Bezüglich Datenschutzes gibt es zwei wichtige Grundsätze zu beachten:

1. Die Zweckbindung

Daten dürfen nicht willkürlich gesammelt werden. Sie müssen einem oder mehreren klar definierten Zwecken dienen. Bspw. darf im Mitgliedsantrag nicht nach der Bankverbindung gefragt werden, wenn der Mitgliedsbeitrag zu überweisen ist, oder gar kein Mitgliedsbeitrag erhoben wird.

Gibt es den Zweck nicht mehr, für den bestimmte Daten erhoben wurden, müssen diese umgehend gelöscht werden. Außer diese Daten sind aufgrund gesetzlicher Fristen aufzubewahren.

2. Die Speicherbegrenzung

Noch bevor personenbezogene Daten erhoben werden, muss bereits feststehen, wann diese Daten wieder gelöscht werden. Hierbei muss kein konkretes Datum genannt werden, vielmehr kann eine Bedingung den Zeitpunkt der Löschung festlegen, bzw. Löschung nach Ausscheiden aus dem Verein.

Nun stellt sich die Frage, wer die Fristen für das Löschen von Daten festlegt. Im Grunde leiten sich die Löschfristen vom Zweck der Verarbeitung ab. Ist der Zweck erfüllt, müssen die personenbezogenen Daten gelöscht werden. Im Rahmen der Vorstandsarbeit muss also darauf geachtet werden, dass bspw. Helferlisten, die für eine Veranstaltung erstellt wurden, gelöscht werden, nachdem alle Maßnahmen im Rahmen der Veranstaltung abgeschlossen wurden.

Darüber hinaus müssen gesetzliche Aufbewahrungsfristen berücksichtigt werden, wie beispielsweise Fristen für die Buchhaltung, zu finden in der Abgabenordnung. Die Aufbewahrung von Sozialdaten wie Name, Anschrift, Geburtsdatum etc. sind in den Sozialgesetzen geregelt. Steuergesetze besagen, wie lange Spendenbescheinigungen aufgehoben werden müssen und das Bürgerliche Gesetzbuch gibt Auskünfte zu allgemeinen Verjährungsfristen.

Und dann gibt es noch den Fall der Löschpflicht. Diese tritt ein, wenn eine Person ihre Einwilligung widerrufen hat, oder Widerspruch eingelegt hat. Eine Löschpflicht besteht auch dann, wenn Daten unrechtmäßig verarbeitet wurden.

Wann Daten als gelöscht gelten ist komplexer, als man sich das so vorstellt. „Vollumfänglich“ und „dauerhaft“ müssen Daten gelöscht werden, damit sie nicht mehr verwendet werden können. Oft existieren neben dem Originalspeicherort noch weitere Kopien der Daten und das macht die Sache kompliziert. Denn die Daten dürfen keinesfalls wiederherstellbar bzw. verwendbar sein. Werden Listen mit personenbezogenen Daten im Verein über einen USB-Stick, Laptop oder Smartphone geteilt müssen auch die Speicher diese Geräte fachgerecht geleert werden, bspw.  aus Chats oder dem E-Mailverkehr. Vorsicht ist geboten, wenn Daten nur anonymisiert werden. Ob ein Unkenntlichmachen der Daten ausreicht, ist umstritten.

Das Löschkonzept

Um ein Löschkonzept für den Verein zu erstellen, können folgende Schritte helfen, um eine Struktur dafür anzulegen.

Um zu Beginn den Datenbestand festzustellen, müssen alle personenbezogenen Daten identifiziert werden, die im Verein verarbeitet werden:

• Mitgliederdaten (z. B. Namen, Adressen, Geburtsdaten),
• Daten von Spendern,
• Daten von Teilnehmern an Veranstaltungen,
• Finanz- und Steuerunterlagen,
• Kommunikationsdaten (z. B. E-Mails).

Im nächsten Schritt werden die Daten nach ihrem Verwendungszweck und ihrer Relevanz kategorisiert. Zum Beispiel:

• Mitgliedsdaten: Diese werden so lange aufbewahrt, wie die Person Mitglied im Verein ist, und müssen nach Beendigung der Mitgliedschaft gelöscht werden.
• Spenderdaten: Daten von Spendern können bis zur Erfüllung steuerrechtlicher Pflichten aufbewahrt werden.
• Veranstaltungsdaten: Teilnehmerdaten sollten nach der Veranstaltung und nach Erfüllung des Zwecks gelöscht werden.
• Finanzdaten: Aufbewahrungsfristen für Buchhaltungsunterlagen nach § 147 AO (z.B. 10 Jahre für Spendenbescheinigungen und Steuerunterlagen).
• Anschließend werden für jede Datenkategorie konkrete Löschfristen definiert, die den gesetzlichen Vorgaben entsprechen. Typische Fristen sind:
• Mitgliedsdaten: i.d.R. nach Austritt des Mitglieds (sofern keine gesetzlichen Pflichten die längere Aufbewahrung erfordern).
• Spenderdaten: 10 Jahre (steuerrechtliche Aufbewahrungsfrist).
• Veranstaltungsdaten: direkt nach der Veranstaltung oder nach Abschluss der Abrechnungen, spätestens jedoch nach 6 Monaten.
• Finanz- und Steuerunterlagen: 10 Jahre (gemäß Abgabenordnung und HGB).

Datenkategorie	Zweck der Verarbeitung	Löschfrist	Grundlage
Mitgliedsdaten	Verwaltung der Mitgliedschaft	nach Austritt	Art. 6 Abs. 1 DSGVO
Spenderdaten	Spendenverwaltung	10 Jahre	§ 147 AO
Veranstaltungsdaten	Eventorganisation	6 Monate nach Veranstaltung	Art. 6 Abs. 1 DSGVO
Finanz- und Steuerunterlagen	Buchführung	10 Jahre	§ 147 AO
E-Mail Korrespondenz	Allgemeine Kommunikation	1 Jahr nach Ende der Kommunikation	Art. 6 Abs. 1 DSGVO

Wo möglich, sollen Löschungen automatisiert werden. Hilfreich kann hierbei, ein Vereinsverwaltungsprogramm sein. Wo A nicht möglich ist, sollten manuelle Löschvorgänge dokumentiert und regelmäßig durchgeführt werden.

Dokumentation und Transparenz müssen gewährleistet werden, in dem Löschvorgänge aufgezeichnet und die betroffenen Personen, etwa in den Datenschutzinformationen auf der Website oder in den Vereinsunterlagen über Löschfristen informiert werden.

Selbstverständlich gibt es auch hierbei Ausnahmen und Sonderfälle. In bestimmten Fällen dürfen Daten nicht sofort gelöscht werden, bspw. wenn, gesetzliche Aufbewahrungsfristen gelten (z.B. für steuerliche Unterlagen) oderrechtliche Ansprüche geltend gemacht werden können (z. B. bei offenen Forderungen).

Es wird sich wohl niemand darum reißen, diesen Bereich zu übernehmen, es ist dennoch empfohlen, festzulegen, wer im Verein für die Umsetzung des Konzepts verantwortlich ist. Dies kann der Datenschutzbeauftragte oder eine andere dafür beauftragte Person im Verein sein. Diese Person überwacht die Einhaltung der Löschfristen und sorgt dafür, dass Löschvorgänge ordnungsgemäß durchgeführt werden.

Das Löschkonzept sollte regelmäßig überprüft und an neue rechtliche Vorgaben oder Änderungen in der Vereinsstruktur angepasst werden. Eine jährliche Überprüfung ist sinnvoll, um sicherzustellen, dass alle Fristen eingehalten und gegebenenfalls aktualisiert werden.

Und was ist mit Papier?

Beim Vernichten von Altakten und Dokumenten ist zu beachten, dass diese ordnungsgemäß nach DIN 66399 vernichtet werden. Papierdokumente einfach nur in den Papier- oder Restmüll zu werfen, reicht leider nicht aus.

Für die datenschutzkonforme Entsorgung ist ein Aktenvernichter, der die DIN 66399 erfüllt, notwendig. Diese legt fest, dass Dokumente mit Kreuzschnitt vernichtet werden und entweder Sicherheitsstufe 3 oder in manchen Fällen auch Sicherheitsstufe 4.