Datenschutzordnung

Präambel

Der TC Heinrichsegen Ehringshausen e.V. (nachfolgend: Verein) verarbeitet in vielfältiger Weise personenbezogene Daten seiner Mitglieder, Teilnehmenden, Ehrenamtlichen und sonstiger Geschäftspartner im Rahmen der Vereinsverwaltung, der Organisation des Sportbetriebs und der Öffentlichkeitsarbeit. Ziel dieser Ordnung ist es, die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) umzusetzen, Datenschutzverstöße zu vermeiden und einen einheitlichen Umgang mit personenbezogenen Daten sicherzustellen.

Geltungsbereich

Diese Datenschutzordnung gilt für alle Verarbeitungstätigkeiten des Vereins, unabhängig davon, ob sie elektronisch oder in Papierform erfolgen. Sie richtet sich an alle Organmitglieder, Übungsleitungen, Betreuende, beauftragte Dienstleister und sonstige Personen, die im Auftrag des Vereins personenbezogene Daten verarbeiten.

Verantwortlicher und Kontaktdaten

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der TC Heinrichsegen Ehringshausen e.V. (anschriftlich laut Impressum). Der Vorstand nach § 26 BGB trägt die Gesamtverantwortung. Sofern ein Datenschutzbeauftragter (DSB) benannt ist, werden dessen Kontaktdaten auf der Website und im Verzeichnis von Verarbeitungstätigkeiten veröffentlicht.

Anfragen zum Datenschutz können gerichtet werden an:

• Postalisch: TC Heinrichsegen Ehringshausen e. V., Postfach 1105, 35630 Ehringshausen
• E-Mail: datenschutz@tc-ehringshausen.de

§ 1 Allgemeines

Der Verein verarbeitet personenbezogene Daten von Mitgliedern, Teilnehmenden, Mitarbeitenden, Ehrenamtlichen sowie Vertragspartnern sowohl automatisiert (EDV-Systeme) als auch nicht automatisiert (Papierakten). Veröffentlichungen im Internet und Weitergaben an Dritte erfolgen ausschließlich auf einer Rechtsgrundlage und unter Beachtung der Grundsätze der Verarbeitung (Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit gemäß Art. 5 DSGVO).

§ 2 Kategorien personenbezogener Daten, Zwecke und Rechtsgrundlagen

Der Verein verarbeitet – je nach Zweck – insbesondere:

• Identitäts- und Kontaktdaten (z.B. Name, Anschrift, Geburtsdatum, Telefonnummern, E-Mail)
• Mitgliedschaftsdaten (Eintritt, Beitragsart, Funktionen)
• Zahlungsdaten (IBAN, Mandatsdaten)
• Wettkampf- und Leistungsdaten (Mannschaftszugehörigkeit, Ergebnisse,
  Lizenzen)
• Kommunikations- und Nutzungsdaten (z.B. E-Mail-Korrespondenz)
• Foto- und Videoaufnahmen

Rechtsgrundlagen sind insbesondere:

• Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der Mitgliedschaft/Teilnahme)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z.B. für Fotos, Newsletter)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, z.B. Vereinskommunikation
  und IT-Sicherheit)
• § 26 BDSG (bei Beschäftigtendaten)

Besonderer Schutz Minderjähriger

Der Verein verarbeitet personenbezogene Daten von Kindern und Jugendlichen mit besonderer Sorgfalt. Soweit eine Einwilligung erforderlich ist (insbesondere bei Foto- und Videoaufnahmen sowie deren Veröffentlichung), wird diese grundsätzlich von den Sorgeberechtigten eingeholt.

Veröffentlichungen von Bildern Minderjähriger in Online-Medien und sozialen Netzwerken erfolgen nur mit ausdrücklicher, dokumentierter Einwilligung der Sorgeberechtigten. Für die Kommunikation mit Minderjährigen sind altersangemessene Kanäle zu wählen und die Vorgaben der Sorgeberechtigten zu beachten.

§ 3 Verzeichnis der Verarbeitungstätigkeiten und Informationspflichten

Der Verein führt ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO und erfüllt die Informationspflichten nach Art. 13/14 DSGVO (z.B. im Aufnahmeformular, bei Veranstaltungen, auf der Website). Änderungen an Verarbeitungen werden im Verzeichnis aktuell gehalten. Die konkreten Speicher- und Löschfristen sowie die eingesetzten Auftragsverarbeiter sind im Verzeichnis dokumentiert.

§ 4 Weitergabe an Verbände und Dritte

Soweit für den Sport- und Wettkampfbetrieb erforderlich (z.B. Start-/Spielerpass, Lizenzen), übermittelt der Verein personenbezogene Daten an Fach- und Landesverbände. Darüber hinaus erfolgt eine Weitergabe an Auftragsverarbeiter (z.B. IT-, E-Mail-, Zahlungsdienstleister) nur auf Grundlage von Verträgen nach Art. 28 DSGVO. An sonstige Dritte werden Daten ausschließlich mit Rechtsgrundlage oder Einwilligung weitergegeben.

§ 5 Öffentlichkeitsarbeit, Foto- und Videoaufnahmen

Im Rahmen der Öffentlichkeitsarbeit berichtet der Verein über Vereinsaktivitäten in Aushängen, Print- und Online Medien. Hierbei wird geprüft, ob eine Einwilligung erforderlich ist.

Gruppenfotos und situative Einwilligung

Bei Gruppenfotos im Kontext öffentlicher oder vereinsinterner Veranstaltungen genügt in der Regel die situative Einwilligung durch aktives Posieren, sofern die betroffenen Personen offensichtlich damit rechnen konnten, fotografiert zu werden, und keine schutzwürdigen Interessen entgegenstehen.

Einzelportraits und gezielte Veröffentlichungen

Bei Einzelportraits, Nahaufnahmen oder bei Veröffentlichungen zu Werbezwecken (z.B. auf der Website, in sozialen Medien, Flyern) holt der Verein grundsätzlich eine ausdrückliche, dokumentierte Einwilligung der betroffenen Person bzw. bei Minderjährigen der Sorgeberechtigten ein. Im Zweifel wird stets eine ausdrückliche Einwilligung eingeholt.

Widerspruchsrecht

Betroffene können der Veröffentlichung sie betreffender Fotos aus Gründen, die sich aus ihrer besonderen Situation ergeben, widersprechen. Der Verein trägt Löschbegehren zeitnah Rechnung, soweit keine überwiegenden Interessen
entgegenstehen (z. B. Archivzwecke).

§ 6 Internetauftritt, Cookies und Social Media Cookies

Auf der Website werden nur technisch notwendige Cookies ohne Einwilligung gesetzt. Für alle nicht notwendigen Cookies (z.B. Statistik, Marketing) wird eine Einwilligung nach TTDSG/DSGVO eingeholt und dokumentiert. Für den Einwilligungsprozess setzt der Verein eine technische Consent-Lösung ein, über die Besucherinnen und Besucher der Website über Zweck und Umfang der eingesetzten Technologien informiert werden und eine informierte Entscheidung treffen können (z.B. Auswahl nach Kategorien: „Nur notwendige“, „Statistik“, „Marketing“). Erteilte Einwilligungen werden protokolliert.

Drittinhalte und Social Media

Es werden aktuelle Hinweise zum Einsatz von Drittinhalten (z.B. eingebettete Videos, Schriftarten) und zu Social-Media-Auftritten bereitgestellt. Es gelten die Datenschutzhinweise auf der Website.

§ 7 Zuständigkeiten für den Datenschutz

Verantwortlich für die Einhaltung der datenschutzrechtlichen Vorgaben ist der Vorstand nach § 26 BGB. Operativ koordiniert eine vom Vorstand benannte Person (z. B. Geschäftsführung oder Datenschutzkoordination) die Umsetzung, führt das Verzeichnis der Verarbeitungstätigkeiten, steuert Auftragsverarbeiterverträge und beantwortet Betroffenenanfragen.

§ 8 Kommunikation per E-Mail und Messengern

E-Mail

Für die Vereinskommunikation sind vereinseigene E-Mail-Konten zu nutzen. Beim Versand an mehrere Empfänger sind Adresslisten grundsätzlich im Bcc-Feld zu führen.

Messenger

Der Einsatz von Messengerdiensten erfolgt vorzugsweise über datenschutzfreundliche Angebote bzw. vereinseigene Kommunikationslösungen. Die Nutzung privater Accounts bei Messengerdiensten (z.B. WhatsApp) für Vereinszwecke wird auf das notwendige Maß beschränkt. In solchen Fällen ist sicherzustellen, dass:

• keine sensiblen personenbezogenen Daten (z.B. Gesundheitsdaten) über diesen Kanal ausgetauscht werden,
• eine Teilnahme an entsprechenden Gruppen stets freiwillig ist,
• klare Gruppenregeln gelten,
• für Minderjährige altersangemessene Kommunikationswege gewählt werden und die Vorgaben der Sorgeberechtigten beachtet werden.

§ 9 Technische und organisatorische Maßnahmen (TOM)

Der Verein trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, u.a.:

• Rollenbasierte Zugriffskonzepte
• Starke Passwörter und Zwei-Faktor-Authentifizierung (2FA)
• Verschlüsselung mobiler Geräte und Backups
• Protokollierung administrativer Zugriffe
• Regelmäßige Updates und Patches
• Sichere Entsorgung von Datenträgern (Schreddern, Löschung)
• Clean-Desk-Regeln
• Regelmäßige Schulungen der Verantwortlichen und Sensibilisierung aller Daten verarbeitenden Personen

Die TOM werden regelmäßig überprüft und bei Bedarf angepasst.

§ 10 Rechte der betroffenen Personen

Betroffene haben folgende Rechte gemäß Art. 15–21 DSGVO:

• Auskunft über die zu ihrer Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden", Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen die Verarbeitung (Art. 21)
• Widerruf erteilter Einwilligungen jederzeit für die Zukunft

Ausübung der Rechte

Betroffene Personen können ihre Rechte insbesondere per E-Mail an datenschutz@tc-ehringshausen.de oder postalisch an die im Impressum genannte Vereinsanschrift geltend machen. Anfragen werden durch den Vorstand bzw. die von ihm benannte Datenschutzkoordination geprüft und unverzüglich, spätestens innerhalb eines Monats, beantwortet. In begründeten Fällen kann die Frist um zwei Monate verlängert werden; hierüber werden die Betroffenen informiert.

Beschwerderecht

Betroffene haben zudem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren.

§ 11 Speicherfristen und Löschung

Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Typische Fristen

• Mitgliederstammdaten: i.d.R. 2 Jahre nach Austritt
• Abrechnungsrelevante Daten: nach steuer- und handelsrechtlichen Fristen (grundsätzlich 10 Jahre)
• Historische Vereinsunterlagen: nur zu Archivzwecken mit geeigneten Schutzmaßnahmen dauerhaft aufbewahrt

Verzeichnis der Verarbeitungstätigkeiten

Die konkreten Speicher- und Löschfristen sind im Verzeichnis der Verarbeitungstätigkeiten festgelegt. Soweit in dieser Ordnung keine speziellen Fristen genannt sind, gelten die im Verzeichnis dokumentierten Fristen. Gesetzliche Aufbewahrungsfristen (insbesondere nach Steuer- und Handelsrecht) haben Vorrang und führen dazu, dass Daten für diesen Zeitraum aufbewahrt und anschließend gelöscht oder anonymisiert werden.

§ 12 Umgang mit Verletzungen des Schutzes personenbezogener Daten (Datenpannen)

Verstöße oder Sicherheitsvorfälle (z.B. unbefugter Zugriff, Datenverlust, Fehlversand) sind unverzüglich dem Vorstand bzw. der Datenschutzkoordination zu melden. Notwendige Bewertungen und Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) sowie an betroffene Personen (Art. 34 DSGVO) erfolgen fristgerecht und werden dokumentiert.

Der Verein führt ein internes Verzeichnis von Datenschutzverletzungen.

§ 13 Datenübermittlungen in Drittländer

Eine Übermittlung personenbezogener Daten in Drittländer außerhalb des Europäischen Wirtschaftsraums (EWR) erfolgt nur bei Vorliegen geeigneter Garantien (z. B. EU-Standardvertragsklauseln, Angemessenheitsbeschluss der EU-Kommission) und – soweit erforderlich – ergänzender Schutzmaßnahmen.

Praxis

In der Praxis entstehen Drittländerübermittlungen häufig durch Clouddienste, Newsletter-Tools, Social Media etc. Der Verein nutzt solche Dienste nach Möglichkeit mit Serverstandort EU/EWR oder mit geeigneten Garantien und dokumentiert dies im Verzeichnis der Verarbeitungstätigkeiten. Betroffene werden hierüber nach Maßgabe der Informationspflichten (Art. 13/14 DSGVO) unterrichtet.

§ 14 Verpflichtung auf Vertraulichkeit

Alle im Verein mit personenbezogenen Daten befassten Personen (z. B. Vorstandsmitglieder, Übungsleitungen, Ausschussmitglieder) werden auf Vertraulichkeit verpflichtet und regelmäßig sensibilisiert.

Schulungen

Neue Funktionsträger (Vorstand, Übungsleitungen, Geschäftsführung etc.) erhalten eine Datenschutzunterweisung. Diese wird in regelmäßigen Abständen (mindestens jährlich) aktualisiert bzw. wiederholt. Die Teilnahme an Schulungen wird dokumentiert.

§ 15 Datenschutzbeauftragter

Sofern die gesetzlichen Voraussetzungen vorliegen (insbesondere Art. 37 DSGVO, § 38 BDSG), benennt der Verein eine/n Datenschutzbeauftragte/n (DSB). Der Vorstand stellt sicher, dass die benannte Person über die erforderliche Fachkunde verfügt und in der Ausübung ihrer Tätigkeit unabhängig ist. Name und Kontaktdaten des DSB werden im Verzeichnis der Verarbeitungstätigkeiten und auf der Website veröffentlicht.

§ 16 Verwendung und Herausgabe von Mitgliederdaten und -listen

Mitglieder- und Teilnehmendenlisten werden nur im erforderlichen Umfang bereitgestellt (Datensparsamkeit). Eine Herausgabe an andere Mitglieder erfolgt grundsätzlich nur mit Einwilligung oder bei Nachweis berechtigter satzungsmäßiger Interessen (z. B. Minderheitenbegehren nach Vereinsrecht), verbunden mit einer Zweckbindungserklärung und Vernichtung nach Zweckerfüllung.

§ 17 Einrichtung und Unterhaltung von Internetauftritten

Die Vereinswebsite wird zentral verantwortet. Eigene Auftritte von Gruppen/Mannschaften (z. B. separate Websites, Social-Media-Seiten) bedürfen der Genehmigung des Vorstands. Verantwortliche sind zu benennen; Weisungen des Vorstands sind zu befolgen. Bei Verstößen gegen datenschutzrechtliche Vorgaben können Genehmigungen widerrufen werden.

§ 18 Inkrafttreten und Änderungen

Diese Datenschutzordnung wurde vom Vorstand beschlossen und tritt mit Veröffentlichung auf der Vereinswebsite in Kraft. Änderungen erfolgen bei Bedarf, insbesondere bei Anpassungen gesetzlicher Anforderungen oder geänderten Verarbeitungen. Die jeweils aktuelle Fassung wird auf der Website veröffentlicht.

Änderungshistorie

• Ausgabe 01: Erstfassung 2018
• Ausgabe 02: Aktualisierung Januar 2026 (umfassende Überarbeitung, Ergänzung TTDSG, ToM, Drittländer, Data Breach Management; Minderjährige, Foto-/Videoaufnahmen, Messenger, Betroffenenrechte, Speicherfristen, Cookies-Consent, Drittländer-Praxis, Schulungen)

Beschlossen durch den Vorstand am: 20.01.2026