Was ein CSC pflichtgemäß dokumentieren muss
Das Cannabisgesetz verpflichtet jeden Anbauverein, bestimmte Daten lückenlos zu führen. Diese Dokumentation ist keine Option — sie ist Voraussetzung für die Betriebserlaubnis. Wer die Daten nicht führt, riskiert die Schließung des Clubs. Die Mindestanforderungen:
| Datenkategorie | Was konkret gespeichert wird | Rechtsgrundlage |
|---|---|---|
| Mitgliedsdaten | Name, Anschrift, Geburtsdatum, Mitgliedsnummer | CanG § 15 Abs. 1 |
| Abgabeprotokoll | Datum, Uhrzeit, ausgegebene Menge in Gramm | CanG § 26 Abs. 3 |
| Produktdaten | THC-Gehalt in %, Sortenbezeichnung | CanG § 26 Abs. 3 |
| Tageslimit-Prüfung | Kumulierte Tagesmenge (max. 25 g) | CanG § 19 Abs. 1 |
Hinzu kommen Beitragszahlungsdaten, ein Altersnachweis bei der Aufnahme und — je nach Vereinssatzung — weitere interne Verwaltungsdaten. Kurz: Jedes Mal wenn du Cannabis holst, wird ein Dateneintrag erzeugt.
Behörden dürfen OHNE Anfangsverdacht einsehen
Das ist der Punkt, der vielen Mitgliedern nicht bewusst ist: Polizei, Zoll und Gesundheitsämter dürfen die Mitgliederlisten und Abgabeprotokolle eines CSC im Rahmen von Regelkontrollen einsehen — ohne dass ein konkreter Verdacht auf eine Straftat vorliegt. Eine richterliche Anordnung ist nicht erforderlich.
Folgende Behörden haben konkrete Einsichtsrechte laut CanG:
- Gesundheitsämter: Regelkontrolle der Abgabelisten, Prüfung der THC-Grenzwerte und Ausgabemengen
- Zoll: Kontrolle der Anbauberechtigungen und Mengennachweise beim Eigenanbau
- Polizei: Einsicht nach CanG § 28 bei Kontrollen und bei begründetem Verdacht
- Finanzbehörden: Steuerrelevante Unterlagen, wenn der Verein Beiträge erhebt
Außerdem ist eine Weitergabe an andere Behörden möglich — etwa wenn das Gesundheitsamt bei einer Kontrolle Hinweise auf andere Verstöße findet und diese an die Staatsanwaltschaft weitergibt.
Speicherdauer: Mindestens 2 Jahre nach CanG
Alle abgaberelevanten Daten müssen laut CanG mindestens zwei Jahre aufbewahrt werden. Das bedeutet in der Praxis: Selbst wenn du heute austritts, bleiben deine Abgabeprotokolle der letzten zwei Jahre erhalten. Dein DSGVO-Löschungsanspruch greift erst danach.
Noch länger können Beitragszahlungen und Buchführungsunterlagen gespeichert bleiben — die steuerrechtliche Aufbewahrungspflicht beträgt bis zu zehn Jahre. Dieser Konflikt zwischen DSGVO-Datensparsamkeit und steuerrechtlichen Pflichten ist bisher nicht abschließend gerichtlich geklärt.
Deine Konsumdaten sind Gesundheitsdaten nach DSGVO Art. 9
Daten über deinen Cannabis-Konsum gelten nach herrschender Rechtsauffassung als Gesundheitsdaten im Sinne von DSGVO Art. 9 Abs. 1. Das ist dieselbe Schutzkategorie wie Krankheitsdaten beim Arzt oder genetische Daten. Für den CSC bedeutet das erhöhte Pflichten:
- Verarbeitung nur auf gesetzlicher Grundlage (CanG) oder mit ausdrücklicher Einwilligung
- Technisch-organisatorische Schutzmaßnahmen müssen dem erhöhten Risiko entsprechen
- Unbefugter Zugriff ist ein schwerwiegender Verstoß — nicht nur eine Ordnungswidrigkeit
- Ab einer bestimmten Mitgliederzahl kann ein Datenschutzbeauftragter Pflicht sein
5 Fragen, die du vor dem Beitritt stellen solltest
Seriöse Clubs beantworten Datenschutzfragen transparent. Zögern, Ausweichen oder Unwissen beim Vorstand ist ein Warnsignal — schon bevor du Mitglied wirst.
- Wo werden die Mitglieder- und Abgabedaten gespeichert — lokal oder in der Cloud?
- Welche Software nutzt der Club für die Abgabedokumentation?
- Wer im Verein hat Zugriff auf die Mitgliederdaten?
- Gibt es eine aktuelle Datenschutzerklärung und einen benannten Datenschutzbeauftragten?
- Wie werden Daten bei Vereinsauflösung sicher gelöscht oder übergeben?
Vergleich: Datenschutzrisiko CSC vs. Eigenanbau vs. Schwarzmarkt
| Beschaffungsweg | Datenpflicht | Behördliche Einsicht | Speicherdauer |
|---|---|---|---|
| Cannabis Social Club | Ja — Name, Menge, THC | Ja — ohne Anfangsverdacht | Mind. 2 Jahre |
| Eigenanbau (3 Pflanzen) | Keine Meldepflicht | Nur bei konkretem Verdacht | Keine Pflicht |
| Schwarzmarkt | Keine — aber illegal | Strafverfolgungsrisiko | Keine Datenspur — aber Strafrisiko |
Deine DSGVO-Rechte als CSC-Mitglied
Trotz gesetzlicher Aufbewahrungspflichten hast du als betroffene Person konkrete Rechte:
- Auskunft (Art. 15): Du kannst jederzeit wissen wollen, welche Daten der Club über dich gespeichert hat.
- Berichtigung (Art. 16): Falsche Daten — z. B. falsche Ausgabemenge — musst der Club auf Verlangen korrigieren.
- Löschung (Art. 17): Nach Austritt und Ablauf der 2-Jahres-Frist besteht Anspruch auf vollständige Löschung.
- Beschwerde (Art. 77): Bei Verstößen kannst du dich kostenlos bei der Landesdatenschutzbehörde beschweren.
Was bei einer Datenpanne passiert
Datenpannen im CSC-Bereich sind kein theoretisches Risiko — gestohlene Laptops mit unverschlüsselten Mitgliederlisten, schwach gesicherte Cloud-Dienste oder versehentlich verschickte E-Mails können schnell passieren. Im Ernstfall gelten diese Pflichten für den Verein:
- 72-Stunden-Meldepflicht: Der Club muss die zuständige Datenschutzbehörde informieren (DSGVO Art. 33).
- Betroffenenbenachrichtigung: Du musst unverzüglich und direkt informiert werden (Art. 34).
- Dokumentationspflicht: Jeder Vorfall muss intern schriftlich dokumentiert werden.
- Mögliche Folgen: Bußgelder bis 20 Mio. Euro oder 4 % des Jahresumsatzes — bei Wiederholung Entzug der Betriebserlaubnis.
Häufige Fragen zum CSC Datenschutz
Wer darf meine Daten beim CSC einsehen?
Behörden wie Polizei, Zoll und Gesundheitsämter dürfen laut CanG §§ 26–28 ohne konkreten Tatverdacht die Mitglieder- und Abgabelisten eines CSC einsehen. Intern hat der Vereinsvorstand und von ihm beauftragte Personen Zugriff. Ein richterlicher Beschluss ist für Regelkontrollen nicht erforderlich.
Werden Daten bei Clubaustritt gelöscht?
Nicht sofort. Das CanG schreibt eine Aufbewahrungspflicht von mindestens zwei Jahren vor. Dein Löschungsanspruch nach DSGVO Art. 17 greift erst nach Ablauf dieser Frist. Danach musst du die Löschung aktiv einfordern — sie erfolgt nicht automatisch.
Was passiert mit meinen Daten wenn der Club geschlossen wird?
Bei Auflösung des Vereins müssen die Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen vernichtet werden. Wer die Daten während der Aufbewahrungsfrist treuhänderisch verwaltet, muss in der Satzung geregelt sein. Ist das nicht geregelt, kann es zur unkontrollierten Datenweitergabe kommen — ein Warnsignal beim Beitritt.
Ist die Mitgliedschaft im CSC sicher vor Strafverfolgung?
Legaler Erwerb und Besitz innerhalb der gesetzlichen Grenzen ist straflos. Allerdings werden deine Daten im Abgabeprotokoll gespeichert und sind für Behörden einsehbar. Bei einer zukünftigen Gesetzesänderung könnten diese Daten neu bewertet werden. Vollständige Immunität gibt es nicht.
Wie lange speichert ein CSC meine Daten?
Mindestens zwei Jahre — das schreibt das CanG als Aufbewahrungspflicht vor. Dazu kommen möglicherweise steuerrechtliche Aufbewahrungsfristen von bis zu zehn Jahren für Beitragszahlungen. Nach Ablauf aller Fristen besteht Anspruch auf Löschung nach DSGVO Art. 17.
Was tun wenn mein CSC keine Datenschutzerklärung hat?
Clubs ohne Datenschutzerklärung verstoßen gegen DSGVO Art. 13 und 14. Du kannst den Vorstand schriftlich zur Auskunft auffordern. Bei ausbleibender Antwort kannst du Beschwerde bei der zuständigen Landesdatenschutzbehörde einlegen. Kein Datenschutz vor dem Beitritt ist ein ernstes Warnsignal.
Weiterführende Ratgeber
Häufige Fragen
Immer up to date
Neue Guides, Gesetzesänderungen & frische Clubs — direkt ins Postfach. Kein Spam, jederzeit abmeldbar.
Mit Klick auf "Anmelden" stimmst du unserer Datenschutzerklärung zu. Double Opt-in per E-Mail.