DatenschutzVereinsrechtFördermittelGlossar
Die DSGVO-Pflichten beim Datenschutz im Verein — mit Checkliste
Die DSGVO im Verein wirkt umfangreicher, als sie ist. Für einen durchschnittlichen Verein lässt sie sich auf sechs Pflichten zurückführen, und fünf davon sind mit den Unterlagen erledigt, die ohnehin entstehen.
Diese Seite ordnet sie der Reihe nach: Rechtsgrundlage, Verzeichnis, Information, Betroffenenrechte, Auftragsverarbeitung, Löschung — jeweils mit der Norm, aus der sie folgt.
Sechs PflichtenGrundlagen
Datenschutz im Verein: die Grundlagen, die die DSGVO verlangt
Datenschutz im Verein hat einen schlechten Ruf, und der stammt überwiegend aus dem Jahr 2018, als die Verordnung wirksam wurde und Beratungsangebote den Eindruck erweckten, ein Verein brauche nun eine eigene Rechtsabteilung. Tatsächlich verlangt sie von einem durchschnittlichen Verein sechs Dinge, und die Unterlagen dafür entstehen ohnehin, wenn die Verwaltung geordnet geführt wird.
Die sechs sind: eine tragfähige Rechtsgrundlage für jede Verarbeitung, ein Verzeichnis der Verarbeitungstätigkeiten, die Information der Mitglieder, die Bearbeitung von Betroffenenrechten, ein Vertrag mit jedem Dienstleister, der im Auftrag verarbeitet, und gelebte Löschfristen. Alles Weitere ist Ausgestaltung.
Diese Seite geht sie in dieser Reihenfolge durch. Sie ist eine Orientierung für die Vorstandsarbeit und keine Rechtsberatung: Für die Auslegung im Einzelfall bleibt der Weg zur Aufsichtsbehörde des Landes oder zum Fachanwalt. Wer die Grundlagen einmal geordnet hat, braucht sie danach nur noch jährlich zu prüfen — und die Checkliste am Ende dieser Seite ist genau dafür gedacht.
Datenschutz für Vereine unterscheidet sich dabei in einem Punkt vom betrieblichen Datenschutz: Die Verarbeitung beruht überwiegend auf der Mitgliedschaft und nicht auf Verträgen mit Kunden. Das vereinfacht die Rechtsgrundlagen erheblich und macht die DSGVO im Verein handhabbarer, als ihr Ruf vermuten lässt.
Erste Pflicht: eine tragfähige Rechtsgrundlage
Jede Verarbeitung braucht eine Grundlage aus Artikel 6 DSGVO. Für den Kernbestand der Mitgliederdaten ist das die Durchführung des Mitgliedschaftsverhältnisses: Name, Anschrift, Eintrittsdatum, Beitragsklasse und Zahlungsweg sind erforderlich, um die Mitgliedschaft abzuwickeln, und brauchen deshalb keine gesonderte Einwilligung.
Das ist die wichtigste Klarstellung überhaupt, weil viele Vereine das Gegenteil annehmen und Einwilligungen für Dinge einholen, die keine brauchen — was die Lage verschlechtert: Eine Einwilligung ist jederzeit widerrufbar, und ein Widerruf für die Stammdaten würde den Beitragseinzug unmöglich machen. Einwilligungen gehören dorthin, wo die Verarbeitung über die Mitgliedschaft hinausgeht: Fotos, Geburtstagslisten, Werbung, Weitergabe an Dritte.
Daneben steht das berechtigte Interesse als Auffanggrundlage, etwa für die Öffentlichkeitsarbeit oder für Sicherheitsmaßnahmen. Es verlangt eine Abwägung, die dokumentiert sein sollte — ein kurzer Absatz im Protokoll genügt.
Zweite Pflicht: das Verzeichnis der Verarbeitungstätigkeiten
Artikel 30 DSGVO verlangt ein Verzeichnis. Die verbreitete Annahme, kleine Vereine seien befreit, greift zu kurz: Die Ausnahme für Stellen mit weniger als 250 Beschäftigten gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt — und die laufend gepflegte Mitgliederdatei ist genau das.
Inhaltlich verlangt das Verzeichnis wenig mehr, als die Bestandsliste aus Schritt eins ohnehin enthält: Zweck der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, Löschfristen, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Wer die Bestandsliste hat, ergänzt drei Spalten und ist fertig.
Information, Rechte, VerträgePflichten
Dritte bis fünfte Pflicht: Information, Betroffenenrechte, Auftragsverarbeitung
Die Informationspflicht aus Artikel 13 trifft den Verein bei der Erhebung. Er teilt mit, wer verantwortlich ist, zu welchen Zwecken und auf welcher Grundlage verarbeitet wird, wer Empfänger ist, wie lange gespeichert wird und welche Rechte bestehen. Der übliche Ort ist ein Merkblatt zum Aufnahmeantrag, ergänzt um einen Abschnitt in der Datenschutzerklärung der Website.
Die Betroffenenrechte sind der Teil, der im Alltag am ehesten schiefgeht — nicht wegen der Inhalte, sondern wegen der Frist. Ein Monat gilt für Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch. Wer eine Anfrage liegen lässt, weil er die Antwort noch prüft, hat allein durch den Fristablauf einen Verstoß begangen. Deshalb gehört festgelegt, wer Anfragen entgegennimmt und wo sie notiert werden.
| Recht | Norm | Was der Verein tun muss |
|---|---|---|
| Auskunft | Art. 15 | vollständige Ansicht aller Daten dieser Person, binnen eines Monats |
| Berichtigung | Art. 16 | unrichtige Angaben korrigieren, auch in Kopien |
| Löschung | Art. 17 | löschen, soweit keine Aufbewahrungsfrist entgegensteht |
| Einschränkung | Art. 18 | Daten sperren statt löschen, wenn geprüft wird |
| Übertragbarkeit | Art. 20 | Daten in einem gängigen Format herausgeben |
| Widerspruch | Art. 21 | Verarbeitung auf berechtigtes Interesse prüfen und ggf. einstellen |
Die fünfte Pflicht betrifft Dienstleister. Sobald ein Anbieter Daten im Auftrag des Vereins verarbeitet — jede Cloudlösung, jedes Versandwerkzeug, jede gehostete Mitgliederverwaltung —, braucht es einen Vertrag nach Artikel 28 DSGVO, und zwar bevor der erste Datensatz übertragen wird. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen, die Weisungsbindung, die Vertraulichkeit und die Rückgabe oder Löschung am Ende.
Ob ein Anbieter diesen Vertrag bereithält, ist deshalb eine Spalte in jeder Vergleichstabelle dieser Seite — siehe das Prüfraster. Ein Anbieter, der ihn erst auf Nachfrage sucht, ist ein Warnsignal.
Löschen und SichernPraxis
Sechste Pflicht: Löschfristen, die tatsächlich laufen
Personenbezogene Daten werden gelöscht, sobald der Zweck entfallen ist. Für den Verein heißt das: Nach dem Austritt eines Mitglieds endet der Zweck der Mitgliederverwaltung — mit Ausnahme dessen, was steuer- und handelsrechtliche Fristen betrifft. Diese Ausnahme wird regelmäßig zu weit gelesen: Sie erfasst Buchungsbelege, nicht den gesamten Datensatz.
Bewährt hat sich eine getrennte Ablage. Beitragsbelege und Zuwendungsbestätigungen bleiben im Rechnungswesen und unterliegen den Fristen der Abgabenordnung; der Datensatz im Verwaltungssystem wird gelöscht oder auf statistische Angaben reduziert. Damit ist beides erfüllt: die Aufbewahrung, wo sie vorgeschrieben ist, und die Löschung, wo sie geboten ist.
Technische und organisatorische Maßnahmen ohne Aufwand
Artikel 32 verlangt Maßnahmen, die dem Risiko angemessen sind — nicht die maximal denkbaren. Für einen Verein sind das im Kern vier: abgestufte Zugriffsrechte statt Vollzugriff für alle, Zugänge auf Vereinskonten statt auf privaten Adressen, eine Sicherung an einem zweiten Ort, und Verschlüsselung der Übertragung, die bei jedem seriösen Anbieter ohnehin gegeben ist.
Diese vier kosten nichts und werden in Schritt drei und Schritt sieben ohnehin eingerichtet. Wer sie umgesetzt hat, kann die Beschreibung im Verarbeitungsverzeichnis in fünf Zeilen abhandeln.
Was bei einer Datenpanne zu tun ist
Eine Verletzung des Schutzes personenbezogener Daten — eine falsch adressierte Rundmail mit offenem Verteiler, ein verlorener Datenträger, ein fremder Zugriff auf ein Konto — ist der Aufsichtsbehörde binnen 72 Stunden zu melden, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen.
Die Frist beginnt mit der Kenntnis, nicht mit der abgeschlossenen Aufklärung. Deshalb gehört vorher festgelegt, wer im Vorstand die Meldung veranlasst und wo die Kontaktdaten der zuständigen Landesbehörde stehen. Eine Meldung, die sich später als unnötig erweist, ist folgenlos; eine unterlassene ist es nicht.
Zum AbhakenCheckliste
Checkliste: Datenschutz für Vereine in zwölf Punkten
- Bestandsliste aller Verarbeitungen liegt vor und ist aktuell.
- Verarbeitungsverzeichnis nach Artikel 30 daraus abgeleitet.
- Für jede Verarbeitung ist die Rechtsgrundlage benannt.
- Einwilligungen nur dort, wo die Mitgliedschaft nicht trägt — mit Nachweis.
- Informationsblatt nach Artikel 13 liegt dem Aufnahmeantrag bei.
- Datenschutzerklärung der Website beschreibt die tatsächliche Einbindung.
- Zuständigkeit für Betroffenenanfragen ist festgelegt, Monatsfrist bekannt.
- Mit jedem Dienstleister besteht ein Vertrag nach Artikel 28.
- Löschfristen sind definiert und werden jährlich angewandt.
- Zugriffsrechte sind abgestuft, zwei Personen haben Verwaltungsrechte.
- Sicherung an einem zweiten Ort ist eingerichtet und wurde einmal geprüft.
- Meldeweg für Datenpannen ist festgelegt, Behördenkontakt hinterlegt.
Diese Checkliste ist bewusst kurz gehalten: Zwölf Punkte lassen sich in einer Sitzung durchgehen, dreißig nicht. Sie deckt die Grundlagen ab, die Datenschutz für Vereine ausmachen, und lässt die Sonderfälle bewusst weg — Videoüberwachung, Beschäftigtendaten und Gesundheitsangaben brauchen jeweils eine eigene Prüfung.
Zwölf Punkte, von denen zehn aus Unterlagen folgen, die eine geordnete Verwaltung ohnehin hervorbringt. Das ist der eigentliche Befund zum Datenschutz im Verein: Er ist keine zusätzliche Aufgabe neben der Vereinsarbeit, sondern die dokumentierte Form derselben Arbeit. Wer die sieben Schritte gegangen ist, hat den größten Teil davon bereits erledigt.
Häufige Fragen
16 Fragen, die in der Vorstandsarbeit tatsächlich gestellt werden.
Gilt die DSGVO auch für kleine Vereine?
Ja, ohne Untergrenze. Die Datenschutz-Grundverordnung knüpft nicht an eine Größe an, sondern an die Verarbeitung personenbezogener Daten — und die findet in jedem Verein statt, der eine Mitgliederliste führt.
Was von der Größe abhängt, sind einzelne Pflichten, etwa die Benennung eines Datenschutzbeauftragten. Die Grundpflichten gelten unabhängig davon.
Braucht der Verein ein Verarbeitungsverzeichnis?
In aller Regel ja. Die Ausnahme in Artikel 30 Absatz 5 für Stellen mit weniger als 250 Beschäftigten greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt — und eine laufend gepflegte Mitgliederdatei ist der Musterfall einer nicht gelegentlichen Verarbeitung.
Der Aufwand ist gering, wenn die Bestandsliste aus Schritt eins vorliegt: Sie enthält bereits Zweck, Datenkategorien und Empfänger.
Auf welcher Rechtsgrundlage verarbeitet ein Verein Mitgliederdaten?
Auf der Durchführung des Mitgliedschaftsverhältnisses. Sie trägt alles, was für Beitrag, Einladung, Rechte und Pflichten der Mitgliedschaft erforderlich ist — ohne gesonderte Einwilligung.
Eine Einwilligung wäre hier sogar nachteilig, weil sie jederzeit widerrufen werden kann. Sie wird nur dort gebraucht, wo die Verarbeitung über die Mitgliedschaft hinausgeht.
Wofür braucht der Verein eine Einwilligung?
Für Fotoveröffentlichungen mit erkennbaren Personen, für Geburtstagslisten, für Werbung, für die Weitergabe an Dritte über die Pflichtmeldung hinaus und für alles, was nicht zur Durchführung der Mitgliedschaft erforderlich ist.
Die Einwilligung muss freiwillig, informiert und nachweisbar sein und jederzeit widerrufen werden können — mit demselben Aufwand, mit dem sie erteilt wurde.
Muss ein Datenschutzbeauftragter benannt werden?
Nur unter bestimmten Voraussetzungen. Das Bundesdatenschutzgesetz knüpft die Pflicht unter anderem an die Zahl der Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; daneben gelten die Fälle des Artikels 37 DSGVO, etwa bei umfangreicher Verarbeitung besonderer Kategorien.
Die meisten kleinen Vereine liegen darunter. Die übrigen Pflichten bestehen unabhängig davon — sie hängen nicht an der Benennung.
Wie lange dürfen Daten aufbewahrt werden?
So lange, wie der Zweck es erfordert, und darüber hinaus nur, soweit eine gesetzliche Aufbewahrungsfrist besteht. Für steuerlich relevante Belege gelten die Fristen der Abgabenordnung; die Mitgliederdatei selbst unterliegt ihnen nicht.
Bewährt hat sich eine getrennte Ablage: Belege bleiben im Rechnungswesen, der Datensatz im Verwaltungssystem wird nach Austritt gelöscht oder anonymisiert.
Was ist ein Vertrag zur Auftragsverarbeitung?
Eine schriftliche Vereinbarung zwischen dem Verein als Verantwortlichem und einem Dienstleister, der Daten in seinem Auftrag verarbeitet. Artikel 28 DSGVO schreibt Inhalte vor: Gegenstand, Dauer, Art und Zweck, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, Rückgabe oder Löschung.
Ohne diesen Vertrag darf der Verein einem Anbieter keine Mitgliederdaten übergeben. Er ist die Voraussetzung der Zulässigkeit, nicht ihre Dokumentation.
Welche Rechte haben die Mitglieder?
Auskunft über die zu ihrer Person gespeicherten Daten, Berichtigung unrichtiger Angaben, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen bestimmte Verarbeitungen.
Die Frist für die Antwort beträgt einen Monat und kann bei komplexen Anfragen verlängert werden. Wer sie versäumt, hat allein deshalb einen Verstoß begangen.
Was tun bei einer Datenpanne?
Prüfen, ob ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Wenn ja, ist die Verletzung der Aufsichtsbehörde binnen 72 Stunden zu melden; bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen.
Die Frist beginnt mit der Kenntnis, nicht mit der abgeschlossenen Aufklärung. Deshalb gehört ein interner Meldeweg festgelegt, bevor der Fall eintritt.
Dürfen Mitgliederdaten an den Dachverband weitergegeben werden?
Soweit Satzung oder Verbandsordnung es vorsehen und der Zweck sie trägt — etwa Spielberechtigungen, Versicherungsschutz oder Lizenzen. Der Umfang ist auf das Erforderliche beschränkt.
Eine pauschale Übermittlung der vollständigen Datei ist nicht gedeckt. Was übermittelt wird, gehört ins Verarbeitungsverzeichnis und in die Information nach Artikel 13.
Was gilt für Fotos von Vereinsveranstaltungen?
Für Aufnahmen mit erkennbaren Personen ist im Vereinskontext die Einwilligung der sichere Weg; bei Minderjährigen zusätzlich die der Sorgeberechtigten. Bilder von Menschenansammlungen, auf denen keine Person im Mittelpunkt steht, sind eher unproblematisch.
Die Einwilligung muss widerrufbar sein — praktisch heißt das, dass der Verein Bilder auf Verlangen entfernen können muss, auch aus Verzeichnissen und Aushängen.
Was sind besondere Kategorien personenbezogener Daten?
Angaben über Gesundheit, ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, Sexualleben und biometrische Daten zur Identifizierung. Für sie gilt Artikel 9 DSGVO mit einem grundsätzlichen Verarbeitungsverbot und engen Ausnahmen.
Im Verein betrifft das vor allem Gesundheitsangaben in Sportvereinen. Meist ist die richtige Konsequenz, sie gar nicht erst zu erheben.
Reicht ein Muster für die Datenschutzerklärung?
Als Gerüst ja, als Ergebnis nein. Eine Erklärung muss beschreiben, was die Seite tatsächlich tut. Der häufigste Fehler ist ein Mustertext, der Analysewerkzeuge und Kartendienste nennt, die gar nicht eingebunden sind.
Das ist nicht nur unrichtig, es erschwert auch jede spätere Prüfung — weil niemand mehr weiß, was der Verein wirklich einsetzt.
Wer haftet für Datenschutzverstöße im Verein?
Verantwortlicher im Sinne der Verordnung ist der Verein als juristische Person, vertreten durch den Vorstand. Bußgelder richten sich gegen den Verein.
Für ehrenamtlich tätige Vorstandsmitglieder sieht das Bürgerliche Gesetzbuch eine Haftungsbeschränkung im Innenverhältnis vor. Sie ersetzt keine Sorgfalt, mildert aber die persönliche Folge.
Wie oft sollte der Datenschutz überprüft werden?
Einmal jährlich, am besten im selben Turnus wie die Kassenprüfung. Geprüft werden Zugriffsrechte, Löschfristen, laufende Verträge zur Auftragsverarbeitung und die Aktualität des Verarbeitungsverzeichnisses.
Der Aufwand liegt bei einer halben Stunde, wenn die Unterlagen aus dem ersten Durchlauf vorliegen.
Was ist der häufigste Fehler in Vereinen?
Die zweite Adressliste. Sie entsteht ohne Absicht, wird von einem anderen Amt gepflegt, hat keine dokumentierte Grundlage und wird bei Löschanfragen übersehen — womit aus einem Ordnungsproblem ein Rechtsverstoß wird.
Der zweite ist der Vollzugriff für alle, weil das Werkzeug keine Rollen kennt. Beides löst Schritt zwei.