DSGVO & AVV: Was Vereine und Bildungsträger wirklich brauchen

Dieser Artikel gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Für Ihre konkrete Situation wenden Sie sich an Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Anwaltskanzlei.

Worum es geht

Vereine und Bildungsträger verarbeiten viele personenbezogene Daten: Mitgliederlisten, Bankverbindungen für Lastschriften, Teilnehmerlisten, Prüfungsergebnisse, manchmal Gesundheitsdaten. Die DSGVO gilt dafür genauso wie für Unternehmen — auch dann, wenn überwiegend ehrenamtlich gearbeitet wird.

Die gute Nachricht: Für die meisten Organisationen läuft es auf eine überschaubare Zahl von Unterlagen und Gewohnheiten hinaus.

Die Grundausstattung

1. 011. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Eine Übersicht, welche Daten Sie wofür verarbeiten, wer Zugriff hat und wann gelöscht wird. Die Ausnahme für Organisationen unter 250 Beschäftigten hilft in der Praxis selten, denn sie gilt nicht, sobald Daten regelmäßig verarbeitet werden — und eine Mitgliederverwaltung ist regelmäßig.
2. 022. Datenschutzhinweise (Art. 13 DSGVO): Auf der Website und bei der Aufnahme neuer Mitglieder oder Teilnehmender, verständlich formuliert.
3. 033. Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Wer hat welche Zugänge, wie werden Daten gesichert, sind Geräte verschlüsselt?
4. 044. Verträge zur Auftragsverarbeitung (Art. 28 DSGVO): mit allen Dienstleistern, die in Ihrem Auftrag personenbezogene Daten verarbeiten.
5. 055. Ein Ablauf für Datenpannen: Wer entscheidet, ob eine Meldung an die Aufsichtsbehörde nötig ist? Die Frist beträgt grundsätzlich 72 Stunden ab Bekanntwerden (Art. 33 DSGVO).

Wann brauchen Sie einen AVV?

Immer dann, wenn ein Dienstleister personenbezogene Daten nach Ihren Weisungen für Sie verarbeitet. Typische Beispiele:

• Hosting der Website und der E-Mail-Postfächer
• Cloud-Speicher und Office-Pakete
• Mitglieder- oder Teilnehmerverwaltung als Online-Software
• Newsletter-Versand
• Externe IT-Betreuung oder Fernwartung mit Zugriff auf Ihre Systeme

In der Regel kein AVV ist nötig bei Stellen, die eigenverantwortlich arbeiten, etwa Steuerberatung, Banken oder Postdienste. Die Abgrenzung ist nicht immer eindeutig — im Zweifel lohnt die Nachfrage.

Was in einem AVV stehen muss

Art. 28 Abs. 3 DSGVO legt die Mindestinhalte fest. Die wichtigsten Punkte in Alltagssprache:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, welche Daten und welche Personengruppen betroffen sind
• Der Dienstleister verarbeitet nur auf Ihre dokumentierte Weisung.
• Seine Beschäftigten sind zur Vertraulichkeit verpflichtet.
• Angemessene Sicherheitsmaßnahmen sind beschrieben.
• Weitere Unterauftragnehmer nur mit Ihrer Genehmigung
• Unterstützung bei Auskunftsersuchen und Datenpannen
• Löschung oder Rückgabe der Daten nach Vertragsende
• Ihr Recht, die Einhaltung zu überprüfen

Bei großen Anbietern ist der AVV meist Teil der Online-Vertragsbedingungen. Oft müssen Sie ihn nur im Kundenkonto bestätigen oder herunterladen — und dann auch wirklich ablegen. Bei Anbietern mit Sitz oder Rechenzentren außerhalb der EU prüfen Sie zusätzlich, auf welcher Grundlage Daten dorthin übermittelt werden.

Besondere Kategorien von Daten

Gesundheitsdaten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit oder ethnische Herkunft sind nach Art. 9 DSGVO besonders geschützt. Das betrifft etwa Pflegedienste, Bildungsträger mit Förder- und Beratungsangeboten oder religiöse Gemeinschaften. Hier lohnt es sich, genauer hinzusehen: Wer hat Zugriff, wo liegen die Daten, und muss wirklich jede Information gespeichert werden?

Ein Beispiel aus der Praxis: Bei einem Bildungsträger nimmt ein KI-Telefonassistent Anrufe entgegen. Anrufe zur Jugendhilfe werden bewusst ohne KI direkt an einen Menschen geleitet, weil dort besonders schützenswerte Daten zur Sprache kommen.

Brauchen Sie einen Datenschutzbeauftragten?

In Deutschland ist eine Benennung in der Regel Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Nach Auffassung der Aufsichtsbehörden können dabei auch Ehrenamtliche mitzählen. Unabhängig von dieser Zahl besteht eine Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten liegt (Art. 37 DSGVO).

Häufige Lücken

• Mitgliederlisten werden als Tabelle per E-Mail herumgeschickt.
• Ehemalige Vorstandsmitglieder oder Honorarkräfte haben noch Zugang zu Postfächern oder Cloud-Ordnern.
• Ein Dienstleister wurde gewechselt, der alte hat noch Daten.
• Niemand weiß, wann Daten ausgeschiedener Mitglieder gelöscht werden.
• Private Handys ohne Sperrcode werden für Vereinsdaten genutzt.

Wie Sie den Überblick behalten

Datenschutz wird handhabbar, wenn er einen festen Ort und einen festen Termin hat:

• Ein Ordner für alles: Verzeichnis von Verarbeitungstätigkeiten, abgeschlossene AVVs, Beschreibung der Schutzmaßnahmen und ein Protokoll für Vorfälle — an einer Stelle, auf die mindestens zwei Verantwortliche Zugriff haben.
• Vor jedem neuen Werkzeug kurz prüfen: Werden personenbezogene Daten verarbeitet? Gibt es einen AVV? Wo liegen die Daten?
• Bei jedem Wechsel im Vorstand oder Team: Zugänge übergeben und alte entziehen.
• Einmal im Jahr: Unterlagen durchsehen, Dienstleisterliste abgleichen, Löschfristen umsetzen.

Checkliste

• Verzeichnis von Verarbeitungstätigkeiten angelegt und in den letzten zwölf Monaten geprüft
• Liste aller Dienstleister mit Datenzugriff, jeweils mit abgelegtem AVV
• Zugänge ehemaliger Mitwirkender entzogen
• Löschfristen festgelegt und umgesetzt
• Ablauf für Datenpannen mit Zuständigkeit und 72-Stunden-Frist
• Datenschutzhinweise auf Website und Formularen aktuell