Ein Verein verarbeitet personenbezogene Daten, sobald er beispielsweise Mitgliedsanträge, Beitragszahlungen oder Teilnehmerlisten organisiert. Gemeinnützigkeit und ehrenamtliche Arbeit schaffen keine allgemeine Ausnahme von der DSGVO. Wie umfangreich die Maßnahmen sein müssen, hängt von Daten, Risiken und Abläufen ab. Dieser Leitfaden richtet sich an den Vorstand und die Menschen, die mit Mitgliederdaten arbeiten: Welche Daten sind nötig, wer darf sie sehen, wann dürfen sie weitergegeben werden und wie wird nach einem Austritt aufgeräumt? Für Stiftungen und größere Träger gibt es den ergänzenden Beitrag DSGVO für Vereine und Stiftungen.
Ausgangspunkt: vier typische Datenbestände
Ein Mitgliedsantrag enthält Namen, Anschrift, Kontakt und vielleicht Bankdaten. In der laufenden Arbeit entstehen Beitragsbuchungen, Einladungen und Protokolle. Für Sport oder Jugendarbeit können außerdem Geburtsdaten, Gesundheitsangaben und Fotos nötig sein. Ein Verein verarbeitet auch Daten von Interessenten, Ehrenamtlichen, Beschäftigten und Spendern. Inventarisieren Sie deshalb nicht nur die Mitgliederkartei, sondern auch Papierakten, gemeinsam genutzte Postfächer, private Geräte und externe Plattformen. Das BayLDA stellt Hilfen für Vereine bereit, darunter Hinweise zu Informationspflichten und Weitergaben.
Die Zweckbindung nach der DSGVO hilft bei der Abgrenzung neuer Nutzungen. Die Zwecke sollten so beschrieben werden, dass eine betroffene Person sie versteht: Mitgliedschaft organisieren, Beitrag einziehen, Spielberechtigung prüfen oder Spendenbescheinigung erstellen. „Vereinsarbeit“ allein erklärt nicht, warum eine Jugendtrainerin Gesundheitsangaben erhält oder ein Sponsor eine Adressliste möchte. Im Verzeichnis der Verarbeitungstätigkeiten halten Sie Zweck, betroffene Gruppen, Daten, Empfänger, Löschfristen und Schutzmaßnahmen fest. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten greift bei regelmäßiger Mitgliederverwaltung in der Regel nicht, weil diese Verarbeitung nicht nur gelegentlich erfolgt.
Rechtsgrundlagen passend zum Zweck
Daten, die für Beitritt, Mitgliedschaft und Beitragseinzug erforderlich sind, können auf Art. 6 Abs. 1 Buchst. b DSGVO gestützt werden. Satzung und Beitrittsunterlagen helfen zu erkennen, was zur Mitgliedschaft gehört; sie schaffen aber keine unbegrenzte Erlaubnis für neue Zwecke. Gesetzlich erforderliche Buchführung kann unter Buchst. c fallen. Für andere Vorgänge kommen je nach Umständen berechtigte Interessen nach Buchst. f oder eine wirksame Einwilligung nach Buchst. a in Betracht. Dokumentieren Sie die Prüfung je Vorgang, statt alle Vereinsdaten pauschal einem einzigen Buchstaben zuzuordnen.
Einwilligung ist vor allem dann sinnvoll, wenn ein zusätzlicher Zweck freiwillig ist und die Ablehnung keine Nachteile für die Mitgliedschaft hat. Ein allgemeiner Haken „Ich akzeptiere Datenschutz“ trägt keine Veröffentlichung von Bildern auf beliebigen Plattformen. Auch die Verarbeitung besonderer Kategorien, etwa von Gesundheitsdaten, benötigt neben Art. 6 eine passende Ausnahme nach Art. 9. Die Ausnahme des Art. 9 Abs. 2 Buchst. d gilt nur für bestimmte nicht gewinnorientierte Organisationen mit politischer, weltanschaulicher, religiöser oder gewerkschaftlicher Zielsetzung und unter weiteren Bedingungen. Ein Sportverein darf sich nicht allein wegen seiner Gemeinnützigkeit darauf berufen. Die besonderen Datenkategorien verlangen eine gesonderte Prüfung.
Mitgliedsdaten an einen Verband melden
Prüfen Sie zuerst, welche Meldung die Mitgliedschaft tatsächlich erfordert: beispielsweise Daten für eine Spielberechtigung oder Versicherung. Sind Empfänger und Zweck in Satzung und Aufnahmeinformation hinreichend erkennbar? Welche Felder sind erforderlich? Eine Verbandsmitgliedschaft auf Vereinsebene rechtfertigt nicht automatisch die Übermittlung aller Kontaktdaten einzelner Mitglieder. Bei einem neuen Zweck informieren Sie die Personen vor der weiteren Verarbeitung; das BayLDA nennt gerade die spätere Meldung für Ehrungen als Beispiel.
An Sponsoren sollten Listen nicht allein deshalb gehen, weil sie den Verein unterstützen. Eine Übermittlung für deren eigene Werbung ist ein anderer Zweck und erfordert eigene rechtliche Prüfung, klare Information und gegebenenfalls Einwilligung. Halten Sie fest, ob ein Dienstleister nur im Auftrag des Vereins handelt oder der Verband als eigener Verantwortlicher entscheidet. Bei einem echten Auftragsverarbeiter ist ein Vertrag nach Art. 28 DSGVO nötig; nicht jede externe Stelle ist automatisch Auftragsverarbeiter.
Ehrenamtliche brauchen passende Zugriffe
Vorstand, Kasse, Trainer und Helfer benötigen verschiedene Teile der Daten. Der Kassenwart braucht Beitrag und Zahlung, der Trainer möglicherweise Kontakte für Termine, ein Helfer an der Abendkasse nur eine aktuelle Teilnehmerliste. Geben Sie persönliche Konten aus, begrenzen Sie Berechtigungen und entziehen Sie sie nach dem Ende der Aufgabe. Teilen Sie keine dauerhaft gültigen Gruppenpasswörter in einem Chat.
Unterweisen Sie Ehrenamtliche verständlich: keine Listen an private Adressbücher kopieren, Empfänger vor Versand prüfen, Verlust eines Geräts sofort melden und Daten nicht für eigene Zwecke verwenden. Eine dokumentierte Vertraulichkeitszusage kann das stützen. Bezeichnen Sie sie jedoch nicht pauschal als gesetzliche Verpflichtung nach § 53 BDSG; diese Vorschrift betrifft bestimmte öffentliche Stellen. Das BayLDA-Muster für kleine Vereine empfiehlt, Personen mit Datenzugang auf die DSGVO-Grundsätze hinzuweisen.
Fotos, Minderjährige und Internet
Zwischen einem internen Mannschaftsbild, einem Pressefoto bei einer öffentlichen Veranstaltung und einem Portrait auf einer sozialen Plattform liegen unterschiedliche Zwecke und Risiken. Prüfen Sie für Aufnahme und Veröffentlichung die DSGVO und die Regeln des Kunsturhebergesetzes. Übersichtsaufnahmen können anders zu beurteilen sein als gezielte Einzelbilder; § 23 KunstUrhG ist keine generelle Freigabe für alle Veranstaltungsfotos. Besonders bei Kindern sollte der Verein den Zweck, die Plattform und die Möglichkeit der Ablehnung genau erklären. Die Einwilligung und ihre Voraussetzungen sind relevant, wenn der Verein sich auf sie stützt.
Eine Einwilligung beim Eintritt für sämtliche künftigen Fotos ist oft zu unbestimmt. Praktischer ist eine nachvollziehbare Auswahl: interne Teamverwaltung, Vereinswebseite und Social Media getrennt betrachten. Erfassen Sie Widerrufe und sorgen Sie dafür, dass die Verantwortlichen für Veröffentlichungen davon erfahren. Bereits gedruckte Hefte lassen sich nicht immer zurückholen; für künftige Nutzung und noch kontrollierbare Online-Inhalte muss die Lage neu geprüft werden. Klären Sie auch, wer im Verein Fotos macht und an wen Dateien weitergegeben werden.
Website und Nachrichten an Mitglieder
Eine einfache Vereinswebseite braucht eine zutreffende Datenschutzerklärung. Ob ein Einwilligungsbanner erforderlich ist, hängt von den konkret eingesetzten Speichern und Zugriffen auf Endgeräte ab, nicht vom Vorhandensein einer Webseite als solcher. Eingebettete Videos, Karten und Messdienste sind einzeln zu prüfen. Beachten Sie dabei die Regeln des TDDDG; die Anforderungen an Cookie-Banner sind für nicht notwendige Technologien zu beachten.
Für Einladungen zur Mitgliederversammlung, Werbung für ein kommerzielles Angebot und einen offenen Newsletter können verschiedene Grundlagen und Regeln gelten. Senden Sie keine komplette Mitgliederliste im sichtbaren Verteiler. Einwilligungen in elektronische Werbung müssen den konkreten Zweck abdecken; ein dokumentiertes Double-Opt-In kann den Nachweis erleichtern, ist aber nicht selbst eine in der DSGVO ausdrücklich genannte allgemeine Pflicht. Bei Messenger-Gruppen prüfen Sie Adressbuchzugriff, Sichtbarkeit von Telefonnummern und eine gleichwertige Alternative für Personen, die nicht teilnehmen möchten.
Löschung und Aufbewahrung nach Austritt
Trennen Sie Stammdaten, Beitragsbelege, Spendenunterlagen und Fotos. Für einen ehemaligen Kontakt kann die aktive Mitgliederkartei nach Abschluss offener Vorgänge bereinigt werden, während bestimmte Buchungsunterlagen aufgrund steuer- oder handelsrechtlicher Pflichten länger archiviert bleiben. Die konkreten Fristen hängen von der Art des Dokuments und dem anwendbaren Recht ab; § 147 AO ordnet nicht pauschal für jeden Vereinsdatensatz zehn Jahre an. Vermerken Sie die jeweilige Grundlage, den Fristbeginn und den Zeitpunkt der Löschung. Eine Vorlage für ein Löschkonzept kann die getrennten Regeln für Kartei, Belege und Fotos strukturiert festhalten.
Archivierung bedeutet nicht freien Zugriff wie im aktiven Vereinsbetrieb. Beschränken Sie die Personen, die alte Belege sehen können, und schützen Sie Sicherungskopien. Die Löschung nach Art. 17 hat gesetzliche Ausnahmen; eine Anfrage nach Austritt verlangt daher eine Prüfung pro Datenart. Erklären Sie der Person, was entfernt wurde und was aus einem konkreten rechtlichen Grund noch aufbewahrt wird.
Datenschutzbeauftragter: alle Auslöser prüfen
Für nichtöffentliche Stellen ergänzt § 38 BDSG die europäische Regel: In der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind, lösen eine Benennungspflicht aus. Das kann ehrenamtlich Tätige betreffen; entscheidend ist die tatsächliche Tätigkeit, nicht nur der Arbeitsvertrag. Die Vorschrift nennt außerdem Fälle unabhängig von der Personenzahl, unter anderem Verarbeitungen mit Datenschutz-Folgenabschätzung. Zusätzlich können die Auslöser des Art. 37 DSGVO greifen, etwa umfangreiche Verarbeitung besonderer Daten als Kerntätigkeit. Der aktuelle § 38 BDSG ist der Ausgangspunkt.
Ein kleiner Verein ohne Benennungspflicht benötigt trotzdem jemanden im Vorstand, der Anfragen, Dienstleister und Vorfälle koordiniert. Nennen Sie diese Person nicht ohne Weiteres „Datenschutzbeauftragter“, wenn Sie die gesetzliche Funktion mit ihren Anforderungen nicht eingerichtet haben. Ein Ansprechpartner kann Aufgaben verteilen; der Vorstand bleibt für die Umsetzung verantwortlich.
Eine Datenpanne bearbeiten
Eine offen versandte Mitgliederliste ist zunächst ein Vorfall, der gesichert und bewertet werden muss. Fragen Sie, welche Daten betroffen sind, wer sie erhalten hat und ob Empfänger die Nachricht löschen konnten. Nach Art. 33 Abs. 1 DSGVO muss der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich. Ist ein hohes Risiko wahrscheinlich, sind die betroffenen Personen nach Art. 34 grundsätzlich unverzüglich zu benachrichtigen. Jede Verletzung ist nach Art. 33 Abs. 5 zu dokumentieren, auch wenn keine Meldung erfolgt: Sachverhalt, Auswirkungen und ergriffene Abhilfemaßnahmen gehören in die Aufzeichnung. Die Meldepflicht und Frist erklären wir gesondert; der EDSA erläutert die drei Pflichten für kleine Organisationen.
Sorgen Sie dafür, dass Ehrenamtliche einen erreichbaren Kontakt kennen. Ein Wochenende oder eine Vereinsreise ist kein guter Grund, eine Meldung im privaten Postfach liegen zu lassen. Die praktische Anleitung zur Datenpanne hilft bei der ersten Erfassung. Eine kurze Übung mit einem verlorenen Notebook zeigt, ob Zuständigkeit, Geräteverschlüsselung und vorhandene Mitgliederlisten überhaupt bekannt sind.
Rechte der Mitglieder im Alltag
Ein Mitglied kann Auskunft über seine Daten verlangen, fehlerhafte Angaben berichtigen lassen und unter Voraussetzungen Löschung oder Widerspruch verlangen. Der Verein beantwortet die Anfrage grundsätzlich innerhalb eines Monats; bei komplexen oder zahlreichen Anträgen kann unter den Bedingungen des Art. 12 Abs. 3 verlängert werden, worüber rechtzeitig informiert werden muss. Legen Sie einen Kanal fest, damit eine Anfrage an einen Trainer nicht liegen bleibt. Für die Auskunft nach Art. 15 müssen Daten in den genutzten Werkzeugen auffindbar sein.
Prüfen Sie vor einer Antwort die Identität angemessen und schwärzen Sie Informationen anderer Personen, wo erforderlich. Ein pauschaler Verweis auf „Vereinsgeheimnisse“ genügt nicht. Bei Widersprüchen gegen Direktwerbung endet deren Verarbeitung für diesen Zweck. Halten Sie eine kleine Sperrliste vor, damit ein späterer Import die Person nicht erneut anschreibt.
Ein umsetzbarer Start für den Vorstand
Beginnen Sie mit einem Gespräch mit Kasse, Mitgliedsverwaltung, Trainerteam und Öffentlichkeitsarbeit. Jede Person nennt ihre Dateien, Werkzeuge, Empfänger und Löschpraxis. Aus diesen Angaben entstehen wenige verständliche Einträge im Verzeichnis, Informationen für den Beitritt und eine Liste offener Entscheidungen. Prüfen Sie anschließend die Zugriffe und die tatsächlich eingesetzten Dienstleister. Das BayLDA nennt zehn praktische Punkte für Vereine, die als Orientierung dienen, ohne die Prüfung des konkreten Vereins zu ersetzen.
Legen Sie einen Verantwortlichen und einen Termin für jede offene Maßnahme fest. Bei neuen Angeboten, etwa einer Ferienfreizeit oder einer Spendenkampagne, prüfen Sie Zweck, Daten und Veröffentlichung vor dem Start. Die DSGVO-Checkliste kann beim ersten Rundgang helfen; die kontinuierliche Pflege ist wichtiger als ein einmaliger Stapel Musterformulare. Ein kleiner Verein kann viele Pflichten mit geordneten Abläufen erfüllen; die nötige Tiefe steigt, wenn er sensible Daten oder größere Reichweite hat.
Zwei Entscheidungen, die Vereine oft vertagen
Eine Jugendabteilung möchte für Fahrten eine Liste mit Namen, Telefonnummern und Gesundheitsinformationen an alle Eltern verschicken. Für die Organisation kann ein Teil der Angaben erforderlich sein; die Weitergabe der Gesundheitsinformationen an alle Eltern ist es meist nicht. Klären Sie, wer die Information im Notfall wirklich braucht, wie sie übermittelt und nach der Fahrt gelöscht wird. Geben Sie Betreuenden eine erreichbare Kontaktperson und nur die für ihre Aufgabe nötigen Angaben. Ein Formular mit vielen Feldern ist noch kein Nachweis, dass jede Weitergabe erforderlich ist.
Ein ehemaliges Vorstandsmitglied hat noch Zugriff auf Cloudspeicher und das Newsletterkonto. Mit dem Ende der Amtszeit müssen die Rechte überprüft werden, auch wenn das Mitglied weiterhin im Verein ist. Ändern Sie gemeinsame Zugangsdaten, entziehen Sie individuelle Rollen und sichern Sie vereinsrelevante Unterlagen in einem Konto des Vereins. Dokumentieren Sie den Wechsel, damit beim nächsten Vorstandswechsel bekannt ist, welche Dienste existieren. Der praktische Datenschutz hängt hier weniger von neuen Texten als von einer vollständigen Liste der verwendeten Systeme ab.
Transparenz ohne Formularflut
Geben Sie neuen Mitgliedern beim Beitritt eine verständliche Information über Zwecke, Empfänger, Speicherdauer und Rechte. Muss der Verein später Daten für einen neuen Zweck an einen Verband geben, prüfen Sie erneut, was mitzuteilen ist. Ein Hinweis im Vereinsheft allein erreicht nicht unbedingt alle Betroffenen. Bei Veranstaltungen können kurze Hinweise vor Ort auf eine vollständige Erklärung verweisen; für eine gezielte Foto-Einwilligung müssen Zweck und Veröffentlichung aber so konkret sein, dass die Person wirklich entscheiden kann.
Pflegen Sie eine aktuelle Kontaktadresse für Datenschutzanfragen, auch wenn einzelne Ehrenamtliche wechseln. Die Vereinswebseite sollte erklären, wer verantwortlich ist und an wen sich Betroffene wenden können. Ein öffentlich genannter Datenschutzbeauftragter ist nur sinnvoll, wenn die Funktion tatsächlich entsprechend eingerichtet wurde. Andernfalls genügt eine zuverlässige Kontaktstelle des Vereins.
FAQ
Braucht ein kleiner Verein einen Datenschutzbeauftragten?
Nicht allein wegen seiner Rechtsform. Prüfen Sie Art. 37 DSGVO und § 38 BDSG, einschließlich der Grenze von in der Regel 20 ständig mit automatisierter Datenverarbeitung beschäftigten Personen und der Fälle ohne Personengrenze. Ein Verein mit wenigen Helfern kann trotzdem besondere Verarbeitung haben, die eine Benennung erfordert.
Muss jedes Mitglied in die Verwaltung einwilligen?
Nein. Erforderliche Daten für die Mitgliedschaft können auf Art. 6 Abs. 1 Buchst. b gestützt werden. Zusätzliche Zwecke wie öffentliche Portraits oder Werbung sind gesondert zu prüfen. Die Satzung ersetzt diese Prüfung nicht.
Wie lange bleiben Daten nach dem Austritt?
Es gibt keine einheitliche Frist für alle Datensätze. Offene Beitragsansprüche, gesetzliche Buchführung, laufende Veröffentlichungen und die allgemeine Mitgliederkartei haben unterschiedliche Zwecke. Dokumentieren Sie pro Datenart Grundlage und Löschzeitpunkt. Die Grundsätze des Art. 5 gelten auch für die Dokumentation dieser Entscheidung.
Darf der Verein WhatsApp verwenden?
Prüfen Sie die konkrete Nutzung, Sichtbarkeit der Kontaktdaten, Einstellungen und etwaige Alternativen. Zwingen Sie Mitglieder nicht zur Teilnahme an einer Gruppe, wenn sie notwendige Vereinsinformationen sonst nicht erhalten.
Fazit
DSGVO-Arbeit im Verein beginnt bei den tatsächlichen Dateien und Personen: notwendige Mitgliedsdaten, begrenzte Zugriffe, klare Empfänger und eine Löschpraxis. Auf dieser Grundlage lassen sich Fotos, Newsletter und neue Dienste einzeln beurteilen. Der Vorstand sollte Entscheidungen dokumentieren und Ehrenamtliche so informieren, dass Regeln im Vereinsalltag funktionieren.