Datenschutz im Verein: DSGVO-Pflichten für den Vorstand 2026

Die DSGVO gilt für jeden Verein, auch für den kleinen Kegelclub. Für die normale Mitgliederverwaltung braucht ihr aber keine Einwilligung, denn die Mitgliedschaft selbst ist die Rechtsgrundlage. Pflicht sind vor allem Datenschutzhinweise, ein Verzeichnis eurer Verarbeitungen, AV-Verträge mit Dienstleistern und ein sauberer Umgang mit Fotos, Listen und Löschung.

Verantwortlich im Sinne der DSGVO ist der Verein. Handeln muss in der Praxis der Vorstand. Dieser Ratgeber zeigt euch, was konkret zu tun ist.

Welche Daten ihr ohne Einwilligung verarbeiten dürft

Jede Verarbeitung braucht eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO. Im Verein sind vier davon wichtig. Die Einwilligung ist nur eine davon und oft gar nicht nötig.

Zweck	Rechtsgrundlage
Mitgliederverwaltung, Beitragseinzug, Einladungen	Mitgliedschaft (Art. 6 Abs. 1 lit. b)
Aufbewahrung von Buchungsbelegen	Rechtliche Pflicht (lit. c)
Meldung an den Dachverband, Fotos von Veranstaltungen	Berechtigtes Interesse (lit. f)
Geburtstage im Vereinsblatt, Porträtfotos im Internet, Kontaktliste an alle	Einwilligung (lit. a)

Was für die Mitgliedschaft erforderlich ist, ergibt sich aus Satzung und Vereinszweck. Typisch sind Name, Anschrift, Kontaktdaten, Geburtsdatum bei altersabhängigen Beiträgen und die Bankverbindung für die Lastschrift. Alles darüber hinaus solltet ihr nur erheben, wenn ihr es wirklich braucht.

Einwilligung richtig einholen

Eine Einwilligung muss freiwillig und jederzeit widerrufbar sein. Die DSGVO erlaubt sie auch mündlich, ihr müsst sie aber nachweisen können (Art. 7 Abs. 1). Holt sie deshalb schriftlich oder elektronisch ein.

Der LfDI Baden-Württemberg empfiehlt ein eigenes Formular je Zweck. Versteckt die Einwilligung nicht in den Datenschutzhinweisen. Bei Minderjährigen unterschreiben die Erziehungsberechtigten.

Informationspflichten: Datenschutzhinweise beim Eintritt

Wer Daten erhebt, muss die betroffene Person sofort informieren (Art. 13 DSGVO). Am einfachsten geht das direkt im Aufnahmeantrag. Ein Hinweis auf die Datenschutzhinweise auf eurer Website reicht, wenn sie leicht zu finden sind.

In die Hinweise gehören:

• Name und Kontaktdaten des Vereins, ggf. des Datenschutzbeauftragten
• Zwecke und Rechtsgrundlagen der Verarbeitung
• Empfänger, zum Beispiel Dachverband oder Bank
• Speicherdauer bzw. Löschfristen
• Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch und Widerruf
• Beschwerderecht bei der Datenschutz-Aufsichtsbehörde

Mitglieder, die vor dem 25. Mai 2018 eingetreten sind, müsst ihr nach Auffassung des LfDI Baden-Württemberg nicht nachträglich informieren. Das gilt aber nur, solange ihr keine neuen Daten von ihnen erhebt.

Verzeichnis der Verarbeitungstätigkeiten

Auch kleine Vereine müssen ein Verzeichnis nach Art. 30 DSGVO führen. Der Grund: Mitgliederdaten verarbeitet ihr nicht nur gelegentlich, sondern regelmäßig. Eine bestimmte Form schreibt die DSGVO nicht vor.

Legt für jede Tätigkeit einen Eintrag an. Typische Tätigkeiten sind Mitgliederverwaltung, Beitragseinzug, Spendenverwaltung, Abrechnung von Übungsleitern, Website und Rundmails. Zu jedem Eintrag gehören:

• betroffene Personen und Datenkategorien
• Zweck und Empfänger
• Übermittlung in Drittländer (ja/nein)
• Löschfristen
• technische und organisatorische Schutzmaßnahmen

Muster für Vereine stellen das BayLDA und der LfDI Baden-Württemberg kostenlos bereit.

AV-Vertrag mit Software-Anbietern

Verarbeitet ein Dienstleister Mitgliederdaten in eurem Auftrag, braucht ihr einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Typische Fälle sind Vereinssoftware, Cloud-Speicher, Webhoster, Newsletter-Dienste und externe IT-Betreuung. Ihr dürft nur Anbieter beauftragen, die hinreichende Garantien für den Datenschutz bieten.

Achtet besonders auf den Serverstandort. Bei Anbietern außerhalb der EU und des EWR gelten zusätzliche Anforderungen an die Übermittlung in Drittländer. Legt alle AV-Verträge gesammelt ab, damit ein neuer Vorstand sie findet.

In Eulenwart ist der AV-Vertrag Teil des Angebots, und die Daten liegen auf Servern in Deutschland.

Datenschutzbeauftragter erst ab 20 Personen

Einen Datenschutzbeauftragten müsst ihr benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Ehrenamtliche zählen dabei mit. „Ständig“ sind laut LfDI Baden-Württemberg auch Aufgaben, die nur gelegentlich anfallen, aber immer wieder wahrgenommen werden.

Trainerinnen und Trainer zählen nach Auffassung des BayLDA nicht allein deshalb mit, weil sie Listen ihrer Gruppe führen. Die meisten Vereine liegen deshalb unter der Schwelle.

Unabhängig von der Zahl gilt die Pflicht, wenn die umfangreiche Verarbeitung sensibler Daten zur Kerntätigkeit gehört (Art. 37 Abs. 1 lit. c DSGVO). Der LfDI Baden-Württemberg nennt als Beispiel Selbsthilfegruppen mit Gesundheitsdaten. Auch ohne Datenschutzbeauftragten bleibt der Vorstand für den Datenschutz verantwortlich.

Fotos: Veranstaltungen ja, Porträts nur mit Einwilligung

Für Fotos von Festen, Turnieren oder Umzügen überwiegt laut BayLDA meist das berechtigte Interesse des Vereins. Aktive Teilnehmer wie Vorstand, Wettkämpfer oder Mitwirkende im Umzug brauchen dann in der Regel keine Einwilligung. Ob daneben das Kunsturhebergesetz (KUG) gilt, ist juristisch umstritten; die Aufsichtsbehörden prüfen Vereinsfotos nach der DSGVO.

Eine Einwilligung braucht ihr bei:

• Porträtfotos auf der Website
• Unbeteiligten, die nicht mit einer Veröffentlichung rechnen müssen
• Bildern, die Rückschlüsse auf sensible Daten wie Gesundheit oder Religion zulassen

Bei Kindern rät das BayLDA zu Fingerspitzengefühl und im Zweifel zur Einwilligung der Eltern. Informiert vor der Veranstaltung über Fotos, zum Beispiel in der Einladung, per Aushang oder per Ansage. Widerspricht jemand, folgt dem möglichst, auch wenn kein absolutes Widerspruchsrecht besteht (Art. 21 DSGVO).

Mitgliederlisten, Aushang und Dachverband

Listen an alle Mitglieder: Eine Kontaktliste aller Mitglieder an alle zu verteilen, ist nach Auffassung des BayLDA in aller Regel nur mit Einwilligung zulässig. Dasselbe gilt für Geburtstage und Jubiläen im Vereinsblatt oder am Schwarzen Brett.

Anspruch eines einzelnen Mitglieds: Ein Mitglied kann die Mitgliederliste einsehen, wenn es ein berechtigtes Interesse hat (BGH, Beschluss vom 21.06.2010, II ZR 219/09). Ein klassischer Fall ist das Minderheitenbegehren nach § 37 BGB, also die Einberufung einer Mitgliederversammlung auf Verlangen einer Minderheit. Das OLG Hamm hat 2023 auch die Herausgabe von E-Mail-Adressen bejaht, um Opposition gegen den Vorstandskurs zu organisieren (Urteil vom 26.04.2023, 8 U 94/22).

Prüft solche Anfragen im Einzelfall. Gebt nur die Daten heraus, die für den Zweck nötig sind.

Dachverband: Die Weitergabe an einen Verband ist ohne Einwilligung zulässig, wenn sie für den Vereinszweck nötig ist. Ein Beispiel ist die Teilnahme am Wettkampfbetrieb. Nennt den Verband als Empfänger in euren Datenschutzhinweisen.

Löschen: Wann Daten weg müssen

Daten müsst ihr löschen, sobald es keine Grundlage mehr für die Speicherung gibt. Mitgliederdaten löscht ihr grundsätzlich nach dem Austritt. Widerruft jemand eine Einwilligung, löscht ihr die betroffenen Daten unverzüglich.

Länger aufbewahren dürft ihr nur, was gesetzlichen Fristen unterliegt. Das betrifft vor allem Buchungsbelege zu Beiträgen und Spenden. Für eine Vereinschronik dürft ihr nach Auffassung des BayLDA ebenfalls Daten behalten, beschränkt auf das Nötige.

Legt die Fristen schriftlich fest und löscht mindestens einmal im Jahr. Details zu den Fristen findet ihr im Ratgeber zu den Aufbewahrungsfristen.

Datenpanne: 72 Stunden für die Meldung

Typische Pannen im Verein sind ein verlorener Laptop, ein gehacktes E-Mail-Postfach oder ein Verschlüsselungstrojaner. Auch eine Rundmail mit allen Adressen im offenen Verteiler kann meldepflichtig sein.

Meldet eine Verletzung unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde eures Bundeslands (Art. 33 DSGVO). Die Frist beginnt, sobald der Verein davon erfährt. Keine Meldung braucht es, wenn voraussichtlich kein Risiko für die Betroffenen besteht.

Bei hohem Risiko informiert ihr zusätzlich die betroffenen Mitglieder (Art. 34 DSGVO). Dokumentiert jede Panne intern, auch wenn ihr sie nicht meldet.

Datensicherheit im Vereinsalltag

Datenschutz scheitert selten an Paragraphen, sondern an Gewohnheiten. Diese Maßnahmen bringen am meisten:

• Mitgliederdaten an einem zentralen Ort statt in privaten Excel-Listen
• Zugriff nur für die Ämter, die ihn brauchen
• Starke Passwörter und, wo möglich, Zwei-Faktor-Anmeldung
• Aktuelle Betriebssysteme und regelmäßige Backups
• Rundmails mit BCC oder über ein Mailsystem
• Schriftliche Verpflichtung aller Aktiven auf Vertraulichkeit

In Eulenwart liegen die Mitgliederdaten an einem zentralen Ort, die Anmeldung ist mit Zwei-Faktor-Schutz möglich. Über Rollen und Rechte sieht jedes Vorstandsmitglied nur, was es für sein Amt braucht.

Kurz-Checkliste für den Vorstand

1. Datenschutzhinweise in Aufnahmeantrag und Website aufnehmen
2. Verzeichnis der Verarbeitungstätigkeiten anlegen
3. AV-Verträge mit allen Dienstleistern abschließen und ablegen
4. Prüfen, ob ihr die Schwelle von 20 Personen erreicht
5. Einwilligungen für Fotos und Veröffentlichungen einholen
6. Löschfristen festlegen und jährlich löschen
7. Ablauf für Datenpannen festlegen: Wer meldet, an wen, bis wann?

Dieser Ratgeber ersetzt keine Steuer- oder Rechtsberatung.