Vereins- und Steuerrecht

1. Müssen sich Vereine an datenschutzrechtliche Regelungen halten?

Im praktischen Alltag verarbeiten Vereine regelmäßig eine Vielzahl von personenbezogenen Daten: Begonnen mit dem Namen und Kontaktdaten der Mitglieder bis hin zu Daten von Vertragspartnern.

Dabei unterliegen sie in Österreich selbstverständlich der Datenschutz-Grundverordnung (DSGVO) sowie dem Datenschutzgesetz (DSG) und haben für die Einhaltung dieser datenschutzrechtlichen Bestimmungen zu sorgen. Unter personenbezogenen Daten werden dabei alle Informationen über Personen verstanden, die sich auf einen Menschen beziehen und diesen identifizierbar machen, wie etwa Name, Geburtsdatum, Wohnadresse, E-Mailadresse, Telefonnummer oder Kontonummer. Eine Verarbeitung stellt dabei jede Tätigkeit – egal ob analog oder digital – mit solchen personenbezogenen Daten dar, wie beispielsweise das Erheben, Ordnen, Speichern, Verändern, Verwenden oder Übermitteln der Daten.

Im Vereinsalltag betrifft die Datenverarbeitung regelmäßig verschiedene Personengruppen. Typischerweise werden Daten von Mitgliedern, Organwaltern, Mitarbeitern oder Förderern (zB Spendern, Subventionsgebern oder Sponsoren) verarbeitet.
 
 
2. Wann ist die Verarbeitung von personenbezogenen Daten durch Vereine zulässig?

Personenbezogene Daten dürfen nicht beliebig verarbeitet werden. Die Verarbeitung ist nur bei Vorliegen gewisser Gründe zulässig.

Ein wichtiger Grund für eine Datenverarbeitung ist, dass die Verarbeitung der Daten für die Erfüllung eines Vertrages mit der betroffenen Person notwendig ist. Im Verein ist dabei insbesondere an die Mitgliedschaft auf Basis der Statuten zu denken. Ein weiterer Grund ist, dass die Verarbeitung der Daten für die Erfüllung einer rechtlichen Verpflichtung erforderlich ist, wie etwa gesetzliche Aufbewahrungspflichten. Ebenso ist die Verarbeitung zulässig, wenn sie notwendig ist, für die Wahrung von berechtigten Interessen des Vereins, welche die Interessen der betroffenen Person überwiegen. Liegt keiner dieser Gründe vor, ist die Verarbeitung von personenbezogenen Daten nur zulässig, wenn die betroffene Person ihre Einwilligung dazu erteilt.

Für die Verarbeitung von sogenannten besonderen Kategorien personenbezogener Daten, wie beispielsweise Daten über die ethnische Herkunft, politische Meinungen, Gesundheitsdaten oder Daten zur sexuellen Orientierung, gelten nochmals strengere Regelungen.

Beauftragt der Verein einen externen Dritten mit einer Tätigkeit, bei der personenbezogene Daten des Vereins verarbeitet werden, muss der Verein mit diesem sogenannten Auftragsverarbeiter eine schriftliche Vereinbarung abschließen, die gewisse datenschutzrechtliche Verpflichtungen enthält. Ein Auftragsverarbeiter kann beispielsweise eine Buchhaltungsfirma, eine IT-Firma oder ein Cloud-Anbieter sein.
 
 
3. Was müssen Vereine bei der Verarbeitung von personenbezogenen Daten beachten?

Bei der Verarbeitung von personenbezogenen Daten sind bestimmte Grundsätze einzuhalten. So hat die Datenverarbeitung stets für einen konkreten Zweck zu erfolgen (z.B. die Einhebung der Mitgliedsbeiträge) und ist dabei auf ein notwendiges Minimum zu beschränken. Die Daten müssen aktuell und richtig gehalten werden, dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist und müssen durch geeignete technische und organisatorische Maßnahmen geschützt werden. Generell dürfen die Daten nur rechtmäßig, fair und transparent verarbeitet werden.

Immer, wenn der Verein Daten einer Person erhebt, trifft ihn eine sogenannte Informationspflicht. Das bedeutet, er muss die Person im Zeitpunkt der Erhebung, unter anderem über den Zweck der Verarbeitung, den Verantwortlichen, die Speicherdauer, die Datenweitergabe und die Rechte der Person informieren. Die Information kann etwa durch ein eigenes Informationsblatt oder den Verweis auf die Vereinswebsite erfolgen. Werden die Daten nicht direkt bei der betroffenen Person erhoben, hat die Information bei nächster Gelegenheit zu erfolgen.

Der Person, deren Daten der Verein verarbeitet, stehen eine Reihe von Rechten zu: Sie das Recht, Auskunft über ihre eigenen Daten zu erhalten, falsche Daten über sie zu berichtigen sowie das Recht auf Datenübertragung. Weiters darf die Person bei Vorliegen gewisser Gründe die Einschränkung der Verarbeitung oder die Löschung ihrer Daten verlangen.

Vereine haben grundsätzlich ein sogenanntes Verzeichnis von Verarbeitungstätigkeiten zu führen. Dieses dokumentiert insbesondere, welche personenbezogenen Daten im Verein erhoben und verwendet werden, zu welchem Zweck dies geschieht, wer davon betroffen ist und welche rechtlichen Grundlagen dafür bestehen.

Die Erstellung einer Datenschutz-Folgeabschätzung und die Bestellung eines Datenschutzbeauftragten ist in der Praxis für die meisten Vereine nicht zwingend. Notwendig ist dies nur bei Vereinen, die besondere Kategorien von personenbezogenen Daten verarbeiten oder Daten in besonderer Art verarbeiten, das könnte bspw auf Vereine mit medizinischem (etwa eine Selbsthilfegruppe für Krebskranke)oder strafrechtlichem Hintergrund (etwa die Wiedereingliederung von Straftätern) zutreffen.
 
 
4. Fazit

Der Verarbeitung von personenbezogenen Daten gehört zum Vereinsalltag. Dabei müssen Vereine die datenschutzrechtlichen Bestimmungen der DSGVO und des DSG einhalten. Das bedeutet insbesondere, dass sie personenbezogene Daten nur bei Vorliegen bestimmter Gründe verarbeiten dürfen und sie die zentralen datenschutzrechtlichen Grundsätze zu beachten haben.

Mehr Informationen zum österreichischen Vereinsrecht und weiteren aktuellen Rechtsthemen finden sie auf unserer Website.
 
 

Mag. Dorian Schmelz studierte Rechtswissenschaften an der Universität Wien. Seit 2015 ist er als selbstständiger Rechtsanwalt und Partner der Schmelz Rechtsanwälte OG tätig, seit 2020 auch als Unternehmensberater zugelassen. Die vorgenannte Anwaltskanzlei verfolgt den Ansatz, rechtliches und wirtschaftliches Wissen zu bündeln und Unternehmern sowie gemeinnützigen bzw mildtätigen Organisationen Lösungen aus einer Hand zu bieten: Pragmatisch, ökonomisch und gerade auch aus dem Blickwinkel eines Unternehmers oder Vereinsfunktionärs.
 
Zudem ist Mag. Schmelz Lehrbeauftragter im MBA-Studium „Immobilienmanagement“ an der Middlesex University London (seit 2021) und absolvierte diverse Zusatzausbildungen auf dem Gebiet der Verhandlungsführung. Er ist Autor und Co-Autor zahlreicher Bücher und Fachbeiträge unter anderem auf den Gebieten der Verhandlungsführung, des Vereinsrechts, des Unternehmensrechts und des Zivil- und Zivilprozessrechts.