Seit Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO), ergänzt durch das Bundesdatenschutzgesetz (BDSG). Sie gilt für alle, die personenbezogene Daten verarbeiten, also auch für jeden Verein, ob groß oder klein. Das klingt nach viel Bürokratie. Mit den richtigen Vorlagen ist der Aufwand für die meisten Vereine aber gut zu bewältigen.

Auf dieser Seite haben wir die wichtigsten Pflichten zusammengefasst und praktische Muster und Arbeitshilfen für Sie zusammengestellt.

Unser Tipp für den Einstieg: Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD) hat eine verständliche Handreichung speziell für Vereine veröffentlicht. Sie erklärt die Regeln mit vielen Beispielen aus dem Vereinsalltag.

Download:Handreichung „Datenschutz im Verein“ (LfD Niedersachsen, Stand 06/2023, PDF)

1. Wann darf der Verein Daten verarbeiten?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Für Vereine sind vor allem drei wichtig:

• Die Mitgliedschaft
  Die Mitgliedschaft ist ein Vertragsverhältnis. Daten, die der Verein dafür braucht, darf er ohne gesonderte Einwilligung erheben und nutzen. Dazu gehören zum Beispiel Name, Anschrift, Geburtsdatum und Bankverbindung für den Beitragseinzug (Art. 6 Abs. 1 lit. b DSGVO).
• Die Einwilligung
  Für alles, was über die reine Mitgliederverwaltung hinausgeht, brauchen Sie in der Regel eine Einwilligung. Typische Fälle sind Fotos auf der Website oder in sozialen Medien und ein Newsletter. Die Einwilligung muss freiwillig sein und kann jederzeit widerrufen werden (Art. 6 Abs. 1 lit. a DSGVO).
• Berechtigtes Interesse
  In manchen Fällen darf der Verein Daten auch aufgrund eines berechtigten Interesses verarbeiten. Die Interessen der betroffenen Personen dürfen dabei aber nicht überwiegen (Art. 6 Abs. 1 lit. f DSGVO).

Zur Vertiefung:https://www.baden-wuerttemberg.datenschutz.de/praxisratgeber-datenschutz-im-verein/

2. Datenschutz schriftlich regeln

Die Grundzüge der Datenverarbeitung sollte der Verein schriftlich festhalten: Welche Daten werden erhoben, wofür, und wer hat Zugriff? Das kann in der Satzung geschehen oder in einer eigenen Datenschutzordnung. Eine Datenschutzordnung hat den Vorteil, dass sie sich ohne Satzungsänderung anpassen lässt.

Download vom LFV Bayern:Mustertext Satzungserweiterung Datenschutz (Word-Datei) 

3. Mitglieder informieren

Wer Daten erhebt, muss die Betroffenen darüber informieren (Art. 13 DSGVO). Gemeint sind Antworten auf diese Fragen: Wer ist verantwortlich, wofür werden die Daten genutzt, wie lange werden sie gespeichert, und welche Rechte hat die Person? Am einfachsten gelingt das mit einem Datenschutzhinweis im Aufnahmeantrag oder als Beiblatt dazu.

Mitglieder haben außerdem das Recht auf Auskunft darüber, welche Daten der Verein über sie gespeichert hat.

Weiterlesen:Häufig gestellte Fragen von Vereinen (LfD Niedersachsen)

4. Verzeichnis von Verarbeitungstätigkeiten

Fast jeder Verein muss ein Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO). Darin steht, welche Daten der Verein zu welchem Zweck verarbeitet. Hier entstehen in der Praxis die meisten Unsicherheiten: Wie sieht so ein Verzeichnis aus, und was gehört hinein?

Keine Sorge: Es gibt gute Vorlagen. Besonders übersichtlich ist das Muster des Bayerischen Landesamts für Datenschutzaufsicht. Es lässt sich leicht in einer Tabelle nachbauen.

Download:Muster Verein – Verzeichnis von Verarbeitungstätigkeiten (Bayerisches Landesamt für Datenschutzaufsicht, PDF)

Der Landesfeuerwehrverband Rheinland-Pfalz hat außerdem neutrale Vorlagen für einzelne Tätigkeiten erstellt. Wir verlinken sie mit Dank. 

Downloads (Word-Dateien):

• Verantwortlicher
• Verwaltung
• Kontaktverwaltung
• Kassenverwaltung
• Terminverwaltung
• Mitgliederwerbung
• E-Mail
• Internetseite
• IT

Weiterlesen:Verzeichnis von Verarbeitungstätigkeiten (LfD Niedersachsen)

5. Externe Dienstleister: Auftragsverarbeitung

Lässt der Verein personenbezogene Daten von einem externen Dienstleister in seinem Auftrag verarbeiten, braucht er einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Typische Beispiele sind:

• der Webhoster der Vereinswebsite
• ein Newsletter-Dienst
• ein Cloud-Speicher
• eine Online-Software zur Mitgliederverwaltung

Die meisten Anbieter stellen fertige Vertragsmuster bereit. Fragen Sie danach, prüfen Sie den Vertrag und bewahren Sie ihn unterschrieben auf.

Nicht jeder Dienstleister ist ein Auftragsverarbeiter. Wer eigenverantwortlich arbeitet, etwa eine Steuerberaterin oder ein Steuerberater, braucht in der Regel keinen solchen Vertrag.

Weiterlesen:Auftragsverarbeitung nach Art. 28 DSGVO (LfD Niedersachsen)

6. Braucht der Verein einen Datenschutzbeauftragten?

Die meisten kleinen Vereine brauchen keinen Datenschutzbeauftragten. Pflicht ist er in diesen Fällen:

• Ab 20 Personen: wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Ehrenamtliche zählen dabei mit.
• Bei sensiblen Daten: unabhängig von der Personenzahl, wenn die Kerntätigkeit des Vereins in der umfangreichen Verarbeitung besonders schützenswerter Daten besteht, etwa Gesundheitsdaten (Art. 37 DSGVO). Das kann zum Beispiel Selbsthilfegruppen betreffen.

Auch ohne Datenschutzbeauftragten muss der Verein die Regeln der DSGVO einhalten. Verantwortlich ist dann der Vorstand.

Weiterlesen:Datenschutzbeauftragte in Vereinen (LfD Niedersachsen)

7. Fotos, Website und Newsletter

Viele Vereine zeigen ihre Arbeit gern mit Fotos. Sobald Personen erkennbar sind, sollten Sie in der Regel vorher eine Einwilligung einholen, bei Kindern und Jugendlichen auch von den Erziehungsberechtigten.

Wer eine Vereinswebsite betreibt, braucht eine Datenschutzerklärung. Für Kontaktformulare und Anmeldeformulare muss die Übertragung verschlüsselt sein.

Downloads und Links:

• Merkblatt zu Personenfotografien (LfD Niedersachsen, PDF)
• Infoblatt für Betreiber von Webseiten (LfD Niedersachsen, Stand 07/2025, PDF)
• Häufig gestellte Fragen von Websitebetreibern, mit Hinweisen zur Datenschutzerklärung (LfD Niedersachsen)
• Infoblatt Datenschutz bei Unterschriftenlisten (LfD Niedersachsen, PDF)

8. Daten löschen und Datenpannen melden

Löschen: Daten dürfen nur so lange gespeichert werden, wie sie gebraucht werden. Tritt ein Mitglied aus, sind seine Daten grundsätzlich zu löschen. Eine Ausnahme gilt für Unterlagen, die der Verein aus steuerrechtlichen Gründen aufbewahren muss, zum Beispiel Belege über Beitragszahlungen und Spenden.

Datenpannen: Geraten Daten in falsche Hände, etwa durch einen verlorenen USB-Stick, eine E-Mail an den falschen Verteiler oder einen Hackerangriff, muss der Verein das in der Regel innerhalb von 72 Stunden der Datenschutzaufsicht melden (Art. 33 DSGVO). Besteht ein hohes Risiko für die Betroffenen, müssen auch diese informiert werden.

Weiterlesen:Meldung von Datenschutzverletzungen (LfD Niedersachsen)

Gut zu wissen: Auf unserer Seite Versicherung bei Datenschutzverstößen erfahren Sie, wie Ehrenamtliche in Niedersachsen abgesichert sind. 

9. Weitere Hilfen

• Datenschutz im Verein – Informationsseite des LfD Niedersachsen
• Hilfestellungen zum Datenschutz für ehrenamtliches Engagement (Stiftung Datenschutz)

Diese Seite gibt einen ersten Überblick und ersetzt keine Rechtsberatung. Bei konkreten Fragen wenden Sie sich bitte an den Landesbeauftragten für den Datenschutz Niedersachsen oder an eine Fachanwältin oder einen Fachanwalt.