Das Wichtigste in Kürze
- Für die normale Mitgliederverwaltung braucht ein Verein keine Einwilligung, Rechtsgrundlage ist die Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO).
- Für Fotos im Internet, Geburtstagslisten oder Tonaufnahmen mit erkennbaren Stimmen ist meist eine Einwilligung sinnvoll.
- Einen Datenschutzbeauftragten brauchen Chöre in der Regel nicht, die Pflicht beginnt erst ab 20 Personen, die ständig Daten verarbeiten.
- Wer eine Software nutzt, braucht mit dem Anbieter einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
Vorab
Welche Daten ein Chor verarbeitet
- Stammdaten: Name, Adresse, E-Mail, Telefonnummer, Geburtsdatum.
- Chor-Daten: Stimmlage, Eintrittsdatum, Funktion (zum Beispiel Stimmführung oder Vorstand), Anwesenheit.
- Bankdaten für Mitgliedsbeiträge.
- Fotos, Videos und Tonaufnahmen von Proben und Konzerten.
Für alle gilt der Grundsatz der Datensparsamkeit: Erhebe nur, was ihr für den Chorbetrieb wirklich braucht.
Wann ihr eine Einwilligung braucht und wann nicht
| Zweck | Typische Rechtsgrundlage |
|---|---|
| Mitgliederliste, Beiträge, Einladungen zu Proben | Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO) |
| Anwesenheit für die Konzertplanung | Mitgliedschaft oder berechtigtes Interesse (lit. b oder f) |
| Fotos auf Website und Social Media | Einwilligung (lit. a), bei Kindern der Eltern |
| Geburtstagsliste für alle | Einwilligung (lit. a) |
| Telefonliste an alle Mitglieder | Einwilligung oder klare Regel in der Satzung |
| Teach Tapes mit erkennbaren Stimmen von Mitgliedern | Einwilligung der Singenden (lit. a) |
Eine Einwilligung muss freiwillig sein und lässt sich jederzeit widerrufen. Haltet sie schriftlich oder elektronisch fest und fragt getrennt nach, zum Beispiel einzeln für Fotos und für die Telefonliste.
Mitglieder informieren
Beim Eintritt müssen neue Mitglieder erfahren, welche Daten ihr wofür verarbeitet, wie lange ihr sie speichert und welche Rechte sie haben (Art. 13 DSGVO). Am einfachsten geht das mit einem Datenschutz-Hinweis als Teil des Aufnahmeantrags. Viele Chorverbände stellen dafür Muster bereit.
Fotos, Videos und Tonaufnahmen
Fotos von Konzerten sind ein häufiger Streitpunkt. Weist bei öffentlichen Konzerten im Programmheft oder am Eingang darauf hin, dass fotografiert wird. Für Fotos, auf denen einzelne Personen erkennbar im Mittelpunkt stehen und die ihr online stellt, holt ihr am besten vorab eine Einwilligung ein. Bei Minderjährigen braucht ihr die Einwilligung der Erziehungsberechtigten.
Auch eine Stimme kann eine Person erkennbar machen. Wenn Mitglieder Teach Tapes einsingen, sollten sie damit einverstanden sein, dass die Aufnahmen im Chor geteilt werden. Teilt solche Aufnahmen nur im geschlossenen Kreis des Chors.
Braucht ein Chor einen Datenschutzbeauftragten?
In aller Regel nicht. Nach § 38 BDSG müssen Vereine einen Datenschutzbeauftragten erst benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das trifft auf fast keinen Chor zu. Die Pflichten der DSGVO gelten trotzdem, nur eben ohne eigene benannte Person.
Software und Dienstleister: Auftragsverarbeitung
Nutzt ihr eine Chor-App, einen Cloud-Speicher oder einen Newsletter-Dienst, verarbeitet dieser Anbieter Daten in eurem Auftrag. Dafür schreibt die DSGVO einen Vertrag zur Auftragsverarbeitung (AVV) vor (Art. 28). Achtet außerdem darauf, wo die Server stehen: Innerhalb der EU ist es am einfachsten, bei Anbietern außerhalb der EU braucht es zusätzliche Garantien.
Canta stellt den AVV direkt auf der Website bereit, er gilt für alle Chöre automatisch. Ihr findet ihn unter Auftragsverarbeitung (AVV), mit den technischen und organisatorischen Maßnahmen und allen Unterauftragsverarbeitern.
Löschen und Auskunft
- Nach dem Austritt löscht ihr Daten, die ihr nicht mehr braucht. Kassenunterlagen unterliegen allerdings steuerlichen Aufbewahrungsfristen.
- Auskunft: Mitglieder dürfen erfahren, welche Daten ihr über sie speichert, und eine Kopie verlangen (Art. 15 DSGVO).
- Datenpanne: Geht eine Mitgliederliste versehentlich an Fremde, kann eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nötig sein (Art. 33 DSGVO).
Checkliste: Datenschutz im Chor
- 1Nur die Daten erheben, die ihr wirklich braucht.
- 2Datenschutz-Hinweis in den Aufnahmeantrag aufnehmen.
- 3Einwilligungen für Fotos, Geburtstagsliste und Tonaufnahmen getrennt einholen und dokumentieren.
- 4Mit jedem Software-Anbieter einen Vertrag zur Auftragsverarbeitung abschließen.
- 5Zugriff begrenzen: Nicht jede·r braucht alle Daten.
- 6Rundmails nur mit BCC oder über ein System, das einzeln verschickt.
- 7Daten ausgetretener Mitglieder regelmäßig löschen.
- 8Wissen, an wen man sich bei einer Datenpanne wendet.
Häufige Fragen
Braucht ein Chorverein einen Datenschutzbeauftragten?
In der Regel nicht. Die Pflicht beginnt nach § 38 BDSG erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Dürfen wir Konzertfotos auf unsere Website stellen?
Für Fotos, auf denen einzelne Personen erkennbar sind, holt ihr am besten vorab eine Einwilligung ein, bei Minderjährigen von den Erziehungsberechtigten. Weist bei öffentlichen Konzerten darauf hin, dass fotografiert wird.
Brauchen wir mit unserer Chor-App einen AVV?
Ja. Verarbeitet ein Anbieter Mitgliederdaten in eurem Auftrag, schreibt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung vor. Bei Canta gilt er für alle Chöre automatisch.
Noten, eigene Teach Tapes und Proben an einem Ort
Canta ist die Chor-App für Notenarchiv, Üben und Probenplanung. Server in Deutschland, ohne Tracker, ab 15 € im Monat.