Das Cannabisgesetz verpflichtet jeden Anbauverein, bestimmte Daten lückenlos zu führen. Diese Dokumentation ist keine Option — sie ist Voraussetzung für die Betriebserlaubnis. Wer die Daten nicht führt, riskiert die Schließung des Clubs. Die Mindestanforderungen:
| Datenkategorie | Was konkret gespeichert wird | Rechtsgrundlage |
|---|---|---|
| Mitgliedsdaten | Name, Anschrift, Geburtsdatum, Mitgliedsnummer | CanG § 15 Abs. 1 |
| Abgabeprotokoll | Datum, Uhrzeit, ausgegebene Menge in Gramm | CanG § 26 Abs. 3 |
| Produktdaten | THC-Gehalt in %, Sortenbezeichnung | CanG § 26 Abs. 3 |
| Tageslimit-Prüfung | Kumulierte Tagesmenge (max. 25 g) | CanG § 19 Abs. 1 |
Hinzu kommen Beitragszahlungsdaten, ein Altersnachweis bei der Aufnahme und — je nach Vereinssatzung — weitere interne Verwaltungsdaten. Kurz: Jedes Mal wenn du Cannabis holst, wird ein Dateneintrag erzeugt.
Das ist der Punkt, der vielen Mitgliedern nicht bewusst ist: Polizei, Zoll und Gesundheitsämter dürfen die Mitgliederlisten und Abgabeprotokolle eines CSC im Rahmen von Regelkontrollen einsehen — ohne dass ein konkreter Verdacht auf eine Straftat vorliegt. Eine richterliche Anordnung ist nicht erforderlich.
Folgende Behörden haben konkrete Einsichtsrechte laut CanG:
Außerdem ist eine Weitergabe an andere Behörden möglich — etwa wenn das Gesundheitsamt bei einer Kontrolle Hinweise auf andere Verstöße findet und diese an die Staatsanwaltschaft weitergibt.
Alle abgaberelevanten Daten müssen laut CanG mindestens zwei Jahre aufbewahrt werden. Das bedeutet in der Praxis: Selbst wenn du heute austritts, bleiben deine Abgabeprotokolle der letzten zwei Jahre erhalten. Dein DSGVO-Löschungsanspruch greift erst danach.
Noch länger können Beitragszahlungen und Buchführungsunterlagen gespeichert bleiben — die steuerrechtliche Aufbewahrungspflicht beträgt bis zu zehn Jahre. Dieser Konflikt zwischen DSGVO-Datensparsamkeit und steuerrechtlichen Pflichten ist bisher nicht abschließend gerichtlich geklärt.
Daten über deinen Cannabis-Konsum gelten nach herrschender Rechtsauffassung als Gesundheitsdaten im Sinne von DSGVO Art. 9 Abs. 1. Das ist dieselbe Schutzkategorie wie Krankheitsdaten beim Arzt oder genetische Daten. Für den CSC bedeutet das erhöhte Pflichten:
Seriöse Clubs beantworten Datenschutzfragen transparent. Zögern, Ausweichen oder Unwissen beim Vorstand ist ein Warnsignal — schon bevor du Mitglied wirst.
| Beschaffungsweg | Datenpflicht | Behördliche Einsicht | Speicherdauer |
|---|---|---|---|
| Cannabis Social Club | Ja — Name, Menge, THC | Ja — ohne Anfangsverdacht | Mind. 2 Jahre |
| Eigenanbau (3 Pflanzen) | Keine Meldepflicht | Nur bei konkretem Verdacht | Keine Pflicht |
| Schwarzmarkt | Keine — aber illegal | Strafverfolgungsrisiko | Keine Datenspur — aber Strafrisiko |
Trotz gesetzlicher Aufbewahrungspflichten hast du als betroffene Person konkrete Rechte:
Datenpannen im CSC-Bereich sind kein theoretisches Risiko — gestohlene Laptops mit unverschlüsselten Mitgliederlisten, schwach gesicherte Cloud-Dienste oder versehentlich verschickte E-Mails können schnell passieren. Im Ernstfall gelten diese Pflichten für den Verein:
Behörden wie Polizei, Zoll und Gesundheitsämter dürfen laut CanG §§ 26–28 ohne konkreten Tatverdacht die Mitglieder- und Abgabelisten eines CSC einsehen. Intern hat der Vereinsvorstand und von ihm beauftragte Personen Zugriff. Ein richterlicher Beschluss ist für Regelkontrollen nicht erforderlich.
Nicht sofort. Das CanG schreibt eine Aufbewahrungspflicht von mindestens zwei Jahren vor. Dein Löschungsanspruch nach DSGVO Art. 17 greift erst nach Ablauf dieser Frist. Danach musst du die Löschung aktiv einfordern — sie erfolgt nicht automatisch.
Bei Auflösung des Vereins müssen die Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen vernichtet werden. Wer die Daten während der Aufbewahrungsfrist treuhänderisch verwaltet, muss in der Satzung geregelt sein. Ist das nicht geregelt, kann es zur unkontrollierten Datenweitergabe kommen — ein Warnsignal beim Beitritt.
Legaler Erwerb und Besitz innerhalb der gesetzlichen Grenzen ist straflos. Allerdings werden deine Daten im Abgabeprotokoll gespeichert und sind für Behörden einsehbar. Bei einer zukünftigen Gesetzesänderung könnten diese Daten neu bewertet werden. Vollständige Immunität gibt es nicht.
Mindestens zwei Jahre — das schreibt das CanG als Aufbewahrungspflicht vor. Dazu kommen möglicherweise steuerrechtliche Aufbewahrungsfristen von bis zu zehn Jahren für Beitragszahlungen. Nach Ablauf aller Fristen besteht Anspruch auf Löschung nach DSGVO Art. 17.
Clubs ohne Datenschutzerklärung verstoßen gegen DSGVO Art. 13 und 14. Du kannst den Vorstand schriftlich zur Auskunft auffordern. Bei ausbleibender Antwort kannst du Beschwerde bei der zuständigen Landesdatenschutzbehörde einlegen. Kein Datenschutz vor dem Beitritt ist ein ernstes Warnsignal.
Neue Guides, Gesetzesänderungen & frische Clubs — direkt ins Postfach. Kein Spam, jederzeit abmeldbar.
Mit Klick auf "Anmelden" stimmst du unserer Datenschutzerklärung zu. Double Opt-in per E-Mail.
