Die DSGVO tangiert viele Bereiche der Vereinsarbeit. Vereine speichern Mitgliederdaten, ziehen Beiträge ein, verschicken Newsletter, veröffentlichen Fotos und nutzen digitale Tools. Deshalb lohnt es sich, Datenschutz nicht nur als rechtliche Pflicht zu sehen, sondern als festen Bestandteil der Vereinsorganisation.
Dabei müsst ihr nicht jeden Artikel der Datenschutz-Grundverordnung auswendig kennen. Wichtiger ist, dass ihr ein Bewusstsein dafür entwickelt, welche personenbezogenen Daten ihr als Verein verarbeitet, warum ihr sie überhaupt braucht, wer darauf zugreifen darf und wie ihr sie schützt. Auch Vereine müssen die DSGVO beachten – unabhängig davon, ob sie klein, ehrenamtlich geführt oder gemeinnützig sind.
Das Wichtigste zur DSGVO im Verein
Die wichtigsten DSGVO-Artikel im Überblick
Mitgliederdaten und Rechtsgrundlagen
Informationspflichten bei Mitgliederdaten
Zugriffsrechte und Datensicherheit
Digitale Tools und externe Dienstleister
Datenschutz auf der Vereinswebsite
Verzeichnis der Verarbeitungstätigkeiten
Datenschutz im Verein organisieren
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung.
Das Wichtigste zur DSGVO im Verein
Dabei geht es nicht nur um digitale Daten. Auch eine ausgedruckte Mitgliederliste, ein Anmeldeformular oder eine Teilnehmerliste kann personenbezogene Daten enthalten.
Personenbezogene Daten sind dabei nicht nur Name, Anschrift oder E-Mail-Adresse. Auch Kontodaten, Fotos, Gesundheitsdaten oder andere Informationen über eine bestimmte Person können dazugehören. Die DSGVO erfasst außerdem nicht nur digitale Verarbeitung. Auch strukturierte Papierunterlagen können darunterfallen.
Einen breiteren Überblick darüber, wo Daten und Datenschutz in die digitale Vereinsarbeit hineinspielen, findet ihr auch in unserem Beitrag zu den wichtigsten Digitalisierungsthemen für Vereine.
Die wichtigsten DSGVO-Artikel für Vereine
Die DSGVO enthält viele Regelungen. Für die tägliche Vereinsarbeit sind einige Artikel jedoch besonders wichtig. Die folgende Übersicht ist deshalb keine vollständige Darstellung der DSGVO, sondern eine Orientierung für typische Situationen im Verein. Den vollständigen Gesetzestext findet ihr bei EUR-Lex.
Art. 4 DSGVO – Personenbezogene Daten und Verarbeitung
Hier stehen wichtige Begriffe der DSGVO. Personenbezogene Daten können zum Beispiel Namen, Adressen, E-Mail-Adressen, Fotos oder Kontodaten von Mitgliedern sein.
Art. 5 DSGVO – Grundsätze der Datenverarbeitung
Daten sollen unter anderem zweckgebunden, sparsam und nur so lange wie nötig verarbeitet werden. Für den Verein bedeutet das zum Beispiel: Im Mitgliedsantrag nur Daten abfragen, die tatsächlich gebraucht werden.
Art. 6 DSGVO – Rechtsgrundlagen
Personenbezogene Daten dürfen nicht ohne Rechtsgrundlage verarbeitet werden. Für notwendige Mitgliederdaten kann beispielsweise die Durchführung des Mitgliedschaftsverhältnisses eine Rolle spielen.
Art. 9 DSGVO – Besonders geschützte Daten
Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten brauchen besonderen Schutz. Das kann etwa für Sport-, Gesundheits- oder Selbsthilfevereine wichtig sein.
Art. 12 bis 14 DSGVO – Transparenz und Informationspflichten
Mitglieder müssen erfahren, welche Daten der Verein verarbeitet, wofür er sie nutzt und welche Rechte sie haben.
Art. 15 bis 18 DSGVO – Auskunft, Berichtigung, Löschung und Einschränkung
Ein Mitglied kann zum Beispiel Auskunft über gespeicherte Daten verlangen oder eine falsche Anschrift berichtigen lassen.
Zusammenfassung bei Stiftung Datenschutz.
Art. 21 DSGVO – Widerspruch
Unter bestimmten Voraussetzungen können Betroffene einer Verarbeitung ihrer Daten widersprechen.
Art. 28 DSGVO – Auftragsverarbeitung
Dieser Artikel wird wichtig, wenn externe Anbieter personenbezogene Daten für den Verein verarbeiten – zum Beispiel bei Cloud-Diensten, Newsletter-Systemen oder Webhosting.
Art. 30 DSGVO – Verzeichnis der Verarbeitungstätigkeiten
Hier geht es darum, die Verarbeitung personenbezogener Daten im Verein zu dokumentieren. Dazu können etwa Mitgliederverwaltung, Beitragseinzug oder Newsletter gehören.
Unser Arbeitsblatt hilft euch dabei, Verarbeitungstätigkeiten mit Datenkategorien, betroffenen Personen, Rechtsgrundlage, Zweck und Speicherdauer zu erfassen.
Art. 32 DSGVO – Sicherheit der Verarbeitung
Vereine müssen personenbezogene Daten angemessen schützen. Dazu gehören beispielsweise Zugriffsrechte, sichere Passwörter, Backups und gegebenenfalls Verschlüsselung.
Art. 33 DSGVO – Datenschutzverletzungen
Geht beispielsweise eine Mitgliederliste an die falsche Person, muss der Verein den Vorfall prüfen und gegebenenfalls der Datenschutzaufsicht melden.
Art. 37 DSGVO – Datenschutzbeauftragte
Hier ist geregelt, wann eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter benannt werden muss. Ergänzende Anforderungen enthält das Bundesdatenschutzgesetz.
Mitgliederdaten nur für einen klaren Zweck nutzen
Ein einfaches Beispiel zeigt, wie die DSGVO im Verein praktisch funktioniert: Ein Mitglied tritt dem Verein bei. Für die Mitgliederverwaltung benötigt der Verein etwa Name und Kontaktdaten. Zieht er Mitgliedsbeiträge per Lastschrift ein, braucht er zusätzlich die entsprechenden Zahlungsdaten.
Für Daten, die der Verein zur Durchführung des Mitgliedschaftsverhältnisses benötigt, ist nicht automatisch eine Einwilligung erforderlich. Das BayLDA nennt hierfür Art. 6 Abs. 1 Buchstabe b DSGVO als mögliche Rechtsgrundlage. Andere Verarbeitungen können dagegen eine andere Rechtsgrundlage oder eine Einwilligung erfordern.
Ein praktischer Unterschied:
Sinnvoll:
Der Kassenwart erhält die Bankverbindung, weil er die Beiträge verwaltet.
Nicht automatisch sinnvoll:
Alle Vorstandsmitglieder erhalten eine vollständige Mitgliederliste mit Adresse, Telefonnummer und Bankverbindung, obwohl sie diese Informationen für ihre Aufgaben nicht benötigen.
Denn der Grundsatz der Datenminimierung aus Art. 5 DSGVO verlangt, dass Vereine nur die Daten verarbeiten, die für den jeweiligen Zweck erforderlich sind. Genau diese Logik zieht sich auch durch unser Workshopmaterial: Verarbeitungstätigkeit, Datenkategorie, betroffene Personen, Rechtsgrundlage, Zweck und Speicherdauer sollten zusammenpassen.
Mitgliederdaten sicher verwalten
Informationspflichten gleich beim Eintritt mitdenken
Neben der Rechtsgrundlage spielt die Information der Betroffenen eine wichtige Rolle. Neue Mitglieder sollten bereits bei der Datenerhebung erfahren, welche Daten ihr für welchen Zweck verarbeitet und was anschließend mit ihnen geschieht.
Das BayLDA empfiehlt, die Informationen direkt mit dem Beitrittsformular bereitzustellen oder dort eindeutig auf die vollständigen Datenschutzhinweise zu verweisen. Eine Unterschrift unter die Datenschutzinformation ist dafür nicht nötig, denn eine Informationspflicht ist keine Einwilligung.
Ein Satz wie „Ich stimme der DSGVO zu“ löst das Problem deshalb nicht. Stattdessen sollte der Verein verständlich erklären, welche Mitgliederdaten er verarbeitet, warum er sie braucht und welche Rechte die Mitglieder haben.
Dabei unterscheidet die DSGVO danach, woher die Daten stammen. Erhebt der Verein die Daten direkt beim Mitglied, sind vor allem die Informationspflichten nach Art. 13 DSGVO relevant. Erhält er personenbezogene Daten aus einer anderen Quelle, kommt Art. 14 DSGVO ins Spiel. Das Kurzpapier Nr. 10 der Datenschutzkonferenz erläutert diese Unterscheidung ausführlicher.
Zugriffsrechte im Verein begrenzen
Auch innerhalb des Vereins sollte nicht jede Person automatisch Zugriff auf alle Daten erhalten.
Die Übungsleiterin braucht vielleicht Namen und Kontaktdaten ihrer Trainingsgruppe. Der Kassierer benötigt dagegen Informationen zum Beitragseinzug. Die Person, die den Newsletter versendet, braucht wiederum E-Mail-Adressen, aber normalerweise keine Bankverbindungen.
Deshalb lohnt es sich, Rollen und Zugriffsrechte klar festzulegen. Außerdem sollten Vereine Zugänge entfernen, wenn jemand eine Aufgabe abgibt. Nach einem Vorstandswechsel sollte z. B. der ehemalige Schatzmeister also nicht jahrelang weiter auf Mitgliederlisten oder Vereinssoftware zugreifen können.
Art. 32 DSGVO verlangt ein Schutzniveau, das zum jeweiligen Risiko passt. Dazu gehören technische und organisatorische Maßnahmen, beispielsweise Zugriffsrechte, aktuelle Systeme, sichere Passwörter, Backups oder Verschlüsselung.
Wie ihr Passwörter mit einem Passwortmanager organisiert, zeigen wir ausführlich in unserem Beitrag Sichere Passwörter erstellen und verwalten mit KeePassXC.
Außerdem haben wir 5 praktische Tipps zum Datenschutz zusammengestellt.
Digitale Tools und externe Dienstleister prüfen
Newsletter-System, Cloud, Mitgliederverwaltung, Videokonferenz oder Webhosting: Vereine geben heute viele digitale Aufgaben an externe Anbieter.
Deshalb solltet ihr nicht nur prüfen, was ein Tool kann, sondern auch, was mit euren Daten geschieht. Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag des Vereins, kann Art. 28 DSGVO zur Auftragsverarbeitung greifen. Dann muss der Verein unter anderem die Rolle des Dienstleisters und die vertraglichen Voraussetzungen prüfen.
Die Deutsche Stiftung für Engagement und Ehrenamt empfiehlt ebenfalls, Datenschutzrisiken bei digitalen Tools und Dienstleistern bewusst zu prüfen und die Kontrolle über die verarbeiteten Daten mitzudenken.
Praxisbeispiel: Ihr möchtet eine Mitgliederliste in einen Cloud-Speicher laden. Bevor ihr das tut, solltet ihr klären, wer der Anbieter ist, welche Daten dort liegen, wer Zugriff erhält und welche datenschutzrechtlichen Vereinbarungen gelten.
Fotos beim Datenschutz mitdenken
Fotos und Videos sind ebenfalls personenbezogene Daten, sobald Menschen darauf identifizierbar sind. Deshalb sollte ein Verein vor der Veröffentlichung eines Fotos prüfen, auf welcher Grundlage er das Bild verwenden darf. Besonders aufmerksam solltet ihr bei Kindern und anderen schutzbedürftigen Personen sein. Das BayLDA bietet dafür einen eigenen Praxisratgeber „Bilder und Verein“.
Website gut organisieren und aktuell halten
Datenverarbeitung auf der Vereinswebsite
Auf einer Vereinswebsite können personenbezogene Daten beispielsweise über Server-Logfiles, Kontaktformulare, Newsletter, Cookies oder eingebundene Dienste anfallen. Deshalb braucht die Website eine Datenschutzerklärung, die zu den tatsächlich eingesetzten Funktionen passt.
Für kleine Vereine bietet die Stiftung Datenschutz einen Generator für Datenschutzhinweise an. Das Ergebnis dient als Vorlage und muss an die tatsächlich eingesetzten Dienste und Datenverarbeitungen angepasst werden.
Zudem solltet ihr bei der Websitepflege Formulare, Benutzerkonten, Updates und technische Dienste regelmäßig prüfen. Mehr dazu findet ihr in unserem Beitrag Vereinswebsite aktuell halten und im Ehrenamt gut organisieren.
Das Verzeichnis von Verarbeitungstätigkeiten schafft Überblick
Einer der wichtigsten Punkte für Vereine steckt in Art. 30 DSGVO. Das BayLDA schreibt ausdrücklich, dass praktisch jeder Verein ein Verzeichnis der Verarbeitungstätigkeiten führen muss, weil Mitgliederdaten normalerweise regelmäßig und nicht nur gelegentlich verarbeitet werden.
Verarbeitungstätigkeit: Beitragsverwaltung
Betroffene Personen: Mitglieder
Daten: unter anderem Bankverbindung
Zweck: Einzug der Mitgliedsbeiträge
Rechtsgrundlage: abhängig vom konkreten Zweck, etwa Durchführung des Mitgliedschaftsverhältnisses
Speicherdauer: nach Zweck und gegebenenfalls gesetzlichen Aufbewahrungspflichten
Schutz: festgelegte Zugriffsrechte und technische Sicherheitsmaßnahmen
Das Verzeichnis hilft euch damit nicht nur bei der Dokumentationspflicht. Es zeigt auch sehr praktisch, wo im Verein personenbezogene Daten liegen und wer damit arbeitet.
Ein Muster speziell für Vereine findet ihr hier beim BayLDA.
Ihr möchtet das Verzeichnis direkt selbst ausfüllen? Die Stiftung Datenschutz stellt dafür eine Excel-Vorlage für Vereine bereit.
Datenschutzverletzungen nicht ignorieren
Eine Datenpanne kann auch im kleinen Verein passieren. Vielleicht verschickt jemand eine Mitgliederliste an die falsche E-Mail-Adresse, ein Laptop mit Vereinsdaten geht verloren oder ein fremder Account erhält Zugriff auf die Cloud.
In diesen Fällen sollte der Verein den Vorfall sofort prüfen und dokumentieren. Eine Meldung nach Art. 33 DSGVO an die Aufsichtsbehörde ist erforderlich, wenn die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führt. Besteht eine Meldepflicht, gilt grundsätzlich die Frist von 72 Stunden nach Bekanntwerden. Das BayLDA stellt für solche Fälle einen Online-Meldedienst bereit.
Bei der Einschätzung des Risikos kann das Kurzpapier Nr. 18 der Datenschutzkonferenz eine zusätzliche Orientierung bieten.
Datenschutz im Verein dauerhaft organisieren
Die DSGVO im Verein ist weniger eine einmalige Aufgabe als eine Frage guter Organisation. Legt fest, wer Mitgliederdaten verwaltet, wer neue digitale Tools prüft, wer Zugriffsrechte vergibt und wer sich um Datenschutzanfragen kümmert.
Hilfreich ist auch eine regelmäßige Bestandsaufnahme:
Brauchen wir diese Daten noch?
Hat die richtige Person Zugriff?
Nutzen wir dieses Tool noch?
Sind unsere Datenschutzhinweise noch aktuell?
Nicht jeder Verein muss eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen. Zusätzlich zu den Fällen aus Art. 37 DSGVO nennt § 38 BDSG für nichtöffentliche Stellen unter anderem die Schwelle von in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.
Noch Fragen zur digitalen Umsetzung?
Häufige Fragen zur DSGVO im Verein
Nein. Soweit ein Verein die Daten zur Durchführung des Mitgliedschaftsverhältnisses benötigt, kann die Verarbeitung insbesondere auf Art. 6 Abs. 1 Buchstabe b DSGVO beruhen. Für andere Zwecke muss der Verein die jeweils passende Rechtsgrundlage prüfen. Eine Einwilligung ist also eine mögliche Rechtsgrundlage, aber nicht die einzige. (LDA Bayern)
Nach Einschätzung des BayLDA praktisch ja, weil Vereine ihre Mitgliederdaten üblicherweise regelmäßig und nicht nur gelegentlich verarbeiten. Das BayLDA stellt dafür ein Muster bereit. (LDA Bayern)
Nein. Nach § 38 BDSG besteht eine Benennungspflicht unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben gibt es weitere Fälle, in denen eine Pflicht bestehen kann. Deshalb sollte ein Verein seine konkrete Situation prüfen. (Gesetze im Internet)
Nein, nicht ohne Weiteres. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) weist darauf hin, dass Vereinsmitglieder untereinander grundsätzlich als Dritte gelten. Eine pauschale Herausgabe oder der freie Versand der gesamten Mitgliederliste an alle Mitglieder ist datenschutzrechtlich unzulässig. Kontaktdaten dürfen nur unter strengen Voraussetzungen weitergegeben werden.
Praxisbeispiel: Möchte ein Mitglied eine außerordentliche Mitgliederversammlung nach § 37 BGB einberufen, muss der Vorstand nicht pauschal die gesamte Mitgliederliste mit Telefonnummern oder E-Mail-Adressen aushändigen. Übermittelt werden dürfen nur die dafür zwingend notwendigen Daten (z. B. ausschließlich Name und Postanschrift für das Einladungsschreiben). Auch hier sollte der Vorstand bevorzugt anbieten, das Einladungsschreiben im Namen des Mitglieds selbst zu versenden, um eine Datenherausgabe zu vermeiden.
Mitglieder und andere betroffene Personen haben nach Art. 15 DSGVO ein Auskunftsrecht. Der Verein muss daher auf Antrag prüfen, welche personenbezogenen Daten er über die betreffende Person verarbeitet, und die vorgeschriebenen Informationen bereitstellen. (LDA Bayern)
Nicht zwingend. Daten dürfen grundsätzlich nur so lange gespeichert bleiben, wie der jeweilige Zweck dies erfordert. Allerdings können gesetzliche Aufbewahrungspflichten eine weitere Speicherung einzelner Daten verlangen. Deshalb sollte der Verein festlegen, welche Daten nach einem Austritt wann gelöscht werden. (LDA Bayern)
Quellen und weiterführende Informationen
Datenschutz-Grundverordnung – EUR-Lex
https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu
Bayerisches Landesamt für Datenschutzaufsicht: Datenschutz in Vereinen
https://www.lda.bayern.de/de/thema_vereine.html
FAQ – unter anderem Datenschutz in Vereinen. BayLDA
https://www.lda.bayern.de/de/faq.html
Musterverzeichnis der Verarbeitungstätigkeiten für Vereine. BayLD
https://www.lda.bayern.de/media/muster/muster_1_verein_verzeichnis.pdf
Bilder und Verein. BayLD
https://www.lda.bayern.de/media/veroeffentlichungen/FAQ_Bilder_und_Verein.pdf
Auskunft nach Art. 15 DSGVO. BayLD
https://www.lda.bayern.de/de/thema_auskunft.html
Datenschutzverletzung melden. BayLD
https://www.lda.bayern.de/de/datenpanne.html
Datenschutzkonferenz: Kurzpapier Nr. 10 – Informationspflichten
https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_10.pdf
Datenschutzkonferenz: Kurzpapier Nr. 18 – Risiko für die Rechte und Freiheiten natürlicher Personen
https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_18.pdf
Stiftung Datenschutz: Basiswissen Datenschutz im Verein
https://stiftungdatenschutz.org/ehrenamt/basiswissen-datenschutz-im-verein
Stiftung Datenschutz: Generator für Datenschutzhinweise
https://stiftungdatenschutz.org/ehrenamt/generator-datenschutzhinweise
Deutsche Stiftung für Engagement und Ehrenamt: Datenschutz und digitale Tools
https://www.deutsche-stiftung-engagement-und-ehrenamt.de/dseeerklaert/datenschutz-risiken-erkennen-und-digitale-tools-verantwortungsvoll-nutzen/
BSI: Passwörter verwalten mit dem Passwortmanager
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Passwort-Manager/passwort-manager_node.html
Bundesdatenschutzgesetz § 38
https://www.gesetze-im-internet.de/bdsg_2018/__38.html
LfDI Baden-Württemberg: Orientierungshilfe Datenschutz im Verein
https://www.baden-wuerttemberg.datenschutz.de/orientierungshilfe-datenschutz-verein/
