Datenschutz im Verein

Die Datenschutzgrundverordnung (DS-GVO) ist das seit dem 25. Mai 2018 in der gesamten Europäischen Union unmittelbar geltendes Datenschutzrecht. Sie löst das bisherige Bundesdatenschutzgesetz (BDSG) ab. Im künftigen BDSG finden sich dann nur noch spezielle deutsche Regelungen zum Datenschutz. Die Grundsätze des "Verbots mit Erlaubnisvorbehalt", der „Datenvermeidung und Datensparsamkeit", "Zweckbindung" und „Transparenz" prägen aber auch weiterhin das Datenschutzrecht.

Das Datenschutzrecht ist immer dann anwendbar, wenn personenbezogene Daten verarbeitet werden. Personenbezogen sind Daten, die eine identifizierte oder identifizierbare natürliche Person betreffen. Personenbezogen sind daher Daten, durch die eine Person direkt (etwa über den Namen) bestimmt werden kann, aber auch solche Daten, die eine Kennnummer (z.B. Mitgliedsnummer) enthalten, aufgrund derer sie oder ein anderer die betroffene Person identifizieren können (pseudonyme Daten). Nicht anwendbar ist das Datenschutzrecht auf anonyme Daten, bei denen eine Identifizierung des Betroffenen für niemanden mehr möglich ist. Liegen personenbezogene Daten vor, unterliegt jede Verarbeitung (Erhebung, Speicherung, Bearbeitung, Übermittlung, etc.) dem Datenschutzrecht. In diesem Fall darf eine Verarbeitung nur vorgenommen werden, wenn es dafür eine rechtliche Grundlage gibt. Im Verein werden insbesondere Daten der Mitglieder, der Hauptamtlichen und Ehrenamtlichen personenbezogen verarbeitet. In Betracht kommen aber auch Kontaktdaten von Funktionsträgerinnen und Funktionsträgern, Fans und Dienstleistern. Überdies liegt eine Verarbeitung personenbezogener Daten im Rahmen des Spielbetriebs vor.

Nein, viele grundsätzliche Dinge bleiben beim Alten; man muss sich aber an viele neue Begriffe gewöhnen (z.B. Auftragsverarbeitung statt bisher Auftragsdatenverarbeitung). Wer sich bisher schon mit dem Datenschutzrecht befasst hat, findet sich in der DS-GVO schnell zurecht. Es gibt allerdings auch neue Anforderungen, die Anpassungen erforderlich machen (siehe: "Was muss ich als Vereinsverantwortlicher jetzt veranlassen?“).

Im Verein ist der Vorstand für die Umsetzung der gesetzlichen Anforderungen verantwortlich und muss daher entsprechende Veranlassungen treffen. Soweit ein Datenschutzbeauftragter bestellt ist, überwacht dieser zwar die Einhaltung des Datenschutzrechts, ist jedoch selbst nicht für die Umsetzung der sich daraus ergebenden Anforderungen zuständig.

Wenn Sie im Bereich des Datenschutzes bisher gut aufgestellt waren, ist der Aufwand überschaubar. Geringfügige Anpassungen sind im Bereich der Betroffenenrechte und hier insbesondere der Informationspflichten (siehe: "Welche Informationspflichten treffen meinen Verein?“) erforderlich. Das Verzeichnis über die Verarbeitungstätigkeiten ist anzupassen (siehe: "Was ist ein Verzeichnis der Verarbeitungstätigkeiten und braucht mein Verein so etwas?“) und die Verträge über die Auftragsverarbeitung sind zu prüfen. Schließlich sollten Sie sich mit den Dokumentations- und Nachweispflichten der DSG-VO vertraut machen, um im Falle des Falles den Nachweis über eine ordnungsgemäße Datenverarbeitung führen zu können.

Sollten die datenschutzrechtlichen Vorgaben bei Ihnen im Verein bisher eher weniger Aufmerksamkeit gefunden haben oder nicht vollständig umgesetzt worden sein, ist der nun erforderliche Aufwand entsprechend höher. In jedem Fall empfiehlt es sich, zunächst mit den außenwirksamen Handlungsfeldern zu beginnen: Datenschutzrechtliche Informationspflichten auf der Vereinswebsite anpassen; Überarbeitung von datenschutzrechtlichen Einwilligungserklärungen (soweit vorhanden); Datenschutzbeauftragten bestellen, soweit dies erforderlich ist und auf der Vereinswebsite und gegenüber der zuständigen Landesdatenschutzbehörde bekannt geben (siehe: "Muss mein Verein einen Datenschutzbeauftragten bestellen?“)

Danach sollten die übrigen Maßnahmen umgesetzt werden: Verzeichnis über die Verarbeitungstätigkeiten überarbeiten oder anlegen; Informationspflichten gegenüber Mitgliedern, Ehrenamtlichen und Mitarbeitern erfüllen; Verträge über die Auftragsverarbeitung abschließen oder erneuern; Regelungen zum Umgang mit Datenschutzverstößen aufstellen - ggf. sind in Ihrem Verein noch weitere Maßnahmen zu treffen; unter "Wo bekommen wir weitere Informationen?“ finden Sie zusätzliche Hinweise.

Hinsichtlich der Pflicht, einen Datenschutzbeauftragten für den Verein zu bestellen, ändert sich für Vereine wenig. Wie schon nach alter Rechtslage muss ein Verein auch nach dem neuen BDSG einen Datenschutzbeauftragten bestellen, wenn er in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Die zu berücksichtigenden Personen müssen nicht beim Verein angestellt sein, da auch eine ehrenamtliche Tätigkeit (z.B. Trainer, Jugendwart, Kassenwart) ausreichend ist. Der Vereinsvorstand wird allerdings nicht mitgerechnet. Ständig ist die Tätigkeit, wenn sie für die Erledigung der Aufgabe normalerweise erforderlich ist und auch erfolgt. Gelegentliche Aushilfstätigkeiten finden demnach keine Berücksichtigung. Ist ein Datenschutzbeauftragter zu bestellen, muss dieser über entsprechende Fachkenntnisse im Datenschutzrecht verfügen. Mit zunehmender Größe der Vereinsorganisation wachsen daher auch die Anforderungen an die fachliche Qualifikation des Datenschutzbeauftragten. Die Bestellung ist der jeweils zuständigen Landesdatenschutzbehörde mitzuteilen.

Dieses Verzeichnis dient der Transparenz über die Verarbeitung personenbezogener Daten und der rechtlichen Absicherung des Vereins. Darin werden die Verarbeitungsvorgänge erfasst, bei denen personenbezogene Daten betroffen sind. Dies sind normale Verwaltungsprozesse, wie etwa die Mitgliederverwaltung oder Buchhaltung, aber auch fußballspezifische Prozesse wie die Erstellung der elektronischen Spielberechtigungslisten und des elektronischen Spielberichts oder die Antragstellung über Pass Online und die Erstellung des Spielerpass Online. Für jeden Verarbeitungsprozess werden dessen Zweck und die verarbeiteten personenbezogenen Daten beschrieben, auf welcher Rechtsgrundlage die Verarbeitung erfolgt, ggf. an wen die Daten übermittelt werden und welche Maßnahmen für den Schutz der Daten ergriffen wurden. Achtung: Ein Verzeichnis der Verarbeitungstätigkeiten über alle Verarbeitungsprozesse ist erst ab 250 Mitarbeitern zu führen. Daher beschränkt sich bei kleineren Vereinen die Verpflichtung auf solche Verarbeitungsprozesse, die nicht nur gelegentlich ausgeführt werden (v.a. die Mitgliederverwaltung) und bei denen besondere Kategorien von Daten (z.B. Gesundheitsdaten wie Größe, Gewicht, Gesundheitszustand, Krankheiten) verarbeitet werden.

Die Datenschutzgrundverordnung (DS-GVO) ist das ab dem 25. Mai 2018 in der gesamten Europäischen Union unmittelbar geltendes Datenschutzrecht. Sie löst das bisherige Bundesdatenschutzgesetz (BDSG) ab. Im künftigen BDSG finden sich dann nur noch spezielle deutsche Regelungen zum Datenschutz. Die Grundsätze des "Verbots mit Erlaubnisvorbehalt", der „Datenvermeidung und Datensparsamkeit", "Zweckbindung" und „Transparenz" prägen aber auch weiterhin das Datenschutzrecht.

Um die Verarbeitung personenbezogener Daten für die Betroffenen (Mitglieder, Beschäftigte, Ehrenamtliche, Kunden, Nutzer, Fans) möglichst transparent zu gestalten, sehen Art. 13 und 14 DS-GVO umfassende Informationspflichten vor. Dies ist insbesondere im Hinblick auf die Vereinswebsite und die Mitgliederverwaltung – insbesondere bei der Ansprache neuer Mitglieder – relevant.

Ja, denn die DS-GVO schützt Kinder und Jugendliche besonders, indem eine wirksame datenschutzrechtliche Einwilligung (z.B. zur werblichen Ansprache) erst nach Vollendung des 16. Lebensjahres möglich ist und bis dahin die gesetzlichen Vertreter wirksam einwilligen müssen. Dies gilt allerdings nur für die Verarbeitung von Daten, die aufgrund einer Einwilligung erfolgt. Soweit die Daten aufgrund der Vereinsmitgliedschaft (etwa für den Spielbetrieb) verarbeitet werden, ist eine Einwilligung nicht erforderlich.

Wer personenbezogene Daten verarbeitet, ist gesetzlich dazu verpflichtet für einen angemessenen technischen und organisatorischen Schutz dieser Daten zu sorgen. Dazu gehören mindestens der Schutz vor unbefugten Zugriffen, ein aktueller Virenschutz und regelmäßige Datensicherung sowie regelmäßige Sicherheitsupdates für Betriebssystem und Anwendungssoftware. Je nach Vereinsgröße und Komplexität der eingesetzten Informationstechnologie können wegen des größeren Risikos weitere Maßnahmen erforderlich werden. Der Verein trägt auch die Verantwortung, dass Auftragsverarbeiter in ihren Systemen für angemessenen Schutz sorgen. Seriöse Anbieter legen daher spätestens auf Anfrage eine Beschreibung der Sicherheitsmaßnahmen vor und haben auch vor einer persönlichen Prüfung keine Angst.

Hier ändert sich wenig: Die Datenverarbeitung im DFBnet ist eine Auftragsverarbeitung für Ihren Verein (und alle sonstigen Fußballvereine und -verbände in Deutschland). Der Verein bleibt auch nach dem neuen Datenschutzrecht für die Verarbeitung seiner Daten verantwortlich. Die DFB GmbH verarbeitet diese Daten daher ausschließlich aufgrund der Weisung des jeweiligen Vereins und in dem von ihm vorgegebenen Rahmen. Die Ordnungsgemäßheit der Auftragsverarbeitung durch die DFB GmbH wird stellvertretend für die Landesverbände und deren Mitgliedsvereinen regelmäßig durch den Datenschutzbeauftragten des DFB e.V. überprüft.

Die Gesellschaft für Datenschutz und Datensicherheit (GDD) stellt kostenfrei online eine Reihe von sehr nützlichen Praxishilfen zur Verfügung, die die erforderlichen Schritte anhand von Beispielen und in allgemeinverständlicher Sprache erklären und Mustertexte enthalten. Das alles gibt's hier.

Zudem gibt es zudem von einigen Aufsichtsbehörden Hinweisblätter speziell zum Datenschutz im Verein. In Niedersachsen gibt's diese hier.

Ausführlichere Informationen finden Sie hier im Positionspapier des DFB.

I. Einleitung

Die Nutzung von Bildern und Videos zur Trainingsanalyse oder zur Stärkung der Vereinsmarke wird auch im Amateurfußball immer präsenter. Gleichzeitig erfordert die Verbreitung von Aufnahmen die Einhaltung datenschutzrechtlicher Persönlichkeitsrechte. Die folgenden Informationen dienen als Hilfe für die wichtigsten rechtlichen und praktischen Aspekte bei der Foto- und Videoerstellung. Abgesehen von der rechtlichen Einordnung raten wir den Vereinsverantwortlichen dazu, die Wünsche aller Betroffenen ernst zu nehmen und einen möglichen rechtlichen Spielraum nicht immer voll auszureizen. Im Sinne des Fair-Play-Gedanken sollte auf Fotos und Videos und deren Veröffentlichung verzichtet werden, wenn Betroffene ausdrücklich darum bitten. 

II. Warum Datenschutz?

Gemäß DSGVO setzt jede Verarbeitung personenbezogener Daten eine entsprechende Rechtsgrundlage voraus. Für Foto- und Videoaufnahmen gibt es zwei Hauptgrundlagen:

1. Einwilligung
2. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Ermöglicht Spielanalysen oder Berichte über öffentliche Veranstaltungen. Wichtig: Hier ist stets eine Interessenabwägung nötig. Die Interessen des Sportlers dürfen dem Vereinsinteresse nicht überwiegen. 

III. Wer ist betroffen?

Zu den betroffenen Personen zählen insbesondere:

• Spielerinnen und Spieler
• Schiedsrichterinnen und Schiedsrichter
• Trainerinnen und Trainer
• Vereinsfunktionäre
• Zuschauerinnen und Zuschauer

IV. Spielerfotos

Die Erstellung von Spielerfotos ist in der Regel zulässig, wenn sie für die Organisation des Spielbetriebes erforderlich ist. So ist für die Beantragung eines Spielerpasses die Verwendung eines Lichtbildes notwendig. In solchen Fällen kann die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden. Allerdings darf das Bild auf bspw. Social-Media ohne gesonderte Einwilligung nicht veröffentlicht werden.

Der Verein ist jedoch verpflichtet, die betroffenen Personen vor der Anfertigung des Fotos umfassend über die Datenverarbeitung zu informieren (Art. 13 DSGVO). Wir empfehlen daher, dass direkt bei Anmeldung im Verein die Datenschutz-Informationen übergeben und ggf. die Einwilligung von dem Betroffenen sich eingeholt wird. Für weitere Informationen empfehlen wir die Stiftung Datenschutz.

V. Öffentliche Sportveranstaltungen

Bei Spielen und Turnieren im wettkampfbezogenen Seniorenbereich darf das Geschehen auf dem Feld gefilmt und fotografiert werden, wenn es sich hierbei um öffentliche Veranstaltungen handelt. Persönlichkeitsrechte gehen jedoch auch hier vor: Nahaufnahmen von Spielern oder Zuschauern sowie intime Momente (Verletzungen, Emotionen usw.) dürfen ohne Einverständnis (Einwilligung) der Personen nicht veröffentlicht werden. Wir empfehlen daher auch bei öffentlichen Sportveranstaltungen die Einwilligung der Betroffenen Personen (wie bspw. Schiedsrichter oder Spieler/Spielerinnen) sich einzuholen.

VI. Hausrecht

Unabhängig von datenschutzrechtlichen Vorgaben steht dem Heimverein bzw. dem Betreiber der Sportanlage das Hausrecht zu. Über das Hausrecht kann das Anfertigen von Foto- und Videoaufnahmen auf der Sportanlage beschränkt oder von bestimmten Bedingungen (wie das Vorliegen einer Einwilligungserklärung oder vorheriger Anmeldung) abhängig gemacht werden. Der Inhaber des Hausrechts kann also das Anfertigen von Videoaufnahmen auf seinem Gelände untersagen. Das Hausrecht findet jedoch dort seine Grenzen, wo höherrangige Rechte (wie die DSGVO) entgegenstehen. Die Beachtung der Persönlichkeitsrechte ist also auch weiterhin notwendig.

VII. Sonderregelung bei Kindern und Jugendlichen

Für Kinder unter 16 Jahren ist eine Einwilligung der Sorgeberechtigten zwingend. Jugendliche ab 16 Jahren können eigenständig zustimmen, sofern die nötige Einsichtsfähigkeit über die Tragweite der Veröffentlichung besteht. Zur Absicherung erscheint aber das Einverständnis der Eltern stets am sinnvollsten. Ausführlichere Informationen finden Sie hier in der Handreichung der Stiftung Datenschutz.

VIII. Umgang mit automatisierten Kamerasystemen

Bei Einsatz stationärer Kamerasysteme (z.B. Soccerwatch, Pixellot, Veo usw.) obliegt die Einhaltung des Datenschutzes dem Heimverein. Zu den Pflichten gehören die Vorab-Informationen der Beteiligten, die gut sichtbare Kennzeichnung durch Hinweisschilder sowie die Aufklärung über das Widerspruchsrecht. Eine individuelle Einwilligung der Akteure ist im Seniorenbereich im Regelfall entbehrlich, sofern die Nutzung auf die festgelegten Zwecke (Öffentlichkeitsarbeit, Analyse usw.) beschränkt bleibt und keine Nahaufnahmen getätigt werden.

IX. Muster für eine Einwilligungserklärung

Ein Muster für eine Einwilligungserklärung finde Sie hier. Sie müssen auch weiterhin prüfen, ob diese Mustererklärung für Ihren Zweck ausreichend ist. Eine Word-Version der Muster-Einwilligungserklärung zum Anpassen finden Sie hier. 

X. Verboten

Bilder und Aufnahmen sind regelmäßig dann nicht mehr zulässig bzw. eine Veröffentlichung muss vermieden werden, wenn es sich um Verletzungsbilder oder intime bzw. emotionale Momente handelt. Selbstverständlich dürfen auch keine diskriminierenden Inhalte veröffentlicht werden oder Aufnahmen von Umkleide- bzw. Rückzugsbereichen angefertigt werden.

XI. Abschließend

Der Datenschutz ist ein komplexes Thema und erfordert eine umfängliche Prüfung des Einzelfalls. Diese vorstehenden Informationen haben keinen Anspruch auf Vollständigkeit, sie sollen lediglich eine Hilfestellung für die ersten Schritte in die richtige Richtung sein.