DSGVO im Fußballverein: Was bei Spielerdaten wirklich gilt

Ein häufiges Missverständnis: Die DSGVO gelte nur für Unternehmen. Tatsächlich gilt sie für jede Stelle, die personenbezogene Daten verarbeitet, und ein eingetragener Verein ist eine solche Stelle. Ob mit oder ohne Angestellte spielt keine Rolle.

Personenbezogene Daten sind dabei mehr als Name und Adresse. Auch Trikotnummer plus Geburtsdatum, Anwesenheitslisten, Verletzungsnotizen und Leistungseinschätzungen gehören dazu. Verletzungsdaten sind sogar Gesundheitsdaten und damit besonders geschützt.

Für den normalen Spielbetrieb braucht ihr keine Einwilligung. Die Verarbeitung ist zur Erfüllung des Mitgliedschaftsvertrags erforderlich – das umfasst Kaderlisten, Trainingsplanung, Anwesenheit, Spielberichte und die Kommunikation über Termine.

Wichtig ist der Zusatz „erforderlich“. Ein Geburtsdatum braucht ihr für die Altersklassen-Einteilung, also ist es erforderlich. Die Schuhgröße oder die Lieblingsposition des Vaters gehört nicht dazu.

Alles, was über den Spielbetrieb hinausgeht, braucht eine eigene Rechtsgrundlage – meist eine Einwilligung. Die drei häufigsten Fälle im Verein:

Bei Spielern unter 16 Jahren kann die Einwilligung nicht wirksam vom Kind selbst erteilt werden – sie muss von den Erziehungsberechtigten kommen oder von ihnen bestätigt werden. Das steht so in Artikel 8 der DSGVO und betrifft in einer Jugendabteilung praktisch jeden.

In der Praxis heißt das: Wer im Jugendbereich Fotos veröffentlicht oder Leistungsdaten erfasst, braucht eine Einwilligung der Eltern – und muss sie nachweisen können. Eine mündliche Zusage am Spielfeldrand hilft im Zweifel nicht.

Dazu kommt: Die Einwilligung ist jederzeit widerrufbar. Sagt ein Elternteil im Winter, dass Fotos des Kindes nicht mehr erscheinen sollen, müsst ihr das umsetzen – auch rückwirkend für bereits veröffentlichte Bilder.

Die Mannschaftsgruppe ist der Klassiker. Rechtlich ist sie aus zwei Gründen heikel: Erstens landen Telefonnummern aller Mitglieder bei einem Anbieter außerhalb der EU – und jeder Teilnehmer sieht die Nummern aller anderen. Zweitens werden dort regelmäßig Daten geteilt, die dort nichts verloren haben: Aufstellungen mit Namen, Fotos von Kindern, Krankmeldungen.

Ganz sauber wird es nur, wenn die Kommunikation über ein System läuft, in dem der Verein bestimmt, wer was sieht. Das muss keine Speziallösung sein – entscheidend ist, dass Daten nicht unkontrolliert in eine Gruppe fließen, die niemand verwaltet.

Sobald ihr eine Software nutzt, in der Mitgliederdaten liegen, verarbeitet der Anbieter Daten in eurem Auftrag. Dafür verlangt Artikel 28 DSGVO einen schriftlichen Vertrag – den Auftragsverarbeitungsvertrag, kurz AVV.

Der Verein bleibt dabei Verantwortlicher, der Anbieter ist Auftragsverarbeiter und darf die Daten nur nach euren Weisungen nutzen. Im Vertrag steht unter anderem, wo die Daten liegen, welche Sicherheitsmaßnahmen gelten und welche Unterdienstleister beteiligt sind.

Praktischer Hinweis: Fragt vor der Anschaffung nach dem AVV, nicht danach. Ein Anbieter, der keinen hat oder ihn erst „auf Anfrage“ schickt, ist ein Warnsignal.

Wenn ihr nur drei Dinge angeht, dann diese: