DSGVO bei Buchungsdaten: Was Vereine, Feuerwehren und Firmen beachten müssen

Es gibt in jeder Vorstandssitzung diesen einen Moment. Jemand schlägt vor, die Belegung endlich digital zu organisieren, und dann sagt jemand anderes das Wort: „Datenschutz.“ Kurze Stille. Alle nicken ernst. Und das Thema wird vertagt.

In Unternehmen klingt derselbe Satz nur anders. Dort geht es nicht um den Schulungsraum, sondern um die Poolfahrzeuge, und die Frage lautet: „Dürfen wir überhaupt festhalten, welcher Mitarbeiter wann welchen Wagen hatte?“ Auch hier folgt meist betretenes Schweigen, und weiter geht es mit dem Schlüsselbrett.

Das ist verständlich, aber schade. Denn erstens ist die Rechtslage bei Buchungsdaten deutlich unaufgeregter, als die meisten befürchten. Und zweitens (das ist die eigentliche Pointe) ist die Lösung, bei der ihr aus Vorsicht bleibt, in aller Regel die datenschutzrechtlich problematischere.

Dieser Beitrag gibt euch eine praktische Orientierung: Was ihr dürft, was ihr lassen solltet, welche fünf Fragen ihr jedem Anbieter stellen solltet, und was bei Firmenfahrzeugen zusätzlich gilt.

Hinweis: Das hier ist eine Orientierung aus der Praxis, keine Rechtsberatung. Bei konkreten Zweifeln, besonders wenn eure Feuerwehr Teil der Gemeinde ist oder bei euch ein Betriebsrat mitzureden hat, fragt eure Datenschutzaufsicht, den betrieblichen Datenschutzbeauftragten oder einen Fachanwalt.

Die gute Nachricht: Ihr dürft

Sobald jemand bei euch den Schulungsraum reserviert, verarbeitet ihr personenbezogene Daten. Das ist kein Sonderfall und kein Problem. Es braucht nur eine Rechtsgrundlage, und die habt ihr.

Wer eine Buchung vornimmt, will einen Vorgang abwickeln: Er reserviert etwas, ihr bestätigt es. Dafür seinen Namen und eine Kontaktmöglichkeit zu erfassen, ist keine neugierige Datensammelei, sondern die Erfüllung genau dieses Vorgangs. Für die interne Organisation eurer Ressourcen kommt hinzu, dass ihr ein nachvollziehbares eigenes Interesse daran habt, zu wissen, wer wann welches Fahrzeug hatte.

Was ihr nicht dürft: dieselben Daten anschließend für etwas anderes nutzen. Dazu gleich mehr; es ist der häufigste Fehler überhaupt.

Grundsatz 1: Fragt nur, was ihr wirklich braucht

Für eine Raumbuchung braucht ihr in den allermeisten Fällen genau zwei Dinge: einen Namen und eine E-Mail-Adresse. Dazu den Zeitraum und vielleicht einen Zweck („Sommerfest Fußballabteilung“).

Was ihr fast nie braucht: Geburtsdatum, vollständige Anschrift, Telefonnummer, Mitgliedsnummer. Die Versuchung ist groß, ein Formular „einmal richtig“ zu bauen und alle Felder mitzunehmen, die später vielleicht nützlich sein könnten. Genau das ist der Punkt, an dem aus einer harmlosen Buchungsliste eine Datensammlung wird, für die ihr euch rechtfertigen müsst.

Faustregel: Für jedes Feld solltet ihr in einem Satz sagen können, wofür ihr die Angabe bei dieser Buchung braucht. Geht das nicht, streicht das Feld.

Grundsatz 2: Buchungsdaten sind keine Verteilerliste

Hier passiert der Klassiker. Über zwei Jahre sammeln sich 300 E-Mail-Adressen von Leuten, die mal das Vereinsheim gebucht haben. Und dann steht das Sommerfest an, und jemand hat die naheliegende Idee: „Wir haben doch die ganzen Adressen …“

Nein. Daten, die für die Abwicklung einer Buchung erhoben wurden, dürft ihr nicht ohne Weiteres für Werbung oder Newsletter verwenden. Wer den Grill reserviert hat, hat damit nicht in Vereinspost eingewilligt.

Wenn ihr eine Verteilerliste wollt, holt euch dafür eine eigene, aktive Einwilligung, etwa über ein separates, nicht vorangekreuztes Häkchen mit klarem Text. Das ist kein bürokratischer Selbstzweck: Ein Verteiler aus Leuten, die zugestimmt haben, wird auch tatsächlich gelesen.

Grundsatz 3: Alte Buchungen müssen weg

Personenbezogene Daten dürfen nicht ewig gespeichert werden. Eine Buchung aus dem Frühjahr 2023 erfüllt heute keinen Zweck mehr, es sei denn, es hängt etwas dran, das ihr aufbewahren müsst (etwa eine Rechnung, wenn ihr den Raum vermietet habt).

Legt dafür eine schlichte Regel fest und schreibt sie auf: „Buchungen ohne Abrechnungsbezug löschen wir nach 12 Monaten.“ Genau eine solche Regel unterscheidet eine gepflegte Belegungsverwaltung von einer Excel-Datei, die seit 2019 mitwächst und die niemand mehr anfasst.

Grundsatz 4: Nicht jeder muss alles sehen

Wer kann eigentlich auf eure Belegungsliste zugreifen? Bei der geteilten Tabelle im Cloud-Ordner lautet die ehrliche Antwort oft: jeder, der irgendwann mal den Link bekommen hat, inklusive der drei Leute, die seit 2022 nicht mehr im Verein sind.

Zwei Dinge helfen sofort:

• Persönliche Zugänge statt geteilter Passwörter. Ein gemeinsames Vorstands-Login lässt sich nicht entziehen, wenn jemand geht.
• Rollen statt Vollzugriff. Der Platzwart muss den Belegungsplan sehen; er muss nicht die Kontaktdaten aller Gäste des letzten Jahres exportieren können.

Grundsatz 5: Sagt den Leuten, was passiert

Wer bei euch bucht, hat Anspruch darauf zu erfahren, wer die Daten erhält, wozu, wie lange sie gespeichert werden und an wen man sich wenden kann. In der Praxis heißt das: ein kurzer, verlinkter Datenschutzhinweis direkt auf der Buchungsseite. Nicht versteckt im Impressum, sondern dort, wo das Formular steht.

Dazu gehört auch, dass ihr auf Anfragen reagieren könnt: Was habt ihr über mich gespeichert? Bitte löschen. Wer das mit einer Handvoll Klicks beantworten kann, hat das Thema im Griff. Wer dafür drei Excel-Dateien und zwei WhatsApp-Verläufe durchsuchen muss, hat es nicht.

Der Punkt, den fast alle übersehen: Auftragsverarbeitung

Sobald ihr ein Werkzeug nutzt, bei dem eure Daten auf fremden Servern liegen (also praktisch jede Cloud-Lösung), verarbeitet dieser Anbieter Daten in eurem Auftrag. Dafür braucht ihr einen Vertrag zur Auftragsverarbeitung (AVV). Der Anbieter muss ihn euch anbieten; ihr müsst ihn nicht selbst aufsetzen.

Die fünf Fragen, die ihr jedem Anbieter stellen solltet:

1. Bekommen wir einen Auftragsverarbeitungsvertrag, und wo finden wir ihn?
2. Wo stehen die Server, und wer sind die Unterauftragnehmer?
3. Wie kommen wir jederzeit an unsere Daten heran (Export)?
4. Was passiert mit den Daten, wenn wir kündigen?
5. Wie unterstützt uns das System bei Auskunft und Löschung einzelner Personen?

Wenn ein Anbieter bei diesen Fragen ins Schwimmen gerät, ist das die Antwort.

Zwei Randnotizen, die im Verein oft aufkommen: Ein eigener Datenschutzbeauftragter ist erst nötig, wenn bei euch in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung zu tun haben, was auf die wenigsten Vereine zutrifft. Ein Verzeichnis der Verarbeitungstätigkeiten dagegen braucht ihr in der Praxis fast immer, weil die Ausnahme für kleine Organisationen nur bei gelegentlicher Verarbeitung greift und Mitglieder- oder Buchungsdaten nicht „gelegentlich“ sind. Und wenn eure Feuerwehr organisatorisch zur Gemeinde gehört, gelten zusätzlich die Landesdatenschutzregeln. Sprecht in dem Fall einmal kurz mit dem Datenschutzbeauftragten der Kommune, bevor ihr etwas einführt.

Sonderfall Firmenfahrzeuge: Wenn aus Buchungsdaten Beschäftigtendaten werden

Bei Poolfahrzeugen, Transportern und Vorführwagen kommt eine Ebene dazu, die es im Verein so nicht gibt: Die Personen in eurer Buchungsliste sind eure Beschäftigten. Und Daten über Beschäftigte werden strenger betrachtet als Daten über Gäste, schlicht deshalb, weil im Arbeitsverhältnis ein Machtgefälle besteht.

Trotzdem gilt auch hier zuerst die Entwarnung: Ihr dürft festhalten, wer wann welches Fahrzeug hatte. Ihr müsst es sogar können. Als Halter braucht ihr die Zuordnung, wenn ein Bußgeldbescheid ins Haus flattert, wenn ein Schaden am Fahrzeug auftaucht oder wenn geklärt werden muss, wer zum Unfallzeitpunkt gefahren ist. Eine nachvollziehbare Fahrzeugbuchung ist kein Überwachungsinstrument, sondern die Grundlage dafür, dass ihr euren Pflichten als Halter überhaupt nachkommen könnt. Wer das über ein Schlüsselbrett mit Magnetschildern organisiert, hat diese Nachvollziehbarkeit schlicht nicht und steht drei Wochen später vor der Frage, wer am 14. eigentlich mit dem Kombi unterwegs war.

Entscheidend ist die Grenze zwischen Organisation und Verhaltenskontrolle. Diese vier Punkte machen den Unterschied:

1. Zweckbindung, hier besonders wichtig. Buchungsdaten dürfen der Fahrzeugdisposition dienen, nicht der Leistungsbewertung. Aus „wer hatte wann welchen Wagen“ darf keine Auswertung werden, wer wie viele Termine hatte, wer am längsten unterwegs war oder wer die Fahrzeuge angeblich am häufigsten blockiert. Sobald aus Buchungsdaten Kennzahlen über Personen werden, verlasst ihr den Zweck, für den ihr sie erhoben habt.

2. Der Betriebsrat redet mit. Das wird regelmäßig übersehen: Technische Einrichtungen, die geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, unterliegen der Mitbestimmung, und zwar unabhängig davon, ob ihr sie dafür einsetzen wollt. Ein Buchungssystem, das pro Person protokolliert, kann darunterfallen. Holt den Betriebsrat deshalb früh dazu, nicht erst nach dem Rollout. In der Praxis ist das kein Hindernis, sondern eine Abkürzung: Eine kurze Betriebsvereinbarung, die Zweck, Zugriffsrechte und Löschfristen festhält, beendet die Diskussion dauerhaft, statt sie bei jeder Nachfrage neu zu führen.

3. Buchung ist nicht Ortung. Ein Belegungsplan sagt, wer ein Fahrzeug reserviert hat. Ein Telematik- oder GPS-System sagt, wo dieses Fahrzeug gerade steht und wie es bewegt wird. Das sind zwei völlig verschiedene Eingriffstiefen mit völlig verschiedenen Anforderungen. Vermischt die beiden nicht aus Bequemlichkeit. Und wenn ihr ohnehin Telematik im Einsatz habt, behandelt sie als eigenes Thema mit eigener Rechtsgrundlage.

4. Nicht jeder muss jeden Namen sehen. Für die Kollegin, die kurzfristig einen Wagen braucht, ist nur eine Information relevant: belegt oder frei. Wer genau gebucht hat, muss der Fuhrparkverantwortliche wissen, nicht die gesamte Belegschaft. Ein System, das allen den vollständigen Namensverlauf zeigt, sammelt keine zusätzlichen Daten, macht sie aber unnötig breit sichtbar. Das ist der Punkt, an dem sich harmlose Disposition und unangenehmes Betriebsklima trennen.

Bei den Löschfristen liegt der Fall anders als im Verein: Ihr solltet Fahrzeugbuchungen so lange vorhalten, wie Bußgeld-, Schadens- oder Haftungsfragen realistisch noch auflaufen können, und danach löschen. Das ist typischerweise länger als bei einer Raumbuchung, aber eben auch nicht unbegrenzt. Legt die Frist einmal fest, schreibt sie auf, und lasst sie automatisch laufen.

Und noch ein Hinweis für den häufigen Fall, dass Poolfahrzeuge auch privat genutzt werden dürfen: Private Fahrten gehen euch inhaltlich nichts an. Die Buchung selbst, Zeitraum und Fahrzeug, braucht ihr für die Disposition, Details zum Zweck der Fahrt nicht.

Wie sich Poolfahrzeuge organisatorisch sauber aufsetzen lassen, haben wir übrigens ausführlicher aufgeschrieben: Poolfahrzeuge verwalten: Schluss mit Schlüsselbrett und Excel-Liste. Und wie ein Dienstwagen-Pool im Alltag aussieht, zeigt unsere Seite für Dienstwagen & Firmenwagen.

Die unbequeme Wahrheit über WhatsApp-Gruppe und Schlüsselbrett

Und jetzt zu dem Punkt, der die meisten überrascht.

Viele Organisationen bleiben aus Datenschutzsorge bei der bewährten Lösung: Buchungen laufen über die WhatsApp-Gruppe, die Übersicht liegt in einer Excel-Datei, die per Mail herumgeht, und im Betrieb hängt zusätzlich das Schlüsselbrett an der Wand. Das fühlt sich sicherer an, weil es vertraut ist.

Nur ist genau das die Konstellation mit den größten Problemen:

• In der Gruppe stehen Namen, Telefonnummern und Termine, verarbeitet über einen Dienst, für den ihr weder einen AVV habt noch die Datenflüsse kontrolliert. Wer die Gruppe verlässt, ist trotzdem noch im Verlauf.
• Im Betrieb kommt hinzu, dass die dienstliche Fahrzeugabstimmung dann über private Handynummern läuft. Beschäftigte müssen ihre Privatnummer nicht für dienstliche Zwecke hergeben, und eine Gruppe, in der alle die Nummern aller sehen, ist genau das.
• Die Excel-Datei existiert in fünf Versionen auf fünf Rechnern. Löschfristen? Zugriffskontrolle? Nicht vorhanden.
• Eine Auskunfts- oder Löschanfrage könnt ihr praktisch nicht vollständig beantworten, weil niemand weiß, wo überall Kopien liegen.
• Und das Schlüsselbrett dokumentiert gar nichts: Wenn der Bußgeldbescheid kommt, steht ihr ohne jede belastbare Zuordnung da.

Ein sauber eingerichtetes Buchungssystem ist datenschutzrechtlich nicht der riskante Schritt. Es ist der Schritt, mit dem ihr aus einem unkontrollierten Zustand einen kontrollierten macht, mit klaren Feldern, klaren Fristen und einer Stelle, an der alles liegt.

Die Kurz-Checkliste

• Nur Name, E-Mail, Zeitraum und Zweck abfragen, jedes weitere Feld begründen
• Buchungsdaten nicht für Newsletter nutzen (dafür eigene Einwilligung)
• Löschregel festlegen und aufschreiben
• Persönliche Zugänge statt geteiltem Passwort, Rollen statt Vollzugriff
• Datenschutzhinweis direkt an der Buchungsseite verlinken
• AVV vom Anbieter einholen und ablegen
• Verzeichnis der Verarbeitungstätigkeiten anlegen (einmalig, überschaubar)

Zusätzlich bei Firmenfahrzeugen:

• Betriebsrat früh einbinden, Zweck und Fristen in einer Betriebsvereinbarung festhalten
• Keine Auswertungen über Personen aus Buchungsdaten: Disposition ist der Zweck, nicht Leistungskontrolle
• Namen nur für den Fuhrparkverantwortlichen, für alle anderen reicht „belegt / frei“
• Buchung und Telematik/GPS getrennt halten

Wie Dispoly damit umgeht

Weil wir Dispoly für Vereine, Feuerwehren und Betriebe gebaut haben, war das Thema von Anfang an eingeplant:

• Weniger Daten von vornherein: Eure Mitglieder brauchen kein Konto, um zu buchen. Wo kein Account entsteht, entstehen auch keine Kontodaten. Von Gästen erfassen wir Name, E-Mail-Adresse, Buchungszeitraum sowie optionale Notizen und die Zusatzfelder, die ihr selbst definiert, ihr entscheidet also, wie sparsam das Formular bleibt.
• Hosting in der EU: Datenbank und Backend liegen in der EU-Region, das Fehler-Logging ebenfalls, die Produktanalyse läuft über europäische Server in Frankfurt. Wo Dienstleister außerhalb der EU beteiligt sind, sind die Übermittlungen über Standardvertragsklauseln beziehungsweise das EU-US Data Privacy Framework abgesichert; alle eingesetzten Anbieter sind in unserer Datenschutzerklärung namentlich aufgeführt.
• Klare Fristen: Server-Logs werden nach spätestens 30 Tagen gelöscht oder anonymisiert, Buchungsdaten dann, wenn der Vorgang abgeschlossen ist und keine Aufbewahrungspflichten entgegenstehen.
• Nachvollziehbar statt improvisiert: Fahrzeuge, Räume und Geräte liegen als Ressourcen mit Kategorie und Standort im selben Plan. Wenn drei Wochen später die Frage aufkommt, wer den Transporter am 14. hatte, steht die Antwort in der Reservierung, nicht an einem Magnetschild, das längst umgehängt wurde.
• Eure Daten gehören euch: Über den CSV- und Excel-Export kommt ihr jederzeit vollständig an eure Reservierungen und Ressourcen heran, auch wenn ihr wieder gehen wollt.
• Verlässliche Anfragen ohne Registrierung: Die Gast-Verifizierung per E-Mail (auf Wunsch zusätzlich mit PIN) sorgt dafür, dass Buchungen echt sind, ohne dass sich jemand ein Konto anlegen muss.

Ihr könnt das 30 Tage kostenlos und ohne Zahlungsdaten ausprobieren: jetzt starten. Und wenn in eurem Vorstand, in eurer IT, im Betriebsrat oder beim Datenschutzbeauftragten jemand sitzt, der beim Thema genau hinschaut: umso besser. Genau diese Fragen beantworten wir gern in einer persönlichen Demo.