DSGVO-konforme Mitgliederverwaltung in der Gemeinde

Gemeinden verarbeiten besonders sensible Daten. Neben Namen und Adressen stehen in vielen Karteien auch Konfession, Familienstand, seelsorgerliche Notizen und Spendenhöhen. Die DSGVO stuft die Religionszugehörigkeit ausdrücklich als besondere Kategorie personenbezogener Daten ein (Art. 9 Abs. 1). Das heißt nicht, dass Sie diese Daten nicht führen dürfen — es heißt, dass Sie begründen können müssen, warum Sie sie führen.

Dieser Beitrag ordnet die Praxis: was zulässig ist, was Sie dokumentieren sollten und woran es in der Praxis meistens hakt.

Die Rechtsgrundlage: Art. 9 Abs. 2 lit. d

Für Religionsgemeinschaften gibt es eine eigene Ausnahme. Nach Art. 9 Abs. 2 lit. d DSGVO dürfen weltanschauliche oder religiöse Vereinigungen Daten ihrer Mitglieder verarbeiten, sofern sich die Verarbeitung ausschließlich auf Mitglieder oder ehemalige Mitglieder bezieht und die Daten nicht ohne Einwilligung nach außen gegeben werden.

Zwei Punkte werden dabei regelmäßig übersehen:

1. "Ausschließlich Mitglieder" ist eng zu verstehen. Gäste, Interessierte und Angehörige, die selbst nicht Mitglied sind, fallen nicht darunter. Für diese Personengruppen brauchen Sie eine andere Grundlage — in der Regel eine Einwilligung nach Art. 6 Abs. 1 lit. a.
2. "Nicht nach außen" betrifft auch Dienstleister. Ein externer Newsletter-Versender oder ein Cloud-Anbieter ist rechtlich eine Weitergabe und braucht einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28.

Für katholische und evangelische Einrichtungen gilt zusätzlich kirchliches Datenschutzrecht — KDG beziehungsweise DSG-EKD. Beide sind der DSGVO nachgebildet, weichen aber im Detail ab, etwa bei Meldepflichten und Aufsicht. Wenn Ihre Gemeinde einer verfassten Kirche angehört, ist das kirchliche Recht maßgeblich, nicht die DSGVO direkt.

Was Sie dokumentieren sollten

Die DSGVO verlangt keine perfekte Software. Sie verlangt Nachvollziehbarkeit. Drei Dokumente decken den Großteil ab:

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Eine Liste: welche Daten, zu welchem Zweck, auf welcher Grundlage, wie lange, wer hat Zugriff. Für eine mittelgroße Gemeinde passt das auf zwei Seiten. Es muss nicht veröffentlicht werden, aber auf Nachfrage der Aufsichtsbehörde vorliegen.

Die Datenschutzerklärung. Für die Website ohnehin Pflicht, sie sollte aber auch die Mitgliederverwaltung abdecken.

Der AVV mit jedem Dienstleister. Software, Newsletter, Buchhaltung, Cloud-Speicher. Seriöse Anbieter stellen ihn von sich aus bereit.

Löschfristen: der häufigste Fehler

Der praktisch häufigste Verstoß ist keine unrechtmäßige Erhebung, sondern fehlende Löschung. Daten dürfen nur so lange gespeichert werden, wie der Zweck es erfordert (Art. 5 Abs. 1 lit. e).

Als Orientierung:

• Mitgliederdaten: bis zum Austritt, danach nur noch, was gesetzlich aufzubewahren ist
• Spendendaten: zehn Jahre, wegen der steuerlichen Aufbewahrungspflicht nach § 147 AO
• Seelsorgerliche Notizen: so kurz wie möglich, mit strenger Zugriffsbeschränkung
• Bewerbungsunterlagen: sechs Monate nach Absage

Ein Austritt löscht nicht automatisch alles. Solange steuerliche Fristen laufen, dürfen — und müssen — Spendendaten bleiben. Was gehen kann, sind Telefonnummern, Notizen und Gruppenzugehörigkeiten.

Wenn ein Mitglied Auskunft verlangt

Nach Art. 15 hat jede betroffene Person das Recht, eine Kopie aller zu ihr gespeicherten Daten zu erhalten — grundsätzlich innerhalb eines Monats. In der Praxis scheitert das selten am Willen, sondern daran, dass die Daten über Excel-Tabellen, Postfächer und Zettel verteilt sind.

Der entscheidende Vorbereitungsschritt ist deshalb organisatorisch, nicht juristisch: Sie sollten für eine einzelne Person in vertretbarer Zeit sagen können, welche Daten wo liegen. Eine zentrale Mitgliederverwaltung mit Exportfunktion macht aus einem Wochenprojekt eine Aufgabe von Minuten.

Zugriffsrechte sind Datenschutz

Ein oft unterschätzter Punkt: Datenschutz endet nicht bei externen Empfängern. Nicht jede ehrenamtliche Person, die Veranstaltungen plant, braucht Zugriff auf Spendenhöhen oder seelsorgerliche Notizen.

Rollenbasierte Rechte sind hier kein Komfortmerkmal, sondern eine technisch-organisatorische Maßnahme im Sinne von Art. 32. Wer sie sauber setzt, reduziert das Risiko erheblich — und macht im Ernstfall nachvollziehbar, wer was sehen konnte.

Hinweis

Dieser Beitrag ist eine praxisorientierte Einordnung, keine Rechtsberatung. Für verbindliche Auskünfte, insbesondere zum Verhältnis von DSGVO, KDG und DSG-EKD in Ihrer konkreten Trägerschaft, wenden Sie sich an Ihren Datenschutzbeauftragten oder eine fachkundige Kanzlei.

Testen Sie Shepherd Atlas 14 Tage kostenlos

Gemeindeverwaltung, Spendenerfassung, smarte Kommunikation und mehr — alles an einem Ort.