Datenschutz im Verein: Was das revidierte DSG verlangt

Für wen das Gesetz gilt

Das DSG gilt für jede Bearbeitung von Personendaten durch private Personen und Organisationen, also auch für Vereine, unabhängig von Grösse und Umsatz. Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen: Name, Adresse, Geburtsdatum, Foto, Beitragsstatus, Anwesenheit. Besonders schützenswert sind unter anderem Angaben zur Gesundheit, zur religiösen oder politischen Haltung und zur Herkunft (Art. 5 DSG). Solche Daten, zum Beispiel Allergien im Lager, brauchen eine ausdrückliche Einwilligung und besonderen Schutz.

Die Grundsätze, die im Alltag zählen

• Zweckbindung und Verhältnismässigkeit (Art. 6): Erhoben wird, was für den Vereinszweck nötig ist, nicht, was interessant wäre. Wer die Geburtsdaten nur für Ehrungen braucht, fragt nicht nach dem Zivilstand.
• Transparenz (Art. 19): Die Mitglieder wissen, welche Daten der Verein wofür bearbeitet und an wen er sie weitergibt. Dafür gibt es die Datenschutzerklärung.
• Richtigkeit (Art. 6 Abs. 5): Daten sind aktuell zu halten. Ein Portal, in dem Mitglieder ihre Adresse selbst pflegen, erledigt das nebenbei.
• Datensicherheit (Art. 8): Angemessene technische und organisatorische Massnahmen: Passwörter, Zugriffsrechte, Verschlüsselung, Backups. Die Mitgliederliste als Excel auf dem privaten Laptop des Kassiers ist keine Massnahme.

Was der Verein konkret tun muss

1. Datenschutzerklärung veröffentlichen: wer verantwortlich ist, welche Daten wozu bearbeitet werden, an wen sie gehen, ob sie ins Ausland gelangen, welche Rechte die Mitglieder haben. Auf der Webseite und, bei der Aufnahme, im Beitrittsformular.
2. Auskunft geben (Art. 25): Jede Person kann verlangen zu erfahren, welche Daten der Verein über sie hat. Die Antwort ist innert 30 Tagen fällig und in der Regel kostenlos.
3. Auftragsbearbeitung regeln (Art. 9): Nutzt der Verein eine Vereinssoftware oder einen Newsletter-Dienst, bearbeitet dieser Anbieter die Daten im Auftrag. Der Verein bleibt verantwortlich und stellt sicher, dass der Anbieter die Daten nur nach Weisung bearbeitet und sie schützt. Wo liegen die Daten? Wer hat Zugriff? Was passiert bei Kündigung?
4. Bekanntgabe ins Ausland prüfen (Art. 16 und 17): Daten dürfen nur in Länder mit angemessenem Datenschutz gelangen oder mit zusätzlichen Garantien. Für die USA gilt seit September 2024 das Swiss-US Data Privacy Framework für zertifizierte Unternehmen. Einfacher ist es, wenn die Daten in der Schweiz bleiben.
5. Verletzungen melden (Art. 24): Gehen Daten verloren oder gelangen sie an Unbefugte, und entsteht dadurch voraussichtlich ein hohes Risiko für die Betroffenen, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) so rasch als möglich zu informieren.

Ein Verzeichnis der Bearbeitungstätigkeiten ist nur für Unternehmen mit 250 und mehr Mitarbeitenden oder bei risikoreichen Bearbeitungen Pflicht; die meisten Vereine sind davon befreit. Eine Datenschutz-Folgenabschätzung brauchen Vereine praktisch nie.

Die fünf Fälle aus dem Vereinsalltag

Mitgliederliste

Die Liste darf innerhalb des Vereins verwendet werden, soweit es dem Zweck dient. Sie an alle Mitglieder zu verteilen, ist nur zulässig, wenn die Mitglieder informiert sind und keinen Widerspruch erhoben haben; sicherer ist ein Portal, in dem jedes Mitglied nur sieht, was es sehen darf. Weitergabe an Sponsoren oder Verbände nur mit Grundlage (Statuten, Verbandsreglement, Einwilligung).

Fotos

Fotos sind Personendaten und berühren das Recht am eigenen Bild. Gruppenbilder vom Vereinsanlass sind in der Regel unproblematisch, wenn die Mitglieder informiert sind und widersprechen können. Porträts auf der Webseite, Bilder von Kindern und Bilder in sozialen Medien brauchen eine Einwilligung, bei Kindern die der Eltern. Wer widerspricht, wird entfernt.

Geburtstage und Jubiläen

Geburtstagslisten im Portal oder in der Vereinszeitung sind zulässig, wenn die Mitglieder davon wissen und sich abmelden können. Das Alter gehört nicht zwingend dazu.

Gesundheitsdaten im Lager

Allergien, Medikamente, Notfallkontakte: nur mit Einwilligung erheben, nur der Lagerleitung zugänglich machen, nach dem Lager löschen.

Vorstandswechsel

Zugänge sind personenbezogen. Beim Wechsel werden Konten übertragen und alte Zugänge gesperrt, Daten auf privaten Geräten gelöscht. Ein gemeinsames Vorstandspasswort ist keine Lösung.

Was passiert, wenn nicht

Das DSG kennt Bussen bis CHF 250'000, und zwar gegen die verantwortlichen natürlichen Personen, nicht gegen den Verein (Art. 60 ff.). Strafbar sind vor allem vorsätzliche Verletzungen der Informations- und Auskunftspflichten und der Sorgfaltspflichten. Der grössere Schaden ist meist der Vertrauensverlust bei den Mitgliedern.

Zu den Vorlagen

Die Datenschutzerklärung unten ist für die Webseite eines Vereins geschrieben, der seine Verwaltung und sein Mitgliederportal bei einem Schweizer Anbieter betreibt. Platzhalter in eckigen Klammern ersetzen, nicht zutreffende Abschnitte streichen, ergänzen, was euer Verein zusätzlich tut (Newsletter-Dienst, Fotos, Videoüberwachung im Clubhaus). Das Impressum ist in der Schweiz für Vereinswebseiten nicht allgemein vorgeschrieben, aber üblich und bei Online-Verkauf Pflicht (Art. 3 Abs. 1 Bst. s UWG).

Dieser Artikel ist eine praktische Orientierung für Vereinsvorstände und keine Rechts- oder Steuerberatung. Für verbindliche Auskünfte wende dich an die zuständige Stelle oder eine Fachperson.