Kurze Antwort

Datenschutz muss bei einer genossenschaftlichen Gründung nicht erst kurz vor der Eintragung ins Register organisiert werden. Sobald ein Gründungsteam Namen, E-Mail-Adressen, Bewerbungen, Interessentenlisten, Mitgliederdaten oder andere personenbezogene Informationen verarbeitet, gilt grundsätzlich bereits die Datenschutz-Grundverordnung.

Für ein kleines remote arbeitendes Team bedeutet das aber nicht, sofort ein kompliziertes Datenschutzsystem aufzubauen. Entscheidend sind zunächst einige klare Grundlagen: nur notwendige Daten erfassen, Zuständigkeiten festlegen, Zugriffe begrenzen, verwendete Cloud-Dienste prüfen, Auftragsverarbeitungsverträge abschließen, eine verständliche Datenschutzerklärung bereitstellen und festlegen, wann Daten gelöscht werden.

Pragmatische Grundregel: Sammeln Sie möglichst wenig personenbezogene Daten, legen Sie fest, wer darauf zugreifen darf, und wissen Sie bei jedem verwendeten Dienst, wo die Daten verarbeitet werden und warum Sie diesen Dienst einsetzen.

Einfache Erklärung

Was bedeutet Datenschutz während der Gründung?

Angenommen, fünf Personen wollen gemeinsam eine Energiegenossenschaft aufbauen.

Sie arbeiten von unterschiedlichen Orten aus und verwenden:

• E-Mail
• Videokonferenzen
• einen gemeinsamen Cloud-Speicher
• ein Projektmanagementsystem
• ein Onlineformular für Interessenten
• eine gemeinsame Kontaktliste
• später ein digitales Verfahren zur Mitgliederaufnahme

Schon dabei entstehen personenbezogene Daten.

Dazu gehören beispielsweise:

• Namen
• E-Mail-Adressen
• Telefonnummern
• Anschriften
• Lebensläufe
• berufliche Fähigkeiten
• Bewerbungen
• Bankverbindungen
• Beteiligungen an Geschäftsanteilen
• Nachrichten und Kommentare
• IP-Adressen und andere technische Nutzungsdaten

Die DSGVO verlangt unter anderem, dass solche Daten rechtmäßig, transparent, zweckgebunden und auf das notwendige Maß beschränkt verarbeitet werden.

Datenschutz beginnt deshalb nicht mit einem fertigen Unternehmen, sondern mit der ersten organisierten Verarbeitung personenbezogener Daten.

Die wichtigste Frage lautet nicht: Haben wir eine Datenschutzerklärung?

Eine Datenschutzerklärung ist wichtig. Sie ist aber nur die sichtbare Oberfläche.

Die wichtigere Frage lautet:

Welche personenbezogenen Daten haben wir eigentlich – und warum?

Ein Gründungsteam sollte deshalb zunächst alle Stellen betrachten, an denen personenbezogene Daten entstehen.

#### Interessentenformular

Sie suchen weitere Menschen für das Projekt.

Für eine erste Kontaktaufnahme reichen möglicherweise:

• Name
• E-Mail-Adresse
• gewünschte Rolle oder Kompetenz
• kurze Nachricht

Geburtsdatum, vollständige Anschrift, Ausweiskopie oder Bankverbindung werden dafür normalerweise noch nicht benötigt.

Projektmanagement

In Aufgaben können Namen, Zuständigkeiten, Kommentare und Termine auftauchen.

Deshalb sollte nicht automatisch jedes Teammitglied Zugriff auf jeden Bereich erhalten.

Mitgliederaufnahme

Hier werden später wesentlich mehr Informationen benötigt. Bei einer eingetragenen Genossenschaft bestehen sogar gesetzliche Pflichten zur Führung einer Mitgliederliste.

Buchhaltung

Rechnungen, Zahlungen und Geschäftsvorgänge können ebenfalls personenbezogene Daten enthalten.

#### Videokonferenzen und Chat

Auch Teilnehmernamen, Nachrichten, Aufzeichnungen, Profilbilder oder technische Verbindungsdaten können personenbezogene Daten sein.

Das zeigt den entscheidenden Unterschied:

Datenschutz ist kein einzelnes Dokument. Datenschutz ist die Organisation dieser Datenströme.

Datenschutz beginnt bereits vor der Eintragung der Genossenschaft

Ein häufiger Irrtum besteht darin, Datenschutz erst für die spätere eG zu betrachten.

Das ist zu spät.

Wenn mehrere Gründer gemeinsam bestimmen, warum und wie personenbezogene Daten verarbeitet werden, können sie datenschutzrechtlich gemeinsam Verantwortliche sein. Artikel 26 DSGVO verlangt bei gemeinsamer Verantwortlichkeit eine transparente Regelung der jeweiligen Zuständigkeiten. Ob im konkreten Gründungsstadium tatsächlich gemeinsame Verantwortlichkeit vorliegt, hängt von der tatsächlichen Organisation ab.

Für ein kleines Gründungsteam ist deshalb eine einfache organisatorische Entscheidung sinnvoll:

Wer kümmert sich um Datenschutzfragen?

Diese Person muss nicht automatisch ein formell bestellter Datenschutzbeauftragter sein.

Sie sollte aber wissen:

• welche Systeme verwendet werden
• welche personenbezogenen Daten darin liegen
• welche Dienstleister Zugriff erhalten
• wer innerhalb des Teams Zugriff besitzt
• wo Datenschutzdokumente abgelegt sind
• was bei einer Datenpanne zu tun ist

Damit gibt es bereits während der Gründung eine erkennbare Zuständigkeit.

Die sechs Datenschutz-Bausteine für den Start

Ein kleines Gründungsteam benötigt zunächst kein hundertseitiges Datenschutzhandbuch.

Sechs Bausteine schaffen eine wesentlich bessere Ausgangslage.

#### 1. Eine Liste der verwendeten Systeme

Schreiben Sie auf, wo personenbezogene Daten verarbeitet werden.

Zum Beispiel:

E-Mail-System

Kommunikation mit Interessenten, Mitgliedern, Dienstleistern und Gründungsmitgliedern.

Cloud-Speicher

Satzungsentwürfe, Verträge, Bewerbungen, Rechnungen und organisatorische Unterlagen.

Projektmanagement

Aufgaben, Verantwortlichkeiten, Termine und Kommentare.

Mitgliederverwaltung

Beitrittserklärungen, Anschriften, Geschäftsanteile und Austritte.

Buchhaltung

Rechnungen, Zahlungsdaten und Belege.

Webseite

Kontaktformular, Registrierungen und gegebenenfalls technische Protokolldaten.

Allein diese Übersicht verhindert bereits, dass personenbezogene Daten unkontrolliert auf privaten Geräten und in verschiedenen Diensten verteilt werden.

2. Für jede Verarbeitung einen Zweck festlegen

Die DSGVO erlaubt nicht, Daten einfach vorsorglich zu sammeln.

Daten sollen für einen festgelegten Zweck erhoben werden und auf das notwendige Maß beschränkt bleiben.

Ein einfaches Beispiel:

Zweck: Kontakt zu einer interessierten Person aufnehmen.

Dafür benötigen Sie wahrscheinlich eine E-Mail-Adresse.

Die private Anschrift ist dafür meistens nicht erforderlich.

Später kann sich der Zweck ändern.

Wird die Person tatsächlich Mitglied, benötigt die Genossenschaft beispielsweise die gesetzlich vorgeschriebenen Angaben für ihre Mitgliederliste.

Datenschutz bedeutet deshalb nicht:

Möglichst keine Daten besitzen.

Sondern:

Nur die Daten besitzen, die für einen nachvollziehbaren Zweck tatsächlich benötigt werden.

3. Die passende Rechtsgrundlage bestimmen

Eine weit verbreitete Fehlannahme lautet:

„Wir lassen einfach überall eine Einwilligung anklicken.“

Das ist keine gute Datenschutzstrategie.

Artikel 6 DSGVO kennt mehrere mögliche Rechtsgrundlagen. Dazu gehören unter anderem:

• Einwilligung
• Vertrag oder vorvertragliche Maßnahmen
• gesetzliche Verpflichtungen
• berechtigte Interessen

Welche Grundlage richtig ist, hängt vom jeweiligen Vorgang ab.

Eine Einwilligung sollte deshalb nicht pauschal als Universalrechtfertigung verwendet werden.

Bei einer gesetzlichen Pflicht benötigt die Genossenschaft beispielsweise keine Einwilligung dafür, genau die Daten zu verarbeiten, deren Verarbeitung das Gesetz verlangt.

Mitgliederdaten sind ein gutes Beispiel

Das Genossenschaftsgesetz verpflichtet den Vorstand zur Führung einer Mitgliederliste.

Darin müssen unter anderem enthalten sein:

• Familienname
• Vornamen
• Anschrift
• Zahl der übernommenen weiteren Geschäftsanteile
• Ausscheiden aus der Genossenschaft

Außerdem muss dokumentiert werden, wann bestimmte Veränderungen wirksam geworden sind.

Diese Daten werden also nicht gesammelt, weil die Genossenschaft sie möglicherweise irgendwann gebrauchen könnte.

Für ihre Verarbeitung besteht eine konkrete gesetzliche Grundlage.

Besonders interessant: abgelehnte digitale Beitritte

Das Genossenschaftsgesetz enthält inzwischen eine sehr konkrete Regel für elektronische Beitrittserklärungen.

Wird ein Beitritt abgelehnt, muss dies dem Antragsteller unverzüglich mitgeteilt werden. Bei einer elektronischen Beitrittserklärung sind die Daten der Beitrittserklärung anschließend unverzüglich zu löschen.

Das ist ein gutes Beispiel dafür, wie ein technisches Mitgliederverwaltungssystem aufgebaut sein sollte.

Ein digitaler Prozess sollte nicht nur Daten speichern können.

Er sollte auch wissen, wann diese Daten wieder gelöscht werden müssen.

4. Zugriffe sauber organisieren

Remote-Teams haben ein besonderes Datenschutzproblem:

Die Daten liegen nicht in einem gemeinsamen Büro.

Menschen greifen von verschiedenen Wohnungen, Computern und Internetverbindungen darauf zu.

Deshalb sollte der Grundsatz gelten:

Jede Person erhält nur Zugriff auf die Daten, die sie für ihre Aufgabe benötigt.

Ein mögliches Modell:

Projektkoordination

Zugriff auf allgemeine Projektorganisation und Kontakte.

Mitgliederverwaltung

Zugriff auf Mitgliedsanträge und Mitgliederstammdaten.

Finanzen

Zugriff auf Rechnungen, Zahlungsinformationen und Buchhaltungsunterlagen.

Öffentlichkeitsarbeit

Zugriff auf veröffentlichbare Inhalte, aber nicht automatisch auf vollständige Mitglieder- oder Finanzdaten.

Externe Buchhaltung

Nur Zugriff auf die tatsächlich benötigten Buchhaltungsinformationen.

Nicht jedes Teammitglied muss alles sehen können.

Keine gemeinsam genutzten Passwörter

Gerade kleine Teams lösen Zugriffsprobleme häufig mit einem einzigen gemeinsamen Benutzerkonto.

Das sollte vermieden werden.

Besser sind:

• persönliche Benutzerkonten
• starke individuelle Passwörter
• Passwortmanager
• Zwei-Faktor- oder Mehrfaktor-Authentifizierung
• rollenbasierte Zugriffsrechte
• unverzügliche Sperrung von Zugängen beim Ausscheiden
• verschlüsselte Geräte
• aktuelle Betriebssysteme und Anwendungen
• geregelte Datensicherungen

Artikel 32 DSGVO verlangt ein dem jeweiligen Risiko angemessenes Schutzniveau und nennt unter anderem Verschlüsselung, Wiederherstellbarkeit sowie die regelmäßige Überprüfung von Schutzmaßnahmen.

Das bedeutet nicht, dass jedes kleine Gründungsteam ein eigenes Rechenzentrum benötigt.

Es bedeutet aber, dass ein ungeschütztes Notebook mit der kompletten Mitgliederliste keine angemessene Lösung ist.

5. Cloud-Dienste nicht nur nach Funktionen auswählen

Remote-first-Unternehmen hängen zwangsläufig stark von digitalen Dienstleistern ab.

Typische Beispiele sind:

• Hosting
• Cloud-Speicher
• E-Mail
• Newsletter
• Videokonferenzen
• Buchhaltungssoftware
• CRM
• Mitgliederverwaltung
• Projektmanagement

Wenn ein Dienstleister personenbezogene Daten im Auftrag der Genossenschaft verarbeitet, ist regelmäßig zu prüfen, ob ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich ist.

Der Verantwortliche darf nur Auftragsverarbeiter einsetzen, die ausreichende Garantien für eine DSGVO-konforme Verarbeitung bieten. Die Auftragsverarbeitung muss durch einen entsprechenden Vertrag oder ein anderes verbindliches Rechtsinstrument geregelt werden; dies kann auch elektronisch erfolgen.

Praktisch bedeutet das:

Bevor ein neues Tool eingeführt wird, sollten mindestens fünf Fragen beantwortet werden.

Wer ist der Anbieter?

Das Unternehmen hinter dem Dienst muss bekannt sein.

Wo werden die Daten verarbeitet?

Nicht nur der Serverstandort ist relevant. Auch Supportzugriffe und Unterauftragnehmer können eine Rolle spielen.

Gibt es einen Vertrag zur Auftragsverarbeitung?

Bei vielen professionellen Cloud-Anbietern kann dieser inzwischen online abgeschlossen werden.

Welche Unterauftragnehmer werden eingesetzt?

Ein Dienst kann wiederum andere Anbieter für Hosting, E-Mail, Support oder Analyse verwenden.

Wie werden die Daten geschützt?

Verschlüsselung, Zugriffsschutz, Backups und Sicherheitsmaßnahmen sollten nachvollziehbar beschrieben sein.

Server in Deutschland bedeutet nicht automatisch DSGVO-konform

Ein Serverstandort in Deutschland oder der EU kann die datenschutzrechtliche Organisation erheblich vereinfachen.

Er allein reicht aber nicht aus.

Ein Anbieter kann beispielsweise Server in Frankfurt betreiben, gleichzeitig aber Supportpersonal oder Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums einsetzen.

Werden personenbezogene Daten in ein Drittland übermittelt, müssen zusätzlich die Anforderungen der Artikel 44 ff. DSGVO eingehalten werden. Je nach Land und Konstellation können beispielsweise ein Angemessenheitsbeschluss oder andere geeignete Garantien erforderlich sein.

Deshalb sollte nicht nur gefragt werden:

„Wo steht der Server?“

Sondern:

„Wer kann von wo auf unsere Daten zugreifen und welche Unterauftragnehmer sind beteiligt?“

6. Eine verständliche Datenschutzerklärung erstellen

Wenn personenbezogene Daten direkt bei einer Person erhoben werden, verlangt Artikel 13 DSGVO umfangreiche Informationen über die Verarbeitung. Dazu gehören beispielsweise Angaben zum Verantwortlichen, zu Zwecken und Rechtsgrundlagen sowie weitere Informationen zur Datenverarbeitung und zu den Rechten der Betroffenen.

Eine Datenschutzerklärung sollte deshalb den tatsächlichen Betrieb beschreiben.

Nicht irgendeinen Musterbetrieb.

Wenn beispielsweise kein Newsletter existiert, benötigt die Datenschutzerklärung keinen Abschnitt über Newsletter.

Wenn dagegen ein Kontaktformular, eine Registrierung oder digitale Mitgliederaufnahme vorhanden ist, müssen diese Prozesse berücksichtigt werden.

Eine kurze Datenschutzerklärung, die den tatsächlichen Betrieb korrekt beschreibt, ist besser als zehn Seiten kopierter Standardtext, der mit dem eigenen System wenig zu tun hat.

Braucht ein kleines Gründungsteam ein Verzeichnis von Verarbeitungstätigkeiten?

Artikel 30 DSGVO sieht ein Verzeichnis von Verarbeitungstätigkeiten vor.

Darin wird dokumentiert, welche personenbezogenen Daten für welche Zwecke verarbeitet werden, welche Personengruppen betroffen sind und welche organisatorischen Rahmenbedingungen gelten.

Zwar enthält die DSGVO eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten. Diese Ausnahme gilt jedoch nicht uneingeschränkt. Sie greift unter anderem nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt.

Eine Genossenschaft verarbeitet Mitglieder-, Kommunikations- oder Verwaltungsdaten typischerweise wiederkehrend.

Deshalb sollte auch ein kleines Gründungsteam von Anfang an ein einfaches Verzeichnis führen.

Das kann zunächst sehr übersichtlich sein.

Beispiel

Verarbeitung

Verwaltung von Interessenten.

Zweck

Kontaktaufnahme und Zusammenstellung eines Gründungsteams.

Daten

Name, E-Mail-Adresse, gewünschte Rolle, freiwillige Nachricht.

Betroffene Personen

Interessenten und mögliche Gründungsmitglieder.

Empfänger

Intern zuständige Projektmitglieder und gegebenenfalls der eingesetzte Hosting- beziehungsweise Softwareanbieter.

Löschung

Wenn kein weiterer Kontakt gewünscht oder erforderlich ist, nach einer vorher festgelegten angemessenen Frist.

Damit ist bereits wesentlich mehr erreicht als mit einem unstrukturierten Ordner voller Datenschutzvorlagen.

Wann müssen Daten gelöscht werden?

Die DSGVO verlangt Speicherbegrenzung. Daten sollen nicht unbegrenzt aufbewahrt werden, nur weil Speicherplatz billig ist.

Gleichzeitig dürfen Daten nicht einfach gelöscht werden, wenn gesetzliche Aufbewahrungspflichten bestehen.

Das Genossenschaftsgesetz enthält beispielsweise eine konkrete Regel für Unterlagen, auf deren Grundlage Eintragungen in die Mitgliederliste vorgenommen werden. Diese Unterlagen sind grundsätzlich drei Jahre aufzubewahren. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem das Mitglied aus der Genossenschaft ausgeschieden ist.

Daneben können handels- und steuerrechtliche Aufbewahrungsfristen gelten.

Nach § 257 HGB gelten derzeit beispielsweise:

Handelsbücher, Inventare und Jahresabschlüsse

Grundsätzlich zehn Jahre.

Buchungsbelege

Grundsätzlich acht Jahre.

Empfangene und abgesandte Handelsbriefe

Grundsätzlich sechs Jahre.

Datenschutz bedeutet deshalb nicht:

„Alles möglichst schnell löschen.“

Sondern:

„Für jede Datenart wissen, warum sie gespeichert wird und wann die Speicherung enden darf oder muss.“

Braucht die Genossenschaft einen Datenschutzbeauftragten?

Nicht jede kleine Genossenschaft benötigt automatisch einen Datenschutzbeauftragten.

Nach § 38 BDSG besteht in Deutschland unter anderem eine Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben können unabhängig von dieser Zahl weitere gesetzliche Fälle eine Benennung erforderlich machen, beispielsweise bestimmte Verarbeitungen, für die eine Datenschutz-Folgenabschätzung vorgeschrieben ist.

Ein Gründungsteam mit fünf Personen benötigt deshalb nicht allein wegen der Existenz einer Mitgliederliste automatisch einen Datenschutzbeauftragten.

Das entbindet das Team aber nicht von den übrigen Datenschutzpflichten.

Kein Datenschutzbeauftragter erforderlich bedeutet nicht: kein Datenschutz erforderlich.

Wann wird eine Datenschutz-Folgenabschätzung notwendig?

Eine Datenschutz-Folgenabschätzung ist nicht für jedes Kontaktformular und nicht für jede Mitgliederverwaltung vorgeschrieben.

Sie wird erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht.

Artikel 35 DSGVO nennt unter anderem umfangreiche Verarbeitung besonders sensibler Daten oder bestimmte Formen systematischer Überwachung als typische Fälle.

Für eine kleine Genossenschaft mit normaler Mitgliederverwaltung ist deshalb nicht automatisch eine Datenschutz-Folgenabschätzung notwendig.

Wenn später jedoch beispielsweise umfangreiche Profilbildung, besonders sensible Gesundheitsdaten, biometrische Verfahren oder andere risikoreiche Technologien eingesetzt werden, muss die Frage neu bewertet werden.

Was passiert bei einer Datenpanne?

Ein verlorenes Notebook, ein falsch freigegebener Cloud-Ordner oder eine E-Mail mit Mitgliederdaten an den falschen Empfänger kann eine Verletzung des Schutzes personenbezogener Daten darstellen.

Die DSGVO verlangt bei meldepflichtigen Datenschutzverletzungen eine Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen verursacht.

Bei einem hohen Risiko kann zusätzlich eine Information der betroffenen Personen erforderlich sein.

Deshalb sollte bereits ein kleines Team festlegen:

• Wer muss bei einem Vorfall informiert werden?
• Wer entscheidet, ob eine Datenschutzverletzung vorliegt?
• Wann wurde der Vorfall entdeckt?
• Welche Daten sind betroffen?
• Welche Personen sind betroffen?
• Welche Sofortmaßnahmen wurden durchgeführt?
• Muss die Datenschutzaufsicht eingeschaltet werden?

Eine einfache interne Notiz oder Vorlage reicht für den Start wesentlich weiter als gar kein Verfahren.

Ein realistisches Beispiel für ein remote Gründungsteam

Fünf Personen entwickeln gemeinsam eine neue Genossenschaft.

Sie verwenden einen europäischen Cloud-Speicher, ein Projektmanagementsystem und eine eigene Plattform zur Gewinnung weiterer Gründungsmitglieder.

Der pragmatische Datenschutz-Start könnte so aussehen:

Schritt 1

Eine Person übernimmt organisatorisch die Koordination des Datenschutzes.

Schritt 2

Alle verwendeten digitalen Dienste werden in einer gemeinsamen Liste erfasst.

Schritt 3

Für jeden Dienst wird geprüft, welche personenbezogenen Daten dort verarbeitet werden.

Schritt 4

Nicht benötigte Datenfelder werden entfernt.

Schritt 5

Bei Auftragsverarbeitern werden die notwendigen Verträge abgeschlossen und gespeichert.

Schritt 6

Jedes Teammitglied erhält einen eigenen Zugang. Mehrfaktor-Authentifizierung wird aktiviert, soweit verfügbar.

Schritt 7

Zugriffe auf Mitglieder-, Finanz- und Bewerbungsdaten werden eingeschränkt.

Schritt 8

Eine Datenschutzerklärung beschreibt die tatsächlich verwendeten Verfahren.

Schritt 9

Ein einfaches Verzeichnis der Verarbeitungstätigkeiten wird angelegt.

Schritt 10

Für Interessenten, abgelehnte Anträge, ausgeschiedene Mitglieder und andere Datenkategorien werden Lösch- beziehungsweise Aufbewahrungsregeln festgelegt.

Damit ist noch kein perfektes Datenschutzmanagementsystem entstanden.

Aber es existiert eine kontrollierbare Grundlage, auf der die spätere Genossenschaft aufbauen kann.

Typische Fehler bei remote Gründungen

• Mitgliederdaten liegen auf privaten Computern mehrerer Gründungsmitglieder.
• Eine Excel-Datei mit sämtlichen Interessenten wird per E-Mail herumgeschickt.
• Alle Personen besitzen Administratorrechte.
• Ein gemeinsames Passwort wird über einen Messenger geteilt.
• Neue Cloud-Dienste werden ohne Prüfung eingeführt.
• Niemand weiß, welche Auftragsverarbeitungsverträge abgeschlossen wurden.
• Alte Bewerbungen und Interessentenlisten werden jahrelang aufbewahrt.
• Eine Datenschutzerklärung wurde kopiert, beschreibt aber andere Dienste als tatsächlich verwendet werden.
• Private und geschäftliche Cloud-Speicher werden vermischt.
• Beim Ausscheiden eines Teammitglieds bleiben dessen Zugänge aktiv.
• Daten werden vorsorglich gesammelt, obwohl noch kein konkreter Zweck besteht.
• „Server in Europa“ wird mit vollständiger DSGVO-Konformität gleichgesetzt.

Was sollte am ersten Tag geregelt werden?

Nicht alles.

Aber einige Dinge sollten nicht auf später verschoben werden.

Eine zentrale Ablage

Keine unkontrollierte Verteilung personenbezogener Daten auf Privatkonten.

Eigene Benutzerkonten

Keine gemeinsam genutzten Passwörter.

Mehrfaktor-Authentifizierung

Mindestens für zentrale Systeme wie E-Mail, Cloud, Mitgliederverwaltung und Administration.

Klare Zugriffsrechte

Nicht jeder benötigt Zugriff auf alle Daten.

Dienstleisterliste

Alle eingesetzten Cloud- und Softwareanbieter erfassen.

Auftragsverarbeitung prüfen

Bei jedem Anbieter prüfen, welche datenschutzrechtliche Rolle er tatsächlich übernimmt und ob ein Vertrag nach Artikel 28 DSGVO notwendig ist.

Datenschutzerklärung

Spätestens wenn öffentlich Daten erhoben werden, muss die Information der Betroffenen organisiert sein.

Löschregeln

Nicht erst nach mehreren Jahren überlegen, welche Daten eigentlich noch benötigt werden.

Was kann später ausgebaut werden?

Datenschutz darf mit der Organisation wachsen.

Mit steigender Mitgliederzahl, mehr Beschäftigten und komplexeren Systemen können hinzukommen:

• detailliertere Berechtigungskonzepte
• formalisierte Löschkonzepte
• regelmäßige Zugriffsprüfungen
• dokumentierte Sicherheitsrichtlinien
• Mitarbeiterschulungen
• Datenschutz-Folgenabschätzungen
• Verfahren für Auskunfts- und Löschanfragen
• formelles Incident-Management
• externe Datenschutzberatung
• gegebenenfalls ein Datenschutzbeauftragter

Der entscheidende Vorteil eines sauberen Starts liegt darin, dass diese Strukturen später nicht aus einem chaotischen System heraus aufgebaut werden müssen.

Datenschutz muss die Zusammenarbeit nicht verhindern

Datenschutz wird gerade in kleinen Projekten manchmal als Hindernis wahrgenommen.

Das Problem entsteht häufig nicht durch die DSGVO selbst, sondern durch fehlende Organisation.

Wenn niemand weiß, wo Daten gespeichert werden, wer Zugriff besitzt und welche Dienste verwendet werden, wird jede Datenschutzfrage kompliziert.

Ein gut organisiertes remote Team kann dagegen sehr einfach arbeiten:

Wenige Systeme, wenige Daten, klare Verantwortlichkeiten und nachvollziehbare Zugriffe.

Das ist nicht nur Datenschutz.

Es verbessert gleichzeitig die IT-Sicherheit und die interne Organisation.

Was ist jetzt zu tun?

Für ein neues genossenschaftliches Gründungsteam reicht als erster Schritt eine gemeinsame einstündige Bestandsaufnahme.

Beantworten Sie dabei diese Fragen:

1. Welche personenbezogenen Daten besitzen wir bereits?
2. In welchen Programmen und Cloud-Diensten liegen diese Daten?
3. Warum benötigen wir die jeweiligen Daten?
4. Wer darf darauf zugreifen?
5. Welche Anbieter verarbeiten Daten für uns?
6. Sind erforderliche Auftragsverarbeitungsverträge vorhanden?
7. Erfolgen Datenverarbeitungen außerhalb des Europäischen Wirtschaftsraums?
8. Informieren wir betroffene Personen verständlich über die Verarbeitung?
9. Wann müssen oder dürfen die einzelnen Daten wieder gelöscht werden?
10. Was tun wir, wenn Daten verloren gehen oder an eine falsche Person gelangen?

Wer diese zehn Fragen beantworten kann, hat bereits einen wesentlich besseren Datenschutzstand als ein Gründungsteam mit einem großen Ordner voller Vorlagen, die niemand versteht.

Fazit

Datenschutz in einer genossenschaftlichen Gründung muss weder teuer noch übermäßig bürokratisch beginnen.

Gerade remote-first Teams sollten jedoch früh Ordnung schaffen, weil personenbezogene Daten sonst schnell auf privaten Geräten, in verschiedenen Cloud-Diensten und in unkontrollierten Kommunikationskanälen verteilt werden.

Für den Start reichen wenige klare Prinzipien:

• nur notwendige Daten erfassen
• Zwecke und Rechtsgrundlagen kennen
• personenbezogene Daten zentral organisieren
• individuelle Zugänge verwenden
• Berechtigungen begrenzen
• Cloud-Anbieter prüfen
• Auftragsverarbeitung regeln
• Informationspflichten erfüllen
• Lösch- und Aufbewahrungsfristen festlegen
• einen einfachen Ablauf für Datenschutzvorfälle vorbereiten

Besonders bei einer Genossenschaft lohnt sich diese Struktur frühzeitig. Mit jedem neuen Mitglied wächst nicht nur die Organisation, sondern auch die Menge der Daten, für die sie Verantwortung trägt.

Ein pragmatischer Datenschutz-Start bedeutet deshalb nicht, jedes denkbare Risiko schon am ersten Tag vollständig zu lösen.

Er bedeutet, von Anfang an zu wissen, welche Daten man besitzt, warum man sie besitzt und wer damit arbeiten darf.

Stand der Rechtsgrundlagen: September 2026.