Kurz vorweg: Auch euer Verein muss das Schweizer Datenschutzgesetz einhalten. Das klingt erst mal nach Aufwand, ist aber überschaubar, und dieser Guide zeigt euch verständlich, was wirklich nötig ist. Denn Vereine verarbeiten mehr Personendaten, als vielen bewusst ist: Mitgliederlisten, Kontaktdaten, Fotos vom Vereinsfest, den Newsletter, das Kontaktformular auf der Webseite.
Gilt das revDSG überhaupt für Vereine?
Ja. Das revidierte Schweizer Datenschutzgesetz (revDSG, in Kraft seit September 2023) gilt für alle, die Personendaten bearbeiten, auch für Vereine, unabhängig von ihrer Grösse. Ob Turnverein, Musikgesellschaft, Quartierverein oder Berufsverband: Sobald ihr Daten von Mitgliedern, Interessenten oder Webseiten-Besuchern verarbeitet, seid ihr im Anwendungsbereich.
Die gute Nachricht: Für kleine Organisationen mit geringem Risiko sieht das Gesetz Erleichterungen vor (etwa beim Verzeichnis der Bearbeitungstätigkeiten). Aber die grundlegende Informationspflicht, also eine Datenschutzerklärung auf eurer Webseite, gilt auch für euch.
Welche Personendaten verarbeitet ein Verein?
Mehr, als man auf den ersten Blick denkt:
- Mitgliederdaten, Namen, Adressen, Geburtsdaten, Kontaktangaben, oft auch Bankverbindungen für Beiträge
- Webseiten-Besucher, schon die IP-Adresse ist ein Personendatum
- Kontaktformular, wer euch schreibt, hinterlässt Daten
- Newsletter, E-Mail-Adressen und Versanddaten
- Fotos, Bilder von Anlässen, auf denen Personen erkennbar sind
- Anmeldungen, für Kurse, Events, Turniere
Für all das braucht ihr eine transparente Grundlage. Die Datenschutzerklärung auf eurer Webseite ist der wichtigste Baustein davon.
Was gehört in die Datenschutzerklärung eines Vereins?
Eine passende Datenschutzerklärung für einen Schweizer Verein deckt ab:
- Verantwortliche Stelle, der Verein mit Kontaktangaben (meist Vorstand/Präsidium)
- Welche Daten ihr bearbeitet, Mitglieder-, Webseiten-, Kontaktdaten
- Zwecke, Vereinsverwaltung, Kommunikation, Anlässe, Beitragswesen
- Webseiten-Tools, falls ihr Analyse-Tools, eingebettete Karten, Videos oder einen Newsletter-Dienst nutzt
- Auslandbekanntgabe, falls ihr Tools verwendet, die Daten ins Ausland senden
- Rechte der Mitglieder und Besucher, Auskunft, Berichtigung, Löschung
- Aufbewahrung und Datensicherheit
Der oft übersehene Punkt: auch Vereins-Webseiten senden Daten ins Ausland
Viele Vereine nutzen kostenlose oder einfache Webseiten-Tools, und genau die verursachen oft still und leise einen Auslandtransfer von Daten:
- Google Fonts, extern eingebunden, überträgt die IP-Adresse der Besucher an Google in den USA
- Google Maps, für die Anfahrt zum Vereinslokal
- YouTube-Videos, eingebettet, vom letzten Konzert oder Turnier
- Mailchimp oder ähnliche Newsletter-Dienste, meist US-Anbieter
- Webseiten-Baukästen wie Wix oder Squarespace, US-Plattformen
Wenn eines dieser Elemente auf eurer Seite läuft, werden Personendaten ins Ausland übermittelt, und das revDSG verlangt, dass ihr darüber informiert. Das ist der Punkt, den fast alle Vereins-Webseiten übersehen, weil sie eine allgemeine Vorlage verwenden, die ihre konkreten Tools nicht kennt.
Für die USA gilt seit dem 15. September 2024 eine Erleichterung: Die Schweiz anerkennt US-Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, wieder als angemessen geschützt. Viele grosse Anbieter (etwa Google) sind zertifiziert. Das ändert aber nichts an der Grundpflicht: Ihr müsst transparent machen, dass und wohin Daten fliessen.
Reicht ein Muster aus dem Internet?
Ein Muster ist ein Ausgangspunkt, aber selten die Lösung. Zwei Probleme:
Erstens nennt ein allgemeines Muster nicht die Tools, die auf eurer Seite laufen. Wenn euer Muster Google Fonts, euren Newsletter-Dienst und eure eingebettete Karte nicht erwähnt, ist es unvollständig. Zweitens sind viele frei verfügbare Muster deutsche DSGVO-Vorlagen, auf EU-Recht ausgelegt, nicht auf das Schweizer revDSG.
Besser ist eine Erklärung, die auf das aufbaut, was tatsächlich auf eurer Webseite vorhanden ist. Genau das macht ein Scan-basierter Generator: Er schaut, was läuft, und erstellt die passende Erklärung dazu.
Was droht bei Verstössen?
Das revDSG sieht für vorsätzliche Verstösse Bussen vor, die sich gegen die verantwortliche natürliche Person richten können, im Verein also potenziell gegen Vorstandsmitglieder. In der Praxis ist der Umgang mit kleinen Vereinen zurückhaltend. Der bessere Grund, es trotzdem zu erledigen, ist ein anderer: Mitglieder vertrauen einem Verein ihre Adressen und Fotos an, und eine Erklärung, die sagt was damit passiert, ist schlicht Teil eines sauberen Auftritts.
So bringt ihr eure Vereins-Webseite in Ordnung
1. Scannen: Prüfen lassen, welche Tools auf eurer Seite laufen und welche Daten ins Ausland senden.
2. Anschauen: Sehen, was in eurer aktuellen Erklärung fehlt (oder ob überhaupt eine da ist).
3. Erstellen: Eine Datenschutzerklärung generieren, die zu euren tatsächlichen Tools passt, für Schweizer Recht, ohne Fachjargon.
Das ist in wenigen Minuten erledigt und kostet weniger als ein Vereinsabend.