Die Erfindung des Computers brachte es mit sich, dass Informationen fast beliebig gespeichert, kombiniert und weitergegeben werden können. Datenschutzgesetze sollen Missbrauch verhindern. Sie gelten auch für Sportvereine. Was ist bei der Beschaffung von Informationen über Vereinsmitglieder zu beachten?

Personenbezogene Mitgliederdaten dürfen nur nach Treu und Glauben und auf rechtmäßige Weise beschafft werden. Mit "Treu und Glauben" wird im bürgerlichen Recht ein Verhalten umschrieben, wie man es von einem anständig denkenden und handelnden Menschen erwarten kann. Ein Verein sollte sich in diesem Sinne auf die Speicherung solcher Daten beschränken, die das (neue) Mitglied im Aufnahmeantrag selbst und freiwillig angibt (z.B. Name, Adresse, Bankverbindung) und die für den Verein aus finanziellen, organisatorischen und sportlichen Gründen notwendig sind. Andere Informationen, auch wenn sie das Persönlichkeitsbild des Mitgliedes abrunden und wenn man sie vielleicht gerne "vorsorglich" abspeichern würde, gehören nicht in die Mitgliederverwaltung.

Datenschutz soll auch gewährleisten, dass die Persönlichkeitsrechte der Menschen angemessen berücksichtigt werden. Die Vereinsmitglieder müssen deshalb von der Speicherung ihrer Daten wissen. Das Eintrittsformular sollte eine Einwilligungsklausel zur Datenspeicherung und Datenverarbeitung enthalten - sonst muss der Verein seine Mitglieder von der erstmaligen Speicherung ihrer Daten und der Art der gespeicherten Daten benachrichtigen.

Der Verein muss die notwendigen organisatorischen Maßnahmen ergreifen, um die gespeicherten Mitgliederdaten vor Missbrauch zu schützen. Was ist in der Vereinsorganisation zu beachten?

Wer im Verein darf welche Daten zu welchem Zweck in welcher Form nutzen? Welche Daten werden wie lange gespeichert? Wann werden Daten ausgeschiedener Mitglieder gelöscht? Der Verein muss auf diese Fragen Antworten geben und sie in Regeln für die ordnungsgemäße Datenverarbeitung umsetzen. Diese Regeln müssen in jedem Fall und gegen Jedermann gelten, egal ob die Daten in einer Geschäftsstelle verarbeitet werden oder bei einem Vorstandsmitglied zu Hause oder bei einem externen Dienstleister. Es darf keinen Datenzugriff für Unbefugte geben, es darf kein Datenverlust durch unzureichende Datensicherung entstehen. Deshalb sollten die mit der Verarbeitung der Mitgliederdaten betrauten Personen dafür ausgebildet und schriftlich auf die Wahrung des Datengeheimnisses verpflichtet werden.

Der Datenschutz bezieht sich nicht nur auf die erstmalige Erfassung von Daten und ihre Speicherung, sondern regelt auch den weiteren Umgang mit den Daten einschließlich ihrer Übermittlung an Dritte. Was ist bei der Speicherung, Veränderung oder Übermittlung zu beachten?

Die Verarbeitung personenbezogener Daten ist nur erlaubt mit Einwilligung des Vereinsmitglieds oder wenn es dafür eine Rechtsgrundlage gibt und wenn der Verein sie im Rahmen des Vereinszweckes (Satzung) benötigt. Bei Verarbeitung nützlicher, aber nicht unbedingt notwendiger Daten müssen das Vereinsinteresse und das Interesse des Mitglieds gegeneinander abgewogen werden. Vorsorglich sollten die Mitglieder dazu befragt werden. Widerspricht ein Vereinsmitglied der Verarbeitung solcher Daten, muss die Datenverarbeitung unterbleiben.

Zulässig ist Datenverarbeitung zur Kontoführung der Vereinskasse oder zur Erstellung von Einladungslisten zur Mitgliederversammlung, Angaben über besondere Funktionen, die das Mitglied im Verein ausübt, dürfen natürlich auch gespeichert werden. Unzulässig ohne ausdrückliche Einwilligung ist z.B. die Weitergabe an Unternehmen zu Marketingzwecken, auch wenn es dem Verein nützt, weil er dafür eine Gegenleistung bekommt. Ebenso unzulässig wäre sogar die Weitergabe von personenbezogenen Daten wie "runde Geburtstage" an die Öffentlichkeit oder deren Aushang am schwarzen Brett.

Klare Regeln und technische Vorkehrungen erleichtern die Durchsetzung des Datenschutzes und helfen gegen Datenmissbrauch.

Das folgende 10-Punkte-Programm will vermitteln, dass Datenschutz zwar nicht ganz einfach, aber mit ein bisschen Mühe machbar ist!

Wenn ein Verein seine Mitgliederverwaltung per Auftrag an einen Dienstleister vergibt, bleibt er trotzdem für sie verantwortlich und sollte dafür sorgen, dass personenbezogene Daten nur entsprechend seinen Weisungen verarbeitet werden.
Deshalb: Klare Verträge mit seriösen Dienstleistern abschließen, ein Protokoll über Auftrag und Erledigung verlangen und  sicher aufbewahren.

Nicht jeder darf Benutzer des Vereins-PCs sein. Deshalb: Passwortregelungen einführen, generell Nutzung durch Unbefugte verhindern und sicherstellen, dass keine Vereinsdaten über Leitungen übertragen können.

Datenträger (z.B. Disketten, CDs, DVDs, Listen) dürfen weder unbefugt gelesen, kopiert, verändert oder entfernt werden.
Deshalb: Geeignete Räume und Schränke (ggf. Safes) zur Aufbewahrung bestimmen, nur kontrolliertes und dokumentiertes Kopieren und Vernichten zulassen.

Der Verein muss dafür sorgen, dass festgestellt werden kann, welche personenbezogenen Daten zu welcher Zeit von wem verwendet worden sind.
Deshalb: Sowohl unbefugte Eingaben verhindern als auch jegliche erfolgte Verarbeitung durch eine manipulationssichere Protokollierung nachvollziehbar machen.

Die Organisation des Vereins sollte so gestaltet sein, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird.
Deshalb: Verantwortlichkeiten festlegen sowie Verpflichtungen und Dienstanweisungen, Verfahrens- und Dokumentationsrichtlinien einführen.

Unbefugte Eingaben in den Speicher des (laufenden) Computers dürfen nicht erfolgen; niemand darf unbefugt Daten lesen, verändern oder löschen.
Deshalb: Kein Einspielen "eigener" oder sonstiger "nützlicher"  Programme zulassen, ggf. Laufwerke (z.B. für Disketten) sperren.

Wenn der Verein personenbezogene Daten per Leitung übermitteln will, muss er gewährleisten, dass festgestellt werden kann, an wen diese Daten gehen.
Deshalb: Sender, Empfänger, Art der zu übermittelnden Daten und Zweck der Übermittlung  dokumentieren.

Alle Schutzmaßnahmen sind vergebens, wenn nicht verhindert wird, dass bei der Übertragung personenbezogener Daten sowie beim Transport von Datenträgern die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können.
Deshalb: Boten und Transportwege sorgfältig auswählen (z.B.  Postversand als Wertpaket), Daten nur dann per Leitung übertragen, wenn sie verschlüsselt werden können.

Unbefugte sollten keinen Zugang in Vereinsbereiche erhalten, in denen personenbezogene Daten gespeichert und verarbeitet werden.
Deshalb: Türen auf dem Wege zum PC mit Sicherheitsschlössern versehen,  ordentliche Schlüsselverwaltung einführen, Räume und Türen abschließen, Datenträger einschließen, Bildschirme so aufstellen, dass Dritte nicht mitlesen können.

Jede/r Berechtigte darf ausschließlich auf die der eigenen Zugriffsberechtigung unterliegenden Daten zugreifen. Deshalb: Zugriffsberechtigung für jeden einzelnen Benutzer festlegen, Zugriffe protokollieren.