Mitgliederdaten und KI: Was muss der Verein beachten?

Das Problem

Die Kassierin eines Vereins möchte Mahnungen für offene Mitgliederbeiträge verschicken. Sie hat eine Excel-Liste mit Namen, Adressen, E-Mail-Adressen, Eintrittsdaten und Beitragsstand. Eine Bekannte rät: «Lade die Liste doch bei ChatGPT hoch, das macht dir die Serienbriefe in fünf Minuten.»

Das klingt praktisch, wirft aber Fragen auf. Mitglieder haben dem Verein ihre Daten für die Vereinsarbeit anvertraut, nicht für die Verarbeitung durch ein fremdes Unternehmen irgendwo auf der Welt. Auch ein kleiner Verein ist an den Datenschutz gebunden. Das gilt unabhängig davon, ob er Gewinn macht oder nicht.

Der Reflex «Das ist doch nur eine Liste» greift zu kurz. Namen, Adressen und Mitgliedschaften sind Personendaten, und je nach Verein können sie sensibel sein, etwa bei einem Selbsthilfeverein oder einem Verein mit religiösem oder politischem Bezug. Diese Seite zeigt, welche Grundsätze gelten und wie Sie trotzdem von KI profitieren.

So lösen Sie es mit KI – Schritt für Schritt

1. Zweck bestimmen. Wofür soll die KI helfen? Zum Beispiel Briefe formulieren, einen Zahlungsplan erklären oder Texte vorbereiten. Das meiste braucht keine echten Mitgliederdaten.

1. Prüfen, ob Daten nötig sind. Fragen Sie: Kann die KI die Aufgabe mit einem erfundenen Beispiel lösen? Meist ja. Der Serienbrief entsteht in Word oder Excel aus Ihrer Liste, nicht in der KI.

1. Nur Nötiges verwenden. Wenn Daten doch nötig sind, geben Sie das Minimum an, etwa nur die Zahl der Mitglieder oder die Beitragskategorie, nie die ganze Liste.

1. Anonymisieren oder Platzhalter nutzen. Ersetzen Sie Namen durch «Mitglied A» oder durch Platzhalter, die Sie danach im eigenen Programm einsetzen. Siehe Wie anonymisiere ich Dokumente vor der KI-Nutzung?.

1. Werkzeug prüfen. Informieren Sie sich, ob das Werkzeug Eingaben speichert oder zum Training nutzt und wo die Daten verarbeitet werden. Wenn Sie das nicht beantworten können, lassen Sie die Finger davon.

1. Vorstand entscheidet. Besprechen Sie die Regel im Vorstand und halten Sie sie kurz schriftlich fest: Welche Werkzeuge sind erlaubt, welche Daten sind tabu?

1. Mitglieder informieren. Wenn der Verein Personendaten mit externen Diensten bearbeitet, gehört das in die Datenschutzinformation. Die Mitglieder dürfen wissen, was mit ihren Daten geschieht.

1. Regel im Alltag leben. Alle, die mit der Liste arbeiten, wissen, was nicht erlaubt ist. Auch Helferinnen und Helfer.

Vorlage zum Kopieren

Mit dieser Vorlage entwerfen Sie eine kurze interne Regel für Ihren Vorstand, ohne echte Daten einzugeben.

Ich bin im Vorstand eines Vereins in der Schweiz ([Art des Vereins], ca. [Zahl] Mitglieder). Wir führen eine Mitgliederliste mit Name, Adresse, E-Mail, Eintrittsdatum und Beitragsstand.

Bitte entwirf eine einseitige interne Regel «Umgang mit Mitgliederdaten und KI-Werkzeugen» in einfacher Sprache, mit:
1. Welche Angaben nie in ein KI-Werkzeug eingegeben werden.
2. Wie man Texte mit erfundenen oder anonymisierten Beispielen vorbereitet.
3. Wer Werkzeuge freigibt und wo das festgehalten wird.
4. Was zu tun ist, wenn aus Versehen echte Daten eingegeben wurden.
Erfinde keine Gesetzesartikel und gib keine Rechtsberatung. Weise am Ende darauf hin, dass der Vorstand die Regel mit einer Datenschutzstelle prüfen kann.

Passen Sie Art des Vereins und Datenfelder an. Der Entwurf muss vom Vorstand besprochen und angepasst werden.

Worauf Sie achten müssen

• Auch Vereine sind erfasst. Das Schweizer Datenschutzrecht gilt grundsätzlich auch für Vereine, die Personendaten bearbeiten. Grundsätze sind unter anderem Rechtmässigkeit, Verhältnismässigkeit, Zweckbindung und Datensicherheit.
• Zweckbindung. Daten, die Sie für die Mitgliederverwaltung erhoben haben, dürfen nicht ohne Weiteres für ganz andere Zwecke verwendet werden. Siehe Was bedeutet das revDSG für KI im Schweizer KMU?.
• Externe Anbieter. Wenn ein Dienstleister Daten im Auftrag verarbeitet, sind Vertrag und Sicherheit zu klären. Bei Anbietern im Ausland kommen weitere Fragen dazu.
• Besonders schützenswerte Daten. Angaben zu Gesundheit, Religion, politischer Haltung oder Sozialhilfe verlangen besondere Vorsicht. Das betrifft manche Vereine stärker, als man denkt.
• Einwilligung ist nicht immer nötig. Oft reicht der Vereinszweck, wenn die Verwendung für Mitglieder erwartbar und verhältnismässig ist. Für Neues, etwa Fotos oder KI-Auswertung, ist Information oder Einwilligung zu prüfen.
• Rechtliche Prüfung. Diese Seite beschreibt Grundsätze. Für Ihren Verein im Einzelfall klären Sie die Lage mit einer Fachperson oder der Datenschutzstelle.

Ein Beispiel aus der Praxis

Ein Beispiel: Der Vorstand eines Chors im Kanton Luzern möchte eine KI nutzen, um die Konzertwerbung und Beitragserinnerungen zu beschleunigen. Der Präsident ist begeistert, die Kassierin fragt vorsichtig nach den Mitgliederdaten.

Der Vorstand einigt sich auf eine Regel: Die KI schreibt Textentwürfe mit Platzhaltern wie [Vorname] und [Betrag]. Die Briefe werden danach im eigenen Programm aus der Mitgliederliste erstellt. Die Liste selbst verlässt den Rechner der Kassierin nicht.

Vorher drohte der Upload der ganzen Liste in ein Werkzeug, dessen Datenverarbeitung niemand kannte. Nachher entsteht derselbe Nutzen mit deutlich geringerem Risiko. Die Regel steht auf einer halben Seite im Vorstandsordner und wird bei Neuwahlen neu besprochen.

So hilft Ihnen Alpasana

Wenn Sie Ihren Vorstand oder Ihre Helfenden schulen möchten, wie man KI verantwortungsvoll einsetzt, bietet Alpasana über absofort die KI-Weiterbildung für Unternehmen an. Beschrieben sind Schweizer Praxisbezug, Datenschutz als Lerninhalt und der verantwortungsbewusste Umgang mit Unternehmensdaten, mit Lernen im eigenen Tempo und verifizierbaren Abschlüssen. Für Teams gibt es eine Kontaktmöglichkeit für Firmenlösungen.

Das Angebot richtet sich an Unternehmen; ob es für Ihren Verein passt, klären Sie über die genannte Kontaktmöglichkeit. Eine Rechtsberatung zu Ihren Mitgliederdaten ist es nicht.

Häufige Fragen

Darf ich die Mitgliederliste in Excel hochladen, wenn das Werkzeug «sicher» ist?

Entscheidend ist nicht das Wort «sicher», sondern ob Sie wissen, wo die Daten verarbeitet werden, ob sie gespeichert oder weiterverwendet werden und ob der Zweck passt. Ohne klare Antworten sollten Sie die Liste nicht hochladen.

Reicht es, den Namen wegzulassen?

Oft nicht. Adresse, E-Mail oder Kombinationen aus Eintrittsjahr und Wohnort können Personen erkennbar machen. Anonymisieren Sie gründlich oder verzichten Sie auf echte Daten.

Brauche ich eine Einwilligung der Mitglieder?

Nicht in jedem Fall. Ob eine Einwilligung nötig ist, hängt vom Zweck und von der Art der Daten ab. Fragen Sie im Zweifel eine Fachperson oder die Datenschutzstelle. Siehe auch Wie gebe ich einer KI nur die wirklich nötigen Daten?.

Was tun, wenn Daten aus Versehen eingegeben wurden?

Melden Sie den Vorfall dem Vorstand, löschen Sie den Chat und die hochgeladenen Dateien, soweit möglich, und notieren Sie, was geschehen ist. Dann klären Sie, ob weitere Schritte nötig sind.