Helferdaten DSGVO-konform verwalten: Ein Leitfaden für Hilfsorganisationen

Eine Hilfsorganisation verarbeitet mehr personenbezogene Daten, als den meisten Verantwortlichen bewusst ist: Namen und Anschriften, private Telefonnummern, Qualifikationen und deren Ablaufdaten, Fahrerlaubnisse, Einsatzzeiten – und in manchen Fällen Gesundheitsangaben, etwa bei Einsatzfähigkeitsprüfungen. Die DSGVO gilt dabei unabhängig davon, ob die Organisation hauptamtlich oder rein ehrenamtlich arbeitet.

Dieser Beitrag ist kein Ersatz für eine Rechtsberatung. Er ordnet ein, welche Anforderungen in der Praxis die größte Rolle spielen und wo Organisationen typischerweise Lücken haben.

Welche Daten sind überhaupt betroffen?

Personenbezogen ist jede Angabe, die sich einer Person zuordnen lässt. In einer Hilfsorganisation sind das im Wesentlichen vier Gruppen:

• Stammdaten: Name, Anschrift, Geburtsdatum, private Erreichbarkeiten.
• Qualifikationsdaten: Ausbildungen, Nachweise, Gültigkeitszeiträume, Fahrerlaubnisklassen.
• Einsatzdaten: Wer war wann wo im Dienst, geleistete Stunden, Funktionen.
• Besondere Kategorien (Art. 9 DSGVO): Gesundheitsangaben, etwa Impfnachweise, Einsatztauglichkeit oder Angaben aus arbeitsmedizinischen Untersuchungen. Für diese gilt ein deutlich strengerer Maßstab.

Die vierte Gruppe ist der Grund, warum eine Excel-Liste im geteilten Cloud-Ordner oder eine WhatsApp-Gruppe zur Dienstabsprache kritisch sind: Sie machen keinen Unterschied zwischen einer Telefonnummer und einem Gesundheitsdatum.

Die sechs Anforderungen, die in der Praxis zählen

1. Eine Rechtsgrundlage je Zweck

Jede Verarbeitung braucht eine Rechtsgrundlage. Für die Dienstplanung ist das in der Regel die Erfüllung des Mitgliedschafts- oder Helferverhältnisses beziehungsweise ein berechtigtes Interesse; für Gesundheitsdaten reicht das meist nicht – hier ist häufig eine ausdrückliche Einwilligung oder eine spezielle gesetzliche Grundlage erforderlich. Wichtig ist: Die Rechtsgrundlage hängt am Zweck, nicht an der Datenart. Dieselbe Telefonnummer kann für die Einsatzalarmierung zulässig und für den Newsletter unzulässig sein.

2. Datenminimierung

Erhoben wird, was für den Zweck gebraucht wird – nicht, was praktisch sein könnte. Das Geburtsdatum ist für die Dienstplanung selten nötig, für die Prüfung von Jugendschutzvorgaben schon. Der ehrlichste Test: Kann jemand erklären, wofür ein Feld benutzt wird? Wenn nicht, gehört es nicht ins Formular.

3. Zugriff nach Rolle, nicht nach Vertrauen

Hier liegt die häufigste Lücke. In vielen Organisationen kann jeder, der Zugang zum geteilten Ordner hat, alles sehen. Sauber ist ein Rollenmodell: Eine Zugführerin braucht die Qualifikationen ihrer Gruppe, aber nicht die Personaldaten aller Bereiche; ein Helfer sieht seine eigenen Daten und den Dienstplan, nicht die Akte der Kollegen. Das ist keine Misstrauensfrage, sondern eine Anforderung aus Art. 32 DSGVO.

4. Löschfristen

Daten dürfen nur so lange gespeichert werden, wie sie für den Zweck gebraucht werden – anschließend gelten allenfalls gesetzliche Aufbewahrungspflichten. Praktisch bedeutet das: Wenn ein Helfer die Organisation verlässt, muss klar sein, was gelöscht wird, was archiviert wird und wann. Ohne festgelegte Frist bleiben Daten faktisch für immer liegen.

5. Auskunft und Löschung müssen umsetzbar sein

Betroffene haben Anspruch auf Auskunft über die zu ihrer Person gespeicherten Daten und – unter Voraussetzungen – auf Löschung. Verteilt sich der Datenbestand über fünf Tabellen, drei Postfächer und einen Chatverlauf, ist dieser Anspruch praktisch nicht erfüllbar. Zentralisierung ist deshalb keine Bequemlichkeit, sondern eine Voraussetzung für Rechtskonformität.

6. Auftragsverarbeitung und Speicherort

Wer eine Software einsetzt, gibt Daten an einen Dienstleister – das ist eine Auftragsverarbeitung nach Art. 28 DSGVO und braucht einen entsprechenden Vertrag (AVV). Zusätzlich zählt, wo die Daten liegen: Bei Servern innerhalb der EU entfällt die aufwendige Prüfung eines Drittlandtransfers. Bei US-Anbietern ist sie zu führen, auch wenn ein Angemessenheitsbeschluss existiert.

Typische Lücken in der Praxis

Die private WhatsApp-Gruppe. Dienstabsprachen über einen privaten Messenger bedeuten, dass Telefonnummern und Einsatzinformationen über einen Dienst laufen, mit dem kein AVV besteht und dessen Adressbuchzugriff die Kontakte aller Mitglieder betrifft. Das ist der am weitesten verbreitete und am leichtesten zu behebende Punkt.

Der Verteiler im offenen "An"-Feld. Eine Mail an sechzig Helfer, bei der alle Adressen sichtbar sind, ist eine Offenlegung personenbezogener Daten – und ein meldepflichtiger Vorfall, wenn es dumm läuft.

Die Tabelle auf dem privaten Rechner. Eine lokale Kopie des Helferverzeichnisses auf einem privaten Laptop ohne Verschlüsselung entzieht sich jeder Zugriffskontrolle und jeder Löschfrist.

Der Ordner mit den Nachweisen. Papierakten sind nicht per se schlechter – aber ein Aktenschrank im offenen Gruppenraum erfüllt die Anforderung an die Zugriffsbeschränkung nicht.

Ein sauberer Aufbau in fünf Schritten

1. Bestandsaufnahme. Wo liegen heute welche Daten, wer hat Zugriff? Diese Liste ist unbequem, aber ohne sie ist alles Weitere geraten.
2. Verzeichnis von Verarbeitungstätigkeiten. Für die meisten Organisationen Pflicht (Art. 30 DSGVO). Es zwingt dazu, Zweck, Rechtsgrundlage und Löschfrist je Verarbeitung zu benennen – genau die drei Dinge, die im Alltag fehlen.
3. Ein System statt fünf. Je weniger Orte, desto einfacher sind Zugriffskontrolle, Auskunft und Löschung.
4. Rollen und Rechte festlegen. Wer sieht was? Die Antwort gehört dokumentiert und im System abgebildet, nicht nur besprochen.
5. Helfer informieren. Eine verständliche Datenschutzinformation, die sagt, welche Daten wofür verarbeitet werden und wie lange. Das ist Pflicht – und schafft nebenbei Vertrauen.

Worauf bei der Softwareauswahl zu achten ist

Drei Fragen trennen brauchbare von problematischen Lösungen:

• Wo stehen die Server? Ein Standort in Deutschland oder der EU erspart die Drittlandprüfung.
• Gibt es einen AVV? Ein Anbieter, der keinen anbietet, ist für personenbezogene Daten nicht einsetzbar.
• Wie granular sind die Rechte? Ein System, das nur „Admin" und „Benutzer" kennt, kann die Trennung zwischen Dienstplan und Personalakte nicht abbilden.

RESCURA ist für diesen Rahmen gebaut: Server in Deutschland, ein rollen- und rechtebasiertes Berechtigungsmodell bis auf die einzelne Funktion, und Qualifikationsnachweise, die nur die Personen sehen, die sie sehen müssen. Was das im Alltag bedeutet, zeigt die Übersicht der Funktionen.

Wenn Deine Organisation gerade dabei ist, die Dienstplanung sauber aufzustellen, ist der Beitrag zur digitalen Dienstplanung der passende nächste Schritt. Und wenn Du es direkt ausprobieren möchtest: 14 Tage kostenlos testen.

Hinweis: Dieser Beitrag gibt einen Überblick und stellt keine Rechtsberatung dar. Für die Bewertung des konkreten Einzelfalls wende Dich an Deinen Datenschutzbeauftragten oder eine fachkundige Beratung.