Die Einladung zur Jahreshauptversammlung geht an 300 Mitglieder, alle Adressen stehen offen im Verteiler. Ein Trainer verliert seinen Laptop mit den Kontaktdaten aller Jugendlichen. Das E-Mail-Konto der Geschäftsstelle wird gehackt. Solche Vorfälle passieren auch in gut organisierten Vereinen. Entscheidend ist, wie der Verein dann reagiert. Dieser Artikel zeigt die richtigen Schritte.
Was ist eine Datenpanne?
Eine Datenpanne ist eine Verletzung der Sicherheit, die dazu führt, dass personenbezogene Daten vernichtet, verloren, verändert oder unbefugt offengelegt werden. Es kommt nicht darauf an, ob jemand absichtlich gehandelt hat. Typische Beispiele im Verein:
- E-Mail mit offenem Verteiler statt Blindkopie,
- Versand einer Mitgliederliste an die falsche Person oder die falsche Messenger-Gruppe,
- Verlust oder Diebstahl eines Laptops, Smartphones oder USB-Sticks mit Vereinsdaten,
- gehacktes E-Mail- oder Social-Media-Konto,
- Mitgliederliste versehentlich öffentlich auf der Webseite,
- Schadsoftware, die Daten verschlüsselt oder abfließen lässt,
- Unterlagen mit Gesundheitsdaten, die offen im Vereinsheim liegen.
Die ersten Schritte
- Schaden begrenzen: Passwörter ändern, Zugänge sperren, das Gerät aus der Ferne sperren oder löschen, falsch versandte Nachrichten mit der Bitte um Löschung nachfassen.
- Sachverhalt klären: Was ist passiert, welche Daten sind betroffen, wie viele Personen, seit wann?
- Risiko einschätzen: Welche Folgen kann die Panne für die Betroffenen haben?
- Entscheiden, ob gemeldet werden muss, und gegebenenfalls fristgerecht melden.
- Dokumentieren, unabhängig davon, ob eine Meldung nötig ist.
⚠️ Achtung: Die Frist von 72 Stunden beginnt, sobald der Verein von der Panne weiß, also auch am Wochenende. Warten Sie deshalb nicht bis zur nächsten Vorstandssitzung. Legen Sie vorher fest, wer im Notfall entscheidet und meldet.
Risiko einschätzen
Ob gemeldet werden muss, hängt vom Risiko für die betroffenen Personen ab. Fragen Sie sich:
- Welche Daten? Name und E-Mail-Adresse sind weniger kritisch als Bankverbindung, Gesundheitsdaten, Daten von Kindern oder Passwörter.
- Wie viele Personen? Eine falsch adressierte E-Mail an ein Mitglied ist anders zu bewerten als eine öffentliche Liste mit 500 Datensätzen.
- Wer hat Zugriff erhalten? Ein vertrauenswürdiges Vereinsmitglied, das die Daten sofort löscht, oder Unbekannte im Internet?
- Welche Folgen sind möglich? Belästigung, Betrug, Identitätsdiebstahl, Bloßstellung?
- Waren die Daten geschützt? Ein verschlüsselter Laptop senkt das Risiko erheblich.
| Risiko | Was ist zu tun? |
|---|---|
| voraussichtlich kein Risiko | intern dokumentieren |
| Risiko | Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, intern dokumentieren |
| hohes Risiko | zusätzlich die betroffenen Personen unverzüglich informieren |
Die Meldung an die Aufsichtsbehörde
Zuständig ist die Datenschutz-Aufsichtsbehörde des Bundeslandes, in dem der Verein seinen Sitz hat. Die meisten Behörden bieten ein Online-Formular. Die Meldung enthält:
- eine Beschreibung der Panne mit Art der Daten und ungefährer Zahl der Betroffenen,
- Namen und Kontaktdaten einer Ansprechperson,
- die wahrscheinlichen Folgen,
- die ergriffenen und geplanten Maßnahmen.
Fehlen noch Informationen, melden Sie trotzdem fristgerecht und reichen Sie Details nach. Eine verspätete Meldung muss begründet werden.
Betroffene informieren
Bei hohem Risiko müssen die betroffenen Personen unverzüglich informiert werden, und zwar in klarer, einfacher Sprache. Erklären Sie, was passiert ist, welche Folgen drohen können, was der Verein unternommen hat und was die Betroffenen selbst tun können, etwa Passwörter ändern oder auf verdächtige Lastschriften achten. Eine offene Information schafft Vertrauen, auch wenn sie unangenehm ist.
Dokumentation
Jede Datenpanne muss intern dokumentiert werden, auch wenn keine Meldung nötig ist. Halten Sie fest: Datum, Beschreibung, betroffene Daten und Personen, Risikobewertung, Entscheidung über die Meldung und ergriffene Maßnahmen. Die Aufsichtsbehörde kann diese Dokumentation anfordern.
Vorbeugen ist besser
Die meisten Datenpannen im Verein lassen sich mit einfachen Mitteln vermeiden:
- Blindkopie nutzen oder Rundmails über eine Newsletter-Funktion versenden. Mehr dazu im Artikel Newsletter für Vereine.
- Zugänge absichern: starke, unterschiedliche Passwörter, Zwei-Faktor-Anmeldung, Passwort-Manager.
- Geräte verschlüsseln und mit PIN oder Passwort sichern.
- Berechtigungen beschränken: Nicht jeder braucht Zugriff auf alle Daten.
- Daten sparsam verteilen: Keine kompletten Mitgliederlisten in Messenger-Gruppen. Hinweise im Artikel Messenger-Gruppen im Verein.
- Regelmäßig löschen, was nicht mehr gebraucht wird.
- Ehrenamtliche schulen, zum Beispiel mit einer kurzen Einweisung beim Amtsantritt.
💡 Praxistipp: Erstellen Sie einen einseitigen Notfallplan für Datenpannen: Wer wird informiert, wer entscheidet über die Meldung, wo ist das Formular der Aufsichtsbehörde, wer formuliert die Information an die Betroffenen? Im Ernstfall spart das wertvolle Stunden.
Häufige Fragen
Ist eine E-Mail mit offenem Verteiler immer meldepflichtig?
Nicht immer. Bei einem kleinen Verteiler unter Vereinsmitgliedern, die sich ohnehin kennen, kann das Risiko gering sein. Bei großen Verteilern, sensiblen Zusammenhängen oder externen Empfängern ist eine Meldung meist geboten. Dokumentieren Sie Ihre Abwägung in jedem Fall.
Drohen dem Verein Bußgelder?
Bußgelder sind möglich, vor allem wenn Pannen verschwiegen oder grundlegende Schutzmaßnahmen missachtet werden. Wer offen meldet und Abhilfe schafft, wird von den Behörden in der Regel zunächst beraten.
Wer ist im Verein verantwortlich?
Verantwortlich ist der Verein, vertreten durch den Vorstand. Ein Datenschutzbeauftragter berät, die Entscheidung über die Meldung trifft der Vorstand.
📄 Passende Vorlagen
🔒 Download nach kostenloser Registrierung. Bereits registriert? Anmelden
Mehr zum Thema: Digitalisierung für Vereine →