DSGVO für Cannabis Social Clubs in Deutschland: Der vollständige Datenschutz-Leitfaden

Ein Cannabis Social Club verarbeitet Daten, die in der DSGVO-Hierarchie ganz oben stehen: Gesundheitsdaten. Konsummengen, Konsumhäufigkeit und die bloße Tatsache der Mitgliedschaft in einem Cannabis-Verein fallen unter Art. 9 DSGVO — besondere Kategorien personenbezogener Daten. Das bedeutet erhöhte Sorgfaltspflichten. Dieser Leitfaden erklärt, was Ihr Verein konkret tun muss.

Warum Cannabis Social Clubs unter besonderes DSGVO-Recht fallen

Art. 9 Abs. 1 DSGVO verbietet grundsätzlich die Verarbeitung von Daten über die Gesundheit einer Person. Cannabis-Konsum ist gesundheitsbezogen — damit fallen Konsummengen, -häufigkeit und -produkte in diese besondere Kategorie.

Die gute Nachricht: Art. 9 Abs. 2 lit. d DSGVO erlaubt die Verarbeitung durch gemeinnützige Organisationen mit Bezug zur Gesundheit für eigene Mitglieder — genau das, was eine Anbauvereinigung ist. Aber die Ausnahme kommt mit Bedingungen: angemessene Garantien, Beschränkung auf Mitglieder, keine Weitergabe ohne Einwilligung.

Die 7 DSGVO-Pflichten für Ihren Cannabis Social Club

1. Rechtsgrundlage dokumentieren

Für jede Datenverarbeitung brauchen Sie eine Rechtsgrundlage. Für Mitgliederdaten ist das typischerweise Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — der Mitgliedsvertrag) kombiniert mit Art. 9 Abs. 2 lit. d (gemeinnützige Organisation). Diese Rechtsgrundlagen müssen in Ihrer Datenschutzerklärung klar benannt werden.

2. Verarbeitungsverzeichnis führen

Art. 30 DSGVO verpflichtet jeden Verantwortlichen, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Für einen Cannabis Social Club enthält es typischerweise:

• Mitgliederverwaltung (Name, Adresse, Geburtsdatum, Aufnahmedatum)
• Ausgabe-Protokolle (Mengen, Datum, Produktart)
• Kommunikation (E-Mail-Newsletter, Einladungen zu Versammlungen)
• Finanzdaten (Mitgliedsbeiträge, Zahlungshistorie)
• Videoüberwachung (falls vorhanden)

3. Datenschutzerklärung für Mitglieder

Jedes Mitglied muss bei der Aufnahme eine verständliche Datenschutzerklärung erhalten (Art. 13 DSGVO). Sie muss enthalten: welche Daten erhoben werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und welche Rechte das Mitglied hat. Die Übergabe muss dokumentiert werden — am besten durch eine Unterschrift oder digitale Bestätigung.

4. Rechte der Betroffenen gewährleisten

Jedes Mitglied hat das Recht auf: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Ihr Verwaltungssystem muss diese Anfragen innerhalb von einem Monat beantworten können — also alle Daten eines Mitglieds schnell exportier- und löschbar machen.

5. Datensparsamkeit

Erheben Sie nur die Daten, die Sie wirklich benötigen. Ein Passbild ist für die Mengenkontrolle nicht notwendig — ein Mitgliedsausweis mit QR-Code reicht. Die Faustregel: Wenn Sie den Zweck der Datenerhebung nicht klar benennen können, sollten Sie die Daten nicht erheben.

6. Technische und organisatorische Maßnahmen

Art. 32 DSGVO verlangt angemessene technische Schutzmaßnahmen:

• Verschlüsselung der Datenbank und Datenübertragungen
• Zugriffskontrolle — nicht jeder Mitarbeiter darf alle Daten sehen (Rollenkonzept)
• Pseudonymisierung wo möglich (z. B. Mitgliedsnummer statt Name in Protokollen)
• Backups und Wiederherstellbarkeit
• Löschkonzept — nach Ablauf der Aufbewahrungsfrist werden Daten automatisch gelöscht

7. Auftragsverarbeiter regulieren

Verwenden Sie externe Software? Dann ist der Anbieter ein Auftragsverarbeiter nach Art. 28 DSGVO. Sie benötigen einen Auftragsverarbeitungsvertrag (AVV). Seriöse Anbieter stellen diesen automatisch bereit.

Was DSGVO-Verstöße für Ihren Club bedeuten

Bußgelder nach DSGVO können bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes betragen. Für einen kleinen Verein bedeutet selbst ein niedriges Bußgeld existenzielle Gefahr. Hinzu kommt: Ein Datenschutzverstoß wird der Erlaubnisbehörde gemeldet — mit möglichen Auswirkungen auf die CanG-Betriebserlaubnis.

Die praktische Lösung: Software mit eingebautem Datenschutz

Die einfachste Art, DSGVO-Compliance sicherzustellen, ist eine Software, die diese Anforderungen bereits eingebaut hat: Rollenbasierte Zugriffskontrolle, verschlüsselte Datenspeicherung, Exportfunktion für Auskunftsanfragen und Löschfunktion für das Recht auf Vergessenwerden. THC Gestión wurde mit diesen Anforderungen entwickelt und bietet einen Auftragsverarbeitungsvertrag für EU-Kunden.