Datenschutz im Verein: DSGVO-Pflichten und Checkliste

Inhalt in Kürze

• Auch Vereine sind verantwortliche Stellen nach der DSGVO – die Größe oder der ehrenamtliche Charakter ändern daran nichts.
• Ein Datenschutzbeauftragter ist ab 20 Personen Pflicht (§ 38 BDSG), die ständig automatisiert Daten verarbeiten. Bei kleinen Vereinen greift das selten – die übrigen Pflichten gelten trotzdem.
• Mitgliederdaten dürfen nur zweckgebunden genutzt werden. Wer Adressen für Werbung oder politische Aufrufe missbraucht, riskiert Bußgelder und Schadensersatz.
• Der Verein haftet – nach Art. 82 DSGVO kann ein Verein bei Verstößen auf Schadensersatz in Anspruch genommen werden.

Vereine leben vom Ehrenamt – und ausgerechnet beim Datenschutz wird das oft unterschätzt. „Wir sind doch nur ein kleiner Verein” ist der Satz, der am häufigsten zu Problemen führt. Denn die DSGVO macht keine Ausnahme für gemeinnützige Strukturen. Wir zeigen, welche Pflichten wirklich gelten und wie sich der Aufwand für den Vorstand klein halten lässt.

Gilt die DSGVO auch für ehrenamtliche Vereine?

Ja, uneingeschränkt. Sobald ein Verein personenbezogene Daten verarbeitet – also Mitgliederlisten, Beitragskonten, E-Mail-Verteiler, Fotos von Veranstaltungen – ist er eine verantwortliche Stelle im Sinne der DSGVO. Ob Sportverein, Schützengilde, Förderverein oder Kulturinitiative spielt keine Rolle.

Das betrifft praktisch jeden eingetragenen Verein. Schon die Mitgliederverwaltung mit Namen, Adressen und Geburtsdaten ist eine Verarbeitung personenbezogener Daten. Die gute Nachricht: Vieles davon ist über die Vertragserfüllung (die Mitgliedschaft) und berechtigte Interessen abgedeckt – man muss nur wissen, wofür welche Grundlage gilt.

Braucht ein Verein einen Datenschutzbeauftragten?

Nach § 38 BDSG muss ein Verein einen Datenschutzbeauftragten benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt werden nicht die Mitglieder, sondern die Personen, die tatsächlich Daten verarbeiten – also etwa Vorstand, Kassenwart, Schriftführer, Trainer mit Mitgliederlisten oder die Geschäftsstelle.

Bei den meisten kleinen und mittleren Vereinen wird diese Schwelle nicht erreicht. Ein großer Sportverein mit hauptamtlicher Geschäftsstelle und vielen datenverarbeitenden Übungsleitern kann aber durchaus darüber liegen. Wie ein externer Datenschutzbeauftragter diese Rolle übernimmt, ohne den Vorstand mit Haftung zu belasten, erklären wir auf unserer Startseite.

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern.

Nils OehmichenDatenschutzberater bei frag.hugo

Mitgliederdaten: Was darf der Verein – und was nicht?

Das größte Konfliktfeld im Vereinsalltag ist die Nutzung der Mitgliederliste. Hier gilt der Grundsatz der Zweckbindung: Daten, die zur Mitgliederverwaltung erhoben wurden, dürfen nicht ohne Weiteres für andere Zwecke verwendet werden.

Ein häufiger Streit: Darf ein einzelnes Mitglied die komplette Mitgliederliste verlangen? Gerichte haben das in engen Grenzen bejaht – etwa um Minderheitenrechte vor einer Versammlung wahrzunehmen. Eine pauschale Herausgabe an jedes Mitglied ohne berechtigtes Interesse ist dagegen nicht zulässig. Praktische Hilfestellung für Vereine bietet die Orientierungshilfe der Aufsichtsbehörden zum Datenschutz im Verein.

• Mitgliederverwaltung: Erlaubt auf Grundlage der Mitgliedschaft (Vertrag) – Name, Adresse, Beitragsdaten.
• Werbung und Sponsoren-Mailings: Brauchen meist eine gesonderte Einwilligung oder ein klar abgegrenztes berechtigtes Interesse.
• Fotos von Veranstaltungen: Veröffentlichung nur mit Rechtsgrundlage – bei erkennbaren Personen oft Einwilligung nötig.
• Weitergabe an Verbände: Nur, wenn es eine satzungsmäßige oder gesetzliche Grundlage gibt (z. B. Meldung an den Landessportbund).

Die wichtigsten Pflichten auf einen Blick

Diese Schritte sollte jeder Vorstand abarbeiten – einmal sauber aufgesetzt, läuft es danach mit minimalem Aufwand:

1. Datenschutzhinweise erstellen: Mitglieder bei Eintritt transparent über die Verarbeitung informieren (Art. 13 DSGVO) – ein Standardtext im Aufnahmeantrag reicht.
2. Verarbeitungsverzeichnis anlegen: Eine schlanke Übersicht, welche Daten der Verein wofür verarbeitet (Art. 30 DSGVO).
3. Rechtsgrundlagen klären: Für jede Verarbeitung festlegen, ob Vertrag, berechtigtes Interesse oder Einwilligung greift.
4. Datensparsamkeit prüfen: Ausgetretene Mitglieder zeitnah löschen, nur steuerlich relevante Daten aufbewahren.
5. Vorstand sensibilisieren: Wer mit Daten arbeitet, sollte die Grundregeln kennen – kurze Schulung statt dickem Handbuch.

Aus der Praxis: Wenn der Verteiler zur Falle wird

Der klassische Vereinsfehler: Ein Rundmail an alle Mitglieder, alle Adressen offen im „An”- oder „CC”-Feld. Damit hat jeder Empfänger die E-Mail-Adressen aller anderen – eine unbefugte Offenlegung personenbezogener Daten und potenziell eine meldepflichtige Datenpanne.

Die Lösung kostet nichts: Verteiler immer ins BCC-Feld setzen oder ein Mailtool mit Einzelversand nutzen. Solche Kleinigkeiten machen im Vereinsalltag den Unterschied zwischen „unproblematisch” und „meldepflichtig”.

Ihr nächster Schritt

Vereinsdatenschutz muss kein Bürokratiemonster sein. Mit ein paar Vorlagen, klaren Zuständigkeiten und einer kurzen Vorstandsschulung ist das Wichtigste erledigt – und der Vorstand auf der sicheren Seite. Den laufenden Datenschutz können Sie auch digital mit unserer Plattform Hugo DSB organisieren.

Häufige Fragen (FAQ)

Gilt die DSGVO auch für kleine Vereine?

Ja. Jeder Verein, der personenbezogene Daten verarbeitet – etwa Mitgliederlisten oder E-Mail-Verteiler – ist eine verantwortliche Stelle. Größe und ehrenamtlicher Charakter ändern an den Pflichten nichts; nur die Pflicht zum Datenschutzbeauftragten hängt von der Personenzahl ab.

Braucht ein Verein einen Datenschutzbeauftragten?

In der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG); unabhängig von der Personenzahl gilt die Pflicht etwa bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern. Gezählt werden die datenverarbeitenden Personen wie Vorstand und Geschäftsstelle, nicht die Mitglieder. Die meisten kleinen Vereine erreichen diese Schwelle nicht.

Darf ein Mitglied die komplette Mitgliederliste verlangen?

Nur in engen Grenzen. Gerichte haben ein Einsichtsrecht anerkannt, wenn ein berechtigtes Interesse besteht – etwa zur Wahrnehmung von Minderheitenrechten vor einer Versammlung. Eine pauschale Herausgabe an jedes Mitglied ohne Grund ist nicht zulässig.

Dürfen Fotos von Vereinsveranstaltungen veröffentlicht werden?

Nur mit Rechtsgrundlage. Sind Personen klar erkennbar, ist in der Regel eine Einwilligung erforderlich. Bei Übersichtsaufnahmen größerer Gruppen kann ein berechtigtes Interesse genügen – das sollte aber dokumentiert sein.

Haftet der Vorstand bei Datenschutzverstößen?

In erster Linie haftet der Verein; ehrenamtliche Vorstände haften dem Verein und den Mitgliedern nach § 31a BGB nur bei Vorsatz oder grober Fahrlässigkeit. Nach Art. 82 DSGVO kann ein Verein bei Verstößen auf Schadensersatz in Anspruch genommen werden. Bußgelder nach Art. 83 DSGVO sind ebenfalls möglich. Saubere Grundregeln schützen Verein und Vorstand.

Was ist die häufigste Datenpanne in Vereinen?

Das Rundmail mit offenen Adressen im An- oder CC-Feld. Dadurch werden alle E-Mail-Adressen offengelegt, was eine meldepflichtige Datenpanne sein kann. Abhilfe: Empfänger immer ins BCC-Feld setzen oder ein Mailtool mit Einzelversand nutzen.