Datenschutz im Verein: DSGVO-Leitfaden für Vorstände

Jeder Verein verarbeitet personenbezogene Daten: Namen, Anschriften, Bankverbindungen, manchmal Fotos oder Geburtstage. Damit gilt die Datenschutz-Grundverordnung (DSGVO) auch für ehrenamtlich geführte Vereine. Die gute Nachricht: Die Pflichten sind überschaubar. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat schon 2018 klargestellt, dass Vereine weder ihre Mitgliederliste neu aufbauen noch von jedem Mitglied eine Einwilligung einholen müssen. Dieser Leitfaden ordnet die wichtigsten Punkte ein.

Welche Daten Sie ohne Einwilligung verarbeiten dürfen

Die Mitgliedschaft ist rechtlich ein Vertragsverhältnis. Nach Art. 6 Abs. 1 lit. b DSGVO dürfen Sie deshalb alle Daten verarbeiten, die für die Durchführung der Mitgliedschaft und die Verfolgung des Vereinszwecks erforderlich sind. Der Landesbeauftragte für Datenschutz Baden-Württemberg (LfDI BW) nennt daneben das berechtigte Interesse des Vereins (Art. 6 Abs. 1 lit. f DSGVO), das allerdings eine Abwägung mit den Interessen der Mitglieder voraussetzt.

Typischerweise gehören dazu:

• Name, Anschrift und Kontaktdaten für Einladungen und Vereinspost,
• Geburtsdatum, soweit es etwa für Beitragsstufen oder Altersklassen nötig ist,
• Bankverbindung für den Beitragseinzug,
• Angaben zur Funktion im Verein, zu Abteilungen oder Mannschaften.

Entscheidend ist der Grundsatz der Erforderlichkeit: Was Sie für Mitgliederverwaltung und Vereinszweck nicht brauchen, sollten Sie gar nicht erst abfragen.

Wann Sie eine Einwilligung brauchen

Eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) ist nur für Verarbeitungen nötig, die über das gesetzlich Erlaubte hinausgehen. Der LfDI BW nennt als typische Beispiele Fotos auf der Website, die Veröffentlichung von Geburtstagen und Jubiläen sowie Werbung für Dritte.

Dabei gelten strenge Regeln:

• Freiwillig und getrennt: Die Aufnahme in den Verein darf nicht von einer Einwilligung in vereinsfremde Zwecke abhängig gemacht werden (Kopplungsverbot, Art. 7 Abs. 4 DSGVO). Für unterschiedliche Zwecke holen Sie getrennte Einwilligungen ein.
• Keine Mehrheitsbeschlüsse: Eine Einwilligung kann nicht durch Beschluss der Mitgliederversammlung oder des Vorstands ersetzt werden. Auch „Wer nicht widerspricht, stimmt zu" reicht nicht.
• Widerruflich: Mitglieder können jederzeit widerrufen, und das muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO).
• Nachweisbar: Sie müssen belegen können, dass die Einwilligung vorliegt. Der LfDI BW empfiehlt daher, Einwilligungen schriftlich oder in nachweisbarer Form einzuholen.

Newsletter und werbliche E-Mails: Reine Vereinsinformationen an Mitglieder lassen sich nach Auffassung des LfDI BW oft auf das berechtigte Interesse stützen; Mitglieder haben dann ein Widerspruchsrecht (Art. 21 DSGVO). Für Werbung Dritter ist eine Einwilligung erforderlich. Zusätzlich verlangt § 7 Abs. 2 Nr. 2 UWG für Werbung per E-Mail grundsätzlich eine vorherige ausdrückliche Einwilligung. Wo die Grenze zwischen Vereinsinformation und Werbung verläuft, ist im Einzelfall zu prüfen. Im Zweifel ist eine gesonderte Einwilligung der sicherere Weg.

Fotos: Abwägung statt Pauschalregel

Bei Fotos treffen DSGVO und Kunsturhebergesetz (KUG) aufeinander. Die Rechtslage ist nicht in allen Punkten abschließend geklärt, deshalb lohnt ein vorsichtiger Umgang:

• Der LfDI BW hält die Veröffentlichung von Fotos im frei zugänglichen Internet grundsätzlich nur mit Einwilligung für zulässig.
• In seinen FAQ für Vereine verweist er für Veranstaltungsfotos auf das berechtigte Interesse und zieht § 23 KUG als Abwägungsleitlinie heran. Zuschauer, die nur als Beiwerk zu sehen sind, müssen danach nicht einwilligen. Bei Sportveranstaltungen kann auch ein regionales Ereignis zum Zeitgeschehen zählen.
• Für Fotos von Vereinsfeiern hält der LfDI BW eine Einwilligung für erforderlich.

Praxistipp: Holen Sie bereits beim Beitritt getrennte, freiwillige Einwilligungen für Fotos ein, etwa „intern" (Vereinszeitung, geschlossener Mitgliederbereich) und „öffentlich" (Website, soziale Medien). Bei Kindern und Jugendlichen ist besondere Zurückhaltung geboten.

Informationspflichten nach Art. 13 DSGVO

Wenn Sie Daten direkt beim Mitglied erheben, müssen Sie es zum Zeitpunkt der Erhebung informieren, also in der Regel mit dem Mitgliedsantrag. Pflichtangaben sind unter anderem:

• Name und Kontaktdaten des Vereins und gegebenenfalls des Datenschutzbeauftragten,
• Zwecke und Rechtsgrundlagen der Verarbeitung, bei berechtigtem Interesse auch dieses Interesse,
• Empfänger (z. B. Dachverband, Bank),
• Speicherdauer oder die Kriterien dafür,
• Rechte der Mitglieder und das Beschwerderecht bei der Aufsichtsbehörde,
• bei Einwilligungen das Widerrufsrecht.

Der LfDI BW stellt in seinem Praxisratgeber ein Muster bereit.

Verzeichnis von Verarbeitungstätigkeiten

Art. 30 DSGVO verlangt ein Verzeichnis aller Verarbeitungstätigkeiten. Die Ausnahme für Organisationen unter 250 Beschäftigten greift nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Nach Auffassung des LfDI BW ist das in jedem Verein der Fall. Das Verzeichnis kann schriftlich oder elektronisch geführt werden und ist der Aufsichtsbehörde auf Anfrage vorzulegen. Muster finden Sie beim LfDI BW und beim BayLDA.

Brauchen Sie einen Datenschutzbeauftragten?

Nach § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Nach Auffassung des LfDI BW zählen dabei auch Ehrenamtliche mit. Unabhängig von der Personenzahl kann eine Pflicht nach Art. 37 Abs. 1 DSGVO bestehen, etwa wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonders sensibler Daten (z. B. Gesundheitsdaten) liegt. Ist ein Datenschutzbeauftragter benannt, müssen Sie seine Kontaktdaten veröffentlichen und der Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).

Auftragsverarbeitung bei Vereinssoftware und Cloud

Speichern Sie Mitgliederdaten bei einem Dienstleister, etwa in einer Vereinssoftware oder Cloud, liegt in der Regel eine Auftragsverarbeitung vor. Sie dürfen nur Anbieter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und müssen einen Vertrag nach Art. 28 Abs. 3 DSGVO schließen. Der LfDI BW stellt dafür einen Mustervertrag bereit. Bei Übermittlungen in Länder außerhalb der EU gelten zusätzliche Anforderungen.

Löschung nach dem Austritt

Daten sind zu löschen, sobald sie für ihren Zweck nicht mehr nötig sind (Art. 17 Abs. 1 lit. a DSGVO). Gesetzliche Aufbewahrungspflichten, etwa für steuerlich relevante Unterlagen, gehen vor (Art. 17 Abs. 3 lit. b DSGVO). Legen Sie in einem Löschkonzept fest, welche Daten bis zu welchem Ereignis oder wie lange gespeichert werden. Wechseln Funktionsträger, sollten bei ihnen keine Kopien von Mitgliederlisten verbleiben.

Datenpanne: 72 Stunden

Gehen Daten verloren oder gelangen sie an Unbefugte, etwa durch einen gestohlenen Laptop oder eine E-Mail mit offenem Verteiler, müssen Sie den Vorfall unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden (Art. 33 DSGVO). Die Meldung entfällt nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Bei hohem Risiko sind auch die betroffenen Mitglieder zu benachrichtigen (Art. 34 DSGVO). Dokumentieren Sie jeden Vorfall.

Checkliste

• Abgefragte Mitgliederdaten auf das Erforderliche beschränkt
• Datenschutzhinweise nach Art. 13 DSGVO im Mitgliedsantrag und auf der Website
• Einwilligungen (Fotos, Geburtstage, Werbung) getrennt, freiwillig und nachweisbar eingeholt
• Verzeichnis von Verarbeitungstätigkeiten angelegt und aktuell
• Pflicht zur Benennung eines Datenschutzbeauftragten geprüft
• Auftragsverarbeitungsverträge mit allen Dienstleistern geschlossen
• Löschkonzept mit Fristen nach Austritt festgelegt
• Ablauf für Datenpannen (Meldung binnen 72 Stunden) geklärt
• Zugriffsrechte im Vorstand und bei Übungsleitern geregelt

Häufige Fragen

Müssen alle Mitglieder in die Datenverarbeitung einwilligen?

Nein. Für die Daten, die für Mitgliedschaft und Vereinszweck erforderlich sind, ist die Mitgliedschaft selbst die Rechtsgrundlage (Art. 6 Abs. 1 lit. b DSGVO). Eine Einwilligung brauchen Sie nur für darüber hinausgehende Zwecke.

Dürfen wir Geburtstage in der Vereinszeitung veröffentlichen?

Nach Auffassung des LfDI BW ist für die Veröffentlichung von Geburtstagen und Jubiläen eine Einwilligung erforderlich. Holen Sie diese am besten schon beim Beitritt gesondert ein.

Kann der Vorstand selbst Datenschutzbeauftragter sein?

Nach den Hinweisen des LfDI BW nicht, weil ein Interessenkonflikt entstünde. Besteht keine Pflicht zur Benennung, bleibt der Vorstand selbst für den Datenschutz verantwortlich.

Wie lange dürfen wir Daten ehemaliger Mitglieder aufbewahren?

So lange, wie sie für einen Zweck noch nötig sind oder eine gesetzliche Aufbewahrungspflicht besteht. Der LfDI BW nennt in seinem Muster beispielhaft zwei Jahre nach Ende der Mitgliedschaft. Die konkrete Frist sollte Ihr Verein selbst festlegen und begründen.

So hilft Quittix

Quittix speichert die Vereinsdaten auf Servern in Deutschland und enthält einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Werkzeuge für Datenexport, Löschanfragen und Einwilligungen sowie ein Rollen- und Rechtekonzept unterstützen Sie bei den beschriebenen Pflichten. Mitglieder können ihre Daten im Mitglieder-Portal selbst pflegen.

Quellen

• DSGVO Art. 6 – Rechtmäßigkeit der Verarbeitung
• DSGVO Art. 7 – Bedingungen für die Einwilligung
• DSGVO Art. 13 – Informationspflicht
• DSGVO Art. 17 – Recht auf Löschung
• DSGVO Art. 28 – Auftragsverarbeiter
• DSGVO Art. 30 – Verzeichnis von Verarbeitungstätigkeiten
• DSGVO Art. 33 – Meldung an die Aufsichtsbehörde
• DSGVO Art. 34 – Benachrichtigung der Betroffenen
• DSGVO Art. 37 – Benennung eines Datenschutzbeauftragten
• § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen
• § 23 KUG – Ausnahmen zu § 22
• § 7 UWG – Unzumutbare Belästigungen
• LfDI Baden-Württemberg: Praxisratgeber Datenschutz im Verein (PDF)
• LfDI Baden-Württemberg: FAQ Vereine (PDF)
• LfDI Baden-Württemberg: Datenschutz im Verein, Informationsblatt (PDF, bereitgestellt vom BayLDA)
• BayLDA: Pressemitteilung zu Praxishilfen für kleine Unternehmen und Vereine (PDF)

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind Gesetz und Ihre Vereinssatzung. Stand: Oktober 2026.