Wie deutsche Studios die DSGVO bei der Mitgliederverwaltung einhalten

Das Wichtigste auf einen Blick

• DSGVO Mitgliederverwaltung betrifft jede Datei mit Name, Geburtsdatum, Bankverbindung, Gesundheitsangaben oder Trainingshistorie.
• Rechtsgrundlagen sind Vertrag, Einwilligung oder berechtigtes Interesse, nicht die Gewohnheit.
• Beschäftigtendaten von Trainern und Thekenkräften laufen über § 26 BDSG.
• Aufsichtsbehörde ist das Landesdatenschutzamt des jeweiligen Bundeslandes, nicht eine zentrale Stelle.
• Ohne Verzeichnis von Verarbeitungstätigkeiten und Auftragsverarbeitungsvertrag fehlt die halbe Dokumentation.

Welche Mitgliederdaten unter die DSGVO und das BDSG fallen

Mitgliederdaten sind personenbezogene Daten. Sobald Name, Anschrift und Kontoverbindung in einer Kartei, einem Ordner oder einer Software stehen, greift die Datenschutz-Grundverordnung. Das gilt für den kleinen Turnverein in Hessen genauso wie für die Studio-Kette mit Standorten in Nordrhein-Westfalen und Berlin.

Besonders sensibel sind Gesundheitsdaten. Atteste, Reha-Berichte, Trainingspläne nach Verletzungen und Angaben zu Vorerkrankungen zählen nach Artikel 9 DSGVO zu den besonderen Kategorien. Für sie braucht es eine ausdrückliche Einwilligung oder eine andere eng begrenzte Ausnahme. Ein Formular, das pauschal alles abfragt, reicht dafür nicht.

Auch die Trainingshistorie ist ein Datum. Wer erfasst, wann ein Mitglied welche Kurse besucht, kann Rückschlüsse auf Gesundheit, Schwangerschaft oder Arbeitszeiten ziehen. Solche Auswertungen brauchen einen Zweck, der im Verzeichnis steht.

Die amtlichen Texte von DSGVO und BDSG stehen frei zugänglich bereit, etwa über Gesetze im Internet als amtliche Quelle für DSGVO und BDSG. Wer im Streitfall argumentieren muss, sollte die Norm zitieren können und nicht nur eine Zusammenfassung aus einem Blog.

Die einschlägigen Normen samt BDSG finden sich in der Teilliste D der Gesetze im Internet.

Was typischerweise anfällt

Datenart	Beispiel	Besonders geschützt
Stammdaten	Name, Adresse, Geburtsdatum	nein
Zahlungsdaten	IBAN, SEPA-Mandat	nein
Gesundheitsdaten	Attest, Reha-Bericht	ja, Artikel 9 DSGVO
Nutzungsdaten	Kursbesuche, Check-in-Zeiten	nein, aber erklärungsbedürftig
Beschäftigtendaten	Arbeitszeit, Abrechnung	ja, § 26 BDSG

Diese Tabelle ist kein Selbstzweck. Sie ist der Rohbau für das Verzeichnis von Verarbeitungstätigkeiten und für jede Auskunft, die ein Mitglied verlangt.

Rechtsgrundlagen: Einwilligung, Vertrag und berechtigtes Interesse

Jede Verarbeitung braucht eine Rechtsgrundlage. Im Studioalltag sind drei einschlägig: der Vertrag, die Einwilligung und das berechtigte Interesse.

Der Vertrag trägt die Kerndaten. Wer einen Trainingsvertrag schließt, muss Name, Anschrift und Bankverbindung angeben, sonst lässt sich der Vertrag nicht abwickeln. Für diese Daten braucht es keine gesonderte Einwilligung. Die Rechtsgrundlage steht in Artikel 6 Absatz 1 Buchstabe b DSGVO.

Die Einwilligung trägt alles, was über den Vertrag hinausgeht. Dazu gehören Fotoaufnahmen für die Vereinszeitung, die Weitergabe der Adresse an einen Kooperationspartner oder die Auswertung von Trainingsdaten für Marketing. Eine Einwilligung muss freiwillig, informiert und jederzeit widerrufbar sein. Wer den Vertrag von der Werbeeinwilligung abhängig macht, riskiert deren Unwirksamkeit.

Das berechtigte Interesse trägt enge Fälle, etwa die Videoüberwachung des Eingangs zum Schutz vor Einbruch. Es verlangt eine Abwägung, die dokumentiert wird. Ein pauschaler Verweis auf den Hausfrieden genügt nicht.

Für die Praxis heißt das: Pro Verarbeitung eine Rechtsgrundlage notieren. Nicht pro Software, nicht pro Abteilung.

Einwilligungen richtig einholen und dokumentieren

Einwilligungen scheitern selten am Inhalt, meist an der Form. Vier Punkte entscheiden.

Erstens: getrennt abfragen. Werbe-E-Mails, Foto-Nutzung und Datenweitergabe gehören in separate Kästchen. Ein Sammelhäkchen ist unwirksam.

Zweitens: verständlich formulieren. Der Text nennt Zweck, Empfänger und Widerrufsweg. Ein Verweis auf die Datenschutzerklärung ist erlaubt, ersetzt aber nicht die klare Bezeichnung des Zwecks.

Drittens: nachweisbar dokumentieren. Wer wann welche Erklärung abgegeben hat, muss im Zweifel belegbar sein. In der Software heißt das: Zeitstempel, Version des Textes, Widerrufsdatum.

Viertens: Widerruf einfach halten. Ein Widerruf per E-Mail oder an der Theke muss ausreichen. Wer ein Einschreiben verlangt, baut Hürden ein, die vor der Aufsicht nicht halten.

Praxisbeispiel

Ein Verein in Niedersachsen führt eine neue Kursanmeldung ein. Im Formular stehen drei getrennte Kästchen: Vertragsdaten, Fotoerlaubnis für die Homepage, Newsletter. Die Software speichert zu jeder Erklärung Datum und Textversion. Ein Mitglied widerruft die Fotoerlaubnis per E-Mail. Die Geschäftsstelle entfernt das Bild innerhalb einer Woche und vermerkt den Widerruf. Genau so sieht gelebte Einwilligung aus.

Beschäftigtendaten nach § 26 BDSG in Studios

Trainer, Kursleitungen und Thekenkräfte sind Beschäftigte. Für ihre Daten gilt nicht allein die DSGVO, sondern zusätzlich § 26 BDSG. Die Vorschrift regelt, wann personenbezogene Daten im Beschäftigungskontext verarbeitet werden dürfen.

Erforderlich ist ein Bezug zum Beschäftigungsverhältnis. Arbeitszeiten, Qualifikationsnachweise, Abrechnungsdaten und Einsatzpläne lassen sich darauf stützen. Private Angaben ohne Anlass gehören nicht in die Personalakte.

Besondere Kategorien brauchen mehr. Krankmeldungen und Gesundheitszeugnisse dürfen nur verarbeitet werden, soweit dies für Rechte und Pflichten aus dem Arbeitsverhältnis erforderlich ist. Die Details stehen in der Einzelnorm zu § 26 BDSG.

Für Studios mit Honorartrainern kommt ein zweiter Punkt hinzu. Scheinselbstständigkeit und Datenschutz sind getrennte Themen, aber beide verlangen klare Verträge. Wer Honorarkräfte wie Angestellte steuert, sollte die Vertragsgestaltung prüfen lassen.

Die Aufsicht schaut bei Beschäftigtendaten genau hin, weil hier Abhängigkeit und Freiwilligkeit zusammenfallen. Eine Einwilligung der Trainerin ist deshalb nur selten die richtige Grundlage.

Softwarefunktionen für DSGVO-konforme Mitgliederverwaltung

Die Software entscheidet, ob Datenschutz im Alltag funktioniert oder an Excel scheitert. Acht Funktionen sollten auf der Prüfliste stehen.

1. Rollen und Rechte: Jede Rolle sieht nur, was sie braucht. Die Theke braucht keine Gesundheitsdaten.
2. Löschkonzept: Fristen sind hinterlegt, Daten werden automatisch gelöscht oder zur Löschung vorgeschlagen.
3. Auskunftsexport: Auf Knopfdruck entsteht eine vollständige Kopie der Daten eines Mitglieds.
4. Einwilligungsverwaltung: Zwecke, Textversion, Zeitstempel und Widerruf werden gespeichert.
5. Protokollierung: Wer wann welche Datensätze geändert hat, ist nachvollziehbar.
6. Verschlüsselung: Übertragung und Speicherung sind verschlüsselt.
7. Export und Portabilität: Daten lassen sich in einem gängigen Format herausgeben.
8. Auftragsverarbeitung: Der Vertrag mit dem Anbieter ist im System hinterlegt und aktuell.

Fehlt eine dieser Funktionen, entsteht Handarbeit. Handarbeit bedeutet Fehler, und Fehler bedeuten im Zweifel eine Meldung an die Aufsicht.

Wo KI ins Spiel kommt

Immer mehr Anbieter versprechen automatisierte Mitgliederbindung, Churn-Prognosen oder Chatbots für die Anmeldung. Solche Systeme verarbeiten personenbezogene Daten und brauchen eine Rechtsgrundlage, eine Zweckbindung und eine Prüfung, ob überhaupt personenbezogene Daten nötig sind. Der DIHK-Praxisleitfaden zu KI im Klartext ordnet ein, wie Betriebe solche Werkzeuge dokumentieren.

Bei KI-gestützter Auswertung von Trainingsdaten kommt ein Risiko hinzu: Das System kann Gesundheitszustände ableiten. Das verschiebt die Verarbeitung in den Bereich des Artikels 9 DSGVO. Wer solche Funktionen einkauft, sollte den Anbieter nach Datenfluss, Speicherort und Löschung fragen, schriftlich.

Auskunft, Löschung und Datenübertragbarkeit in der Praxis

Mitglieder haben Rechte. Die drei wichtigsten sind Auskunft, Löschung und Übertragbarkeit.

Die Auskunft umfasst mehr als eine Datenkopie. Das Mitglied erfährt, welche Daten verarbeitet werden, zu welchem Zweck, wie lange und an wen sie gehen. Eine Antwortfrist von einem Monat ist üblich, eine Verlängerung nur bei komplexen Fällen.

Die Löschung greift, wenn der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht. Buchhaltungsrelevante Daten bleiben erhalten, Trainingsdaten nicht. Wer Mitgliederdaten löschen muss, sollte zwischen Vertrags-, Abrechnungs- und Gesundheitsdaten trennen.

Die Übertragbarkeit betrifft Daten, die auf Einwilligung oder Vertrag beruhen und automatisiert verarbeitet werden. Ein CSV-Export erfüllt das in der Regel. Ein PDF genügt nicht.

In der Praxis scheitern diese Rechte an zwei Stellen: Es gibt keine zentrale Stelle, die Anfragen bearbeitet, und es gibt keine Fristenübersicht. Beides lässt sich mit einer einfachen Liste lösen.

Was bei einer Anfrage zu tun ist

• Identität des Antragstellers prüfen
• Betroffenenrechte im System vermerken
• Daten aus allen Systemen zusammenführen, auch aus Kursplanern
• Aufbewahrungspflichten prüfen
• Antwort innerhalb der Frist versenden
• Vorgang dokumentieren

Diese Liste gehört an den Arbeitsplatz der Geschäftsstelle, nicht in eine Schublade.

Rollen der Landesdatenschutzbeauftragten und Aufsichtsbehörden

In Deutschland gibt es keine zentrale Datenschutzaufsicht. Zuständig ist die Behörde des Bundeslandes, in dem der Verantwortliche sitzt. Für ein Studio in München ist das das Bayerische Landesamt für Datenschutzaufsicht, für einen Verein in Hamburg der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Die Aufsicht berät und kontrolliert. Sie nimmt Beschwerden von Mitgliedern entgegen, prüft Meldungen bei Datenpannen und kann Bußgelder verhängen. Die Höhe richtet sich nach Art und Schwere des Verstoßes sowie nach der Größe des Betriebs.

Für Vereine und kleine Studios gibt es Erleichterungen, aber keine Freistellung. Ein Datenschutzbeauftragter Verein wird erst ab bestimmten Schwellen Pflicht, etwa wenn mindestens 20 Personen ständig mit automatisierter Verarbeitung befasst sind. Auch ohne Pflicht kann eine benannte Ansprechperson sinnvoll sein.

Eine Datenpanne muss gemeldet werden, wenn ein Risiko für die Rechte der Betroffenen besteht, in der Regel binnen 72 Stunden. Ein verlorener Laptop mit unverschlüsselter Mitgliederdatei ist ein solcher Fall.

Hinweise zum Schutz von Mitgliederdaten aus der DIHK-Reihe Cybersicher kurz und knapp gibt es bei den Industrie- und Handelskammern, die auch zur Gewerbeanmeldung beraten.

Wichtig ist die Zuständigkeit im Vorfeld zu klären. Wer bei einer Panne erst recherchiert, verliert Zeit.

Checkliste für Verzeichnis, Auftragsverarbeitung und TOM

Diese Liste deckt die drei Dokumente ab, die bei jeder Prüfung zuerst verlangt werden.

Verzeichnis von Verarbeitungstätigkeiten

• Jede Verarbeitung mit Zweck benannt
• Rechtsgrundlage je Verarbeitung notiert
• Kategorien betroffener Personen und Daten erfasst
• Empfänger und Auftragsverarbeiter aufgeführt
• Löschfristen hinterlegt
• Technische und organisatorische Maßnahmen beschrieben
• Verzeichnis aktuell gehalten, mindestens jährlich geprüft

Auftragsverarbeitung

• Alle Dienstleister erfasst, die Mitgliederdaten verarbeiten
• Schriftlicher Vertrag nach Artikel 28 DSGVO vorhanden
• Unterauftragsverhältnisse benannt
• Speicherort und Löschung geregelt
• Kontrollrechte vereinbart

Typische Dienstleister sind Softwareanbieter, Abrechnungsdienstleister, E-Mail-Versender und IT-Wartung. Auch der Steuerberater kann dazugehören, wenn er Mitgliederdaten sieht.

Technische und organisatorische Maßnahmen

• Zugriffsrechte nach Rollen vergeben
• Passwortregeln und Zwei-Faktor-Anmeldung
• Verschlüsselung auf Servern und mobilen Geräten
• Regelmäßige Datensicherung
• Löschroutine für Altbestände
• Schulung neuer Mitarbeiter im Datenschutz
• Notfallplan für Datenpannen

Wer diese drei Dokumente pflegt, kann einer Aufsichtsanfrage ruhig entgegensehen. Wer sie nicht pflegt, produziert sie im Krisenfall unter Zeitdruck, und das sieht man den Ergebnissen an.

Häufige Fragen

Braucht ein kleiner Verein einen Datenschutzbeauftragten? Nur wenn die gesetzlichen Schwellen erreicht sind, etwa 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Unabhängig davon sollte eine Ansprechperson benannt sein.

Reicht eine Einwilligung für alle Daten? Nein. Vertragsdaten brauchen keine Einwilligung, Gesundheitsdaten schon. Werbe- und Fotoerlaubnisse gehören getrennt eingeholt und dokumentiert.

Wie lange dürfen Mitgliederdaten gespeichert bleiben? Solange der Zweck besteht und Aufbewahrungspflichten greifen. Abrechnungsdaten unterliegen steuerlichen Fristen, Trainings- und Gesundheitsdaten sind danach zu löschen.

Was passiert bei einer Datenpanne? Besteht ein Risiko für Betroffene, muss die zuständige Landesdatenschutzbehörde binnen 72 Stunden informiert werden. Betroffene sind bei hohem Risiko ebenfalls zu benachrichtigen.

Darf ich Mitgliederdaten in einer Cloud speichern? Ja, wenn ein Auftragsverarbeitungsvertrag besteht, der Speicherort bekannt ist und die Daten verschlüsselt übertragen und gespeichert werden.

Gilt § 26 BDSG auch für Honorartrainer? Die Vorschrift ist auf Beschäftigte zugeschnitten. Bei Honorarkräften kommt es auf die tatsächliche Einbindung an, weshalb Vertragsgestaltung und Datenverarbeitung getrennt geprüft werden sollten.