Datenschutzbeauftragter für Vereine
Vereine verarbeiten Mitgliederdaten, Bankverbindungen, Fotos von Veranstaltungen und teils Gesundheitsdaten – aber nicht jeder Verein muss einen Datenschutzbeauftragten benennen. Die Pflicht hängt an drei Auslösern, und bei der Zählung wird regelmäßig falsch gerechnet.
Wann ein Verein einen Datenschutzbeauftragten braucht
Die Zahl der Mitglieder ist der falsche Maßstab. Entscheidend ist, wie viele Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – und welche Verarbeitungen der Verein tatsächlich durchführt. Drei Auslöser sind zu prüfen.
- § 38 Abs. 1 Satz 1 BDSG – die 20-Personen-Grenze. Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein Datenschutzbeauftragter zu benennen. Gezählt wird pro Kopf: Auch Ehrenamtliche, Vorstandsmitglieder, Trainer und Praktikanten zählen mit, unabhängig von ihrer Stundenzahl.
- § 38 Abs. 1 Satz 2 BDSG – DSFA-Pflicht. Wer eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen muss, benennt unabhängig von der Zahl der Beschäftigten.
- Art. 37 Abs. 1 lit. b und c DSGVO – Kerntätigkeit. Besteht die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen – etwa Videoüberwachung im Stadion – oder in der umfangreichen Verarbeitung besonderer Kategorien wie Gesundheitsdaten, greift die Pflicht ebenfalls.
Und wenn kein Auslöser erfüllt ist? Dann empfehlen die Aufsichtsbehörden trotzdem eine benannte Ansprechperson, die sich mit Datenschutz auskennt – sonst landet jedes Auskunftsersuchen und jede Rückfrage der Aufsicht bei einem Vorstand, der sie nebenbei beantworten muss. Möglich ist auch die externe Beauftragung, einschließlich einer Person, die diese Aufgabe für mehrere Vereine wahrnimmt.
Was der Beauftragte im Verein übernimmt
Verzeichnis der Verarbeitungstätigkeiten
Aufgebaut aus dem, was läuft: Mitgliederverwaltung, Beiträge, Spenden, Kurse, Vermietungen, Website, Newsletter (Art. 30 DSGVO).
Informationspflichten
Datenschutzhinweise für Mitglieder und Website, dazu Hinweise für Aktive, Übungsleiter und Bewerber (Art. 13/14 DSGVO).
Auftragsverarbeitung
Verträge mit Vereinssoftware, Cloud, Newsletter-Dienst und Spendenplattform prüfen: TOM-Anlage, Unterauftragsverhältnisse, Drittlandfragen (Art. 28 DSGVO).
Fotos und Video
Rechtsgrundlage und Einwilligung für Veröffentlichung, interner Gebrauch und Veranstaltungen – inklusive des Umgangs mit Aufnahmen von Minderjährigen.
Betroffenenrechte
Ein Ablauf für Auskunft, Berichtigung und Löschung: Was bleibt nach dem Austritt, welche Beitragsdaten unterliegen Fristen, wer antwortet innerhalb der Frist aus Art. 12 Abs. 3 DSGVO (Art. 15 DSGVO).
Meldepflichten und Sensibilisierung
Ablauf für Datenpannen einschließlich der 72-Stunden-Frist (Art. 33/34 DSGVO) und eine jährliche Unterweisung der Aktiven mit dokumentierter Teilnahme.
Drei Punkte, an denen es in Vereinen am häufigsten hakt
- Die 20-Personen-Grenze wird unterschätzt. Sie wird gegen die Zahl der Mitglieder oder der festangestellten Kräfte geprüft – richtig ist die Zahl aller Personen, die mit Datenverarbeitung befasst sind, Ehrenamt inklusive. Wer Kassieren, Kassenwart, Trainerlizenzverwaltung und Kursanmeldung zusammenzählt, kommt schneller über 20 als erwartet.
- Fotos und Teilnehmerlisten werden ohne Prüfung veröffentlicht. Ein Foto vom Vereinsfest ist schnell im sozialen Netzwerk, ebenso die Ergebnisliste mit Namen und Jahrgängen. Beides sind personenbezogene Daten – bei Minderjährigen mit zusätzlicher Sorgfaltspflicht. Fehlt die Rechtsgrundlage, ist es der typische Punkt, den eine Aufsicht zuerst prüft.
- Mitgliederdaten laufen über private Kanäle. Listen per Messenger, Vereinssoftware im Ausland, Zugriff für jeden Vorstand und niemand löscht nach dem Austritt. Was fehlt, ist selten Technik – es sind Zugriffsregeln und ein dokumentierter Löschweg.
Was diese drei Punkte gemeinsam haben: Sie kosten nichts außer Aufmerksamkeit, und sie fallen bei einer Prüfung zuerst auf, weil sie sich an Unterlagen und Zugriffslisten zeigen – nicht an Aussagen.
Was ein Datenschutzbeauftragter nicht ist
- Keine Rechtsberatung. Wo eine rechtliche Bewertung im Einzelfall nötig ist, gehört sie zu einer Kanzlei. Die Rolle überwacht die Einhaltung – sie ersetzt keine juristische Bewertung.
- Kein Freibrief. Ein benannter Datenschutzbeauftragter verhindert keine Aufsichtsmaßnahmen. Er sorgt dafür, dass der Verein weiß, wie er dasteht.
- Keine Zertifizierung. Ein Zertifikat nach Art. 42/43 DSGVO ist ein eigenes Verfahren mit akkreditierten Stellen. Eine Bestellung ist kein Siegel.
- Keine Aufgabe für den Vorstand nebenbei. Nach Art. 38 Abs. 6 Satz 2 DSGVO dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen – wer festlegt, umsetzt und kontrolliert, kontrolliert sich selbst.
Beschrieben werden hier die Pflichten und Verfahren nach Art. 37, 38, 39, 12 Abs. 3 DSGVO, § 38 BDSG sowie die Hinweise der Datenschutzaufsichtsbehörden zum Datenschutz im Verein. Das ersetzt keine Rechtsberatung im Einzelfall.
Häufige Fragen aus Vereinen
Braucht unser Verein einen Datenschutzbeauftragten?
Das hängt an drei Auslösern, nicht an der Mitgliederzahl: an der 20-Personen-Grenze des § 38 Abs. 1 Satz 1 BDSG, an einer DSFA-Pflicht nach § 38 Abs. 1 Satz 2 BDSG und an Art. 37 Abs. 1 lit. b und c DSGVO (Kerntätigkeit: umfangreiche systematische Überwachung oder besondere Kategorien wie Gesundheitsdaten).
Zählen unsere Ehrenamtlichen bei der 20-Personen-Grenze mit?
Ja. Gezählt wird pro Kopf, unabhängig davon, ob jemand hauptamtlich, in Teilzeit oder ehrenamtlich tätig ist; auch Vorstandsmitglieder, Trainer, Übungsleiter und Praktikanten zählen mit, weil sie für ihre Aufgaben personenbezogene Daten verarbeiten.
Was heißt „ständig beschäftigt“?
Eine auf längere Zeit angelegte Aufgabe — nicht die Stundenzahl pro Woche. Wer regelmäßig Daten am Rechner verarbeitet, zählt mit; eine reine Urlaubsvertretung gilt nicht als ständige Beschäftigung. Teilzeitkräfte werden vollständig mitgezählt.
Können wir jemanden aus dem Vorstand als Datenschutzbeauftragten benennen?
Nur ohne Interessenkonflikt: Art. 38 Abs. 6 Satz 2 DSGVO verlangt, dass andere Aufgaben nicht mit der Überwachungsrolle kollidieren. Wer als Vorstand festlegt, umsetzt und dann kontrolliert, kontrolliert sich selbst. Deshalb ist die externe Beauftragung der übliche Weg.
Dürfen wir Fotos vom Vereinsfest veröffentlichen?
Fotos mit erkennbaren Personen sind personenbezogene Daten. Für die Veröffentlichung braucht es eine Rechtsgrundlage, in der Regel eine Einwilligung für diesen Zweck; bei Minderjährigen die der gesetzlichen Vertreter. Eine interne Ablage im Vereinsordner ist eine andere Verwendung als ein öffentlicher Beitrag.
Was passiert bei einem Auskunftsersuchen eines Mitglieds?
Mitglieder haben nach Art. 15 DSGVO Anspruch auf Auskunft über ihre Daten. Entscheidend ist der dokumentierte Ablauf — Identitätsprüfung, Sammlung, Antwort — und die Frist: grundsätzlich ein Monat nach Art. 12 Abs. 3 DSGVO.
Was kostet ein externer Datenschutzbeauftragter für einen Verein?
Der Aufwand hängt an Größe, Zahl und Art der Verarbeitungen — Mitglieder, Kurse, Spenden, Newsletter, Fotos, Vereinssoftware — und am Zustand der vorhandenen Unterlagen. Deshalb gibt es keinen Pauschalpreis, sondern nach einem kurzen Erstgespräch einen konkreten Rahmen.
Fachlich benachbart
Externer Datenschutzbeauftragter
Die Rolle im Überblick: Pflicht, Ablauf, laufende Betreuung und Jahresgespräch — branchenunabhängig.
Zur ÜbersichtWann besteht die Pflicht
Die Prüfung der Benennungspflicht nach § 38 BDSG und Art. 37 DSGVO Schritt für Schritt.
Zur Pflicht prüfenDatenschutz-Audit
Wenn zunächst nur der eigene Stand geprüft werden soll: sieben Prüfbereiche, Befund mit Reihenfolge.
Audit ansehenWas ein DSB kostet
Wovon der Aufwand abhängt und welche Faktoren den Preis bestimmen — ohne Pauschalaussage.
Zu den KostenErst prüfen, dann benennen
Ob die Pflicht in Ihrem Verein greift und was die Betreuung bedeutet, klären wir in einem kostenlosen Erstgespräch.