Vereinspraxis
Webhooks
Die meisten Vereine brauchen keine Webhooks. Wer bis hierher gekommen ist, gehört wahrscheinlich zu den anderen: Es gibt eine Tabelle, ein Werkzeug oder eine kleine Anwendung, die etwas erfahren soll, wenn im Verein etwas passiert.
Was ein Webhook ist
Ein Anruf statt eines Nachfragens. Statt dass ein fremdes System alle zehn Minuten fragt „gibt's was Neues?“, meldet sich der Verein, wenn es etwas Neues gibt.
Technisch: Der Verein hinterlegt eine Zieladresse. Tritt ein Ereignis ein, wird eine Nachricht dorthin geschickt.
Typische Anwendungen in Vereinen:
- Neues Mitglied in eine eigene Tabelle übertragen — etwa in Airtable oder eine Datenbank, die eine Abteilung für ihre Zwecke führt.
- Chatnachricht im Vorstandskanal, wenn ein Aufnahmeantrag eingeht.
- Eigene Auswertung, die der Verein selbst gebaut hat.
Wer nichts davon vorhat, kann diesen Beitrag überspringen. Für den Vereinsalltag reichen Benachrichtigungen.
Das Geheimnis
Zu jedem Webhook gehört ein Geheimnis. Es wird beim Anlegen erzeugt und kopiert; das Zielsystem prüft damit, ob eine eintreffende Nachricht wirklich vom Verein stammt.
Ohne diese Prüfung könnte jeder, der die Zieladresse kennt, dorthin schreiben — und der Verein hätte eine Schnittstelle, über die Fremde Daten einspeisen. Das Geheimnis ist deshalb keine Formalität, sondern der Grund, warum man die Zieladresse überhaupt veröffentlichen kann.
Es gilt dasselbe wie bei jedem Passwort: nicht in eine Mail, nicht in ein geteiltes Dokument, nicht in den Vorstandschat.
Was das Ziel erfährt
Vor dem Anlegen zeigt die Seite, was das Ziel erfährt. Das ist der wichtigste Schritt.
Ein Webhook ist eine Datenweitergabe an ein System, das der Verein oft nicht selbst betreibt. Wer ihn einrichtet, sollte die Frage beantworten können: Welche personenbezogenen Daten verlassen damit den Verein, und wohin genau?
Zwei Regeln aus der Praxis:
- Kein Webhook an ein System, dessen Betreiber unbekannt ist. Ein Dienst, den ein Mitglied „mal ausprobiert“ hat, ist kein Empfänger für Mitgliederdaten.
- Kein Webhook ohne Eintrag im Verzeichnis der Verarbeitungstätigkeiten. Was regelmäßig Daten weitergibt, ist eine Verarbeitung.
Aktiv oder nicht
Webhooks lassen sich abschalten, ohne sie zu löschen. Das ist der übliche Weg, wenn ein Zielsystem umgebaut wird oder eine Weitergabe vorübergehend ruhen soll. Löschen ist endgültig; die Beschreibung, wozu der Webhook gedacht war, geht dabei verloren.
Deshalb gehört in jeden Webhook eine Beschreibung — „Mitglieder nach Airtable“ sagt in zwei Jahren mehr als eine Zieladresse, die aus Buchstaben und Zahlen besteht.
Webhook oder OIDC?
Zwei verschiedene Dinge, die gern verwechselt werden.
| Webhook | Angebundene Anwendung | |
|---|---|---|
| Richtung | Verein meldet an ein Ziel | Anwendung fragt beim Verein an |
| Auslöser | ein Ereignis | eine Anmeldung |
| Zweck | Daten weitergeben | Anmelden mit dem Vereinskonto |
| Beispiel | neues Mitglied nach Airtable | Forum, in dem sich Mitglieder anmelden |
Datenschutz
Ein Webhook ist die technisch unauffälligste Art, personenbezogene Daten aus einem Verein herauszugeben — und deshalb die, die am ehesten vergessen wird.
- Zweck festhalten. In der Beschreibung, nicht im Gedächtnis.
- Empfänger benennen. Wer betreibt das Ziel? Braucht es einen Auftragsverarbeitungsvertrag?
- Regelmäßig durchsehen. Ein Webhook, der seit zwei Jahren an ein abgeschaltetes System sendet, gehört gelöscht.
- Beim Amtswechsel prüfen. Wer den Webhook eingerichtet hat, ist vielleicht nicht mehr im Verein.
Das ist keine Rechtsberatung. Im Zweifel entscheidet der Verein mit seinem Datenschutzbeauftragten.
Häufige Fragen
Braucht das ein normaler Verein?
Nein. Webhooks sind für Vereine gedacht, die eigene Werkzeuge betreiben oder Daten in ein weiteres System übertragen wollen. Für Hinweise an den Vorstand genügen Benachrichtigungen.
Wofür ist das Geheimnis?
Damit das Zielsystem prüfen kann, dass eine Nachricht wirklich vom Verein kommt. Ohne diese Prüfung könnte jeder, der die Adresse kennt, dorthin schreiben.
Was erfährt das Ziel?
Das zeigt die Seite vor dem Anlegen. Wer einen Webhook einrichtet, sollte diese Übersicht gelesen haben — sie beschreibt, welche Daten den Verein verlassen.
Was passiert, wenn das Ziel nicht antwortet?
Dann kommt die Nachricht nicht an. Ein Webhook ist kein Ersatz für eine Datenhaltung — der führende Bestand bleibt im Verein.