Förderverein und Datenschutz: was der Verein darf

Der Förderverein bezahlt den Bus zum Theater, organisiert das Sommerfest und kauft die neuen Bälle für die Sporthalle. Damit das gelingt, braucht er Mitglieder, Spenden und Helferinnen und Helfer, also Kontakt zu den Eltern. Und genau hier entstehen die meisten Datenschutzfragen: Darf die Schule dem Verein die Elternliste geben? Darf der Vorstand eine Rundmail an alle schicken? Und was gehört in die Mitgliederliste? Die Antworten sind einfacher, als sie oft wirken, wenn man einen Grundsatz im Blick behält: Schule und Verein sind zwei verschiedene Stellen.

Schule und Verein sind getrennt

Ein Förderverein ist in aller Regel ein eingetragener Verein, also eine eigene juristische Person mit eigenem Vorstand und eigener Satzung. Er ist kein Teil der Schule, auch wenn er in ihren Räumen tagt und die Schulleitung Mitglied ist. Datenschutzrechtlich ist der Verein deshalb für die Daten, die er verarbeitet, selbst Verantwortlicher im Sinne der DSGVO. Die Schule ist es für ihre.

Das hat zwei Folgen. Erstens: Was die Schule über Schülerinnen, Schüler und Eltern weiß, gehört nicht automatisch dem Verein. Gibt die Schule Daten an den Verein weiter, ist das eine Übermittlung an einen Dritten, für die sie eine Rechtsgrundlage braucht. Zweitens: Der Verein muss die Pflichten der DSGVO selbst erfüllen, von der Information der Mitglieder bis zur Löschung.

Dasselbe gilt sinngemäß für Elternvertretungen. Deren rechtliche Stellung ist im Schulrecht der Länder unterschiedlich geregelt; eine Weitergabe von Kontaktdaten durch die Schule an die Elternvertretung setzt aber auch dort in der Regel eine Einwilligung voraus.

Was die Schule dem Verein geben darf

Die Schule verarbeitet Kontaktdaten der Eltern für ihre schulischen Aufgaben. Werbung für einen Verein, so sinnvoll er ist, gehört nicht dazu. Eine Elternliste aus den Stammdaten der Schule an den Förderverein zu geben, ist deshalb ohne Einwilligung der Eltern regelmäßig unzulässig. Dass der Verein gemeinnützig ist und der Schule hilft, ändert daran nichts.

Was die Schule tun kann:

• Informationen weiterleiten. Die Schule kann einen Aufruf oder Beitrittsflyer des Vereins über ihre eigenen Kanäle an die Eltern geben. Die Daten bleiben dann bei der Schule; wer sich meldet, meldet sich selbst beim Verein.
• Einwilligung einholen. Will die Schule Kontaktdaten weitergeben, fragt sie die Eltern vorher einzeln und für diesen Zweck. Die Einwilligung muss freiwillig sein: Wer ablehnt, darf in der Schule keinen Nachteil haben.
• Räume und Termine bereitstellen. Ein Stand beim Elternabend oder beim Schulfest erreicht Eltern, ohne dass Daten fließen.

Ob und unter welchen Bedingungen Schulen für Fördervereine werben dürfen, regeln manche Länder in Verwaltungsvorschriften oder Hinweisen der Kultusministerien. Im Zweifel gibt die oder der Datenschutzbeauftragte der Schule Auskunft.

Mitgliederlisten

Für die Verwaltung seiner Mitglieder braucht der Verein keine Einwilligung. Name, Anschrift, Kontaktdaten, Beitragshöhe und Bankverbindung für den Lastschrifteinzug darf er verarbeiten, weil die Mitgliedschaft ein Vertragsverhältnis ist (Art. 6 Abs. 1 lit. b DSGVO). Darüber hinaus gilt: nur, was der Vereinszweck erfordert.

Worauf der Vorstand achten sollte:

• Information beim Beitritt. Das Beitrittsformular informiert nach Art. 13 DSGVO, wer verantwortlich ist, wofür die Daten genutzt werden und wie lange sie gespeichert werden.
• Daten der Kinder nur, wenn nötig. Für eine Mitgliedschaft der Eltern braucht der Verein in der Regel weder Namen noch Klasse des Kindes.
• Wer Zugriff hat. Die Liste gehört zu dem Teil des Vorstands, der sie braucht, etwa Kasse und Schriftführung, und nicht in einen geteilten Ordner, auf den jedes ehemalige Vorstandsmitglied noch Zugriff hat.
• Löschen nach dem Austritt. Nach dem Austritt werden die Daten gelöscht, soweit keine Aufbewahrungspflicht entgegensteht. Für Buchungsbelege und Spendenquittungen gelten steuerrechtliche Fristen.

Viele Fördervereine brauchen keinen eigenen Datenschutzbeauftragten. Nach § 38 BDSG ist das in der Regel erst der Fall, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die übrigen Pflichten der DSGVO gelten trotzdem.

Rundmails

Eine Rundmail an Mitglieder über Mitgliederversammlung, Beiträge oder Vereinsaktionen gehört zur Mitgliederverwaltung. Drei Dinge machen sie trotzdem oft zum Problem:

Offene Verteiler. Wer alle Adressen in das Feld „An“ oder „CC“ setzt, gibt jedem Empfänger die Adressen aller anderen. Das ist eine Übermittlung, für die es meist keine Rechtsgrundlage gibt. Adressen gehören ins Feld „BCC“ oder in ein Werkzeug, das Mails einzeln verschickt.

Empfänger, die keine Mitglieder sind. Eltern, die nicht im Verein sind, haben der Nutzung ihrer Adresse durch den Verein nicht zugestimmt. Ein Newsletter an sie braucht eine Einwilligung. Hat ein Elternteil seine Adresse beim Sommerfest auf eine Helferliste geschrieben, gilt das für das Sommerfest, nicht für jede künftige Spendenbitte.

Private Postfächer. Wenn Vorstandsmitglieder Vereinsmails aus ihrem privaten Postfach schicken, liegen die Adressen bei jedem Wechsel im Vorstand an einem weiteren Ort. Eine Vereinsadresse, die mit dem Amt weitergegeben wird, vermeidet das.

Einwilligung richtig einholen

Wo der Verein eine Einwilligung braucht, etwa für einen Newsletter an Nicht-Mitglieder oder für Fotos vom Schulfest auf der Vereinswebsite, muss sie den Anforderungen von Art. 7 DSGVO genügen. Praktisch heißt das: für einen bestimmten Zweck, verständlich formuliert, getrennt von anderen Erklärungen und jederzeit widerrufbar, worauf hinzuweisen ist. Der Verein muss nachweisen können, dass die Einwilligung vorliegt. Ein Häkchen auf einem Zettel, der im Keller der Schatzmeisterin liegt, ist ein schwacher Nachweis.

Was Sie als Nächstes tun können

Klären Sie im Vorstand zwei Fragen: Woher stammen die Adressen, die der Verein heute nutzt, und gibt es für jede eine Grundlage? Und über welchen Weg erreicht der Verein künftig Eltern, die noch keine Mitglieder sind? Steht die Antwort fest, lässt sie sich mit der Schulleitung abstimmen, statt im Einzelfall zu improvisieren.

Wo Schlaue Schule hilft

Schlaue Schule ist ein Werkzeug der Schule, keine Vereinsverwaltung. Es hilft dort, wo sich Schule und Verein berühren: Die Schule kann einen Aufruf des Vereins als Schreiben an die Klassen weitergeben, ohne Adressen herauszugeben. Die Elternliste einer Klasse ist von vornherein ausgeschaltet; jedes Elternteil entscheidet selbst, ob es für die Elternvertretung der Klasse sichtbar wird. Die Daten liegen auf Servern in Deutschland.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.