DSGVO im Verein: Mitgliederdaten rechtssicher verwalten

Die DSGVO gilt auch für den kleinsten Verein — aber sie verlangt weniger Papierkram, als viele befürchten. Wer Mitgliederdaten mit gesundem Menschenverstand behandelt, ist schon nah dran; der Rest ist eine überschaubare Liste konkreter Pflichten. Dieser Ratgeber geht sie der Reihe nach durch — praxisnah und ohne Panik.

Welche Rechtsgrundlage erlaubt was?

Der wichtigste Punkt zuerst: Für die normale Mitgliederverwaltung brauchen Sie keine Einwilligung. Die Verarbeitung ist zur Durchführung des Mitgliedschaftsverhältnisses erforderlich (Art. 6 Abs. 1 lit. b DSGVO) — das deckt Stammdaten, Beitragskonto und Bankverbindung für den Lastschrifteinzug ab. Eine Einwilligung brauchen Sie nur dort, wo die Verarbeitung über die Mitgliedschaft hinausgeht:

• Ohne Einwilligung zulässig: Mitglieder verwalten, Beiträge abrechnen, zur Mitgliederversammlung einladen, satzungsgemäße Meldungen an den Dachverband
• Einwilligung nötig: Fotos in Website und sozialen Medien, Geburtstagslisten im Vereinsheft, Newsletter an Nicht-Mitglieder, Weitergabe an Sponsoren

Einwilligungen müssen freiwillig, dokumentiert und jederzeit widerruflich sein — am einfachsten als separate Ankreuzfelder im Aufnahmeformular, nie als Sammelklausel.

Datenminimierung: Nur erheben, was Sie brauchen

Erheben Sie nur, was für die Mitgliedschaft erforderlich ist: Name, Anschrift, Kontaktdaten, Geburtsdatum (für Ermäßigungen und Jugendschutz), Eintrittsdatum, Beitragsklasse — und bei Lastschrifteinzug IBAN und Mandat. Berufsangabe, Arbeitgeber oder ein Foto sind nur mit gutem Grund oder Einwilligung zulässig. Faustregel: Jedes Feld im Aufnahmeformular muss eine Frage beantworten können — „Wofür brauchen wir das?“

Informationspflichten beim Beitritt (Art. 13)

Neue Mitglieder müssen bei der Datenerhebung informiert werden: wer verantwortlich ist, zu welchen Zwecken die Daten verarbeitet werden, auf welcher Rechtsgrundlage, wie lange sie gespeichert bleiben, an wen sie weitergegeben werden und welche Rechte die Mitglieder haben. In der Praxis genügt ein Datenschutzhinweis-Blatt als Anlage zum Aufnahmeformular oder ein Link auf die Datenschutzerklärung der Vereins-Website.

Verzeichnis von Verarbeitungstätigkeiten (Art. 30)

Das oft übersehene Pflichtdokument: eine Tabelle, die je Verarbeitung (Mitgliederverwaltung, Beitragseinzug, Newsletter, Website …) Zweck, Datenkategorien, Empfänger, Löschfristen und Schutzmaßnahmen festhält. Die formale Ausnahme für kleine Organisationen greift bei Vereinen praktisch nie, weil die Mitgliederverwaltung regelmäßig und nicht nur gelegentlich erfolgt. Die gute Nachricht: Für einen typischen Verein passt das Verzeichnis auf zwei Seiten, und die Aufsichtsbehörden der Länder stellen kostenlose Muster bereit.

Zugriff und Weitergabe: Wer darf was sehen?

Innerhalb des Vereins gilt das Rollenprinzip: Die Schatzmeisterin braucht Bankdaten, der Übungsleiter nur seine Teilnehmerliste, das einzelne Vorstandsmitglied nicht zwingend alles. Genau hier scheitern Tabellen-Lösungen strukturell — eine Datei kennt keine Rollen (mehr dazu im Excel-Ratgeber). Vereinssoftware mit Rechteverwaltung setzt das Prinzip technisch durch: Jede Rolle sieht nur ihren Ausschnitt (so löst es VereinPilot). Und: Mitgliederlisten haben in offenen E-Mail-Verteilern und WhatsApp-Gruppen nichts verloren.

Löschkonzept und Aufbewahrungsfristen

Nach dem Austritt gilt: löschen, was nicht mehr gebraucht wird — aber nicht alles darf sofort weg. Buchführungsunterlagen wie Beitragsabrechnungen und Belege unterliegen steuerlichen Aufbewahrungsfristen (Buchungsbelege acht Jahre, Bücher und Jahresabschlüsse zehn Jahre, Geschäftsbriefe sechs Jahre). Praktikables Vorgehen:

1. Beim Austritt die aktive Nutzung beenden (keine Einladungen, keine Newsletter)
2. Buchhaltungsrelevante Daten sperren und mit Löschdatum versehen
3. Alles Übrige zeitnah löschen — auch in Backups-Prozessen und auf lokalen Kopien
4. Ehemalige nur mit ausdrücklicher Einwilligung weiter kontaktieren (Alumni-Liste)

Software und Cloud: der AV-Vertrag (Art. 28)

Sobald ein Dienstleister Mitgliederdaten für Sie verarbeitet — Vereinssoftware, Cloud-Speicher, Newsletter-Dienst —, braucht es einen Auftragsverarbeitungsvertrag. Er regelt, dass der Anbieter die Daten nur nach Ihrer Weisung verarbeitet und angemessen schützt. Seriöse Anbieter legen den AV-Vertrag ungefragt vor; bei VereinPilot gehört er für jeden Kunden zum Vertrag. Fragen Sie außerdem nach dem Hosting-Standort und danach, ob Ihre Daten in einer eigenen Datenbank oder in einer Sammelplattform mit tausenden anderen Vereinen liegen.

Wenn etwas schiefgeht: Datenpannen

Ein verlorener Laptop mit der Mitgliederliste, ein Newsletter mit offenem Verteiler, ein gehacktes Postfach: Solche Pannen müssen Sie innerhalb von 72 Stunden der Datenschutz-Aufsichtsbehörde melden, wenn ein Risiko für die Betroffenen besteht. Legen Sie vorab fest, wer im Vorstand solche Fälle bewertet und meldet — im Ernstfall ist keine Zeit, Zuständigkeiten zu klären.

Häufige Fragen zur DSGVO im Verein