Datenschutz im Chor: Was wirklich gilt

Was ihr ohne Einwilligung dürft

Viele Vorstände glauben, sie bräuchten von jedem Mitglied eine unterschriebene Einwilligung. Das stimmt nicht, schreibt die Datenschutzaufsicht Baden-Württemberg in ihrem Praxisratgeber „Datenschutz im Verein nach der DS-GVO“ (2. Auflage, 2020). Mit dem Beitritt entsteht ein Rechtsverhältnis zwischen Mitglied und Verein, und was ihr dafür braucht, dürft ihr verarbeiten (Art. 6 Abs. 1 lit. b DSGVO).

Im Chor sind das Name und Anschrift, Termine mit Zu- und Absagen, Rundmails an die Mitglieder und der Beitragseinzug. Die Aufsicht in Niedersachsen nennt in ihrer Handreichung „Datenschutz im Verein“ (Juni 2023) bei einer Musikgruppe „in aller Regel das gespielte Instrument“ als nötiges Datum, für einen Chor liegt die Stimmlage also nahe. Manches stützt ihr auf das berechtigte Interesse des Vereins (Art. 6 Abs. 1 lit. f DSGVO), etwa das Fotografieren beim Konzert. Das ist erlaubt, solange die Interessen der Betroffenen nicht überwiegen.

Wofür ihr eine Einwilligung braucht

Eine Einwilligung braucht ihr dort, wo es über die Mitgliedschaft hinausgeht:

• Fotos im Internet, also auf der Website, bei Instagram, Facebook oder YouTube.
• Listen für alle: Telefonketten, Adresslisten, Geburtstage im Gemeindebrief oder am schwarzen Brett.
• Gesundheitsdaten: Wer für die Chorfreizeit Allergien oder Medikamente abfragt, braucht eine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
• Kinder und Jugendliche: Hier entscheiden die Eltern.

Am wenigsten Arbeit macht es, Einwilligungen gleich im Aufnahmeantrag abzufragen, als eigene Kästchen und nach Zwecken getrennt, etwa „Website und Vereinsheft“ und „Social Media“. Eine bestimmte Form schreibt die DSGVO nicht vor, ihr müsst die Einwilligung aber nachweisen können (Art. 7 Abs. 1 DSGVO). Führt deshalb eine Liste, wer wann wozu zugestimmt hat. Von langjährigen Mitgliedern holt ihr die Einwilligung einmal nach, zum Beispiel bei der Jahreshauptversammlung. Widerrufen muss so einfach sein wie Zustimmen (Art. 7 Abs. 3 DSGVO). Widerruft jemand, nehmt ihr die Fotos dieser Person von euren Seiten.

In cori ist diese Liste eingebaut. Unter Choreinstellungen › Fotoerlaubnis seht ihr pro Mitglied, ob es auf Fotos und Videos zu sehen sein darf, nur auf Gruppenfotos oder gar nicht, und wofür: Programmheft und Aushang, Website, Social Media. Mitglieder ab 16 tragen ihre Antwort selbst unter Einstellungen › Profil ein und können sie dort jederzeit ändern, für Jüngere die Eltern. Antworten aus dem Aufnahmeantrag könnt ihr nachtragen; das Formular bleibt dann euer Nachweis. cori speichert jede Antwort mit Datum und wer sie eingetragen hat, auch frühere, und die Liste sehen nur Chorleitung und Admins.

Bei der Anmeldung informieren

Wer Daten erhebt, muss dabei sagen, was damit passiert (Art. 13 DSGVO). Für einen Chor passt das auf eine halbe Seite, auf der Rückseite des Aufnahmeantrags oder als Link im Online-Formular:

• wer verantwortlich ist und wie man euch erreicht
• wofür ihr die Daten nutzt und auf welcher Grundlage
• wer sie bekommt, auch Dienstleister wie eure Chor-App
• wann ihr sie löscht
• dass Mitglieder Auskunft, Berichtigung und Löschung verlangen und sich bei der Aufsichtsbehörde beschweren können

Für die Chor-App reicht ein kurzer Absatz. Diesen könnt ihr übernehmen:

Wer gerade einen Chor gründet, baut das gleich in die Anmeldung ein. Und was ihr nicht erhebt, müsst ihr weder schützen noch löschen.

Das Verzeichnis der Verarbeitungstätigkeiten

Das Wort klingt nach Behörde, gemeint ist eine Tabelle. Art. 30 DSGVO verlangt sie auch von kleinen Vereinen, weil die Mitgliederverwaltung „nicht nur gelegentlich“ läuft (Art. 30 Abs. 5). So sehen es die Aufsichten in Baden-Württemberg (FAQ Vereine), Niedersachsen (Handreichung, S. 33) und Bayern (Flyer „DS-GVO einfach umgesetzt in Vereinen“), und das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) bietet ein Musterverzeichnis für Vereine an.

Pro Zeile haltet ihr fest, wofür ihr welche Daten nutzt, wer sie bekommt und wann ihr sie löscht. Für einen Chor mit Chor-App kann das so aussehen:

Ergänzt ein paar Sätze dazu, wie ihr die Daten schützt, etwa wer die Listen hat und wo sie liegen. Dann seid ihr fertig, bis ein neuer Ablauf dazukommt. Die vollständige Zeile für cori, mit Rechtsgrundlage, Drittländern, Löschfristen und Schutzmaßnahmen, steht zum Kopieren auf der AVV-Seite von cori.

Braucht ihr einen Datenschutzbeauftragten?

In aller Regel nicht. Nach § 38 Abs. 1 BDSG müsst ihr erst einen benennen, wenn „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten“ beschäftigt sind. Gezählt werden nicht die Mitglieder, sondern die Leute, die regelmäßig mit den Daten arbeiten: Vorstand, Kasse, Chorleitung, vielleicht die Stimmführer:innen. Ehrenamtliche zählen mit („Maßgeblich ist die Zahl der Köpfe, nicht die Zahl der Stellen“, schreibt die Aufsicht in Niedersachsen in ihrer Handreichung, S. 40), aber auf 20 kommt kaum ein Chor. Ältere Merkblätter nennen noch 10 Personen; der Gesetzgeber hat die Grenze im November 2019 auf 20 angehoben (2. DSAnpUG-EU, Art. 12).

Benennt trotzdem im Vorstand eine Ansprechperson für Datenschutz, an die sich Mitglieder wenden können. Das rät auch die niedersächsische Handreichung (S. 40).

Mitgliederlisten, Telefonlisten und Rundmails

Die Liste mit allen Namen, Adressen und Handynummern, kopiert und in der Probe verteilt, gibt es in vielen Chören. Hier müssen die meisten Chöre nachbessern. Aus Sicht des Vereins sind die anderen Mitglieder Dritte, schreibt die Aufsicht in Baden-Württemberg in ihrer Orientierungshilfe „Datenschutz im Verein nach der DS-GVO“ (Stand Juni 2020, Nr. 5.1). Solche Listen dürft ihr nur verteilen oder aushängen, wenn alle darauf eingewilligt haben; auch das BayLDA nennt in seinem Flyer für Vereine Kontaktdaten aller Mitglieder für alle als Beispiel, für das es eine Einwilligung braucht. Bei Rundmails gilt dasselbe: Setzt die Adressen ins Feld „Bcc“, damit niemand die Adressen der anderen sieht.

So bleibt es im Chor einfach:

• Kontaktdaten bleiben beim Vorstand. Wer eine Nummer braucht, fragt nach.
• Telefonketten nur mit Zustimmung. Fragt vorher, wer mit welcher Nummer draufstehen möchte.
• Eine Chor-App ohne Kontaktdaten. Mit der Chor-App cori muss niemand eine Liste herumschicken: Neue Mitglieder treten per Einladungslink selbst bei, und die Mitgliederliste zeigt Name, Profilbild, Stimme und Rolle, aber keine Telefonnummern, E-Mail-Adressen oder Anschriften.

Lädt die Chorleitung jemanden per E-Mail ein, sehen diese Adresse nur Chorleitung und Admins, und über den Link in der Mail kann sich die Person abmelden (Mitglieder ohne App eintragen). Tragt also nur Adressen ein, deren Inhaber:innen mit einer Einladung rechnen.

Fotos und Videos vom Konzert

Fotografieren im Konzert ist in der Regel kein Problem. Die Aufsichten in Bayern und Baden-Württemberg sehen Fotos von Vereinsveranstaltungen meist vom berechtigten Interesse des Vereins gedeckt (Art. 6 Abs. 1 lit. f DSGVO), ob vom Chor auf der Bühne oder vom Saal im Überblick. Das BayLDA zählt in seinem Praxisratgeber „Bilder und Verein“ (2019) die „Musikaufführung“ ausdrücklich zu diesen Anlässen. Einzelne Zuschauer:innen lichtet ihr nicht gezielt ab, rät die Aufsicht in Baden-Württemberg in ihren FAQ zu Fotos für Vereine.

Daneben gibt es das Kunsturhebergesetz (KUG): Bildnisse dürfen nach § 22 KUG nur mit Einwilligung verbreitet werden, § 23 Abs. 1 Nr. 3 KUG nimmt aber „Bilder von Versammlungen, Aufzügen und ähnlichen Vorgängen“ aus. Ob das KUG neben der DSGVO noch gilt, ist laut den FAQ der Aufsicht in Baden-Württemberg nicht geklärt; sie zieht § 23 KUG in der Abwägung trotzdem als Maßstab heran.

Beim Veröffentlichen im Internet sind sich die Behörden nicht einig. Das BayLDA hält auch das meist für zulässig, die Aufsicht in Niedersachsen verlangt dafür laut ihrer Handreichung „Datenschutz im Verein“ (Juni 2023, S. 24) in der Regel eine Einwilligung. Mit dieser Faustregel seid ihr überall auf der sicheren Seite:

1. Fotografieren im Konzert: ja. Ein Hinweis im Programmheft, dass der Verein fotografiert und wofür, beugt Überraschungen vor.
2. Website und Social Media: nur mit Einwilligung der Abgebildeten. Dafür ist die Liste aus dem Aufnahmeantrag da.
3. Kinder und Jugendliche: nur mit Einwilligung der Eltern.
4. Videos behandelt ihr wie Fotos.

Vor einem Post wählt ihr in cori unter Fotoerlaubnis den Zweck, etwa Social Media, und seht, wer dort nicht oder nur auf Gruppenfotos zu sehen sein darf. Wer für Website und Programmheft zugestimmt hat, aber nicht für Instagram, steht dann bei „Nicht erlaubt“.

Fotos, die nur eure Mitglieder sehen, sind etwas anderes: Auch Niedersachsen hält für einen geschützten Mitgliederbereich, den Suchmaschinen nicht finden, eine Ausnahme für möglich (Handreichung, S. 24). In cori teilt ihr Konzertfotos in der Ablage oder im Chat, und die sehen nur die Mitglieder eures Chors.

Kinder und Jugendliche im Chor

Bei Kinder- und Jugendchören entscheiden die Eltern mit:

• Den Beitritt müssen die Erziehungsberechtigten erlauben. Das regelt laut der Aufsicht in Niedersachsen (Handreichung, S. 17) das BGB (§ 107 BGB), nicht die DSGVO.
• Einwilligungen, etwa für Fotos, holt ihr nachweisbar von den Sorgeberechtigten ein, bei gemeinsamem Sorgerecht nach der niedersächsischen Handreichung von beiden.
• Bei Online-Diensten muss unter 16 ein Elternteil zustimmen, wenn der Dienst sich auf eine Einwilligung stützt (Art. 8 Abs. 1 DSGVO).

Eine Chor-App muss die Eltern deshalb einbinden. In cori treten Kinder und Jugendliche unter 16 nur Chören bei, die angegeben haben, dass Kinder mitsingen, und erst nachdem ein Elternteil per E-Mail zugestimmt hat (Elternfreigabe). Kinder ohne eigenes Handy melden die Eltern selbst an. Bis 16 gelten feste Schutzregeln, die niemand abschalten kann: Privat schreiben dürfen zuerst nur Chorleitung, Admins und andere unter 16, den Geburtstag sehen nur Chorleitung und Admins, und Eltern sehen Termine und Antworten, aber keine Chats.

Die Fotoerlaubnis tragen Eltern in cori selbst ein, für jedes Kind unter 16 und jeden Chor, nach Zweck getrennt. Mit dem Speichern bestätigen sie, dass der andere Elternteil einverstanden ist oder sie allein entscheiden. Ändern oder widerrufen können sie die Antwort jederzeit am selben Ort, und die Chorleitung sieht, wer sie wann eingetragen hat. Ab 16 tragen Jugendliche sie selbst in ihrem Profil ein. Mehr dazu im Ratgeber Kinderchor-App.

Kirchenchöre: KDG und DSG-EKD

Gehört euer Chor zur Kirchengemeinde, gilt statt der DSGVO in der Regel das kirchliche Datenschutzrecht (Art. 91 DSGVO): das Gesetz über den Kirchlichen Datenschutz (KDG) in der katholischen, das EKD-Datenschutzgesetz (DSG-EKD) in der evangelischen Kirche. Beide sind an die DSGVO angelehnt, was in diesem Ratgeber steht, gilt deshalb sinngemäß auch für euch. Ist euer Chor ein eigener, nicht kirchlicher e.V., der nur im Gemeindehaus probt, gilt die DSGVO. Im Zweifel fragt ihr bei eurer Gemeinde nach.

Zwei Unterschiede gibt es:

• Alter: Bei elektronischen Angeboten können Jugendliche nach KDG ab 16 selbst einwilligen (§ 8 Abs. 6 KDG), nach DSG-EKD schon mit der Religionsmündigkeit (§ 12 DSG-EKD), also ab 14 (§ 5 KErzG).
• AVV: Der Vertrag mit Dienstleistern stützt sich auf § 29 KDG oder § 30 DSG-EKD. Der AVV von cori hat dafür eine eigene Anlage für kirchliche Verantwortliche.

Mehr zu cori für Kirchen- und Gemeindechöre.

Chor-App, Cloud und Messenger

Liegen Mitgliederdaten bei einem Dienstleister, etwa in einer Chor-App, einer Vereinssoftware oder einem Cloud-Speicher, braucht ihr mit ihm einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Viele Anbieter stellen ihn online bereit. Verantwortlich bleibt euer Chor, der Anbieter arbeitet nach euren Weisungen. Wenn ihr eine Software für die Chorverwaltung auswählt, fragt nach AVV, Serverstandort und danach, was Mitglieder voneinander sehen. Die Antworten von cori stehen im Check am Ende.

Einen Chat, den Vorstand oder Chorleitung betreiben, verantwortet der Verein, eine Gruppe, die Mitglieder privat gründen, dagegen nicht. Bei WhatsApp sehen in normalen Gruppen alle Mitglieder die Telefonnummern der anderen, und der Kontaktabgleich lädt Adressbücher hoch; die Aufsicht in Rheinland-Pfalz nennt die Übertragung der Telefonnummern aus dem Adressbuch ihren größten Kritikpunkt. Wie ein Umzug gelingt, steht im Ratgeber Chor ohne WhatsApp.

Wer sieht was in cori

In cori ist fest geregelt, wer was sieht, und zwar so, dass möglichst wenige Kontaktdaten im Chor kursieren:

• Keine Telefonnummern. cori fragt sie gar nicht erst ab.
• Klare Rollen. Termine, Songs, Ablage und Mitglieder verwalten nur Chorleitung und Admins (Rollen und Rechte). Ordner in der Ablage sind für alle oder nur für Admins sichtbar.
• Die Fotoerlaubnis-Liste sieht nur die Leitung. Wer wo auf Fotos darf, steht in einer Liste nur für Chorleitung und Admins. Mitglieder ab 16 sehen nur ihre eigene Antwort.
• Die Stimme bleibt auf dem Gerät. Beim Mitsingen wertet cori die Aufnahme auf dem Gerät aus, hochgeladen wird sie nie (Zu einem Song mitsingen).
• Keine Werbung, und die Server stehen in Frankfurt am Main.

Wenn jemand den Chor verlässt

Mit dem Austritt entfällt der Zweck für die meisten Daten. Macht daraus eine feste Routine:

1. 1
   Aus Listen und Verteilern nehmen

   E-Mail-Verteiler, Telefonliste, Messenger-Gruppen des Vereins und die Chor-App.

2. 2
   Unterlagen durchgehen

   Was ihr noch braucht, etwa Belege für die Kasse, bewahrt ihr getrennt auf. Den Rest löscht oder vernichtet ihr.

3. 3
   Private Geräte nicht vergessen

   Mitgliederlisten liegen oft auf Laptops und Handys im Vorstand. Auch beim Vorstandswechsel gilt: Wer das Amt abgibt, übergibt die Daten und löscht die eigenen Kopien.

In cori nehmen Chorleitung oder Admins die Person mit „Aus Chor entfernen“ aus dem Chor. Sie verliert sofort den Zugriff auf Songs, Noten, Termine und die Ablage und wird aus den Chats entfernt (Ein Mitglied aus dem Chor entfernen). Ihr cori-Konto gehört der Person selbst, sie kann es jederzeit löschen.

Datenschutz-Check für euren Chor

Diese Punkte gehören auf eure Liste:

• Datenschutzhinweise im Aufnahmeantrag
• Ein Verzeichnis mit Löschfristen
• Eine Ansprechperson für Datenschutz im Vorstand
• Einwilligungen für Fotos im Internet, nach Zweck getrennt, bei Minderjährigen von den Sorgeberechtigten, und eine Liste, wer wann wozu zugestimmt hat
• Keine offenen Mitgliederlisten, Rundmails mit Bcc
• Ein AVV mit jedem Dienstleister, beim Kirchenchor geklärt, welches Recht gilt
• Eine Routine für Austritte und Vorstandswechsel

Was eure Chor-Software beantworten sollte

So antwortet cori. cori übernimmt seinen Teil als Auftragsverarbeiter, verantwortlich für die Daten eurer Mitglieder bleibt euer Chor.

1. 1

   Wer ist für die Daten verantwortlich?

   cori: Euer Chor. cori verarbeitet die Mitgliederdaten als Auftragsverarbeiter nach Art. 28 DSGVO nur nach euren Weisungen. Für das Nutzerkonto selbst, etwa Anmeldung und Abrechnung, ist cori eigenständig verantwortlich.

2. 2

   Gibt es einen AVV?

   cori: Ja, online unter cori.music/avv. Er ist Teil des Vertrags, gilt in Textform ohne Unterschrift und deckt auch Kinder, Eltern und Übe-Aufnahmen ab. Eine eigene Anlage ergänzt ihn für kirchliche Verantwortliche nach DSG-EKD und KDG. In den Chor-Einstellungen lädt die Chorleitung ihn als PDF mit dem Namen eures Vereins herunter, für die Unterlagen des Vorstands.

3. 3

   Wo liegen die Daten?

   cori: Server, Datenbank und Dateien liegen bei Amazon Web Services in Frankfurt am Main, und auch die automatische Liedtexterkennung läuft dort. Die Unterauftragsverarbeiter nennt der AVV. Neue kündigt cori mindestens 30 Tage vorher an, und ihr könnt widersprechen.

4. 4

   Was sehen Mitglieder voneinander?

   cori: Name, Profilbild, Stimme und Rolle, auf Wunsch den Geburtstag, bei Mitgliedern unter 16 nur für Chorleitung und Admins. Telefonnummern, E-Mail-Adressen und Anschriften stehen nicht in der Mitgliederliste, und Mitglieder treten per Einladungslink selbst bei.

5. 5

   Wie werden Kinder geschützt?

   cori: Unter 16 tritt nur bei, wessen Eltern per E-Mail zugestimmt haben, und nur in Chören, die angegeben haben, dass Kinder mitsingen. Bis 16 gelten feste Regeln, etwa wer zuerst privat schreiben darf, und Eltern sehen Termine und Antworten, aber keine Chats und keine Übungsdaten.

6. 6

   Wie führt ihr die Einwilligungen für Fotos?

   cori: In den Choreinstellungen unter Fotoerlaubnis: pro Mitglied erlaubt, nur Gruppenfotos oder nicht erlaubt, getrennt nach Programmheft und Aushang, Website und Social Media, mit Datum und wer es eingetragen hat. Mitglieder ab 16 tragen sie selbst in ihrem Profil ein, für Jüngere die Eltern, und Antworten aus einem Formular könnt ihr nachtragen. Die Liste sehen nur Chorleitung und Admins.

7. 7

   Werden die Daten für Werbung genutzt?

   cori: Nein. In der App gibt es keine Werbung, und laut AVV verarbeitet cori die Mitgliederdaten nicht zu eigenen Zwecken wie Profilbildung oder Werbung.

8. 8

   Was passiert mit der Stimme beim Üben?

   cori: Beim Mitsingen läuft die Gesangsanalyse komplett auf dem Gerät, die Aufnahme wird nicht hochgeladen. Auch die Chorleitung kommt an diese Aufnahmen nicht heran. Gehört ein Durchgang zu einem Übeplan, sieht die Chorleitung nur das Ergebnis.

9. 9

   Was passiert bei einer Datenpanne?

   cori: Laut AVV informiert cori euch unverzüglich, spätestens innerhalb von 48 Stunden, und unterstützt euch bei euren Melde- und Benachrichtigungspflichten.

10. 10

    Wie kommt ihr an eure Daten, und wann wird gelöscht?

    cori: Die Chorleitung exportiert den ganzen Chor jederzeit selbst als ZIP: Songs mit allen Stimmen, Noten und Liedtexten, die Ablage, Termine, Setlisten und die Mitgliederliste. Nach Vertragsende löscht cori die Daten innerhalb von 90 Tagen aus den Produktivsystemen, Sicherungskopien werden spätestens nach 12 Monaten überschrieben.

Die Einzelheiten stehen im AVV und in der Datenschutzerklärung von cori. Wie ihr den AVV als PDF herunterladet und die Daten eures Chors exportiert, steht in der Hilfe unter Chor-Einstellungen ändern und Die Daten deines Chors exportieren.

Quellen