Datenschutzerklärung — Entwurf

1. Verantwortlicher

Schwimmverein Bremen von 1910 e.V.
Weg 1
28197 Bremen
Vertreten durch den Vorstand: Tim Muster und Maya Schimpa
E-Mail: mitgliederverwaltung@example.org
Telefon: 0123456789
Vereinsregister: Amtsgericht Bremen, VR 1234 HB

Ein Datenschutzbeauftragter ist [PLATZHALTER: gesetzlich nicht erforderlich / bestellt: Name, Kontakt] — je nach Vereinsgröße und Zahl der mit Datenverarbeitung befassten Personen kann eine Bestellpflicht nach § 38 BDSG bestehen; bitte prüfen.

2. Allgemeines

Wir verarbeiten personenbezogene Daten unserer Mitglieder, deren Erziehungsberechtigten und Trainer:innen ausschließlich zum Zweck der Vereins- und Kursverwaltung sowie zur Erfüllung der sich aus der Mitgliedschaft ergebenden Pflichten. Rechtsgrundlagen sind je nach Verarbeitung Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertragserfüllung bzw. vorvertragliche Maßnahmen im Rahmen der Aufnahme), lit. c (rechtliche Verpflichtung) und lit. f DSGVO (berechtigtes Interesse), sowie für Gesundheitsdaten zusätzlich Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).

3. Bereitstellung der Anwendung (Server-Logs)

Beim Aufruf der Anwendung verarbeitet der Webserver technisch notwendig IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Seite und Browser-Kennung (Server-Logfiles). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit der Anwendung). Diese Logs werden nach [PLATZHALTER: Aufbewahrungsdauer der nginx-Access-Logs — im Auslieferungszustand nicht rotiert/befristet, sollte vor Livegang konfiguriert werden] gelöscht. Keine Cookies/Tracking/Drittanbieter-Einbindung über die technisch notwendige Sitzungs-Anmeldung hinaus (keine Analyse- oder Marketing-Dienste, Schriftarten werden selbst gehostet statt von externen Servern nachgeladen).

4. Aufnahmeantrag (vor Mitgliedschaft)

Beim Ausfüllen des Aufnahmeformulars verarbeiten wir: Vor- und Nachname, Anschrift, Geburtsdatum, Telefonnummer, E-Mail-Adresse, gewünschtes Eintrittsdatum, Abteilung(en), Angaben zur Sportfähigkeit und ggf. gesundheitliche Einschränkungen, bei Minderjährigen den Namen des/der Erziehungsberechtigten, sowie — falls eine SEPA-Lastschrift eingerichtet wird — Bankverbindung (IBAN, Kontoinhaber:in, Kreditinstitut). Der Antrag wird elektronisch unterschrieben (Maus-/Fingerunterschrift); zusätzlich protokollieren wir IP-Adresse und Browser-Kennung des einreichenden Geräts als Nachweis der Einreichung.

Die eingereichte, unterschriebene Antrags-PDF wird dauerhaft archiviert (aktuell ohne befristete Löschung technisch möglich, siehe Abschnitt 13 — die konkrete Frist ist mit dem Vorstand noch nicht abschließend geklärt).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme zur Begründung der Mitgliedschaft); für Gesundheitsangaben zusätzlich Art. 9 Abs. 2 lit. a DSGVO (die Einwilligung wird durch das Absenden des Formulars mit den entsprechenden Angaben erteilt — [PLATZHALTER: bitte rechtlich prüfen, ob eine gesonderte, ausdrücklichere Einwilligung für diesen Teil des Formulars ergänzt werden sollte]).

5. Mitgliederverwaltung

Für die Dauer der Mitgliedschaft verarbeiten wir Stammdaten (s. o.), Mitgliedsnummer, Mitgliedschaftstyp/Tarif, Beitritts- und ggf. Austrittsdatum, Zahlungsstatus, sowie — bei Kindern — zusätzlich einen strukturierten Notfallkontakt (Name, Handynummer) und optional ein Profilbild. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Adresse und Geburtsdatum sind in unserer Datenbank zusätzlich feldverschlüsselt abgelegt.

6. Zahlungsabwicklung (SEPA-Lastschrift)

Bankverbindungsdaten (IBAN, Kontoinhaber:in, Kreditinstitut) werden verschlüsselt gespeichert und ausschließlich zur Erstellung des SEPA-Lastschriftmandats sowie zur Beitragsabbuchung verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Empfänger: die kontoführende Bank des Vereins ([PLATZHALTER: Bankname]) im Rahmen des Lastschriftverfahrens.

7. Gesundheitsdaten (besondere Kategorie personenbezogener Daten)

Zur Beurteilung der Schwimmfähigkeit/Sportfähigkeit und aus Sicherheitsgründen im Trainingsbetrieb verarbeiten wir Angaben zu gesundheitlichen Einschränkungen sowie ggf. hochgeladene Gesundheitsnachweise (Freigabe durch die dafür zuständige Rolle). Diese Daten unterliegen als Gesundheitsdaten der besonderen Kategorie nach Art. 9 DSGVO. Rechtsgrundlage: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, jederzeit widerruflich). Zugriff auf diese Daten ist auf die dafür vorgesehene Rolle sowie die Trainer:innen des jeweiligen Kindes beschränkt und verschlüsselt auf unseren Servern abgelegt.

8. Fotos (Wettkämpfe, Training, Veranstaltungen)

Wir veröffentlichen gelegentlich Fotos von Wettkämpfen, Training und Vereinsveranstaltungen. Rechtsgrundlage: deine Einwilligung (§§ 22, 23 Kunsturhebergesetz und Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit formlos und ohne Angabe von Gründen widerrufen kannst — ein Widerruf führt zur Entfernung bereits veröffentlichter Fotos, soweit technisch möglich. Bei Minderjährigen holen wir die Einwilligung der Sorgeberechtigten ein, ab etwa 14 Jahren zusätzlich die des Kindes selbst. [PLATZHALTER: Verweis auf die konkrete Stelle/den Prozess im Verein, über den eine Einwilligung erteilt oder widerrufen werden kann, falls dies nicht ausschließlich digital über die Vereinsverwaltung läuft]

9. Digitaler Mitgliedsausweis

Der digitale Mitgliedsausweis enthält Name, Mitgliedsnummer und einen QR-Code mit einem zufälligen, nicht aus anderen Daten ableitbaren Token. Beim Scannen des QR-Codes durch berechtigte Personen wird lediglich der Mitgliedschaftsstatus angezeigt, keine weiteren personenbezogenen Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Kursverwaltung, Anwesenheit, Abzeichenprüfungen

Im Rahmen der Kursorganisation verarbeiten wir Kursanmeldungen, Anwesenheitslisten sowie Ergebnisse von Abzeichenprüfungen (DLRG-Kriterien) einschließlich der prüfenden Trainer:in. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. [PLATZHALTER: falls Kursgebühren online bezahlt werden können — Angaben zum Zahlungsdienstleister und dessen Auftragsverarbeitungsvertrag ergänzen]

11. Kommunikation (E-Mail, SMS)

Wir versenden vereinsbezogene Informationen (z. B. zu Kursausfällen, Terminen, Login-Links) per E-Mail und optional per SMS an die von Mitgliedern/Eltern hinterlegte Telefonnummer. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. E-Mail-Versand erfolgt über [PLATZHALTER: eingesetzten SMTP-Anbieter benennen]. SMS-Versand erfolgt über ein lokal betriebenes Gammu-SMSD-Gateway ohne Einbindung eines externen SMS-Dienstleisters. Versandprotokolle werden nach spätestens 90 Tagen automatisch gelöscht.

12. Eigener Zugang für Kinder ab 14 Jahren

Kinder ab 14 Jahren können auf Wunsch der Erziehungsberechtigten einen eigenen Zugang mit eigener E-Mail-Adresse erhalten, über den sie einen Teil ihrer Daten selbst einsehen können. Der Notfallkontakt bleibt weiterhin ausschließlich durch die Erziehungsberechtigten einsehbar/änderbar.

13. Login-Sicherheit und Protokollierung

Zur Absicherung des Zugangs (Magic-Link-Anmeldung) protokollieren wir Anmeldeversuche inkl. IP-Adresse und Browser-Kennung sowie Erfolg/Misserfolg für einen begrenzten Zeitraum, um Missbrauch zu erkennen und zu verhindern. Diese Protokolle werden nach 180 Tagen automatisch gelöscht [PLATZHALTER: Frist durch DSB prüfen]. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

14. Speicherdauer und Löschung

• Unfertige, nie eingereichte Aufnahmeanträge werden automatisch nach 30 Tagen Inaktivität gelöscht.
• Eingereichte Aufnahmeanträge können nach Ablauf einer vorläufigen Frist von aktuell 3 Jahren seit Einreichung durch die Mitgliederverwaltung manuell gelöscht werden — die endgültige Frist ist mit dem Vorstand noch abzustimmen [PLATZHALTER].
• Mitgliederdaten werden nach Vereinsaustritt für eine vorläufige Frist von aktuell 3 Jahren aufbewahrt und können danach durch die Mitgliederverwaltung manuell gelöscht bzw. — bei ausdrücklicher Einwilligung der Erziehungsberechtigten — auf Vor-/Nachname, Geburtsdatum und die Abzeichenhistorie reduziert (anonymisiert) werden, ausschließlich zum Zweck der späteren Ausstellung von Ersatz-Schwimmausweisen. Diese Einwilligung kann jederzeit im Elternbereich widerrufen werden. Rechtsgrundlage für die Weiterspeicherung: Art. 6 Abs. 1 lit. a DSGVO.
• Sie können die Löschung Ihres Benutzerkontos jederzeit selbst beantragen (Profil → „Konto löschen“). Das setzt voraus, dass keine Mitgliedschaft mehr besteht; eine bestehende Mitgliedschaft ist zuvor zu kündigen. Der Antrag wird per E-Mail-Link bestätigt, das Konto danach gesperrt. Nach einer Bedenkzeit von 28 Tagen (oder früher, wenn Sie zustimmen) führt die Mitgliederverwaltung die Löschung durch. Dabei werden Ihre Kontaktdaten, Gesundheits- und Nachweisangaben, Zuordnungen und Einstellungen gelöscht. Was wir aus gesetzlichen Gründen aufbewahren müssen, bleibt gesperrt und ausschließlich für diesen Zweck gespeichert und wird nach Ablauf der Frist gelöscht (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO) [PLATZHALTER: Fristen durch DSB prüfen]:
  • Rechnungen, Beitragsforderungen, Zahlungen und Lastschriften: 8 Jahre, gerechnet ab Ende des Kalenderjahres (Steuerrecht (§ 147 AO))
  • Auslagen-Erstattungen mit Belegen und Konto für die Erstattung: 8 Jahre, gerechnet ab Ende des Kalenderjahres (Steuerrecht (§ 147 AO))
  • Abgeschlossene Ausleihen von Vereinseigentum (Person, Zeitraum, Zustand bei Rückgabe): 3 Jahre, gerechnet ab Ende des Kalenderjahres der Rückgabe bzw. Entscheidung (Verjährung von Schadensersatzansprüchen (§ 195 BGB), Annahme des Vereins)
  • Abgeschlossene Buchungen von Vereinsheim, Sauna u. a. (Person, Zeitraum, Zweck, bei Externen Kontaktdaten): 3 Jahre, gerechnet ab Ende des Kalenderjahres der Nutzung bzw. Entscheidung (Verjährung möglicher Ansprüche (§ 195 BGB), Annahme des Vereins)
  • Anzeigen im Schwarzen Brett und entschiedene Meldungen dazu (Anzeigentext, Meldegrund, Entscheidung): Anzeigen 30 Tage nach Ablauf bzw. Erledigung, entschiedene Meldungen 6 Monate nach Eingang (Datensparsamkeit (Art. 5 Abs. 1 lit. c, e DSGVO), Annahme des Vereins; Regelzustimmung und Sperre bis zur Kontolöschung)
  • Aufgaben im Engagements-Portal und wer sie übernommen hat (Person, Notiz, Dauer, Erledigung): 12 Monate nach dem Termin bzw. der Frist, danach nur noch anonym (Datum, Dauer, Zahl) (Datensparsamkeit (Art. 5 Abs. 1 lit. c, e DSGVO), Annahme des Vereins)
  • Wettkampf-Meldungen und deine Zusage dazu (Name, Jahrgang, Geschlecht, DSV-ID, gewählte Strecken, Meldezeiten): 12 Monate nach dem Ende des Wettkampfs; das Meldegeld als Forderung folgt den Buchhaltungsfristen (Datensparsamkeit (Art. 5 Abs. 1 lit. c, e DSGVO), Annahme des Vereins)
  • Wettkampf-Ergebnisse aus Ergebnislisten der Veranstalter (Strecke, Zeit, Platz, Name, Jahrgang): Zugeordnete Ergebnisse bis zum Ende deiner Mitgliedschaft, nicht zugeordnete 12 Monate nach dem Wettkampftag (Berechtigtes Interesse an der sportlichen Auswertung (Art. 6 Abs. 1 lit. f DSGVO), danach Datensparsamkeit)
  • Startrecht (DSV-Registrierung: Gültigkeit, Nummer, Notiz), Kader-Zugehörigkeiten mit Zeiträumen und Lizenzen wie Kampfrichter (Art, Nummer, Gültigkeit): Startrecht und Kader bis zum Ende deiner Mitgliedschaft bzw. zur Löschung deines Kontos; Lizenzen bis zur Löschung deines Kontos (Durchführung der Mitgliedschaft und des Wettkampfbetriebs (Art. 6 Abs. 1 lit. b, f DSGVO), danach Datensparsamkeit)
  • Kampfrichter-Einsätze bei Wettkämpfen (Anfrage, Zusage oder Absage, Einsatzplan, Zeitpunkt der Antwort): 24 Monate nach dem letzten Wettkampftag (Vereinsorganisation und Nachweis des ehrenamtlichen Einsatzes (Art. 6 Abs. 1 lit. f DSGVO), Annahme des Vereins)
  • Spenden und Zuwendungsbestätigungen (Name, Anschrift, Betrag, Datum): 10 Jahre, gerechnet ab Ende des Kalenderjahres (Steuerrecht (§ 50 Abs. 7 EStDV, § 147 AO))
  • SEPA-Lastschriftmandat (Kontoinhaber und IBAN): 36 Monate nach der letzten Lastschrift (Nachweis- und Rückbuchungsfristen im Lastschriftverfahren)
  • Briefe, die der Verein an dich geschickt hat: 6 Jahre, gerechnet ab Ende des Kalenderjahres (Steuerrecht (§ 147 AO))
  • Mitgliedsnummer, Ein- und Austrittsdatum, Aufnahmeantrag: mindestens 3 Jahre, bei offenen Belegen so lange wie diese (Nachweis der Mitgliedschaft, Verjährungsfrist (§ 195 BGB))
  • Honorar- und Stundenabrechnungen (nur bei Trainer:innen): 8 Jahre, gerechnet ab Ende des Kalenderjahres (Steuerrecht (§ 147 AO))
  • Anmelde-Protokoll (E-Mail-Adresse, IP-Adresse, Zeitpunkt): 180 Tage, danach wird es automatisch gelöscht (Sicherheit des Systems (berechtigtes Interesse))
• Löschungen erfolgen nicht automatisiert, sondern nach manueller Prüfung und Bestätigung durch die Mitgliederverwaltung. Ausnahme: Das Anmelde-Protokoll (Abschnitt 13) wird automatisch bereinigt.

15. Empfänger und Auftragsverarbeiter

[PLATZHALTER: Hosting-Anbieter, sofern nicht selbst betrieben], [PLATZHALTER: SMTP-/E-Mail- Versanddienstleister], [PLATZHALTER: Ziel des externen, automatisierten Datenbank-Backups, falls konfiguriert], kontoführende Bank (Abschnitt 6). Mit allen Auftragsverarbeitern im Sinne von Art. 28 DSGVO ist ein entsprechender Vertrag abzuschließen, sofern nicht bereits vorhanden. Externe Backups werden ausschließlich verschlüsselt übertragen und abgelegt.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zudem können Sie sich mit einer Beschwerde an die zuständige Aufsichtsbehörde wenden: Die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen — [PLATZHALTER: aktuelle Postanschrift vor Veröffentlichung prüfen, die Behörde ist Ende 2025 umgezogen], E-Mail: office@datenschutz.bremen.de, Telefon: +49 421 3612010.

Für eigene, in der Anwendung gespeicherte Daten steht Mitgliedern zusätzlich ein Selbstbedienungs-Export im eigenen Profilbereich zur Verfügung.

17. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS). Besonders sensible Felder (u. a. IBAN, Adresse, Geburtsdatum) sowie hochgeladene Dokumente und Datenbank-Backups werden zusätzlich verschlüsselt gespeichert, mit getrennten Schlüsseln für Datenbankfelder und Dateien. Zugriff auf besonders sensible Datenbereiche ist innerhalb der Anwendung auf die jeweils zuständigen Rollen beschränkt und setzt zusätzlich die Abgabe einer Verschwiegenheitserklärung durch die zugreifende Person voraus.

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung in der Anwendung ändert. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle Fassung.