01 Bestandsaufnahme
Schritt 1: Bestandsaufnahme — welche Daten der Verein wirklich führt
Bevor irgendein Werkzeug ausgewählt wird, muss auf dem Tisch liegen, welche Daten der Verein führt, wo sie liegen, wer Zugriff hat und warum es sie überhaupt gibt.
Das Ergebnis ist eine Liste mit vier Spalten. Sie ist die Grundlage aller weiteren Schritte — und zugleich der Kern des Verzeichnisses, das die Datenschutz-Grundverordnung ohnehin verlangt.
Aufwand
2–4 Stunden, zwei Termine
Ergebnis
Bestandsliste mit vier Spalten
Kosten
keine
AusgangslageSchritt 01
Was in fast jedem Verein vorgefunden wird
Der typische Befund sieht so aus: eine Mitgliederliste in einer Tabellenkalkulation auf dem Rechner des Kassenwarts, eine zweite Liste für den Rundbrief bei der Schriftführung, ein Ordner mit Aufnahmeanträgen im Vereinsheim, ein Verteiler im Messenger, den eine Abteilungsleitung angelegt hat, und ein Konto bei einem Onlinedienst, das auf die private Adresse eines früheren Vorstandsmitglieds läuft.
Keine dieser Ablagen ist an sich falsch. Das Problem ist, dass niemand die Gesamtheit kennt: Kein Vorstandsmitglied kann die Frage beantworten, welche Daten der Verein führt und wer darauf zugreifen kann. Genau diese Frage stellt aber jede Aufsichtsbehörde zuerst — und jeder Nachfolger im Amt ebenfalls.
Die Bestandsaufnahme löst das mit dem einfachsten verfügbaren Mittel: einer Liste, die alle Verarbeitungen einmal untereinander schreibt. Sie ist bewusst grob. Es geht nicht um Vollständigkeit bis zur letzten Datei, sondern darum, alle Orte zu erfassen, an denen personenbezogene Daten des Vereins liegen.
Die Vorlage: vier Spalten, mehr nicht
Jede Zeile beschreibt eine Verarbeitung — also einen Zweck, für den der Verein Daten erhebt oder aufbewahrt. Die vier Spalten beantworten die Fragen, die später gebraucht werden, und keine darüber hinaus.
| Verarbeitung | Wo liegt sie | Wer hat Zugriff | Wozu / Rechtsgrundlage |
|---|---|---|---|
| Mitgliederstammdaten | Tabelle auf privatem Rechner | Kassenwart allein | Durchführung der Mitgliedschaft |
| Beitragseinzug | Onlinebanking, Mandate in Papier | Kassenwart, 1. Vorsitz | Mitgliedschaft, Steuerrecht |
| Rundschreiben | zweite Tabelle, Mailprogramm | Schriftführung | Vereinsinformation |
| Messenger-Verteiler | Konto einer Abteilungsleitung | unklar | ungeklärt |
| Fotos von Veranstaltungen | Cloudkonto, privat angelegt | zwei Personen | Einwilligung, teils fehlend |
| Aufnahmeanträge Papier | Ordner im Vereinsheim | alle mit Schlüssel | Nachweis, Frist abgelaufen |
Die letzte Spalte ist die unangenehme. „Ungeklärt“ und „Frist abgelaufen“ sind erlaubte Einträge — sie sind sogar der Zweck der Übung. Eine Bestandsliste, in der jede Zeile sauber aussieht, wurde nicht ehrlich ausgefüllt.
Zugänge und Konten getrennt erfassen
Neben den Daten gehört eine zweite, kürzere Liste angelegt: die der Zugänge. Sie erfasst jedes Konto bei einem Dienst, jede Domain, jedes Postfach und jeden Bankzugang — mit Angabe, auf welchen Namen es läuft, wer die Zugangsdaten kennt und welche Kosten damit verbunden sind.
Der Befund ist fast immer derselbe: Ein erheblicher Teil der Konten lautet auf Privatpersonen, und in mehreren Fällen kennt nur eine einzige Person die Zugangsdaten. Beides ist zunächst nur zu notieren. Die Umstellung ist Gegenstand des siebten Schritts, aber sie beginnt damit, dass die Liste existiert.
Was das Datenschutzrecht ohnehin verlangt
Artikel 30 der Datenschutz-Grundverordnung verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Die verbreitete Annahme, kleine Vereine seien davon befreit, greift zu kurz: Die Ausnahme für Stellen mit weniger als 250 Beschäftigten gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt — und die laufende Mitgliederdatei ist der Musterfall einer nicht gelegentlichen Verarbeitung.
Für den Verein bedeutet das keinen zusätzlichen Aufwand, wenn die Bestandsliste ohnehin entsteht. Sie enthält bereits Zweck, Datenkategorien und Empfänger; zu ergänzen sind die verantwortliche Stelle, die Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Wie das im Einzelnen aussieht, steht unter Datenschutz im Verein.
Checkliste für Schritt 1
- Alle Orte auflisten, an denen Mitgliederdaten liegen — auch Papier, auch private Geräte.
- Für jede Zeile eintragen, wer Zugriff hat und auf welcher Grundlage die Daten verarbeitet werden.
- Besondere Kategorien nach Artikel 9 gesondert markieren, insbesondere Gesundheitsangaben.
- Zweite Liste anlegen: alle Konten, Domains, Postfächer und Bankzugänge mit Inhaber.
- Doppelte Adresslisten benennen und festhalten, welche künftig die maßgebliche ist.
- Unterlagen ohne Zweck und ohne laufende Frist zur Vernichtung vormerken.
- Ergebnis im Vorstandsprotokoll festhalten und einen Termin für die Folgeprüfung setzen.
Diese Liste steht zusammen mit den sechs übrigen auch auf der Seite alle Checklisten — praktisch, wenn mehrere Schritte in einer Sitzung behandelt werden.
Wenn diese sieben Punkte abgearbeitet sind, ist der aufwendigste Teil der Digitalisierung erledigt — und zwar ohne dass ein einziges Programm installiert wurde. Der nächste Schritt entscheidet, wo die Mitgliederdaten künftig geführt werden.
Häufige Fragen
10 Fragen, die in der Vorstandsarbeit tatsächlich gestellt werden.
Warum steht die Bestandsaufnahme am Anfang?
Weil jede spätere Entscheidung davon abhängt. Welche Mitgliederverwaltung passt, hängt davon ab, welche Felder der Verein führt; ob ein Cloudspeicher genügt, hängt davon ab, welche Unterlagen dort liegen sollen. Ohne Bestandsliste werden diese Fragen geraten.
Der zweite Grund ist rechtlich: Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 der Datenschutz-Grundverordnung verlangt ohnehin fast dieselben Angaben. Wer die Liste einmal schreibt, erfüllt zwei Zwecke.
Wie lange dauert eine Bestandsaufnahme?
Zwei bis vier Stunden für einen Verein mittlerer Größe, verteilt auf zwei Termine. Der erste sammelt, der zweite prüft — denn erfahrungsgemäß fällt erst beim zweiten Durchgang auf, dass es eine zweite Adressliste gibt, die jemand anders pflegt.
Länger dauert es nur dort, wo mehrere Abteilungen eigenständig arbeiten. Dann lohnt sich pro Abteilung ein eigener Bogen.
Welche Daten zählen überhaupt als personenbezogen?
Alles, was sich einer bestimmten Person zuordnen lässt: Name, Anschrift, Geburtsdatum, Bankverbindung, E-Mail-Adresse, Telefonnummer, Eintritts- und Austrittsdatum, Funktionen im Verein, Teilnahmelisten und Fotos.
Auch scheinbar harmlose Angaben zählen dazu, sobald sie mit einem Namen verbunden sind — etwa eine Startnummer, eine Trainingsgruppe oder ein Vermerk über einen offenen Beitrag.
Was ist mit Gesundheitsdaten im Sportverein?
Sie gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 der Datenschutz-Grundverordnung und stehen unter einem strengeren Regime. Ein Vermerk über eine Allergie, eine Verletzung oder eine Behinderung darf nicht beiläufig in der Mitgliederdatei stehen.
In der Bestandsaufnahme werden solche Felder gesondert markiert. Meist ist die richtige Konsequenz, sie zu löschen oder auf eine ausdrückliche Einwilligung zu stützen.
Müssen auch Papierunterlagen erfasst werden?
Ja. Die Bestandsaufnahme unterscheidet nicht nach Medium, sondern nach Inhalt: Ein Ordner mit Aufnahmeanträgen ist eine Verarbeitung personenbezogener Daten, auch wenn er im Schrank steht.
Praktisch ist die Papierseite oft die aufschlussreichere. Dort liegen die Unterlagen, deren Löschfrist längst abgelaufen ist.
Was, wenn niemand mehr weiß, wozu eine Datei angelegt wurde?
Dann ist das ein Ergebnis, kein Versäumnis. Eine Datei ohne erkennbaren Zweck hat keine Rechtsgrundlage, und die richtige Konsequenz ist, sie zu löschen statt sie mitzuschleppen.
Wichtig ist nur, vorher zu prüfen, ob eine steuerliche oder vereinsrechtliche Aufbewahrungsfrist greift.
Wie erfasst man Zugänge, die auf privaten Konten laufen?
Genau so, wie sie sind: mit dem Vermerk, dass sie auf eine Privatperson lauten. Das ist der häufigste Befund der Bestandsaufnahme und zugleich der wichtigste, weil er die Übergabefähigkeit des Vereins bestimmt.
Die Umstellung auf Vereinskonten gehört nicht in diesen Schritt — sie ist Gegenstand von Schritt sieben. Erfasst wird sie aber hier.
Wer sollte die Bestandsaufnahme durchführen?
Zwei Personen aus unterschiedlichen Ämtern, weil jede nur ihren eigenen Ausschnitt kennt. Kassenwart und Schriftführung zusammen decken in den meisten Vereinen bereits das Meiste ab.
Wichtig ist, die Abteilungs- oder Gruppenleitungen einzubeziehen. Dort entstehen die inoffiziellen Listen.
Muss das Ergebnis der Mitgliederversammlung vorgelegt werden?
Nicht zwingend. Die Bestandsaufnahme ist eine Aufgabe der laufenden Verwaltung und damit Sache des Vorstands. Vorzulegen sind später die Beschlüsse, die daraus folgen und Geld kosten.
Sinnvoll ist eine kurze Erwähnung im Rechenschaftsbericht — sie schafft Nachvollziehbarkeit ohne zusätzlichen Aufwand.
Wie oft muss die Liste aktualisiert werden?
Einmal jährlich und immer dann, wenn ein neues Werkzeug eingeführt oder ein Amt neu besetzt wird. Der jährliche Turnus passt gut zur Kassenprüfung, weil beide dieselben Unterlagen betreffen.
Die Aktualisierung dauert dann eine halbe Stunde, weil die Struktur bereits steht.