Mitgliederverzeichnis und DSGVO: Was kleine Gemeinden wirklich richtig machen müssen

Ein Mitgliederverzeichnis der Gemeinde fällt unter die DSGVO, sobald es Namen, Kontaktdaten oder Fotos identifizierbarer Personen enthält, auch wenn Ihre Gemeinde klein ist, ehrenamtlich geführt wird und sich nie als „Datenunternehmen“ verstanden hat. In der Praxis heißt das, eine Rechtsgrundlage für die Datenhaltung zu wählen, nur zu erheben, was wirklich gebraucht wird, Mitgliedern die Kontrolle darüber zu geben, was sichtbar ist, und eine Auskunfts- oder Löschanfrage sauber beantworten zu können. Dieser Leitfaden geht jeden dieser Punkte verständlich durch.

Sind Sie Pastor, arbeiten Sie im Gemeindebüro oder sind Sie derjenige, der sich „um den Computerkram kümmert“, sind Sie möglicherweise bereits die Person, die rechtlich für den Umgang mit den Daten Ihrer Gemeinde verantwortlich ist, ob das nun jemand ausdrücklich so gesagt hat oder nicht. Das ist nicht als Warnung gemeint. Das meiste, was die DSGVO von einem Mitgliederverzeichnis verlangt, ist gesunder Menschenverstand, sobald man es einmal ausbuchstabiert, und ein gut gebautes Verzeichnissystem nimmt Ihnen den größten Teil der Arbeit ab. Das hier ist eine allgemeine Orientierung, keine Rechtsberatung. Für alles, was speziell Ihre Gemeinde betrifft, ist eine Datenschutzberatung oder Ihre nationale Aufsichtsbehörde die richtige Stelle, um Details zu klären.

Ihre Gemeinde ist „Verantwortlicher“, ja, auch als kleine

Unter der DSGVO ist „Verantwortlicher“, wer entscheidet, warum und wie personenbezogene Daten erhoben und genutzt werden. Führt Ihre Gemeinde ein Verzeichnis mit Namen, Telefonnummern, E-Mail-Adressen oder Fotos von Mitgliedern, ist Ihre Gemeinde der Verantwortliche, nicht ein Softwareanbieter und nicht eine einzelne Ehrenamtliche. Die Größe befreit nicht davon. Eine vierzigköpfige, ausschließlich ehrenamtlich geführte Gemeinde trägt dieselben grundlegenden Pflichten wie eine große Organisation.

Damit liegt die Verantwortung bei der Gemeindeleitung (rechtlich oft benannt als Pastor, Ältestenkreis oder die eingetragene Körperschaft der Gemeinde), nicht bei der Ehrenamtlichen, die zufällig die Tabelle pflegt. Es lohnt sich, schriftlich festzulegen, wer diese Verantwortung trägt, damit sie nicht still bei der Person hängen bleibt, die die Datei vor fünf Jahren angelegt hat und inzwischen weitergezogen ist.

Die richtige Rechtsgrundlage für das Verzeichnis wählen

Die DSGVO verlangt für jede Datenhaltung eine Rechtsgrundlage. Für ein Mitgliederverzeichnis kommen meist zwei infrage, und welche passt, hängt davon ab, wie das Verzeichnis genutzt wird:

• Einwilligung. Die klarste Grundlage für ein Mitgliederverzeichnis, besonders wenn Einträge Dinge enthalten, die Mitglieder vielleicht nicht öffentlich sehen möchten, etwa eine Privatadresse, eine Mobilnummer oder ein Foto. Die Einwilligung muss echt und freiwillig sein, nicht ein Häkchen, das bei der Anmeldung automatisch gesetzt wird, und Mitglieder brauchen einen einfachen Weg, sie später zu widerrufen.
• Berechtigtes Interesse. Das trifft eher auf begrenzte, interne Nutzungen zu, etwa wenn ein Dienstplansystem die Telefonnummer einer Ehrenamtlichen braucht, um eine Erinnerung zu schicken, oder das Seelsorgeteam sehen muss, wer in einem Hauskreis ist. Auch beim berechtigten Interesse müssen Sie das Bedürfnis der Gemeinde gegen die berechtigten Erwartungen des Mitglieds abwägen, und es deckt keine Nutzung ab, von der ein Mitglied überrascht wäre oder bei der ihm unwohl würde.

Eine praktische Faustregel hilft hier weiter. Nutzen Sie Einwilligung für alles, was der gesamten Gemeinde sichtbar ist (ein öffentlicher Verzeichniseintrag, ein Foto, eine Hauskreisliste, die über das eigentliche Team hinaus geteilt wird), und heben Sie berechtigtes Interesse für enge, betriebliche Zwecke auf, die ein Mitglied als normale Gemeindeverwaltung erwarten würde. Im Zweifel fragen Sie einfach. Eine kurze Opt-in-Frage bei der Anmeldung („Dürfen wir Ihren Namen und Ihre Telefonnummer im Mitgliederverzeichnis aufnehmen, sichtbar nur für andere Mitglieder?“) klärt das meiste in einem Satz.

Datenminimierung: Nicht sammeln, was Sie nicht brauchen

Eines der einfachsten und praktischsten Prinzipien der DSGVO ist die Datenminimierung, also nur die personenbezogenen Daten zu erheben, die tatsächlich genutzt werden. Gemeindeverzeichnisse sammeln über die Jahre gern Felder an, weil sie „irgendwann nützlich sein könnten“, etwa Geburtsdaten, Namen von Ehepartnern, Angaben zum Arbeitgeber oder Privatadressen, die einmal für einen längst eingestellten Rundbrief erhoben wurden. Jedes ungenutzte Feld ist nur ein Risiko und bringt nichts.

Einmal im Jahr lohnt sich eine einfache Übung. Gehen Sie jedes Feld Ihres Verzeichnisses durch und fragen Sie sich: „Was würden wir tun, wenn dieses Feld morgen verschwände?“ Lautet die ehrliche Antwort „nichts“, entfernen Sie es. Das gilt besonders für sensible Daten wie Gesundheitsangaben, Gebetsanliegen mit medizinischen oder familiären Details oder Schutzkonzept-Notizen, die die DSGVO als „besondere Kategorie“ behandelt und die grundsätzlich eine ausdrückliche Einwilligung erfordern, um überhaupt erfasst zu werden. Erfasst Ihr Gebetsanliegen-System solche Details, verdient es dieselbe Sorgfalt wie das Verzeichnis selbst, nicht eine informelle Ausnahme, weil es sich „seelsorgerlich statt administrativ“ anfühlt.

Einwilligung für Sichtbarkeit im Verzeichnis und Fotonutzung

Zwei konkrete Entscheidungen kommen in fast jedem Gemeindeverzeichnis vor, nämlich wer einen Eintrag sehen darf und ob ein Foto dabei ist.

Sichtbarkeit ist nicht alles oder nichts. Ein gut gestaltetes Verzeichnis lässt ein Mitglied wählen, ob sein Eintrag für die ganze Gemeinde, nur für den eigenen Hauskreis oder nur für Leitung/Personal zu seelsorgerlichen Zwecken sichtbar ist, und überlässt diese Wahl der Person selbst, statt sie in eine einzige Voreinstellung zu zwingen, die nicht zu jeder Situation passt (jemand in einer schwierigen familiären Lage möchte seinen Eintrag vielleicht der Leitung, aber nicht der ganzen Gemeinde zeigen).

Fotos verdienen eine eigene Einwilligung, getrennt vom grundlegenden Verzeichniseintrag. Jemand könnte durchaus damit einverstanden sein, dass Name und Telefonnummer für andere Mitglieder sichtbar sind, aber ein Foto unangenehm finden, oder umgekehrt. Werden Fotoeinwilligung und Verzeichniseintrag in einem einzigen Ja/Nein-Schalter zusammengefasst, geht eine Entscheidung verloren, die dem Mitglied einzeln zusteht.

Auskunfts- und Löschanfragen: Wo eine Tabelle still versagt

Nach der DSGVO kann jedes Mitglied verlangen zu erfahren, welche personenbezogenen Daten Ihre Gemeinde über die eigene Person gespeichert hat („Auskunftsanfrage“), oder deren Löschung fordern („Recht auf Löschung“). Beide Anfragen müssen innerhalb einer angemessenen Frist beantwortet werden, und beide setzen voraus, dass Sie tatsächlich wissen, wo die Daten dieser Person liegen.

Genau hier stoßen eine gemeinsam genutzte Tabelle, ein Mix aus Papierformularen und ein paar private Notizbücher Ehrenamtlicher an ihre Grenzen. Jemand verlässt die Gemeinde und verlangt, dass seine Daten gelöscht werden. Können Sie mit Sicherheit sagen, dass sie wirklich weg sind, aus dem Verzeichnis, aus dem Dienstplan, aus der E-Mail-Liste und aus der Sicherungskopie, die jemand vor achtzehn Monaten angelegt hat? In den meisten ehrenamtlich geführten Strukturen weiß das ehrlich gesagt niemand vollständig. Die Daten haben sich weiter verbreitet, als beabsichtigt war, und keine einzelne Person erinnert sich, wo alle Kopien liegen.

Ein richtiges Gemeindeverwaltungssystem löst das schon im Aufbau. Ein Mitgliedsdatensatz speist Verzeichnis und Dienstplan statt drei getrennter Kopien, sodass eine Löschanfrage genau eine Stelle betrifft, nicht fünf. Achten Sie auf Software, die einen vollständigen Export aller über ein Mitglied gespeicherten Daten erzeugen kann (für Auskunftsanfragen) und eine vollständige, nachweisbare Löschung durchführt (für Löschanfragen), ohne dass Ehrenamtliche jede Ecke des Systems von Hand durchsuchen müssen.

Worauf Sie bei Software für das Mitgliederverzeichnis achten sollten

Wenn Sie ein System für die Mitgliederdaten Ihrer Gemeinde anschauen, trennen ein paar Merkmale echte DSGVO-taugliche Software von einer Tabelle mit Login-Maske:

• Granulare Sichtbarkeitseinstellungen, pro Mitglied und pro Feld, sodass jemand gelistet sein kann, ohne dass gleich jedes Feld öffentlich ist.
• Getrennte Einwilligungserfassung für die Aufnahme ins Verzeichnis und für die Fotonutzung, idealerweise mit einem Zeitpunkt der Einwilligung und einem einfachen Weg zum Widerruf.
• Protokolle, die zeigen, wer den Datensatz eines Mitglieds eingesehen oder geändert hat, damit Sie ehrlich beantworten können, „wer hatte hierauf Zugriff“, falls das je gefragt wird.
• Export- und Löschwerkzeuge, die einen vollständigen, mitgliedsbezogenen Export oder eine Löschung in einem Schritt erzeugen, statt eine manuelle Suche über mehrere Module hinweg zu verlangen.
• EU-Hosting / Datenstandort, weil es für die DSGVO-Konformität und für Ihr eigenes gutes Gefühl einen Unterschied macht, wo die Daten Ihrer Mitglieder physisch liegen. EU-basiertes Hosting unterstellt diese Daten dem EU-Datenschutzrecht statt einer Rechtsordnung mit schwächeren Garantien.

Nichts davon muss für eine Gemeinde mit fünfzig oder hundert Personen kompliziert sein. Es muss von Anfang an im System eingebaut sein, damit nicht jemand im Gemeindebüro persönlich daran denken muss, es jedes Mal richtig zu machen. Das übernimmt dann die Software.

Ekklis Mitgliederdatenbank ist genau dafür gebaut, mit EU-gehosteten Daten, einem DSGVO-konformen Double-Opt-in-Verfahren für alles, worüber die Gemeinde kommuniziert, und einem privaten, eigenen Profil, in dem jedes Mitglied seine eigene Einwilligung und seine eigenen Daten direkt verwaltet, statt dass das Gemeindebüro jede Anfrage von Hand bearbeitet. Mitglieder können außerdem im Rahmen des DSGVO-Rechts auf Datenübertragbarkeit ihren eigenen Datenexport anfordern, direkt aus ihrem Datensatz erzeugt. Genauer gesagt: Die Mitgliederdatenbank wird von der Gemeinde geführt, aber jedes Mitglied verwaltet seine Einwilligung selbst. Daran hängt ein Mitgliederverzeichnis, in dem jede Person selbst festlegt, was andere sehen können, und das gar kein Feld für die Telefonnummer besitzt. Die vollständigen Details finden Sie auf unserer Seite zur Mitgliederdatenbank.

Sechs Monate kostenlos, ohne Kreditkarte. Ekklis sechsmonatige kostenlose Testphase umfasst Präsentation im Gottesdienst, eine Website auf einer Subdomain, die Mitgliederdatenbank, Dienstplan und Einsatzplanung, Veranstaltungsanmeldung, Push-Benachrichtigungen sowie das Hosting von Predigtaufnahmen innerhalb eines Speicherkontingents von 2 GB, für bis zu 50 Personen. Jetzt sechs Monate kostenlos testen und die Einwilligungseinstellungen selbst ausprobieren.

Häufig gestellte Fragen

Gilt die DSGVO für kleine, ehrenamtlich geführte Gemeinden?

Ja. Die DSGVO gilt danach, welche Daten erhoben und wie sie genutzt werden, nicht nach der Größe der Organisation. Eine dreißigköpfige, ausschließlich ehrenamtlich geführte Gemeinde ist genauso Verantwortlicher wie eine große Organisation, sobald sie identifizierbare personenbezogene Daten von Mitgliedern verarbeitet.

Welche Rechtsgrundlage sollte eine Gemeinde für ihr Mitgliederverzeichnis nutzen?

Die meisten Gemeinden stützen sich auf Einwilligung für alles, was über den engen Verwaltungskreis hinaus sichtbar ist, etwa ein öffentlicher Verzeichniseintrag, ein Foto oder eine Hauskreisliste, und auf berechtigtes Interesse für enge, betriebliche Zwecke wie eine Dienstplan-Erinnerung. Das ist allgemeine Orientierung; klären Sie die Details für Ihre konkrete Situation mit einer Datenschutzberatung oder Ihrer nationalen Aufsichtsbehörde.

Kann ein Gemeindemitglied verlangen, aus dem Verzeichnis entfernt zu werden?

Ja. Nach dem DSGVO-Recht auf Löschung kann ein Mitglied die Löschung seiner personenbezogenen Daten verlangen, und eine Gemeinde sollte dieser Anfrage innerhalb einer angemessenen Frist nachkommen können. Führt die Software einen einzigen Mitgliedsdatensatz über Mitgliederdatenbank und Dienstplan hinweg und können Mitglieder ihren Datenexport selbst anstoßen, wird daraus fast ein einziger Handgriff statt einer Suche durch mehrere Systeme.

Brauchen wir eine gesonderte Einwilligung für Fotos im Verzeichnis?

Es ist gute Praxis, die Fotoeinwilligung getrennt von der grundlegenden Aufnahme ins Verzeichnis zu behandeln. Jemand ist vielleicht damit einverstanden, dass Name und Kontaktdaten sichtbar sind, aber nicht das Foto, oder umgekehrt. Beides in einer Ja/Nein-Entscheidung zusammenzufassen nimmt eine Wahl weg, die der Person einzeln zusteht.

Was gilt in einem Gemeindekontext als „sensible“ Daten?

Die DSGVO behandelt Gesundheitsangaben und ähnliche Details als „besondere Kategorie“, die besondere Sorgfalt und in der Regel eine ausdrückliche Einwilligung erfordert. Gebetsanliegen oder Seelsorgenotizen, die medizinische Zustände, psychische Gesundheit oder familiäre Krisen erwähnen, fallen darunter, auch wenn sie sich eher wie gewöhnliche Seelsorge als wie formale Datenerhebung anfühlen.

Wo finden wir den DSGVO-Text oder offizielle Hinweise?

Das offizielle Datenschutzportal der Europäischen Kommission unter ec.europa.eu ist ein guter neutraler Ausgangspunkt, und Ihre nationale Aufsichtsbehörde kann Fragen speziell zu Ihrem Land und Ihrer Gemeinde beantworten.

Bereit für ein Mitgliederverzeichnis, bei dem Datenschutz von Anfang an eingebaut ist und nicht nachträglich drangeschraubt wurde? Sechs Monate kostenlos, ohne Kreditkarte. Jetzt sechs Monate kostenlos testen und noch heute die ersten Sichtbarkeits- und Einwilligungseinstellungen festlegen.