Verzeichnis von Verarbeitungstätigkeiten im Verein: In 6 Schritten erstellen

Mitgliederverwaltung, Beitragseinzug, E-Mail-Versand oder Veranstaltungsanmeldung: Vereine verarbeiten regelmäßig personenbezogene Daten. Ein Verzeichnis von Verarbeitungstätigkeiten macht diese Abläufe nachvollziehbar und hilft dem Vorstand, Datenschutzpflichten systematisch zu erfüllen. Mit der folgenden Anleitung erstellen Sie ein praxistaugliches Verzeichnis und nutzen Netxp-Verein als verlässliche Grundlage für die Bestandsaufnahme.

Warum benötigt ein Verein ein Verarbeitungsverzeichnis?

Artikel 30 der Datenschutz-Grundverordnung verpflichtet Verantwortliche grundsätzlich dazu, ihre Verarbeitungstätigkeiten zu dokumentieren. Das Bayerische Landesamt für Datenschutzaufsicht stellt ausdrücklich klar, dass praktisch jeder Verein ein solches Verzeichnis benötigt. Der Grund: Mitgliederdaten werden normalerweise laufend und damit nicht nur gelegentlich verarbeitet.

Das Verzeichnis ist kein öffentliches Dokument. Es dient der internen Datenschutzorganisation und muss einer zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden können. Zugleich bietet es einen praktischen Mehrwert: Der Verein erkennt, welche Daten er tatsächlich benötigt, wer darauf zugreifen darf und an welchen Stellen Löschfristen oder Verträge überprüft werden müssen.

Welche Angaben gehören in das Verzeichnis?

Das Verzeichnis wird nach Verarbeitungstätigkeiten gegliedert. Nicht jedes einzelne Mitglied und nicht jeder Datensatz erhält einen eigenen Eintrag. Typische Tätigkeiten sind beispielsweise Mitgliederverwaltung, Beitragsabrechnung, Spendenverwaltung, E-Mail-Kommunikation, Lohnabrechnung oder die Veröffentlichung von Vereinsfotos.

Nach Artikel 30 DSGVO gehören insbesondere folgende Angaben in die Dokumentation:

• Name und Kontaktdaten des verantwortlichen Vereins sowie gegebenenfalls des Datenschutzbeauftragten
• Zwecke der jeweiligen Verarbeitung
• Kategorien der betroffenen Personen, beispielsweise Mitglieder, Interessenten, Beschäftigte oder Übungsleiter
• Kategorien der verarbeiteten Daten, etwa Kontaktdaten, Bankverbindungen oder Beitragsinformationen
• Kategorien von Empfängern, beispielsweise Banken, Verbände oder externe Dienstleister
• gegebenenfalls Übermittlungen in Staaten außerhalb der EU beziehungsweise des Europäischen Wirtschaftsraums
• vorgesehene Löschfristen, soweit diese angegeben werden können
• eine allgemeine Beschreibung der technischen und organisatorischen Schutzmaßnahmen

Zusätzlich ist es in der Praxis sinnvoll, die zuständige Person, das Einführungsdatum, die verwendeten Systeme und die jeweilige Rechtsgrundlage festzuhalten. Diese Zusatzangaben erleichtern spätere Prüfungen und Aktualisierungen.

In sechs Schritten zum Verzeichnis von Verarbeitungstätigkeiten

1. Verantwortlichkeit festlegen: Benennen Sie eine Person, die die Erstellung koordiniert. Verantwortlicher im datenschutzrechtlichen Sinn bleibt regelmäßig der Verein, vertreten durch den Vorstand. Die operative Pflege kann jedoch beispielsweise durch die Mitgliederverwaltung oder einen Datenschutzkoordinator erfolgen.
2. Datenverarbeitungen sammeln: Gehen Sie die Arbeitsbereiche des Vereins gemeinsam durch. Fragen Sie Mitgliederverwaltung, Kasse, Geschäftsstelle, Jugendleitung und Öffentlichkeitsarbeit, wo personenbezogene Daten erhoben, gespeichert, verändert, übermittelt oder gelöscht werden.
3. Tätigkeiten sinnvoll bündeln: Fassen Sie zusammengehörende Abläufe zusammen. Die Aufnahme, Pflege und Beendigung von Mitgliedschaften kann beispielsweise als Tätigkeit „Mitgliederverwaltung“ beschrieben werden. Der Einzug und die Kontrolle von Beiträgen bilden dagegen eine eigene Tätigkeit.
4. Pflichtangaben ergänzen: Dokumentieren Sie Zweck, betroffene Personen, Datenarten, Empfänger, Löschfristen und Schutzmaßnahmen. Beschreiben Sie den tatsächlichen Ablauf und übernehmen Sie Muster nicht ungeprüft. Ein Muster ist ein Einstieg, aber kein fertiges Verzeichnis für jeden Verein.
5. Dienstleister und Datenübermittlungen prüfen: Erfassen Sie beispielsweise eingesetzte Vereinssoftware, Hosting-Anbieter, Zahlungsdienstleister oder Versanddienste. Prüfen Sie, welche Rolle der jeweilige Anbieter übernimmt und ob erforderliche Verträge zur Auftragsverarbeitung aktuell vorliegen.
6. Pflegeprozess einrichten: Prüfen Sie das Verzeichnis mindestens regelmäßig und zusätzlich bei konkreten Änderungen, etwa bei einer neuen Software, einem Online-Anmeldeformular, zusätzlichen Mitgliederdaten oder einem neuen Kommunikationsdienst.

Praxisbeispiel: Mitgliederverwaltung dokumentieren

Ein Eintrag zur Mitgliederverwaltung könnte in kompakter Form folgende Punkte enthalten:

• Zweck: Begründung, Durchführung und Beendigung der Mitgliedschaft sowie Organisation des Vereinsbetriebs
• Betroffene Personen: Mitglieder, ehemalige Mitglieder, gesetzliche Vertreter minderjähriger Mitglieder und Interessenten
• Datenkategorien: Stamm- und Kontaktdaten, Eintritts- und Austrittsdaten, Sparten, Beitragsdaten und gegebenenfalls Bankverbindungen
• Empfänger: nur die jeweils erforderlichen internen Stellen sowie gegebenenfalls Banken, Verbände oder beauftragte Dienstleister
• Löschung: nach Wegfall des Verarbeitungszwecks und Ablauf einschlägiger gesetzlicher Aufbewahrungsfristen
• Schutzmaßnahmen: persönliche Benutzerkonten, aufgabenbezogene Zugriffsrechte, aktuelle Systeme, geregelte Datensicherung und sichere Übermittlungswege

Löschfristen sollten nicht pauschal aus einer Vorlage übernommen werden. Beitrags- und Buchungsunterlagen können anderen Aufbewahrungspflichten unterliegen als reine Kontaktangaben. Deshalb empfiehlt sich ein abgestimmtes Löschkonzept, das die unterschiedlichen Datenarten berücksichtigt.

Netxp-Verein als Grundlage für die Bestandsaufnahme nutzen

Netxp-Verein ersetzt das Verzeichnis von Verarbeitungstätigkeiten nicht automatisch. Die Software kann jedoch dabei helfen, die tatsächlichen Datenflüsse und Schutzmaßnahmen strukturiert zu erfassen.

Beginnen Sie mit der zentralen Mitgliederverwaltung: Dort werden unter anderem Stamm- und Kontaktdaten, Sparten, Gruppen, Beiträge, Ehrungen und Historien verwaltet. Prüfen Sie außerdem die vom Verein angelegten eigenen Felder und Tabellen. Gerade dort finden sich häufig zusätzliche Angaben, die bei der Datenschutzdokumentation leicht übersehen werden.

Fragen Sie bei jedem eigenen Feld: Für welchen konkreten Zweck wird diese Information benötigt? Wer darf sie sehen? Wann kann sie gelöscht werden? Dass ein zusätzliches Feld technisch eingerichtet werden kann, bedeutet nicht, dass die betreffende Information vorsorglich erhoben werden sollte.

Für die Beschreibung der Schutzmaßnahmen können Sie die Benutzerverwaltung heranziehen. Netxp-Verein stellt Systemrollen bereit und ermöglicht zusätzlich angepasste Vereinsrollen. Damit lassen sich Rechte auf die regelmäßigen Aufgaben der jeweiligen Benutzer ausrichten. Die Mitgliederhistorie zeigt zudem, wann Änderungen an Mitgliedsdaten vorgenommen wurden. Solche Funktionen unterstützen die interne Kontrolle, ersetzen aber weder das Verarbeitungsverzeichnis noch ein vollständiges Datenschutzkonzept.

Nutzen für neue und bestehende Netxp-Verein-Nutzer

Interessenten und neue Nutzer können das Verzeichnis bereits bei der Einführung der Vereinssoftware aufbauen. So wird frühzeitig geklärt, welche Daten übernommen werden sollen, welche eigenen Felder wirklich erforderlich sind und welche Personen welche Rechte benötigen.

Bestandskunden können das Verzeichnis als Anlass für einen Datencheck nutzen: Sind ältere eigene Felder noch notwendig? Passen die Benutzerrollen zu den aktuellen Zuständigkeiten? Gibt es separate Listen außerhalb der zentralen Mitgliederverwaltung? Auf diese Weise wird aus der Datenschutzpflicht zugleich eine praktische Bestandsaufnahme der Vereinsorganisation.

Kompakte Checkliste für den Vorstand

• Alle Bereiche mit personenbezogenen Daten wurden einbezogen.
• Jede regelmäßige Verarbeitung ist als eigene oder sinnvoll gebündelte Tätigkeit dokumentiert.
• Zwecke, Personengruppen, Datenarten und Empfänger sind verständlich beschrieben.
• Löschfristen wurden nicht ungeprüft aus einem Muster übernommen.
• Externe Dienstleister und mögliche Drittlandübermittlungen wurden geprüft.
• Benutzerrollen und weitere Schutzmaßnahmen entsprechen den tatsächlichen Aufgaben.
• Eine verantwortliche Person und ein regelmäßiger Prüftermin sind festgelegt.

Häufige Fragen zum Verarbeitungsverzeichnis im Verein

Braucht auch ein kleiner Verein ein Verzeichnis von Verarbeitungstätigkeiten?
In der Regel ja. Das BayLDA weist darauf hin, dass praktisch jeder Verein seine Mitgliederdaten laufend und damit nicht nur gelegentlich verarbeitet.

Muss jedes Mitglied einzeln eingetragen werden?
Nein. Dokumentiert werden Verarbeitungstätigkeiten und Kategorien von Personen und Daten, nicht einzelne Mitglieder oder Datensätze.

Kann der Verein ein Muster unverändert übernehmen?
Nein. Ein Muster erleichtert den Einstieg, muss aber an die tatsächlichen Abläufe, Dienstleister, Datenarten und Löschfristen des Vereins angepasst werden.

Wie oft sollte das Verzeichnis aktualisiert werden?
Es sollte regelmäßig sowie bei jeder wesentlichen Änderung geprüft werden. Typische Anlässe sind neue Software, zusätzliche Datenfelder, geänderte Dienstleister oder neue Online-Angebote.

Fazit: Datenschutzdokumentation als Organisationshilfe nutzen

Ein Verzeichnis von Verarbeitungstätigkeiten ist mehr als eine formale DSGVO-Pflicht. Es verschafft dem Vorstand einen belastbaren Überblick über Mitgliederdaten, Zuständigkeiten, Empfänger und Schutzmaßnahmen. Legen Sie zunächst die wichtigsten Verarbeitungstätigkeiten an und vereinbaren Sie anschließend einen festen Aktualisierungstermin. Nutzen Sie dabei die zentrale Datenverwaltung, die eigenen Felder und die Benutzerrollen von Netxp-Verein als Ausgangspunkt für den Abgleich mit der Vereinspraxis.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.

Quellen

• EUR-Lex: Datenschutz-Grundverordnung, Artikel 30
• Bayerisches Landesamt für Datenschutzaufsicht: Fragen und Antworten für Vereine
• Bayerisches Landesamt für Datenschutzaufsicht: Muster eines Verzeichnisses für Vereine
• Netxp-Verein: Funktionen der Mitgliederverwaltung
• Netxp-Verein Hilfe: Benutzerrollen und aufgabenbezogene Rechte
• Netxp-Verein Hilfe: Mitgliederhistorie und Benutzerverwaltung