DSGVO im Verein: Checkliste für Vorstände

Welche DSGVO-Pflichten treffen Ihren Verein konkret – und wo fangen Sie am besten an? Diese Checkliste fasst die wichtigsten Aufgaben zusammen, die jeder Vereinsvorstand kennen und umsetzen sollte. Sie ist kein Ersatz für rechtliche Beratung, aber ein solider Ausgangspunkt, um die eigene Datenschutz-Compliance zu prüfen und systematisch zu verbessern. Eine ausführlichere Einführung in die Grundlagen der DSGVO bietet unser Leitfaden Datenschutz im Verein: DSGVO-Pflichten einfach erklärt.

Das Wichtigste in Kürze

Sieben Themenbereiche decken die wesentlichen DSGVO-Pflichten für Vereine ab.
Beginnen Sie mit dem Verarbeitungsverzeichnis – es ist die Grundlage aller weiteren Datenschutzmaßnahmen.
Auftragsverarbeitungsverträge (AVV) mit externen Dienstleistern sind rechtlich zwingend, werden aber häufig vergessen.
Datenpannen müssen intern schnell erkannt und innerhalb von 72 Stunden gemeldet werden können.

Bereich 1: Verarbeitungsverzeichnis anlegen (Art. 30 DSGVO)

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist die Grundlage Ihrer Datenschutz-Dokumentation. Es erfasst alle Vorgänge, bei denen Ihr Verein personenbezogene Daten verarbeitet, und muss der Aufsichtsbehörde auf Anfrage jederzeit vorgelegt werden können.

☐ Alle Verarbeitungstätigkeiten identifiziert (Mitgliederverwaltung, Buchhaltung, Newsletter, Fotos, Veranstaltungen usw.)
☐ Für jede Tätigkeit: Zweck, Rechtsgrundlage, Datenkategorien, Empfänger und Löschfristen dokumentiert
☐ VVT schriftlich oder in elektronischer Form festgehalten und laufend aktuell gehalten

Eine Schritt-für-Schritt-Anleitung mit einem Muster finden Sie in unserem Beitrag Verarbeitungsverzeichnis für Vereine: Muster & Anleitung.

Bereich 2: Rechtsgrundlagen klären (Art. 6 DSGVO)

Für jede Datenverarbeitung muss eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegen. Ohne eine solche Grundlage ist die Verarbeitung unzulässig.

☐ Mitgliederdaten: Verarbeitung auf Basis des Mitgliedschaftsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) geprüft und dokumentiert
☐ Newsletter, Fotos, Marketing: Einwilligungen nach Art. 6 Abs. 1 lit. a DSGVO vorhanden und dokumentiert
☐ Buchhaltung und Steuer: Verarbeitung auf Basis rechtlicher Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) geprüft
☐ Gesundheitsdaten oder religiöse Daten: besondere Anforderungen nach Art. 9 DSGVO beachtet
☐ Keine Verarbeitung von personenbezogenen Daten ohne zugeordnete Rechtsgrundlage

Bereich 3: Einwilligungen einholen und verwalten (Art. 7 DSGVO)

Einwilligungen nach Art. 6 Abs. 1 lit. a DSGVO müssen freiwillig, informiert, unmissverständlich und nachweisbar erteilt werden. Vorausgewählte Kästchen oder pauschale Zustimmungen in der Vereinssatzung genügen nicht.

☐ Einwilligungsformulare klar und verständlich formuliert
☐ Zweck der Datenverarbeitung in der Einwilligung konkret benannt
☐ Einwilligungen dokumentiert: Wer hat wann in was eingewilligt?
☐ Widerrufsmöglichkeit klar kommuniziert und technisch umgesetzt (z. B. Abmeldelink im Newsletter)
☐ Bei Personen unter 16 Jahren: Einwilligung der Eltern oder Erziehungsberechtigten eingeholt und dokumentiert (Art. 8 DSGVO)

Bereich 4: Auftragsverarbeitungsverträge abschließen (Art. 28 DSGVO)

Jeder externe Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, benötigt einen Auftragsverarbeitungsvertrag (AVV). Das betrifft typischerweise folgende Dienstleister:

Cloud-basierte Mitgliederverwaltungssoftware
E-Mail-Marketing-Dienste (Newsletter-Tools)
Buchhaltungssoftware als SaaS-Lösung
Website-Hoster und Content-Management-Systeme
Online-Zahlungsdienstleister
Cloud-Speicherlösungen (z. B. für Vereinsunterlagen)

Checkliste:

☐ Alle externen Dienstleister identifiziert, die Vereinsdaten verarbeiten
☐ Mit jedem Dienstleister ein AVV abgeschlossen (schriftlich oder elektronisch)
☐ AVV-Dokumente archiviert und bei Prüfungen abrufbar
☐ Bei Dienstleistern außerhalb der EU/des EWR: zusätzliche Anforderungen an die Drittlandübermittlung geprüft

Bereich 5: Datenschutzhinweise und -erklärungen bereitstellen (Art. 13/14 DSGVO)

Ihr Verein muss betroffene Personen über die Verarbeitung ihrer Daten informieren – zum Zeitpunkt der Erhebung und in verständlicher Sprache.

☐ Datenschutzerklärung auf der Vereinswebsite vorhanden, leicht auffindbar und aktuell
☐ Datenschutzhinweis auf Aufnahmeformularen für neue Mitglieder enthalten
☐ Datenschutzhinweis auf Einwilligungsformularen (z. B. für Fotos, Newsletter) vorhanden
☐ Pflichtangaben vollständig: Name und Kontakt des Verantwortlichen, Zwecke der Verarbeitung, Rechtsgrundlagen, Speicherdauer, Rechte der Betroffenen, Beschwerderecht bei der Aufsichtsbehörde

Bereich 6: Betroffenenrechte gewährleisten (Art. 15–22 DSGVO)

Mitglieder und andere betroffene Personen haben gesetzliche Rechte, auf die Ihr Verein in der Regel innerhalb eines Monats reagieren muss.

Recht der Betroffenen	Artikel DSGVO	Empfohlene Maßnahme im Verein
Auskunftsrecht	Art. 15	Ansprechpartner benennen, Auskunftsprozess definieren
Berichtigungsrecht	Art. 16	Korrekturen in allen betroffenen Systemen sicherstellen
Löschungsrecht	Art. 17	Löschkonzept mit Fristen und Verantwortlichkeiten erstellen
Einschränkungsrecht	Art. 18	Möglichkeit schaffen, Daten zu sperren statt zu löschen
Datenübertragbarkeit	Art. 20	Export der eigenen Daten in maschinenlesbarem Format ermöglichen
Widerspruchsrecht	Art. 21	Bei Verarbeitung auf Basis berechtigten Interesses: Widerspruch intern prüfen und dokumentieren

☐ Interner Prozess für Betroffenenanfragen definiert (Zuständigkeit, Reaktionszeit)
☐ Einhaltung der Monatsfrist sichergestellt; Fristverlängerung bei komplexen Anfragen intern bekannt
☐ Beschwerdeweg zur zuständigen Aufsichtsbehörde in der Datenschutzerklärung benannt

Bereich 7: TOM und Datenpannen-Management (Art. 32–34 DSGVO)

Angemessene technisch-organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO und ein funktionierender Prozess für den Umgang mit Datenpannen nach Art. 33/34 DSGVO schützen Ihren Verein und Ihre Mitglieder.

☐ Sichere Passwörter und – wo möglich – Zwei-Faktor-Authentifizierung für alle relevanten Systeme eingerichtet
☐ Zugriffsrechte auf das Prinzip der minimalen Rechtevergabe (Need-to-know) begrenzt
☐ Regelmäßige Datensicherungen (Backups) eingerichtet und getestet
☐ Verfahren für Datenpannen intern definiert: Wer muss wann informiert werden?
☐ Meldepflicht gegenüber der Aufsichtsbehörde (72 Stunden nach Bekanntwerden) intern bekannt
☐ Alle Datenpannen intern dokumentiert – auch solche, die nicht meldepflichtig sind

Häufig gestellte Fragen

Muss ein kleiner Verein wirklich alle diese Punkte umsetzen?

Ja, grundsätzlich gilt die DSGVO für alle Vereine. Der Aufwand richtet sich jedoch nach dem Umfang der Datenverarbeitung: Ein kleiner Verein mit einer überschaubaren Mitgliederzahl und wenigen Datenverarbeitungsprozessen muss weniger dokumentieren als eine größere Organisation. Maßgeblich ist, dass Sie die wesentlichen Pflichten kennen und angemessen umsetzen.

Wie oft sollte die Checkliste überprüft werden?

Mindestens einmal jährlich oder immer dann, wenn sich Ihre Vereinsstruktur, Ihre IT-Systeme oder die Rechtslage wesentlich ändern – etwa wenn Sie ein neues Tool einführen oder einen neuen Dienstleister beauftragen.

Wo finde ich die zuständige Datenschutz-Aufsichtsbehörde für meinen Verein?

Die Zuständigkeit richtet sich nach dem Bundesland, in dem Ihr Verein seinen Sitz hat. Beispiele: das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) für Bayern oder die Berliner Beauftragte für Datenschutz und Informationsfreiheit für Berlin. Eine aktuelle Übersicht finden Sie auf der Website der Datenschutzkonferenz (DSK).

Was ist der Unterschied zwischen AVV und Datenschutzerklärung?

Der AVV ist ein Vertrag zwischen Ihrem Verein und einem externen Dienstleister, der Ihre Daten in Ihrem Auftrag verarbeitet (Art. 28 DSGVO). Die Datenschutzerklärung richtet sich hingegen an die betroffenen Personen (Mitglieder, Website-Besucher) und informiert sie über die Datenverarbeitung des Vereins (Art. 13/14 DSGVO). Beide Dokumente sind erforderlich, erfüllen aber unterschiedliche Zwecke.

CharityIQ begleitet Sie durch alle DSGVO-Aufgaben Ihres Vereins. Von der Erstellung von Datenschutzdokumenten bis zur Erinnerung an wichtige Fristen – unsere KI-gestützte Plattform macht Compliance einfacher. Alle Funktionen entdecken →

Stand: Juli 2026

Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechts- oder Steuerberatung.