✅ Datenschutz‑Checklisten – Verein (DSB)

• Datenschutzbeauftragter bestellt (falls erforderlich; i. d. R. > 20 regelmäßig Datenverarbeitende)Bestellungsurkunde, Aufgabenbeschreibung, Erreichbarkeit
• Zuständigkeiten festgelegt (Vorstand, DSB, Administratoren)Vertretungsregelungen & Erreichbarkeit dokumentiert
• Datenschutzordnung / Leitlinie veröffentlichtz. B. in Geschäftsordnung oder auf Website
• Informationspflichten (Art. 13/14) für Mitglieder, Ehrenamtliche, Besucher verfügbar
• Verzeichnis von Verarbeitungstätigkeiten (VVT) gepflegt
• Löschkonzept definiert (z. B. Mitglieder nach Austritt, Bewerbungen, Fotos)
• Rechtsgrundlagen je Verarbeitung dokumentiert (Vertrag, Einwilligung, berechtigtes Interesse)

• Geräte mit Passwort / Bildschirmsperre gesichert
• E‑Mail‑Konten mit starken Passwörtern oder 2FA
• Regelmäßige Backups (EU/EWR‑Speicherung bevorzugt) dokumentiert
• Datenträger verschlüsselt bzw. sicher verwahrt
• Rollenbasierter Zugriff: Mitgliederlisten & Kontaktdaten nur für Berechtigte
• Datenübertragung verschlüsselt (keine offenen Excel‑Listen per Mail)
• Zugänge bei Ausscheiden von Funktionsträgern sofort deaktiviert

• Mitgliedsanträge DSGVO‑konform (separate Einwilligung für Fotos/Newsletter optional)
• Datensparsamkeit: nur notwendige Daten erhoben
• Berechtigungskonzept dokumentiert (Kassier/Schriftführer etc.)
• Löschung / Anonymisierung nach Austritt geregelt
• Datenweitergabe an Verbände / Sportbund dokumentiert

• Datenschutzerklärung vollständig & aktuell (Kontakt, Zwecke, Rechtsgrundlagen, Drittländer)
• Kontaktformulare / Newsletter / Tracking geprüft (Consent‑Banner falls nötig)
• Social‑Media‑Hinweise vorhanden (Datenverarbeitung durch Dritte)
• Fotos/Videos: Einwilligungen bzw. berechtigtes Interesse dokumentiert
• Namensnennungen bei Siegerehrungen etc. datensparsam
• Keine Veröffentlichung sensibler Daten (Gesundheit, Adressen, Geburtstage)

• AV‑Vertrag mit Cloud‑/E‑Mail‑/Collab‑Diensten (z. B. M365, Google Workspace)
• AV‑Vertrag mit Hoster / Newsletter‑Tool / Mitglieder‑ oder Buchhaltungssoftware
• TOMs des Dienstleisters geprüft; ggf. Audit‑/Nachweise abgelegt
• Datenübermittlung EU/EWR oder Standardvertragsklauseln dokumentiert
• Beendigung: Datenrückgabe & ‑löschung vertraglich geregelt

• Vertraulichkeitsverpflichtung unterschrieben
• Schulungen / Unterweisungen dokumentiert (jährlich / anlassbezogen)
• Leitfaden „Umgang mit personenbezogenen Daten“ verteilt
• Nutzung privater Geräte geregelt (BYOD‑Richtlinie oder Verbot)
• E‑Mail‑Verteiler korrekt (BCC, keine offenen Listen)

• Verfahren zur Meldung von Vorfällen festgelegt (inkl. 72‑Stunden‑Frist)
• Betroffenenrechte (Auskunft, Löschung, Widerspruch etc.) dokumentiert
• Kontaktweg für Anfragen veröffentlicht (z. B. datenschutz@verein.de)
• Keine offenen Anfragen / Beschwerden

• Jahresbericht an den Vorstand erstellt
• Änderungen bei IT/Tools/Cloud geprüft & dokumentiert
• Schulungsnachweise aktualisiert
• Papierarchive überprüft (Vernichtung nach Frist)
• Offene Punkte aus Vorjahr abgearbeitet

• Videoüberwachung: Hinweisschilder, Rechtsgrundlage, Speicherfristen
• Veranstaltungsteilnehmer‑Listen mit Einwilligung
• Gesundheitsdaten im Sportverein (Unfallberichte, Trainingsfreigaben)
• Bewerbungsdaten (Ehrenamt/Trainer) – Löschung nach Abschluss
• Spendenverwaltung – DSGVO‑konforme Dokumentation

• Verarbeitung besonderer Kategorien identifiziert (Gesundheits-/Sozialdaten, Beratungs-/Fallakten)
• Rechtsgrundlage dokumentiert (Art. 9 Abs. 2 – z. B. ausdrückliche Einwilligung, Sozialschutz, Gesundheitsversorgung)
• Zusatzschutz: Need‑to‑know, Protokollierung, Rollen, Pseudonymisierung wo möglich
• Spezielle Aufbewahrungs-/Löschfristen für Beratungs-/Fallakten festgelegt

• Prüfung DSFA‑Pflicht durchgeführt (Kriterien: Art. 9‑Daten, vulnerable Gruppen, systematische Bewertung)
• Risiken bewertet (Eintrittswahrscheinlichkeit/Schwere), Rest­risiken dokumentiert, Freigabe Vorstand/Träger
• Abhilfemaßnahmen umgesetzt (technisch/organisatorisch), Wirksamkeit geprüft

• Einwilligungsprozess für Minderjährige geregelt (Sorgeberechtigte, Dokumentation, Widerruf)
• Datensparsamkeit & Zugriffszonen für Jugendangebote umgesetzt

• Consent‑Management eingerichtet (Zwecke, Kategorien, Protokollierung, Nachweis exportierbar)
• Formulare: TLS, Minimierung, Anti‑Spam, Speicherfristen für Eingaben/Logs definiert
• Drittinhalte inventarisiert (Karten, Videos, Fonts, Captcha); Rechtsgrundlagen & Datenflüsse dokumentiert

• AV‑Verträge vollständig (Hoster, Mail, Cloud, Termin-/Falltools, Newsletter, Statistiken)
• TIA (Transfer Impact Assessment) für Anbieter mit Drittlandbezug dokumentiert (inkl. SCC, TOMs)
• Beendigungs‑/Löschkonzept: Rückgabe, Löschung, Protokoll

• Zutritt/Schlüsselregelungen dokumentiert (Beratungsräume, Archive, Streetwork‑Transport)
• Papierakten: Aufbewahrungsfristen & Vernichtung nach DIN 66399 organisiert

• Breach‑Playbook vorhanden (Erkennung, Bewertung, Meldeweg, Aufsichtsbehörde, Betroffene)
• Backups: Konzept + regelmäßiger Restore‑Test (Dokumentation)

• Bewerbungsprozesse: Informationspflichten, Fristen (Standard: 6 Monate), sichere Übertragung
• Offboarding bei Austritt (Accounts, Berechtigungen, Datenträger, E‑Mail‑Weiterleitungen)

• Prozess & Rollen definiert (vertraulich, fristgerecht), Datenschutz‑Hinweise für Meldende
• Nachweise/Protokolle revisionssicher abgelegt