Braucht mein Verein einen Datenschutzbeauftragten?
Ob ein Datenschutzbeauftragter im Verein Pflicht ist, hängt von zwei Faktoren ab: der Anzahl der Personen, die regelmäßig automatisiert personenbezogene Daten verarbeiten, und der Art der verarbeiteten Daten. Viele Vereine beschäftigen sich zu spät mit dieser Frage — und riskieren damit Bußgelder der Datenschutz-Aufsichtsbehörden. Dieser Beitrag erklärt, wann ein Verein einen Datenschutzbeauftragten benennen muss, was „regelmäßig automatisiert“ in der Praxis bedeutet und welche Alternativen es gibt.
Das Wichtigste in Kürze
- Pflicht besteht nach § 38 BDSG ab 20 Personen, die regelmäßig automatisiert personenbezogene Daten verarbeiten — einschließlich Ehrenamtlicher.
- Pflicht besteht auch nach Art. 37 DSGVO bei umfangreicher Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO), z. B. Gesundheitsdaten oder religiöse Überzeugungen.
- Mitgliederverwaltung per Software, E-Mail-Newsletter und Online-Formulare zählen als „automatisierte“ Verarbeitung.
- Ein interner Datenschutzbeauftragter muss unabhängig sein und nachgewiesenes Fachwissen besitzen.
- Für kleine Vereine empfiehlt sich ein externer Datenschutzbeauftragter oder zumindest eine freiwillige interne Benennung.
- Der Datenschutzbeauftragte muss bei der zuständigen Aufsichtsbehörde gemeldet werden.
Wann muss ein Verein einen Datenschutzbeauftragten benennen?
Es gibt zwei voneinander unabhängige Wege zur Pflicht:
Weg 1: Die 20-Personen-Grenze nach § 38 BDSG
§ 38 Abs. 1 Bundesdatenschutzgesetz (BDSG) schreibt vor, dass eine Organisation — einschließlich eingetragener Vereine — einen Datenschutzbeauftragten benennen muss, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. „Ständig“ bedeutet nicht „hauptberuflich“: Auch Ehrenamtliche, die regelmäßig die Mitgliederdatenbank pflegen, E-Mails versenden oder Online-Formulare verwalten, zählen mit. Die Grenze bezieht sich auf natürliche Personen, nicht auf Vollzeitstellen.
Weg 2: Besondere Datenkategorien nach Art. 37 DSGVO
Unabhängig von der Personenzahl verpflichtet Art. 37 Abs. 1 lit. c DSGVO zur Benennung eines Datenschutzbeauftragten, wenn der Verein im großen Umfang besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet. Dazu gehören Gesundheitsdaten (relevant für Sportvereine mit ärztlichen Untersuchungen oder Behindertenverbände), religiöse Überzeugungen (relevant für Kirchenchöre und konfessionelle Verbände), Daten zur ethnischen Herkunft sowie politische Meinungen.
Datenschutzbeauftragter im Verein: Was bedeutet „regelmäßig automatisiert“?
Die Formulierung „regelmäßig automatisiert“ ist entscheidend für die Anwendung der 20-Personen-Grenze. Darunter fällt jede Verarbeitung, die digital oder mit Software unterstützt wird:
- Mitgliederverwaltung mit einer Vereinssoftware (z. B. easyVerein, SEWOBE oder vergleichbare Anwendungen)
- E-Mail-Newsletter über einen Versanddienst
- Online-Anmeldeformulare für Kurse oder Veranstaltungen
- Buchungssysteme für Sportstunden oder Raumreservierungen
- Digitale Anwesenheitslisten auf Tablets oder in mobilen Apps
Eine rein händische Kartei — auf Papier, ohne digitale Verarbeitung — fällt hingegen nicht unter die „automatisierte“ Verarbeitung. In der Praxis führen nahezu alle Vereine ab einer bestimmten Größe zumindest eine Mitgliederdatenbank digital.
Typische Vereinsszenarien
Um die Regelungen greifbar zu machen, hilft ein Blick auf typische Vereinsformen:
- Kleiner Sportverein mit 50 Mitgliedern und 4 Ehrenamtlichen in der Verwaltung, die eine einfache Mitgliederverwaltungssoftware nutzen: In der Regel kein Pflicht-Datenschutzbeauftragter (unter 20 Personen, die regelmäßig automatisiert verarbeiten). Empfehlenswert ist dennoch, einen Datenschutzkoordinator intern zu benennen.
- Mittelgroßer Wohlfahrtsverband mit 30 Verwaltungsmitarbeitenden, davon 22 regelmäßig in der digitalen Klientendatei tätig: Pflicht zum Datenschutzbeauftragten nach § 38 BDSG.
- Sportverein mit medizinischen Daten (z. B. ärztliche Tauglichkeitszeugnisse, Reha-Protokolle, Informationen zu Behinderungen): Pflicht nach Art. 37 DSGVO unabhängig von der Personenzahl.
- Kirchenchor mit Mitgliederliste, die die Konfessionszugehörigkeit enthält: Pflicht nach Art. 37 DSGVO, da religiöse Daten besondere Kategorien nach Art. 9 DSGVO sind.
Interner oder externer Datenschutzbeauftragter?
Art. 37 Abs. 6 DSGVO und § 38 Abs. 2 BDSG erlauben sowohl interne als auch externe Datenschutzbeauftragte.
Interner Datenschutzbeauftragter
Ein Vereinsmitglied oder ein Angestellter kann als interner Datenschutzbeauftragter benannt werden. Voraussetzung ist nach Art. 37 Abs. 5 DSGVO: nachgewiesenes Fachwissen im Datenschutzrecht und in der Datenschutzpraxis, Unabhängigkeit bei der Ausübung der Tätigkeit sowie das Fehlen von Interessenkonflikten. Der Vorstand selbst kann in der Regel nicht als Datenschutzbeauftragter fungieren, da keine echte Unabhängigkeit gewährleistet ist.
Externer Datenschutzbeauftragter
Ein externer Datenschutzbeauftragter wird auf Basis eines Dienstleistungsvertrags beauftragt. Dabei ist zusätzlich ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zu schließen. Für kleine bis mittelgroße Vereine ist ein externer Datenschutzbeauftragter oft die kostengünstigere und rechtssicherere Lösung, da Qualifikation und Unabhängigkeit von vornherein gegeben sind.
Übersicht: Wann besteht eine Pflicht zur Benennung?
| Vereinsgröße | Datenkategorien | DSB-Pflicht? | Empfehlung |
|---|---|---|---|
| Unter 20 Personen verarbeiten automatisiert | Normale Mitgliederdaten | Nein | Freiwillige Benennung eines Datenschutzkoordinators sinnvoll |
| 20 oder mehr Personen verarbeiten automatisiert | Normale Mitgliederdaten | Ja (§ 38 BDSG) | Interner oder externer Datenschutzbeauftragter |
| Beliebige Größe | Gesundheitsdaten, religiöse Daten (Art. 9 DSGVO) | Ja (Art. 37 DSGVO) | Externer Datenschutzbeauftragter empfohlen |
| Beliebige Größe | Ethnische Herkunft, politische Meinungen (Art. 9 DSGVO) | Ja (Art. 37 DSGVO) | Externer Datenschutzbeauftragter empfohlen |
Häufige Fragen (FAQ)
Darf der Vorstand selbst als Datenschutzbeauftragter fungieren?
In der Regel nein. Der Datenschutzbeauftragte muss nach Art. 38 Abs. 3 DSGVO weisungsfrei handeln und darf wegen der Ausübung seiner Aufgaben nicht abberufen oder benachteiligt werden. Vorstandsmitglieder sind in ihrer Funktion als Vorstand weisungsgebunden und haben einen Interessenkonflikt bei der Kontrolle eigener Entscheidungen. Die Datenschutz-Aufsichtsbehörden akzeptieren diese Konstellation in der Regel nicht.
Was kostet ein externer Datenschutzbeauftragter?
Die Kosten variieren je nach Anbieter, Leistungsumfang und Vereinsgröße erheblich. Für kleine Vereine mit überschaubarem Datenverarbeitungsumfang sind Angebote in unterschiedlichen Preisklassen am Markt verfügbar. Es empfiehlt sich, mehrere Angebote einzuholen und auf Qualifikationsnachweise der Anbieter zu achten.
Was passiert, wenn wir keinen Datenschutzbeauftragten benennen, obwohl die Pflicht besteht?
Das Fehlen eines Datenschutzbeauftragten trotz gesetzlicher Pflicht kann nach Art. 83 Abs. 4 DSGVO mit einem Bußgeld von bis zu €10.000.000 oder 2 % des weltweiten Jahresumsatzes geahndet werden — wobei Aufsichtsbehörden bei Vereinen in der Praxis deutlich niedrigere Beträge verhängen. Schwerwiegender ist häufig das Risiko, bei Datenpannen oder Beschwerden Betroffener keine funktionsfähige Datenschutzstruktur vorweisen zu können.
Müssen wir den Datenschutzbeauftragten bei der Aufsichtsbehörde melden?
Ja. Nach Art. 37 Abs. 7 DSGVO müssen die Kontaktdaten des Datenschutzbeauftragten der zuständigen Datenschutz-Aufsichtsbehörde Ihres Bundeslandes gemeldet werden. Die Meldung erfolgt in der Regel über das Online-Portal der jeweiligen Behörde. Außerdem muss der Datenschutzbeauftragte auf der Vereinswebsite und in der Datenschutzerklärung namentlich genannt werden.
CharityIQ: Datenschutzklarheit für Ihren Verein
Die Frage, ob Ihr Verein einen Datenschutzbeauftragten benötigt, lässt sich nicht pauschal beantworten — sie hängt von der konkreten Struktur Ihres Vereins ab. CharityIQ analysiert datenschutzrechtliche Anforderungen und liefert fundierte Einschätzungen mit Quellennachweis — transparent und jederzeit für den gesamten Vorstand abrufbar. Lesen Sie auch unsere DSGVO-Checkliste für Vereine und den Überblick zu den Datenschutzpflichten im Verein. Entdecken Sie, wie CharityIQ Ihren Verein unterstützt.
Stand: Juli 2026
Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Steuerberatung.