Magazin · Vereine
DSGVO im Verein: Was wirklich Pflicht ist – ohne Panikmache
Die einen ignorieren den Datenschutz komplett („wir sind doch nur ein Verein"), die anderen trauen sich vor lauter Angst nicht mal mehr, Fotos vom Sommerfest zu machen. Beides ist falsch – und das meiste ist mit ein paar Stunden Aufwand erledigt.
Dieser Artikel sortiert, was für Vereine wirklich Pflicht ist, was gute Praxis ist – und wo die echten Risiken liegen.
Die Grundlage: Mitgliederdaten dürfen Sie verarbeiten
Die wichtigste Nachricht zuerst: Für die normale Mitgliederverwaltung brauchen Sie keine Einwilligung. Name, Adresse, Geburtsdatum, Bankverbindung für den Beitragseinzug – all das dürfen Sie auf Basis des Mitgliedschaftsverhältnisses verarbeiten (Art. 6 Abs. 1 lit. b DSGVO). Die Mitgliedschaft ist rechtlich ein Vertrag, und was zur Durchführung nötig ist, ist erlaubt.
Eine Einwilligung brauchen Sie erst, wenn Sie mehr tun wollen, als die Mitgliedschaft erfordert: Geburtstage im Vereinsheft veröffentlichen, Daten an Sponsoren geben, einen Newsletter an Nicht-Mitglieder schicken. Faustregel: Verwalten ja, veröffentlichen und weitergeben nur mit Grundlage.
Bei der Weitergabe an den Dachverband (z. B. Meldung für Spielrechte oder Versicherung) gilt: Was die Satzung bzw. der Verbandsbetrieb erfordert, ist in der Regel zulässig – informieren Sie die Mitglieder aber transparent darüber, am besten direkt im Aufnahmeantrag.
Was tatsächlich Pflicht ist – die kurze Liste
1. Informationspflicht (Art. 13 DSGVO). Neue Mitglieder müssen beim Eintritt erfahren, welche Daten der Verein wofür verarbeitet, wie lange sie gespeichert werden und welche Rechte sie haben. Praktisch: ein Infoblatt als Anlage zum Aufnahmeantrag. Einmal sauber erstellt, jahrelang nutzbar.
2. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Klingt bürokratisch, ist aber nur eine Tabelle: Welche Daten verarbeitet der Verein wo und wozu (Mitgliederverwaltung, Beitragseinzug, Website, Newsletter …)? Die oft zitierte Ausnahme für kleine Organisationen greift bei Vereinen praktisch nie, weil die Mitgliederverwaltung eine regelmäßige Verarbeitung ist. Für einen typischen Verein ist das Verzeichnis an einem Nachmittag erstellt – Vorlagen gibt es bei den Landesdatenschutzbehörden kostenlos.
3. Auftragsverarbeitungsverträge (Art. 28 DSGVO). Liegt Ihre Mitgliederliste in einer Cloud, nutzt der Verein eine Vereinssoftware oder einen Newsletter-Dienst? Dann brauchen Sie mit jedem dieser Dienstleister einen AV-Vertrag. Die seriösen Anbieter stellen den mit zwei Klicks bereit – wenn ein Anbieter keinen hat, ist das ein Warnsignal.
4. Datensicherheit (Art. 32 DSGVO). Die Mitgliederliste gehört nicht als ungeschützte Excel-Datei auf fünf private Rechner. Zugriff nur für die, die ihn brauchen; Passwörter; Backups. Mehr verlangt bei einem kleinen Verein niemand – aber das schon.
Und der Datenschutzbeauftragte? Den braucht ein Verein erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG) – Ehrenamtliche zählen mit. Beim typischen Sport- oder Kulturverein mit Vorstand, Kassenwart und Schriftführer ist das nicht der Fall. Die übrigen Pflichten gelten trotzdem.
Fotos vom Vereinsfest: entspannter, als viele denken
Hier herrscht die größte Verunsicherung – dabei ist die Lage handhabbar:
- Veröffentlichen (Website, Social Media, Zeitung) braucht grundsätzlich eine Einwilligung der abgebildeten Personen (§ 22 KUG bzw. DSGVO). Am praktischsten: die Foto-Einwilligung gleich in den Aufnahmeantrag aufnehmen, getrennt ankreuzbar.
- Bei Veranstaltungen hilft das Konzept der Übersichtsaufnahme: Bilder, auf denen die Veranstaltung im Vordergrund steht und keine Einzelperson herausgestellt wird, sind in der Regel unkritisch. Ein gut sichtbarer Hinweis am Eingang („Bei dieser Veranstaltung wird fotografiert …") gehört heute zum guten Ton.
- Porträts und Mannschaftsfotos mit Namen: nur mit Einwilligung.
- Bei Kindern und Jugendlichen unterschreiben die Sorgeberechtigten – hier bitte keine Abkürzungen, das ist auch der Bereich, in dem Beschwerden am ehesten Folgen haben.
- Einwilligungen sind widerruflich. Führen Sie eine einfache Liste, wer eingewilligt hat, und nehmen Sie ein Foto ohne Diskussion offline, wenn jemand widerruft.
Die WhatsApp-Frage
Fast jeder Verein organisiert sich in WhatsApp-Gruppen – und genau da liegt ein echtes Problem: WhatsApp gleicht die kompletten Adressbücher der Nutzer mit Meta-Servern ab, auch die Nummern von Menschen, die nie zugestimmt haben. Für die private Nutzung mag das jeder selbst entscheiden; wenn aber der Verein die Kommunikation offiziell über WhatsApp organisiert, wird er dafür mitverantwortlich.
Pragmatische Einordnung statt Verbotspredigt: Eine freiwillige Eltern-Gruppe, in die niemand gezwungen wird, wird kaum jemanden auf den Plan rufen. Kritisch wird es, wenn die Teilnahme faktisch Pflicht ist, Minderjährige betroffen sind oder sensible Themen (Gesundheit, Beiträge, Konflikte) dort besprochen werden. Saubere Alternativen: Signal oder Threema als datensparsame Messenger – oder gleich eine kleine eigene Vereins-App mit Terminen, News und Zusagen, bei der die Daten auf einem deutschen Server liegen statt in einem US-Konzern. Was so etwas kostet, habe ich im Beitrag „Was kostet eine App für meinen Verein wirklich?" durchgerechnet.
Was passiert eigentlich, wenn etwas schiefgeht?
Die Angst vor Millionen-Bußgeldern ist bei Vereinen unbegründet – die Aufsichtsbehörden gehen mit Ehrenamtsstrukturen erkennbar maßvoll um und setzen zunächst auf Beratung und Anordnung. Realistische Risiken sind eher: die Beschwerde eines verärgerten (Ex-)Mitglieds, ein Foto-Streit, eine versehentlich offen verteilte Mitgliederliste. Genau dagegen helfen die vier Pflichten oben – und ein Vorstand, der auskunftsfähig ist, statt überrascht.
Drei Prüffragen für Ihren Vorstand
- „Wo liegt unsere Mitgliederliste – und wer kann sie öffnen?" Wenn die Antwort „auf mehreren Privatrechnern" lautet, ist das Ihr dringendster Punkt.
- „Was unterschreiben neue Mitglieder beim Eintritt?" Aufnahmeantrag mit Datenschutz-Info und getrennter Foto-Einwilligung – damit sind zwei Drittel der Praxisfälle abgeräumt.
- „Über welche Kanäle kommunizieren wir offiziell?" Einmal bewusst entscheiden statt historisch gewachsen weiterwursteln.
Fazit
DSGVO im Verein ist kein Hexenwerk: Informationsblatt, Verarbeitungsverzeichnis, AV-Verträge, ein bisschen Datensicherheit und ein sauberer Umgang mit Fotos – das ist der Kern, und der ist an wenigen Abenden erledigt. Die Energie, die manche Vereine in Datenschutz-Angst stecken, ist in eine einmal ordentlich aufgesetzte Struktur deutlich besser investiert.
Mitgliederverwaltung auf saubere digitale Füße stellen?
Von der strukturierten Mitgliederliste bis zur eigenen Vereins-App auf deutschem Server: Im Erstgespräch schauen wir, was bei Ihrem Verein Sinn ergibt. Auch hier gilt: Manchmal ist die Antwort „ein gutes Infoblatt und Signal statt WhatsApp reicht völlig".
Transparenz: Dieser Artikel wurde mit Unterstützung von KI erstellt und von Daniel Erhard fachlich geprüft und überarbeitet.