Mitgliederverwaltung Mitgliederverwaltung – Dokumentation

Datenschutz

Aufbewahrungsfristen & Anonymisierungs-Automatik

Aus Art. 5 Abs. 1 lit. e DSGVO folgt der Grundsatz „Speicherbegrenzung": Daten dürfen nur so lange identifizierend gespeichert werden, wie sie tatsächlich benötigt werden. Gleichzeitig schreiben HGB und AO bestimmte Mindestaufbewahrungsfristen vor. Die Mitgliederverwaltung löst diesen Konflikt mit einer nächtlichen Anonymisierungs-Automatik: nach Ablauf der Frist werden identifizierende Felder gelöscht, der Datensatz selbst bleibt für die noch laufende Aufbewahrung erhalten.

#Standardwerte

Diese Werte sind die voreingestellten Defaults. Vor produktivem Einsatz mit dem/der DSB oder einer Fachanwältin/einem Fachanwalt prüfen lassen.

Datentyp Standard Rechtsgrundlage
Mitgliedsstammdaten (allgemein) 3 Jahre nach no_member_since DSGVO – berechtigtes Interesse, Verjährung
Rechnungsbezogene Daten 10 Jahre nach Erstellung § 147 AO, § 257 HGB
Korrespondenz / E-Mail-Protokoll 24 Monate Berechtigtes Interesse + Datensparsamkeit
Geprüfte Begehungs-PDFs / Mahnungen 6 Jahre Vertragsdurchsetzung
Zugriffs- / Audit-Protokoll 6 Jahre Art. 5 Abs. 1 lit. e DSGVO – Speicherbegrenzung

#Wann sollte ich die Defaults ändern?

Die Standardwerte passen für die meisten Vereine. Es gibt aber zwei häufige Konstellationen, in denen sie justiert werden sollten:

  • Verein hat noch Papierakten — wenn parallel zur App eine Papierablage geführt wird, die nicht in dieser App liegt, kann eine kürzere digitale Frist sinnvoll sein: das Papier bleibt das führende Original, die App-Daten werden früher anonymisiert. Mit dem/der DSB abstimmen.
  • Zusätzliche Versicherungs- oder Pacht­vertrags-Pflichten — manche Pachtverträge oder Vereinshaftpflicht-Policen verlangen eine Aufbewahrung bestimmter Daten über 10 Jahre hinaus. In diesem Fall die rechnungsbezogene Frist erhöhen, nicht die allgemeine Mitglieds-Frist.

In beiden Fällen: erst Trockenlauf, dann die Änderung in der nächsten Vorstandssitzung kurz protokollieren.

#Wo einstellen?

In den Vereinseinstellungen unter Datenschutz → Aufbewahrung:

  • Schalter „Automatik aktiviert" (Standard: ein)
  • Pro Datentyp ein Eingabefeld in Monaten / Jahren
  • Trockenlauf-Knopf: zeigt, was der nächste reale Lauf machen würde, ohne Daten zu verändern
  • Tabelle der letzten 10 tatsächlichen Läufe mit Anzahl der angefassten Datensätze

#Was passiert nachts?

Der Cron-Job dsgvo:enforce-retention läuft jede Nacht um 03:17 Uhr.

  1. Pro Verein wird geprüft, welche Datensätze die jeweilige Frist überschritten haben.
  2. Pro Verein und Lauf werden maximal 50 Mitglieder anonymisiert (Schutz vor Massenanonymisierung bei einem Bug).
  3. Zusätzlich werden vorbereitende Aufräumarbeiten erledigt (alte E-Mail-Logs, abgelaufene Datenkopie-Links, alte Datenschutzerklärung-Entwürfe).
  4. Das Ergebnis landet als Benachrichtigung im Bell-Widget des Vorstands.

Bei Fehlern (z. B. ein Datensatz lässt sich aus technischem Grund nicht anonymisieren) wird der gesamte Lauf für diesen Verein abgebrochen und der Anbieter automatisch informiert.

#Zugriffsprotokoll: universelle nächtliche Bereinigung

Das Zugriffsprotokoll hält fest, wer wann welche Mitgliederdaten eingesehen hat (Detailansicht, Listen-Export, Datenkopie-Download). Da bereits das Ansehen von Daten protokolliert wird, wächst dieses Protokoll bei jedem Verein stetig – unabhängig davon, ob der Verein das Datenschutz-Paket gebucht hat.

Damit die Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) für jeden Verein gilt, läuft dafür ein eigener Cron-Job dsgvo:prune-audit-logs jede Nacht um 03:47 Uhr – direkt im Anschluss an die Anonymisierungs-Automatik:

  1. Für jeden (nicht gekündigten) Verein werden Protokoll-Einträge gelöscht, die älter als das eingestellte Aufbewahrungsfenster sind (Standard 6 Jahre, einstellbar unter Datenschutz → Aufbewahrung → „Audit-Protokoll (Jahre)").
  2. Die Löschung erfolgt schonend in Blöcken, ohne die Datenbank zu belasten.
  3. Jeder Verein wird ausschließlich für seine eigenen Daten bereinigt.

Zwei Punkte sind bewusst so gewählt:

  • Diese Bereinigung ist eine gesetzliche Untergrenze und lässt sich nicht abschalten. Der Schalter „Automatik aktiviert" steuert die Mitglieder-Anonymisierung; das Kürzen des Zugriffsprotokolls läuft auch dann, wenn die Automatik aus ist. Über das Feld „Audit-Protokoll (Jahre)" kann das Fenster jedoch verlängert werden.
  • Protokoll-Einträge zu bereits anonymisierten Mitgliedern werden nie gelöscht – sie bleiben als Nachweis der Anonymisierung erhalten.

#Manuelle Aktionen

  • Trockenlauf jetzt – zeigt den geplanten Eingriff sofort.
  • Lauf jetzt erzwingen – Anbieter-Funktion auf der Super-Admin-Seite.
  • Automatik abschalten – verhindert das nächtliche Eingreifen, ohne die Konfiguration zu verlieren.

#Was wird nicht angefasst?

  • Audit-Log-Einträge zu bereits anonymisierten Mitgliedern bleiben als Beweismittel erhalten.
  • Inspektionsfotos und Sprechstunden-Protokolle werden nicht automatisch anonymisiert (siehe Löschung).