DSGVO im Verein:
Mitgliederdaten rechtssicher
verwalten

Die DSGVO gilt seit Mai 2018 – und viele Vereine haben sich seitdem kaum damit auseinandergesetzt. Das liegt nicht an mangelndem Willen, sondern oft daran, dass die verfügbaren Informationen entweder zu juristisch oder zu pauschal sind. "Ihr müsst DSGVO-konform sein" ist keine handlungsfähige Aussage.

Dieser Artikel beschreibt konkret, was Vereine bei der Verarbeitung von Mitgliederdaten beachten müssen: Welche Rechtsgrundlagen greifen, welche Daten zulässig sind, wie lange sie aufbewahrt werden dürfen und welche technischen Maßnahmen nötig sind – praxisnah und ohne unnötigen Juristentext.

Warum die DSGVO für Vereine gilt

Manche Vereinsvorstände glauben, dass die DSGVO nur für Unternehmen gilt. Das ist ein Irrtum. Die Verordnung gilt für jede Organisation, die personenbezogene Daten natürlicher Personen verarbeitet – also auch für eingetragene Vereine, nicht eingetragene Vereine, Sportverbände und Kulturvereinigungen.

Ein Verein verarbeitet personenbezogene Daten schon dann, wenn er eine Mitgliederliste mit Namen und Adressen führt. Das ist bei praktisch jedem Verein der Fall.

Rechtsgrundlagen: Worauf stützt sich die Datenverarbeitung?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Für Vereine sind drei relevant:

1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Das Mitgliedschaftsverhältnis ist ein Vertrag. Daten, die zur Erfüllung dieses Vertrags notwendig sind – Name, Adresse, Kontaktdaten, Bankverbindung für den Beitragseinzug – dürfen ohne gesonderte Einwilligung verarbeitet werden. Das ist die wichtigste Rechtsgrundlage für die Kernverwaltung.

2. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Für alle Daten, die über die Vertragserfüllung hinausgehen, ist eine ausdrückliche Einwilligung nötig. Typische Beispiele: Fotos bei Vereinsveranstaltungen, Veröffentlichung von Ergebnissen und Namen auf der Vereinswebsite, Newsletter-Versand an ehemalige Mitglieder, Gesundheitsdaten bei Sportvereinen.

3. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

In Einzelfällen kann ein berechtigtes Interesse des Vereins die Verarbeitung legitimieren – z. B. für interne Statistiken oder die Mitgliederkommunikation. Diese Rechtsgrundlage erfordert jedoch eine Abwägung mit den Interessen der Mitglieder und sollte nicht als Auffanglösung missverstanden werden.

Welche Daten darf ein Verein erheben?

Der Grundsatz der Datensparsamkeit (Art. 5 Abs. 1 lit. c DSGVO) schreibt vor, nur die Daten zu erheben, die tatsächlich benötigt werden. Für die Standard-Vereinsmitgliedschaft sind das:

• Vollständiger Name
• Postanschrift
• E-Mail-Adresse
• Telefonnummer (wenn für Kontaktzwecke benötigt)
• Geburtsdatum (wenn für Mitgliedschaftsart oder Jugendschutz relevant)
• Eintrittsdatum
• Bankverbindung (IBAN) für SEPA-Lastschrift
• Mitgliedschaftsart und Beitragshöhe

Nicht ohne gesonderte Einwilligung: Fotos, Nationalität, Beruf, politische oder religiöse Überzeugungen, Gesundheitsdaten.

Aufbewahrungsfristen: Wann müssen Daten gelöscht werden?

Mit Beendigung der Mitgliedschaft entfällt in der Regel die Rechtsgrundlage für die Datenspeicherung. Dennoch gibt es Ausnahmen:

Steuerrechtliche Aufbewahrungspflichten

Buchungsbelege und steuerrelevante Dokumente müssen 10 Jahre aufbewahrt werden (§ 147 AO). Das betrifft Beitragszahlungen, Spendenbescheinigungen und entsprechende Stammdaten. Handels- und Geschäftsbriefe: 6 Jahre.

Praktische Empfehlung

Eine klare Regelung in der Datenschutzerklärung: Personenbezogene Daten werden nach Beendigung der Mitgliedschaft binnen 6 Monaten gelöscht, mit Ausnahme steuerrechtlich aufzubewahrender Unterlagen. Diese werden nach Ablauf der gesetzlichen Frist gelöscht.

Wer darf auf Mitgliederdaten zugreifen?

Das Prinzip der Vertraulichkeit und Integrität (Art. 5 Abs. 1 lit. f DSGVO) schreibt vor, dass personenbezogene Daten nur von Personen eingesehen werden können, die sie tatsächlich brauchen. Im Vereinskontext bedeutet das:

• Kassenwart: Zugriff auf Bankverbindungen und Beitragsdaten aller Mitglieder.
• Schriftführer: Zugriff auf Adress- und Kontaktdaten für Kommunikation.
• Spartenwart: Nur Zugriff auf Mitglieder der eigenen Sparte, nicht auf alle.
• Einfache Mitglieder: Kein Zugriff auf Mitgliederdaten anderer Mitglieder (außer die Satzung regelt etwas anderes).

Technisch bedeutet das: Die verwendete Software muss eine Rechteverwaltung haben. Wer mit einer gemeinsamen Excel-Tabelle arbeitet, die alle sehen können, hat bereits ein datenschutzrechtliches Problem.

Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verlangt "geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten. Konkret für Vereine:

Technische Maßnahmen

• Verschlüsselte Übertragung der Mitgliederdaten (HTTPS)
• Passwortschutz für alle Systeme, die Mitgliederdaten enthalten
• Server in Deutschland oder der EU (keine US-amerikanischen Cloud-Dienste ohne Standardvertragsklauseln)
• Regelmäßige Datensicherung
• Zugriffsprotokollierung bei größeren Vereinen

Organisatorische Maßnahmen

• Datenschutzerklärung auf der Vereinswebsite
• Datenschutzhinweis im Aufnahmeantrag
• Einweisungen für alle Personen, die Mitgliederdaten verarbeiten
• Auftragsverarbeitungsvertrag (AVV) mit der genutzten Software
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)

Auftragsverarbeitungsvertrag: Wann ist er nötig?

Sobald ein Dienstleister Mitgliederdaten im Auftrag des Vereins verarbeitet – also z. B. die Vereinssoftware-Anbieter, ein E-Mail-Dienstleister oder ein Buchhaltungsprogramm –, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Die meisten professionellen Anbieter stellen diesen Vertrag auf Anfrage zur Verfügung.

Wer auf eine kostenlose US-amerikanische Software oder einen Google-Dienst setzt, hat oft keinen AVV – oder einen, der datenschutzrechtlich nicht ausreicht. Das ist ein konkretes Haftungsrisiko für den Vereinsvorstand.

Checkliste: DSGVO-Konformität im Verein

Eine schnelle Selbsteinschätzung für Vereinsvorstände:

• Gibt es eine aktuelle Datenschutzerklärung auf der Vereinswebsite?
• Enthält der Aufnahmeantrag einen Datenschutzhinweis?
• Ist für jede Datenverarbeitung eine Rechtsgrundlage dokumentiert?
• Gibt es ein Verzeichnis der Verarbeitungstätigkeiten?
• Haben nur berechtigte Personen Zugriff auf Mitgliederdaten?
• Sind AVVs mit allen relevanten Software-Anbietern geschlossen?
• Gibt es einen dokumentierten Prozess für Löschung nach Austritt?
• Ist bekannt, wie auf Auskunftsanfragen von Mitgliedern reagiert werden muss?

Wer hier mehr als zwei "Nein" zählt, sollte kurzfristig Maßnahmen ergreifen. Der Aufwand ist überschaubar – und deutlich geringer als die Konsequenzen einer Datenpanne oder Beschwerde.