Datenschutz im Verein: DSGVO-Pflichten einfach erklärt

Datenschutz im Verein ist seit Mai 2018 kein optionales Thema mehr – die Datenschutz-Grundverordnung (DSGVO) gilt für jeden Verein, der personenbezogene Daten seiner Mitglieder, Förderer oder Teilnehmer verarbeitet. Ob Sportverein, Kulturverein oder gemeinnützige Organisation: Als Vorstand tragen Sie die Verantwortung dafür, dass Ihre Organisation die rechtlichen Anforderungen erfüllt. Dieser Leitfaden erklärt die wichtigsten DSGVO-Pflichten für Vereine – klar und ohne unnötigen Fachjargon.

Das Wichtigste in Kürze

Die DSGVO gilt für alle Vereine, die personenbezogene Daten verarbeiten – auch ehrenamtlich geführte.
Mitgliederdaten dürfen in der Regel auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Mitgliedschaft) verarbeitet werden.
Ein Verarbeitungsverzeichnis nach Art. 30 DSGVO ist auch für kleine Vereine in den meisten Fällen Pflicht.
Fotos erfordern fast immer eine ausdrückliche Einwilligung der abgebildeten Personen.
Datenpannen müssen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden.

Warum die DSGVO auch Vereine bindet

Viele Vorstandsmitglieder gehen davon aus, dass die DSGVO vor allem Unternehmen betrifft. Das ist ein Irrtum. Die Verordnung gilt für jede natürliche oder juristische Person, die personenbezogene Daten verarbeitet – und das tut jeder Verein: Er speichert Namen, Adressen, Kontodaten und manchmal auch Gesundheitsinformationen oder religiöse Überzeugungen seiner Mitglieder. Damit ist er „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO und muss alle einschlägigen Pflichten erfüllen.

Verstöße können Bußgelder nach sich ziehen, die die zuständige Datenschutz-Aufsichtsbehörde auch gegenüber Vereinen verhängen kann. Darüber hinaus schadet ein sorgloser Umgang mit Mitgliederdaten dem Vertrauen, das die Grundlage jedes Vereinslebens bildet.

Rechtsgrundlagen: Wann darf der Verein Daten verarbeiten?

Jede Datenverarbeitung braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Ohne eine solche Grundlage ist die Verarbeitung unzulässig. Für Vereine kommen vor allem diese vier in Betracht:

Rechtsgrundlage	Art. 6 Abs. 1	Typischer Anwendungsfall im Verein
Einwilligung	lit. a	Newsletter-Versand, Fotos auf Social Media, freiwillige Umfragen
Vertragserfüllung (Mitgliedschaft)	lit. b	Mitgliederverwaltung, Beitragseinzug, Veranstaltungsanmeldungen
Rechtliche Verpflichtung	lit. c	Steuerliche Aufzeichnungspflichten, gesetzliche Buchführung
Berechtigtes Interesse	lit. f	Interne Vereinskommunikation – nur wenn das Interesse der Betroffenen nicht überwiegt

Die Mitgliedschaft begründet ein vertragsähnliches Verhältnis, sodass die Verarbeitung von Name, Adresse, Bankverbindung und Beitragsdaten in der Regel auf lit. b gestützt werden kann. Für darüber hinausgehende Zwecke – etwa das Versenden eines Newsletters oder die Veröffentlichung von Fotos – brauchen Sie eine eigene Rechtsgrundlage, die meistens die Einwilligung nach lit. a ist.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Sportvereine verarbeiten häufig Gesundheitsdaten (z. B. ärztliche Atteste, Sporttauglichkeit), Kirchengemeinden Informationen über religiöse Überzeugungen. Diese Daten fallen unter den besonderen Schutz von Art. 9 DSGVO und dürfen nur unter sehr strengen Voraussetzungen verarbeitet werden – in der Regel nur mit ausdrücklicher Einwilligung oder auf Grundlage einer spezifischen gesetzlichen Erlaubnis. Prüfen Sie genau, welche Datenkategorien Ihr Verein erhebt, und holen Sie bei Unklarheiten rechtlichen Rat ein.

Mitgliederdaten richtig verwalten

Die Mitgliederverwaltung ist der Kern der vereinsinternen Datenverarbeitung. Dabei gelten folgende Grundsätze:

Datensparsamkeit: Erheben Sie nur die Daten, die Sie tatsächlich für den Vereinszweck benötigen.
Zweckbindung: Mitgliederdaten dürfen nicht ohne Weiteres für andere Zwecke – etwa Werbung Dritter – genutzt werden.
Löschfristen: Nach dem Austritt eines Mitglieds müssen Daten gelöscht werden, sobald keine rechtliche Aufbewahrungspflicht mehr besteht (z. B. steuerliche Aufbewahrungsfristen von bis zu 10 Jahren für Buchungsbelege).
Keine unbefugte Weitergabe: Eine Mitgliederliste darf nicht ohne Rechtsgrundlage an Dritte weitergegeben werden – auch nicht an andere Vereinsmitglieder, wenn dafür kein berechtigtes Interesse besteht.

Informationspflichten: Die Datenschutzerklärung des Vereins

Nach Art. 13 DSGVO müssen Sie Ihre Mitglieder zum Zeitpunkt der Datenerhebung über bestimmte Punkte informieren: Wer ist verantwortlich? Welche Daten werden erhoben? Zu welchem Zweck? Wie lange werden die Daten gespeichert? Welche Rechte haben die Betroffenen? Und an wen können sie sich mit einer Beschwerde wenden?

Diese Informationen gehören in Ihre Datenschutzerklärung – sowohl auf der Vereinswebsite als auch in den Formularen, die Sie bei der Aufnahme neuer Mitglieder verwenden. Für Daten, die nicht direkt bei der betroffenen Person erhoben werden (z. B. Daten aus externen Quellen), gilt Art. 14 DSGVO.

Betroffenenrechte: Was Mitglieder verlangen können

Die DSGVO räumt jeder betroffenen Person weitreichende Rechte ein (Art. 15–22), auf die Ihr Verein reagieren muss – in der Regel innerhalb eines Monats nach Eingang des Antrags:

Auskunftsrecht (Art. 15): Jedes Mitglied kann erfahren, welche Daten Sie über es speichern und wie Sie diese verwenden.
Berichtigungsrecht (Art. 16): Fehlerhafte Daten müssen auf Verlangen korrigiert werden.
Löschungsrecht (Art. 17): Unter bestimmten Bedingungen – etwa wenn die Daten nicht mehr benötigt werden – müssen Daten gelöscht werden.
Einschränkungsrecht (Art. 18): Betroffene können in bestimmten Situationen verlangen, dass ihre Daten gesperrt statt gelöscht werden.
Widerspruchsrecht (Art. 21): Bei Verarbeitung auf Basis berechtigten Interesses können Betroffene der Verarbeitung widersprechen.

Bereiten Sie sich organisatorisch darauf vor, solche Anfragen fristgerecht beantworten zu können. Legen Sie intern fest, wer zuständig ist und wie der Prozess abläuft.

Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Auch ohne eigene IT-Abteilung muss Ihr Verein angemessene technische und organisatorische Maßnahmen (TOM) ergreifen, um Mitgliederdaten zu schützen. Praktische Mindestanforderungen für kleine Vereine:

Starke, einmalige Passwörter für alle digitalen Systeme – ein Passwortmanager erleichtert die Verwaltung erheblich
Verschlüsselte Übertragung bei E-Mails mit sensiblen Daten oder Nutzung sicherer Dateiübertragungswege
Abschließbare Aktenschränke für Papierdokumente mit personenbezogenen Daten
Zugriffsrechte nach dem Prinzip der minimalen Rechtevergabe: Nur Personen, die Daten für ihre Aufgabe benötigen, erhalten Zugang
Regelmäßige Datensicherungen (Backups), die sicher aufbewahrt werden
Sensibilisierung aller im Verein aktiven Personen, die Daten verarbeiten

Auftragsverarbeiter und AVV (Art. 28 DSGVO)

Nutzt Ihr Verein externe Dienstleister, die in Ihrem Auftrag personenbezogene Daten verarbeiten – etwa eine Cloud-basierte Mitgliederverwaltung, ein E-Mail-Marketing-Tool oder einen Buchhaltungsservice –, so müssen Sie mit diesen Anbietern einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abschließen. Viele Anbieter stellen entsprechende Vertragsvorlagen online zur Verfügung. Ohne AVV riskieren Sie einen DSGVO-Verstoß, selbst wenn der Dienstleister seriös und sicher arbeitet.

Das Verarbeitungsverzeichnis (Art. 30 DSGVO)

Nahezu alle Vereine sind verpflichtet, ein Verzeichnis ihrer Verarbeitungstätigkeiten (VVT) zu führen. Die theoretische Ausnahme für Organisationen mit weniger als 250 Mitarbeitern greift nur dann, wenn keinerlei regelmäßige Verarbeitung und keine besonderen Datenkategorien nach Art. 9 DSGVO vorliegen – eine Konstellation, die in der Praxis bei Vereinen selten zutrifft. Das VVT muss der Datenschutz-Aufsichtsbehörde auf Anfrage jederzeit vorgelegt werden können. Ausführliche Informationen und ein Muster finden Sie in unserem Artikel Verarbeitungsverzeichnis für Vereine: Muster & Anleitung.

Datenpannen melden (Art. 33/34 DSGVO)

Wenn personenbezogene Daten Ihrer Mitglieder in falsche Hände geraten – durch einen Hackerangriff, einen verlorenen Laptop oder eine versehentlich an alle sichtbare E-Mail –, handelt es sich um eine Datenpanne. In diesem Fall gilt:

Meldung an die zuständige Datenschutz-Aufsichtsbehörde Ihres Bundeslandes innerhalb von 72 Stunden nach Bekanntwerden (Art. 33 DSGVO)
Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht (Art. 34 DSGVO)
Dokumentation aller Datenpannen, auch wenn im Einzelfall keine Meldepflicht besteht (Art. 33 Abs. 5 DSGVO)

Legen Sie intern vorab fest, wer im Ernstfall zuständig ist, wie die Meldung erfolgt und welche Aufsichtsbehörde für Ihren Vereinssitz zuständig ist (z. B. das Bayerische Landesamt für Datenschutzaufsicht in Bayern oder die Berliner Beauftragte für Datenschutz und Informationsfreiheit in Berlin).

Datenschutzbeauftragter: Braucht Ihr Verein einen?

Nach § 38 Bundesdatenschutzgesetz (BDSG) besteht eine Pflicht zur Benennung eines Datenschutzbeauftragten, wenn mindestens 20 Personen regelmäßig automatisiert personenbezogene Daten verarbeiten. Zu dieser Zahl zählen auch Ehrenamtliche. Für kleinere Vereine unterhalb dieser Schwelle besteht keine Benennungspflicht, es sei denn, besondere Datenkategorien werden in großem Umfang verarbeitet.

Nächste Schritte

Wenn Sie strukturiert in das Thema einsteigen wollen, empfiehlt sich die DSGVO-Checkliste für Vorstände. Sie führt durch alle wesentlichen Aufgaben und hilft Ihnen, Prioritäten zu setzen.

Häufig gestellte Fragen

Gilt die DSGVO auch für kleine Vereine mit wenigen Mitgliedern?

Ja. Die DSGVO gilt grundsätzlich für jeden Verein, der personenbezogene Daten verarbeitet – unabhängig von der Mitgliederzahl. Eine Ausnahme besteht nur für rein persönliche oder familiäre Tätigkeiten ohne jeden Bezug zu einer organisierten Gemeinschaft.

Muss ein Verein einen Datenschutzbeauftragten benennen?

Nicht zwingend. Eine Benennungspflicht besteht nach § 38 BDSG, wenn mindestens 20 Personen regelmäßig automatisiert personenbezogene Daten verarbeiten oder wenn besondere Datenkategorien in größerem Umfang verarbeitet werden. Details erläutert unser Beitrag Braucht mein Verein einen Datenschutzbeauftragten?

Darf der Verein eine Mitgliederliste an alle Mitglieder herausgeben?

Nicht ohne Weiteres. Eine Weitergabe der Mitgliederliste ist nur zulässig, wenn eine Rechtsgrundlage besteht – etwa eine ausdrückliche Einwilligung der Mitglieder oder eine entsprechende, DSGVO-konforme Regelung in der Vereinssatzung. Im Zweifel sollten Sie rechtlichen Rat einholen, bevor Sie Listen weiterleiten.

Was passiert, wenn mein Verein gegen die DSGVO verstößt?

Die zuständigen Datenschutz-Aufsichtsbehörden können Bußgelder verhängen. Die Höhe richtet sich nach der Schwere des Verstoßes. Zudem können betroffene Personen Schadensersatzansprüche nach Art. 82 DSGVO geltend machen. Ein frühzeitiges und ernsthaftes Kümmern um die Compliance ist daher der beste Schutz.

Verwalten Sie die Datenschutz-Compliance Ihres Vereins einfacher mit CharityIQ. Unsere KI-gestützte Plattform unterstützt Sie bei Datenschutzhinweisen, Verarbeitungsverzeichnissen und Compliance-Dokumentation – damit Sie sich auf Ihre eigentliche Vereinsarbeit konzentrieren können. Alle Funktionen entdecken →

Stand: Juli 2026

Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Steuerberatung.