Vereine und Hilfsorganisationen: Was Sie in Akten Hilfesuchender vor der Weitergabe schwärzen

Schwärzen Sie eine Akte über Hilfesuchende, sobald sie Ihren Verein verlässt. Wer sie erhält, braucht fast immer viel weniger als die ganze Akte. Ein Geldgeber will Zahlen, eine Partnerstelle will eine einzelne Weiterleitung, und wer Ihren Jahresbericht liest, will eine Geschichte, keinen Namen.

Welche Dokumente verlassen einen Verein, und was braucht jeder Empfänger?

Die meisten Dokumente über Hilfesuchende und Mitglieder gehen einen von fünf Wegen. Fragen Sie zuerst, was der Empfänger wirklich braucht, und schwärzen Sie den Rest.

Die französische Datenschutzbehörde CNIL gibt in ihrem Leitfaden für Vereine (November 2021) eine Faustregel. Für einen Antrag auf Zuschuss oder Mäzenatentum (mécénat) genüge in der Regel eine Akte mit anonymisierten Angaben. Eine französische Gemeinde dürfe die namentliche Mitgliederliste nicht verlangen, auch wenn sie einen Zuschuss zahlt.

Was sagt die DSGVO über Mitglieder und Hilfesuchende?

Artikel 9 der DSGVO setzt ein grundsätzliches Verbot. Es betrifft Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen. Gesundheitsdaten, Sexualleben und sexuelle Orientierung stehen auf derselben Liste. Der Landesbeauftragte für den Datenschutz in Baden-Württemberg nennt in seiner Orientierungshilfe (Stand Juni 2020) ein Beispiel für solche Mitgliederdaten. Bei einer Selbsthilfegruppe für Suchtkranke ergebe sich das Geheimhaltungsinteresse schon aus dem Vereinszweck.

Artikel 9 Absatz 2 zählt Ausnahmen auf. Buchstabe d gilt für eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht. Die Verarbeitung muss zu ihren rechtmäßigen Tätigkeiten gehören und auf geeigneten Garantien beruhen. Sie darf sich ausschließlich auf Mitglieder, ehemalige Mitglieder oder Personen beziehen, die im Zusammenhang mit dem Vereinszweck regelmäßig Kontakt zu ihr haben. Und die Daten dürfen nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden.

Einfach gesagt: Eine solche Organisation darf die Überzeugungen ihrer Mitglieder speichern. Aber eine Liste, die nach außen geht, braucht die Einwilligung jeder Person. Die CNIL beschreibt die Bedingung genauso. Im Vereinigten Königreich enthält die UK GDPR dieselbe Bedingung. Die Aufsichtsbehörde ICO ergänzt: Die Einwilligung zur Weitergabe muss ausdrücklich sein.

Ein Verein ohne diese Ausrichtung braucht eine andere Bedingung, etwa die ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a. Fragen Sie Ihre Datenschutzbeauftragte, falls Sie eine haben, oder einen Juristen, welche passt.

Wie verbergen Sie die Person in einer Fallgeschichte?

Ein Name ist der leichteste Hinweis zum Entfernen und selten der einzige. In einer kleinen Gemeinschaft können ein Dorf, ein Alter und eine fünfköpfige Familie auf einen Haushalt zeigen.

• Geben Sie jeder Person einen erfundenen Namen oder ein Kürzel, und behalten Sie es überall bei.
• Ersetzen Sie genaue Alters- und Datumsangaben durch Spannen, etwa „Anfang vierzig“ oder „letztes Frühjahr“.
• Ersetzen Sie das Dorf durch eine Region oder eine Ortsart.
• Streichen Sie seltene Details, etwa einen ungewöhnlichen Beruf oder eine Nationalität samt genauem Alter.
• Entfernen Sie Fotos, und decken Sie Unterschriften und Handschrift auf gescannten Formularen ab.

Nehmen Sie diese Zeile: Erika Mustermann, 43, aus Eichental, kam im März mit ihren drei Kindern aus Chile. Eine sicherere Fassung: Frau A, Anfang vierzig, kam im vergangenen Frühjahr mit ihren Kindern in die Region. Der Sinn der Geschichte bleibt. Die Hinweise auf einen Haushalt fehlen.

Schwärzen ersetzt keine Erlaubnis. Im Vereinigten Königreich gilt für Spendenwerbung der Code of Fundraising Practice (Verhaltenskodex für das Spendensammeln) des Fundraising Regulator. Er verlangt eine klare, informierte Erlaubnis jeder Person, die aus einer Fallgeschichte erkennbar sein könnte. Er ist nach eigener Aussage nicht rechtlich bindend. Die aktuelle Fassung gilt seit 1. November 2025 (Stand Oktober 2026). Der Landesbeauftragte schreibt, die Veröffentlichung personenbezogener Daten durch einen Verein im Internet sei grundsätzlich unzulässig, wenn die Person nicht ausdrücklich einwilligt.

Was schicken Sie einem Geldgeber statt der vollständigen Liste?

Fragen Sie schriftlich nach, was der Geldgeber wirklich braucht, bevor Sie etwas senden.

1. Lesen Sie die Förderbedingungen, um zu sehen, welche Nachweise sie verlangen.
2. Bieten Sie zuerst Summen an: unterstützte Personen, Termine, Ergebnisse nach Altersgruppe.
3. Will der Geldgeber mehr, bieten Sie eine Stichprobe oder eine Liste mit Codes statt Namen an.
4. Bewahren Sie den Schlüssel, der Codes und Personen verbindet, im Verein auf.

Manchmal braucht ein Geldgeber tatsächlich Namen. Fragen Sie dann, auf welche Rechtsgrundlage er seine Forderung stützt, und besprechen Sie das mit Ihrer Datenschutzbeauftragten. Senden Sie genau das, was die schriftlichen Regeln verlangen, und sagen Sie, wer die Liste sehen wird.

Und die Spender- und Mitgliederlisten?

Ein SEPA-Lastschriftmandat, das Formular für regelmäßige Spenden, zeigt meist Name, Anschrift und IBAN auf einer Seite. Wer Etiketten druckt, braucht die Anschriften, nicht die IBANs und Beträge. Der Landesbeauftragte schreibt, Spender außerhalb des Vereins dürften nur mit ihrem Einverständnis öffentlich genannt werden. Für eine Druckerei heißt Datenminimierung nach Artikel 5 Absatz 1 Buchstabe c: eine Spalte, nicht zwölf.

ONYRI Sanitize findet Namen, Anschriften, E-Mail-Adressen, Telefonnummern, Datumsangaben und IBANs in Word-Berichten (.docx) und gescannten Formularen. Scans liest es per OCR auf dem Gerät. Die Datei bleibt in Ihrem Browser. „Bereich ziehen“ deckt Fotos und Unterschriften ab. Der Token-Modus (Pro) hält eine Geschichte lesbar, mit Platzhaltern wie [NAME1]. Straßenadressen im Vereinigten Königreich und in Belgien deckt es nicht ab, ebenso wenig Nationalität, Religion, in Worten beschriebene Gesundheit und Familiendetails. Ergänzen Sie sie mit „Außerdem schwärzen“.

Welche Routine gilt vor jedem Versand?

1. Bewahren Sie das Original unverändert im Verein auf.
2. Notieren Sie, was der Empfänger braucht und warum.
3. Arbeiten Sie an einer geschwärzten Kopie, nie am Original.
4. Prüfen Sie den Dateinamen: Er enthält oft den Namen einer hilfesuchenden Person.
5. Lesen Sie jede Seite der Kopie, auch Fotos und handschriftliche Notizen.
6. Lassen Sie jede Fallgeschichte von jemandem lesen, der die Gemeinschaft kennt.

Automatische Werkzeuge übersehen, was nur ein Mensch beurteilen kann, etwa eine in Worten geschriebene Diagnose. Lesen Sie die Kopie so, wie der Empfänger sie läse. Dieser Leitfaden folgt EU- und britischem Recht und ist eine Information, keine Rechtsberatung. Bei Kindern oder Gewaltopfern fragen Sie zuerst Ihre Datenschutzbeauftragte oder einen Juristen. In Österreich oder der Schweiz fragen Sie Ihre eigene Aufsichtsbehörde.

Häufige Fragen

Quellen und Verweise