datenschutz-Folgenabschätzung gemäss Art. 35 DSGVO.
Der Datenschutzbeauftragte wäre etwa dann zu bestellen, wenn
Sollte dies für Ihren Verein zutreffen, finden Sie hier nähere Informationen.
Eine Datenschutz-Folgenabschätzung wäre dann durchzuführen, wenn
aufgrund der Datenverarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zu erwarten wäre.
Einwilligungserklärung für die Zusendung Vereinsnachrichten
Einwilligungserklärung für Internet_Vereine.docx
Information gem. Art. 13 DSGVO Muster für Vereine
Präsentation für Vereine_2018-06-11.pdf