Die Frage betrifft das Spannungsfeld zwischen steuerrechtlichen Aufbewahrungspflichten und datenschutzrechtlichen Löschpflichten, welches in der Vereinspraxis häufig zu Unsicherheiten führt.
Hinsichtlich der steuerrechtlichen Aufbewahrungspflichten besteht gem. § 147 Abs. 1 AO für Vereine grundsätzlich die Pflicht verschiedene Unterlagen aufzubewahren. Die Aufbewahrungsfristen sind in § 147 Abs. 3 AO geregelt und betragen zehn Jahre für Bücher und Aufzeichnungen, Inventare, Jahresabschlüsse und andere dort genannte Unterlagen. Für Buchungsbelege gilt eine Aufbewahrungsfrist von acht Jahren. Sonstige in § 147 Abs. 1 AO aufgeführte Unterlagen, wozu wohl auch Mitgliedsanträge und SEPA-Mandate gehören, sind sechs Jahre aufzubewahren.
Auf der anderen Seite stehen die datenschutzrechtlichen Vorgaben der Datenschutz-Grundverordnung (DSGVO). Nach Art. 5 Abs. 1 lit. e DSGVO dürfen personenbezogene Daten nur so lange in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Dies ist der Grundsatz der Speicherbegrenzung, der zu den zentralen Prinzipien des Datenschutzrechts gehört. Aus diesem Grundsatz folgt, dass personenbezogene Daten grundsätzlich zu löschen sind, wenn der Zweck ihrer Erhebung entfallen ist.
Die Auflösung des scheinbaren Widerspruchs zwischen der Aufbewahrungspflicht nach § 147 AO und dem Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO ergibt sich aus Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 147 AO, bzw. im Fall einer Löschungsanfrage aus Art. 17 Abs. 3 lit. b DSGVO.
Dies bedeutet, dass Mitgliedsanträge und SEPA-Lastschriftmandate vollständig für den gem. § 147 Abs. 3 AO maßgeblichen Zeitraum nach Beendigung der Mitgliedschaft aufbewahrt werden dürfen und müssen, ohne dass einzelne Datenfelder geschwärzt werden müssten. Die Rechtsgrundlage für diese Speicherung ist Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 147 AO. Ein Schwärzen einzelner Datenfelder wäre weder erforderlich noch zulässig, da dies der Aufbewahrungspflicht widersprechen würde und die Nachvollziehbarkeit der Buchungen beeinträchtigen könnte.
Gem. Art. 17 Abs. 3 lit. b gilt das Recht auf Löschung zudem nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, die eine Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten erfordert. Die steuerrechtliche Aufbewahrungspflicht nach § 147 AO stellt eine solche rechtliche Verpflichtung dar, die die weitere Speicherung der Daten rechtfertigt. Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO wird durch diese gesetzliche Aufbewahrungspflicht nicht verletzt, da die Speicherung für die Erfüllung dieser rechtlichen Verpflichtung erforderlich ist.
Praktisch bedeutet dies, dass Sie die Mitgliedsanträge und SEPA-Lastschriftmandate mit allen darauf befindlichen Daten (einschließlich E-Mail-Adresse, Bankname, IBAN etc.) vollständig für sechs Jahre nach Beendigung der Mitgliedschaft aufbewahrt werden müssen. Dies gilt sowohl für die Papierform als auch für digitale Kopien dieser Dokumente. Die Dokumente sollten jedoch so archiviert werden, dass erkennbar ist, dass es sich um Altfälle handelt.
Nach Ablauf der steuerrechtlichen Aufbewahrungsfrist sind sämtliche Dokumente vollständig zu vernichten bzw. zu löschen, soweit nicht die Daten für die Vereinschronik (Vorname, Name, Anschrift) weiterhin aufbewahrt werden dürfen. Für diese weitere Aufbewahrung ist dann Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) die Rechtsgrundlage, wobei zu prüfen ist, ob ein solches tatsächlich vorliegt und die Interessen der Betroffenen überwiegt.
