DSGVO im Verein – die Checkliste für den Alltag
Datenschutz und Ehrenamt – das klingt für viele wie eine bürokratische Pflichtübung, die man irgendwie hinter sich bringt. Dabei ist die DSGVO im Kern etwas sehr Praktisches: Sie schützt die Menschen, deren Daten du verwaltest – Mitglieder, Spender, Projektteilnehmende – und sie schützt euren Verein vor rechtlichen Problemen. Die gute Nachricht vorweg: Datenschutz scheitert selten am Willen, sondern an fehlenden Strukturen. Wer weiß, welche Daten wo liegen, wer darauf zugreifen kann und wann sie gelöscht werden, hat das meiste schon richtig gemacht.
Was die DSGVO für Vereine wirklich bedeutet
Die Datenschutz-Grundverordnung gilt auch für Vereine – ohne Ausnahme. Selbst ein Verein mit zehn Mitgliedern fällt darunter. Personenbezogene Daten dürft ihr nur verarbeiten, wenn es dafür eine rechtliche Grundlage gibt. Für Vereine ist das meist die Erfüllung des Mitgliedschaftsverhältnisses (durch die Satzung abgedeckt) oder eine ausdrückliche Einwilligung. Das musst du dir merken:
- Mitgliederdaten und Beitragsverwaltung: durch die Satzung abgedeckt – aber Löschfristen beachten.
- Fotos von Veranstaltungen: Einwilligung erforderlich, am besten schriftlich.
- Newsletter: Das Double-Opt-in-Verfahren ist Pflicht – die Anmeldung muss per Bestätigungslink aktiv bestätigt werden.
- Spenderverwaltung: Steuerliche Aufbewahrungspflichten gelten zusätzlich.
- Externe Dienstleister, die Daten verarbeiten: Auftragsverarbeitungsvertrag abschließen.
Das Verzeichnis von Verarbeitungstätigkeiten
Sobald ihr regelmäßig personenbezogene Daten verarbeitet, müsst ihr ein Verzeichnis von Verarbeitungstätigkeiten führen. Das klingt aufwendig, ist es aber nicht. Eine einfache Tabelle mit fünf Spalten reicht völlig: Was?, Zweck?, Wer hat Zugriff?, Wie lange? und Wo gespeichert?. Trag dort zeilenweise ein, was in eurem Verein tatsächlich anfällt – Mitgliederdaten, Veranstaltungsfotos, Newsletter-Empfänger, Anfragen. Fertig ist das wichtigste Datenschutzdokument, und du hast in einer Stunde mehr geschafft, als die meisten Vereine je dokumentieren.
Einwilligungen und Fotos
Veranstaltungen sind der heikelste Bereich im Vereinsalltag: viele Menschen, viel Betrieb, hoher Druck, alles schnell hinzubekommen. Wer Menschen fotografiert und diese Fotos veröffentlicht – auf der Webseite, in sozialen Medien oder im Newsletter – braucht dafür eine Einwilligung. Am einfachsten holst du sie direkt beim Anmeldeprozess ein: ein Häkchen im Formular, mit klarer Erläuterung, wofür die Fotos verwendet werden. Wichtig: Einwilligungen müssen aktiv erteilt werden – vorausgefüllte Häkchen sind nicht zulässig.
- Anmeldeformulare: nur notwendige Felder. Name und E-Mail reichen meistens.
- Teilnehmerlisten: nicht offen auf dem Tisch – nur so viel wie nötig zeigen.
- Fotos und Videos: Einwilligung vorab oder sichtbare Ausschilderung („Hier werden Fotos gemacht").
- Minderjährige: Einwilligung der Erziehungsberechtigten, nicht der Kinder selbst.
- Löschung: Teilnehmerlisten löschen, sobald kein Bedarf mehr besteht.
Auftragsverarbeitung und der AVV
Sobald ihr einen externen Dienstleister nutzt, der für euch personenbezogene Daten verarbeitet – Cloud-Speicher, Newsletter-Tool, Mitgliederverwaltung –, braucht ihr einen Auftragsverarbeitungsvertrag, kurz AVV. Vereinfacht ist das nichts anderes als eine schriftliche Zusage: Der Dienstleister verpflichtet sich, sorgsam und nur in eurem Auftrag mit den Daten umzugehen – eine Art Hausordnung für alle, die Zugang zu euren Mitglieder- und Spenderdaten bekommen. Alle großen Anbieter wie Microsoft, Google oder Brevo stellen fertige AVVs bereit, die du online abschließen und herunterladen kannst. Das dauert oft nur wenige Minuten. Ohne AVV bewegt ihr euch dagegen in einer rechtlichen Grauzone – selbst wenn der Anbieter technisch sicher ist.
Technische Basics: Datenminimierung und Ordnung
Nicht alles, was man erheben könnte, braucht man wirklich. Je weniger du sammelst, desto weniger musst du schützen – und desto weniger kann in falsche Hände geraten. Datenminimierung ist kein Verzicht, sondern ein Schutzmechanismus, der gleichzeitig Arbeit spart. Ein bewährtes, schlankes Setup sieht so aus:
- Hauptablage bei einem EU-Hoster (SharePoint, OneDrive oder Nextcloud) mit klaren Bereichen für Vorstand, Kasse, Mitglieder, Projekte.
- Passwortmanager wie Bitwarden oder Passbolt mit geteilten Tresoren und aktivierter Mehr-Faktor-Authentifizierung (MFA).
- Ein eigener Ordner für alle abgeschlossenen AVVs.
- Eine ehrliche, verständliche und aktuelle Datenschutzerklärung auf der Webseite.
- Klar definierte Löschfristen: Was wird wann gelöscht?
Datenpanne – was tun?
Ein Datenschutzvorfall ist kein Zeichen von Versagen – er kann jeden treffen, etwa ein Datenleck oder ein gehacktes E-Mail-Konto. Entscheidend ist, wie du damit umgehst. Die DSGVO schreibt vor: Bei einem Vorfall, der voraussichtlich ein Risiko für Betroffene darstellt, muss die zuständige Datenschutzbehörde innerhalb von 72 Stunden informiert werden. Diese Frist klingt lang, ist aber kurz, wenn man erst im Ernstfall anfängt. Deshalb klärst du den Ablauf am besten vorher:
- Erkennen und dokumentieren: Was ist passiert, wann, welche Daten sind betroffen?
- Sofortmaßnahmen: Zugang sperren, Passwörter ändern, MFA aktivieren.
- Risiko einschätzen: Sind besondere Kategorien wie Gesundheit oder Religion betroffen?
- Melden: bei Risiko innerhalb von 72 Stunden über das Online-Portal der Behörde.
- Betroffene informieren: bei hohem Risiko direkt und verständlich.
Übrigens: Die meisten Behörden sind kooperativ und helfen kleinen Organisationen, die gut gemeint, aber nicht perfekt aufgestellt sind. Ein kurzer Anruf vorab klärt oft mehr als jedes Merkblatt.
Häufige Fragen
Braucht unser kleiner Verein wirklich einen Datenschutzbeauftragten?
Meistens nicht. Eine benannte Person ist erst nötig, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – das trifft auf typische kleine Vereine nicht zu. Die Pflichten zu Verzeichnis, AVV und Löschfristen gelten trotzdem.
Reicht ein mündliches Einverständnis für Fotos?
Rechtlich kann eine Einwilligung auch mündlich gültig sein, aber du musst sie im Zweifel nachweisen können. Deshalb ist Schriftform – etwa ein Häkchen im Anmeldeformular – immer die sichere Wahl. Leg dir dafür einmal eine wiederverwendbare Vorlage an.
Was passiert, wenn wir gar keinen AVV abgeschlossen haben?
Dann fehlt eine gesetzlich vorgeschriebene Grundlage, und ihr haftet im Zweifel selbst – auch wenn der Dienstleister technisch sicher ist. Die gute Nachricht: AVVs lassen sich bei allen großen Anbietern in wenigen Minuten nachträglich abschließen.
Mehr Struktur, Werkzeuge und fertige Vorlagen für die digitale Vereinsarbeit findest du im Buch Ehrenamt. Verein. IT.. Fachbegriffe wie AVV, Double-Opt-in oder MFA erklärt dir kompakt das Glossar.
Hinweis: Dieser Artikel bietet praxisnahe Orientierung und ersetzt keine Rechtsberatung. Bei konkreten Fragen im Einzelfall wende dich an die zuständige Datenschutzbehörde oder eine fachkundige Beratung.