Datenschutz im Sportverein: Mitgliederlisten, Fotos und Messenger richtig handhaben

Sportvereine benötigen für die normale Mitgliederverwaltung meist keine Einwilligung. Sie dürfen die erforderlichen Daten in der Regel verarbeiten, um die Mitgliedschaft zu organisieren, Beiträge abzurechnen und den Sportbetrieb durchzuführen. Problematisch wird es, wenn Mitgliederlisten unkontrolliert verteilt, Fotos pauschal freigegeben oder private Messenger ohne Prüfung zum verbindlichen Kommunikationsweg gemacht werden.

Datenschutz im Sportverein bedeutet deshalb nicht, jede Verarbeitung durch Unterschriften abzusichern. Entscheidend sind ein klarer Zweck, eine passende Rechtsgrundlage, sparsam erhobene Daten und geregelte Zugriffe. Besondere Vorsicht ist bei Kindern, Gesundheitsangaben, frei zugänglichen Veröffentlichungen und privaten Endgeräten geboten.

Mitgliederverwaltung beruht meist auf dem Mitgliedschaftsverhältnis

Für die Aufnahme und Verwaltung von Mitgliedern kommt regelmäßig Art. 6 Abs. 1 Buchstabe b der Datenschutz-Grundverordnung in Betracht. Danach dürfen personenbezogene Daten verarbeitet werden, soweit dies für ein Vertragsverhältnis oder vorvertragliche Maßnahmen erforderlich ist. Bei einem Verein ergibt sich der konkrete Umfang nicht allein aus dem Aufnahmeantrag, sondern auch aus Satzung, Beitragsordnung und tatsächlichem Sportbetrieb.

Name, Anschrift, Kontaktdaten, Beitragsstatus und Bankverbindung können für die Mitgliederverwaltung notwendig sein. Je nach Sportart und Organisation können auch Geburtsdatum, Mannschaftszuordnung, Spielberechtigung oder Wettkampfdaten erforderlich werden. Daraus folgt jedoch kein Freibrief für sämtliche Eingabefelder, die eine Vereinssoftware anbietet.

Eine Einwilligung ist für zwingend notwendige Verwaltungsdaten häufig sogar die ungeeignete Grundlage. Sie kann grundsätzlich widerrufen werden. Würde der gesamte Mitgliederdatensatz allein darauf beruhen, könnte der Verein nach einem Widerruf zentrale Aufgaben möglicherweise nicht mehr erfüllen. Zweckmäßiger ist es, erforderliche Daten und freiwillige Zusatzangaben sauber voneinander zu trennen.

Zusatzangaben brauchen eine eigene Begründung

Beruf, Familienverhältnisse, Porträtfoto oder private Interessen sind nicht automatisch für jede Mitgliedschaft erforderlich. Der Verein sollte für jedes Datenfeld beantworten können, wofür es gebraucht wird und auf welche Rechtsgrundlage die Verarbeitung gestützt wird. Die bloße Möglichkeit, eine Information später einmal zu verwenden, genügt nicht.

Besonders sensibel sind Angaben zu Verletzungen, Allergien, Erkrankungen oder Medikamenten. Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung erfordert zusätzliche Voraussetzungen und einen erhöhten Schutz. Eine Notfallinformation für eine konkrete Trainingsfahrt ist anders zu bewerten als eine dauerhaft für zahlreiche Funktionsträger sichtbare Krankheitschronik.

Praktisch sinnvoll ist eine Trennung: Die zentrale Mitgliederverwaltung enthält nur dauerhaft notwendige Stammdaten. Zeitlich oder sachlich begrenzte Zusatzinformationen werden in einem geschützten Verfahren erfasst, nur den zuständigen Personen zugänglich gemacht und gelöscht, sobald der Zweck entfällt.

Informationspflichten bestehen auch ohne Einwilligung

Dass keine Einwilligung benötigt wird, bedeutet nicht, dass der Verein seine Mitglieder im Unklaren lassen darf. Bei der Datenerhebung muss er grundsätzlich darüber informieren, wer verantwortlich ist, welche Daten zu welchen Zwecken verarbeitet werden, welche Rechtsgrundlagen gelten und wer die Daten erhält. Hinzu kommen Angaben zur Speicherdauer beziehungsweise zu den Kriterien für ihre Festlegung sowie zu den Rechten der betroffenen Personen.

Diese Informationen sollten verständlich und leicht auffindbar sein. Eine Datenschutzerklärung darf nicht mit einer Einwilligungserklärung vermischt werden: Die Information erläutert eine Verarbeitung, während eine Einwilligung eine eigenständige Rechtsgrundlage für einen bestimmten, freiwilligen Zweck schaffen kann.

Zur organisatorischen Grundlage gehört außerdem ein Verzeichnis der Verarbeitungstätigkeiten. Darin lassen sich etwa Mitgliederverwaltung, Beitragseinzug, Wettkampfmeldungen, Fotoveröffentlichungen und digitale Vereinskommunikation getrennt dokumentieren. Das zwingt den Verein, Zwecke, Datenarten, Empfänger, Löschregeln und Schutzmaßnahmen konkret zu benennen.

Mitgliederlisten sind kein frei verfügbares Vereinsinventar

Vereinsmitglieder gelten datenschutzrechtlich grundsätzlich als Dritte untereinander. Die Zugehörigkeit zum selben Verein berechtigt daher nicht automatisch dazu, private Telefonnummern, Anschriften oder E-Mail-Adressen aller anderen Mitglieder zu erhalten. Eine vollständige Kontaktliste darf regelmäßig nicht ungeprüft an Mannschaften, Eltern oder Abteilungen verteilt werden.

Eine Weitergabe kann zulässig sein, wenn die gegenseitige Kontaktpflege ausdrücklich zum Vereinszweck gehört oder eine andere tragfähige Rechtsgrundlage besteht. Häufig ist jedoch eine Einwilligung der aufgeführten Personen erforderlich. Selbst dann gilt: Die Liste sollte nur die für den benannten Zweck notwendigen Angaben enthalten.

Für die Praxis ergeben sich einige klare Regeln:

• Bei Rundmails gehören Empfängeradressen nicht offen in das Feld „An“ oder „CC“. Geeigneter sind BCC, eine administrierte Mailingliste oder ein geschütztes Mitgliederportal.
• Mannschaftslisten sollten auf die tatsächlich benötigten Informationen beschränkt werden. Eine Telefonnummer für kurzfristige Spielabsagen rechtfertigt nicht automatisch die Weitergabe der Privatanschrift.
• Listen dürfen nicht dauerhaft in privaten Postfächern, frei zugänglichen Ordnern oder ungeschützten Cloud-Speichern liegen.
• Beim Ausscheiden von Übungsleitungen, Vorstandsmitgliedern oder Betreuenden sind Zugänge zu sperren. Lokale Kopien müssen zurückgegeben oder ordnungsgemäß gelöscht werden.
• Datenübermittlungen an Fachverbände, Versicherer und Wettkampfausrichter sind jeweils gesondert anhand ihres Zwecks und ihrer Rechtsgrundlage zu prüfen.

Ein häufiger Fehler besteht darin, allen Ehrenamtlichen vorsorglich Zugriff auf den vollständigen Datenbestand zu geben. Besser ist ein Rollenmodell: Die Kassenführung benötigt andere Angaben als eine Trainerin, der Jugendwart andere als die Person, die eine Vereinszeitung gestaltet.

Vereinsfotos benötigen eine differenzierte Prüfung

Erkennbare Personen auf Fotos sind personenbezogene Daten. Sowohl die Aufnahme als auch die spätere Nutzung muss deshalb rechtlich bewertet werden. Eine einfache Regel, nach der entweder jedes Foto zwingend eine Einwilligung erfordert oder öffentliche Veranstaltungen vollständig frei fotografiert werden dürfen, gibt es nicht.

Eine vorherige, nachweisbare Einwilligung ist insbesondere bei Einzelporträts, gestellten Mannschaftsbildern, werblicher Nutzung und Veröffentlichungen in sozialen Netzwerken der rechtssicherere Weg. Das gilt erst recht bei Kindern und Jugendlichen, bei einer Verbindung von Bild und Namen sowie in sensiblen Situationen. Aufnahmen in Umkleiden, Behandlungsräumen oder während medizinischer Betreuung verlangen besondere Zurückhaltung.

Die Einwilligung muss freiwillig, verständlich, zweckbezogen und widerruflich sein. Eine pauschale Formulierung für alle gegenwärtigen und zukünftigen Medien lässt den tatsächlichen Umfang kaum erkennen und ist rechtlich riskant. Sinnvoller ist eine Auswahl, beispielsweise zwischen Vereinsheft, Internetseite, Presseweitergabe und sozialen Netzwerken.

Wer eine für die Mitgliedschaft nicht notwendige Fotoeinwilligung verweigert, darf grundsätzlich nicht deshalb vom Sportangebot ausgeschlossen werden. Der Verein benötigt vielmehr einen praktikablen Ablauf, mit dem auch Personen teilnehmen können, die nicht veröffentlicht werden möchten.

Veranstaltungsbilder können anders zu bewerten sein

Bei Übersichts- und Situationsaufnahmen eines öffentlichen Wettkampfs oder Vereinsfests kann im Einzelfall ein berechtigtes Interesse nach Art. 6 Abs. 1 Buchstabe f DSGVO in Betracht kommen. Dabei sind der Veranstaltungskontext, das Veröffentlichungsmedium, die Hervorhebung einzelner Personen und deren Schutzinteressen gegeneinander abzuwägen.

Die Datenschutzaufsichtsbehörden setzen bei dieser Abwägung unterschiedliche Akzente. Während übliche Berichte über Vereinsveranstaltungen unter bestimmten Voraussetzungen als berechtigtes Interesse angesehen werden können, wird die Veröffentlichung auf frei zugänglichen Internetseiten und in sozialen Netzwerken teils strenger beurteilt. Vereine sollten daraus keine pauschale Freigabe ableiten.

Bei Nahaufnahmen, Kinderfotos, Namensnennungen, werblicher Verwendung und Beiträgen für soziale Netzwerke spricht besonders viel für eine vorherige Einwilligung. Ein Aushang am Eingang des Sportplatzes kann über Fotoaufnahmen informieren, ersetzt aber nicht automatisch eine erforderliche Zustimmung.

Hilfreich sind klar erkennbare Ansprechpersonen, fotografiefreie Bereiche und ein einfaches Verfahren für Widerspruchs- oder Löschanfragen. Auch die Bildauswahl ist Teil des Datenschutzes: Ein unvorteilhafter, entwürdigender oder gesundheitlich sensibler Moment sollte unabhängig von einer möglichen Rechtsgrundlage nicht veröffentlicht werden.

Messenger sind mehr als verschlüsselte Nachrichten

Mannschaftschats wirken unkompliziert, verarbeiten aber mehr als den eigentlichen Nachrichtentext. Je nach Dienst können Telefonnummern, Adressbuchkontakte, Gruppenmitgliedschaften, Gerätekennungen, Standorte und Nutzungszeiten anfallen. Eine Ende-zu-Ende-Verschlüsselung schützt den Inhalt auf dem Übertragungsweg, macht jedoch nicht automatisch die gesamte Verarbeitung datenschutzkonform.

Veranlasst der Verein die Nutzung eines Messengers, muss er den Kommunikationsweg bewerten. Das gilt besonders, wenn Trainer oder Vorstandsmitglieder private Telefone einsetzen und die Anwendung auf persönliche Adressbücher zugreift. Auch die Sichtbarkeit der Telefonnummer für andere Gruppenmitglieder kann problematisch sein.

Eine verpflichtende private Messenger-Gruppe ohne gleichwertigen Alternativweg benachteiligt Mitglieder, die den Dienst nicht verwenden können oder wollen. Termine, Spielabsagen und andere notwendige Informationen sollten deshalb zusätzlich über einen geeigneten Kanal erreichbar sein, etwa ein Mitgliederportal oder eine administrierte Mailingliste.

Regeln für Mannschaftschats

• Ein Dienst sollte möglichst keinen vollständigen Upload des privaten Adressbuchs verlangen.
• Nur befugte Personen sollten neue Gruppenmitglieder hinzufügen oder administrative Einstellungen verändern können.
• Gesundheitsdaten, Diagnosen und vertrauliche Konflikte gehören nicht in einen allgemeinen Mannschaftschat.
• Für Geräteverlust, Ausscheiden aus der Mannschaft, Screenshots, Löschung und Wechsel der Gruppenadministration sind verbindliche Abläufe nötig.
• Serverstandorte, mögliche Drittlandübermittlungen und die Rollen des Anbieters sind vor der Nutzung zu prüfen.
• Die Messenger-Nutzung gehört in die Datenschutzinformationen und in das Verzeichnis der Verarbeitungstätigkeiten.

Bei externen Verwaltungs- oder Kommunikationsdiensten ist außerdem zu prüfen, ob der Anbieter Daten im Auftrag des Vereins verarbeitet. Ist das der Fall, kann ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich sein. Eine kostenpflichtige Vereinsversion allein belegt noch nicht, dass alle rechtlichen und technischen Anforderungen erfüllt sind.

Verantwortlichkeiten dürfen nicht am Ehrenamt scheitern

Datenschutz ist Aufgabe des Vereins als verantwortlicher Stelle. Er lässt sich nicht vollständig an einzelne Übungsleitungen oder an einen Softwareanbieter abgeben. Der Vorstand sollte festlegen, wer Zugänge vergibt, Datenschutzanfragen bearbeitet, Dienstleister prüft und bei personellen Wechseln Datenbestände bereinigt.

Nach § 38 Bundesdatenschutzgesetz muss ein nichtöffentlicher Verein regelmäßig einen Datenschutzbeauftragten benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Maßgeblich ist nicht die Mitgliederzahl, sondern wie viele Personen tatsächlich in entsprechender Weise Daten verarbeiten. Gelegentliches Aktualisieren einer Liste ist dabei nicht ohne Weiteres einer ständigen Verarbeitung gleichzusetzen.

Unabhängig von der Personenzahl können weitere Benennungspflichten entstehen, beispielsweise bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern. Das ist für einen gewöhnlichen kleinen Sportverein nicht automatisch der Fall, muss bei besonders umfangreichen oder risikoreichen Verfahren aber gesondert geprüft werden.

Ein praktikabler Datenschutzplan für den Vereinsalltag

Ein Verein muss nicht mit Formularen beginnen, sondern mit seinen tatsächlichen Abläufen. Eine Bestandsaufnahme zeigt meist schnell, wo unnötige Risiken liegen:

1. Datenwege erfassen: Welche Daten werden bei Eintritt, Training, Wettkampf, Beitragseinzug, Veranstaltungen und Öffentlichkeitsarbeit verarbeitet?
2. Zwecke und Rechtsgrundlagen zuordnen: Notwendige Mitgliederverwaltung, gesetzliche Verpflichtungen, berechtigte Interessen und freiwillige Einwilligungen sind voneinander zu trennen.
3. Zugriffe begrenzen: Jede Funktion erhält nur die Daten, die für ihre Aufgaben erforderlich sind.
4. Dienstleister prüfen: Mitgliederverwaltung, Cloud-Speicher, Internethosting und Kommunikationsdienste sind einschließlich möglicher Auftragsverarbeitung zu dokumentieren.
5. Löschregeln festlegen: Daten dürfen nicht allein deshalb unbegrenzt gespeichert werden, weil Speicherplatz verfügbar ist. Gleichzeitig sind mögliche gesetzliche Aufbewahrungspflichten zu berücksichtigen.
6. Foto- und Kommunikationsregeln erklären: Mitglieder, Eltern und Ehrenamtliche benötigen verständliche Vorgaben statt pauschaler Verbote.
7. Wechsel absichern: Endet eine Funktion oder Mitgliedschaft, müssen Berechtigungen, Verteiler, Chatgruppen und lokale Dateien überprüft werden.

Der zentrale Unterschied liegt damit nicht zwischen digitaler und analoger Vereinsarbeit. Auch eine ausgedruckte Mitgliederliste kann falsch verteilt werden, während ein gut eingerichtetes Portal Zugriffe wirksam begrenzt. Datenschutzgerechte Vereinsarbeit entsteht durch nachvollziehbare Zwecke, angemessene Technik und klare Zuständigkeiten. Bei strittigen Bildveröffentlichungen, Datenschutzverletzungen oder umfangreicher Verarbeitung von Gesundheitsdaten sollte der Verein die zuständige Datenschutzaufsicht oder fachkundigen Rechtsrat einbeziehen.