DSGVO im Reitstall: Welche Daten du wie verarbeiten darfst

Betroffen ist mehr, als die meisten denken

Ein verbreiteter Irrtum lautet: Wir verarbeiten ja nur Pferdedaten. Tatsächlich hängt an praktisch jedem Pferd eine Person — und damit personenbezogene Daten.

Was in einem typischen Reitbetrieb unter die DSGVO fällt:

• Kontaktdaten von Einstellern, Mitgliedern und Interessenten
• Bankverbindungen für den Beitrags- oder Rechnungseinzug
• Arbeitszeiten, Urlaub und Krankmeldungen von Beschäftigten
• Fotos, auf denen Personen erkennbar sind
• Telefonnummern in WhatsApp-Gruppen
• Notfallkontakte und teils Gesundheitsangaben von Reitern
• Anwesenheitslisten aus Reitunterricht und Arbeitsdienst

Besonders sensibel sind Gesundheitsdaten von Personen — etwa der Hinweis, dass ein Reitschüler Asthma hat. Diese fallen unter Art. 9 DSGVO und dürfen nur unter engeren Voraussetzungen verarbeitet werden, in der Regel auf Grundlage einer ausdrücklichen Einwilligung.

Die fünf Pflichten, die wirklich jeden betreffen

1. Verzeichnis von Verarbeitungstätigkeiten

Eine Übersicht, welche Daten zu welchem Zweck auf welcher Rechtsgrundlage verarbeitet werden, wie lange sie gespeichert werden und wer Zugriff hat. Das klingt aufwendiger, als es ist: Für einen Pensionsstall passt es auf wenige Seiten. Vorgelegt werden muss es nur auf Anforderung der Aufsichtsbehörde — vorhanden sein muss es trotzdem.

2. Informationspflicht

Wer Daten erhebt, muss darüber informieren: Wer ist verantwortlich, wozu werden die Daten verwendet, wie lange gespeichert, welche Rechte bestehen. Praktisch löst man das über eine Datenschutzinformation, die dem Einstellervertrag oder dem Aufnahmeantrag beiliegt.

3. Datensparsamkeit

Erhoben werden darf, was für den Zweck nötig ist — nicht, was interessant wäre. Das Geburtsdatum eines Einstellers braucht ein Pensionsstall in der Regel nicht. Technisch setzt man das über ein abgestuftes Rollensystem um: Der Hufschmied sieht die Beschlagshistorie, nicht die Kontodaten.

4. Auskunftsfähigkeit

Auf Anfrage muss binnen eines Monats mitgeteilt werden, welche Daten zu einer Person gespeichert sind. Wer seine Daten über fünf Excel-Dateien, drei E-Mail-Postfächer und zwei WhatsApp-Gruppen verteilt hat, schafft das nicht — und das ist ein häufiger Auslöser für Beschwerden bei Aufsichtsbehörden.

5. Auftragsverarbeitungsvertrag

Jeder externe Dienstleister mit Zugriff auf personenbezogene Daten braucht einen Vertrag nach Art. 28 DSGVO. Betroffen sind Stallsoftware, Hosting, Newsletter-Dienste und externe Buchhaltung. Fehlt der Vertrag, liegt ein Verstoß vor — unabhängig davon, ob je etwas passiert ist.

Die drei Stolperfallen im Alltag

Fotos auf Website und Social Media

Erkennbare Personen dürfen nicht ohne Weiteres veröffentlicht werden. Nötig ist in der Regel eine Einwilligung, bei Minderjährigen die der Erziehungsberechtigten. Sie muss freiwillig, informiert und dokumentiert sein — und sie ist jederzeit widerrufbar. Eine pauschale Klausel im Aufnahmeantrag reicht dafür meist nicht.

WhatsApp-Gruppen

In einer Gruppe sind die Telefonnummern aller Teilnehmer für alle sichtbar. Wer Mitglieder ohne deren Zustimmung in eine Gruppe aufnimmt, gibt deren Daten an Dritte weiter. Für offizielle Vereinskommunikation ist ein Kanal innerhalb einer Anwendung mit Rollenkonzept die sauberere Lösung.

Alte Daten

Daten ausgetretener Mitglieder und ehemaliger Einsteller müssen gelöscht werden, sobald der Zweck entfällt. Ausgenommen sind Unterlagen mit steuerlichen Aufbewahrungspflichten — Rechnungen etwa unterliegen weiterhin den handels- und steuerrechtlichen Fristen. Der Satz „wir heben alles auf, man weiß ja nie“ ist kein zulässiges Konzept.

Wer ist eigentlich verantwortlich?

Der Betrieb oder Verein selbst, vertreten durch Inhaber beziehungsweise Vorstand. Das lässt sich nicht auf den Softwareanbieter abwälzen — der wird als Auftragsverarbeiter weisungsgebunden tätig.

Ein Datenschutzbeauftragter ist erst zu benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind. Die meisten Reitbetriebe und Vereine erreichen diese Schwelle nicht — die übrigen Pflichten gelten trotzdem.