Datenschutzerklärung für Vereine

Was steckt drin?

• Verantwortlicher und Datenschutz­beauftragter – Name, Anschrift, E-Mail, Telefon des Vorstands sowie eines DSB, falls Pflicht (ab 20 Personen mit regel­mäßiger Daten­verarbeitung).
• Acht typische Verarbeitungs­zwecke für Vereine – Mitglieder­verwaltung, Beitrags­einzug per SEPA, Veranstaltungs­anmeldungen, Foto- und Video­aufnahmen, Newsletter, Spenden­bescheinigungen, Verbands­meldungen, Website-Hosting.
• Rechts­grundlagen pro Zweck – Vertrag (Art. 6 lit. b), rechtliche Verpflichtung (lit. c), berechtigtes Interesse (lit. f), Einwilligung (lit. a).
• Empfänger und Auftrags­verarbeiter – Bank, Buchhaltungs­dienst, Vereins­software, Steuer­berater, Verband.
• Rechte der Betroffenen – Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Daten­übertragbar­keit, Beschwerde­recht bei der Aufsichts­behörde.
• Speicher­dauer und Lösch­konzept – mit konkreten Fristen aus HGB §257, AO §147 und Vereinsrecht.

So füllst du die Datenschutz­erklärung aus

1. Verantwortlichen ergänzen. Vereinsname, vertretungs­berechtigter Vorstand, Postanschrift, E-Mail-Adresse. Pflicht nach Art. 13 Abs. 1 lit. a DSGVO.
2. Datenschutz­beauftragten benennen oder streichen. Pflicht ab 20 Personen, die regel­mäßig automatisiert personenbezogene Daten verarbeiten (§38 BDSG). Kleine Vereine ohne DSB streichen den entsprechenden Absatz und ersetzen ihn durch einen Hinweis: „Ein Datenschutz­beauftragter ist nach §38 BDSG nicht bestellt; Anfragen richten Sie bitte an den Vorstand.“
3. Verarbeitungs­zwecke an euren Verein anpassen. Streicht Zwecke, die ihr nicht erfüllt (z. B. Newsletter, wenn ihr keinen versendet). Ergänzt spezielle Zwecke wie „Übermittlung an den Landes­sport­bund zur Bestands­erhebung“ oder „Online-Übertragung von Spielen“.
4. Auftrags­verarbeiter nennen. Vereins­software, Mail-Provider, Cloud-Speicher, Buchhaltungs­tool. Pflicht­angabe bei Drittländern: USA-Anbieter brauchen Standard­vertrags­klauseln plus Folgenabschätzung.
5. Auf der Website veröffentlichen. Im Footer als „Datenschutz“ / „Datenschutz­erklärung“. Muss von jeder Unter­seite mit einem Klick erreichbar sein. Auch in der Mitglieder­software, sofern das System eine Datenschutz-Seite vorsieht.

Pflicht­angaben nach Art. 13 DSGVO

Sobald ihr direkt vom Mitglied Daten erhebt (Beitrittsformular, Newsletter-Anmeldung, Veranstaltungs­anmeldung), müssen folgende Angaben „zum Zeitpunkt der Erhebung“ bereit­gestellt werden:

• Name und Kontakt­daten des Verantwortlichen sowie ggf. eines Vertreters
• Kontakt­daten des Datenschutz­beauftragten (falls bestellt)
• Zwecke der Verarbeitung und Rechts­grundlage
• Bei berechtigtem Interesse (Art. 6 Abs. 1 lit. f): das konkrete berechtigte Interesse benennen
• Empfänger oder Kategorien von Empfängern
• Absicht der Übermittlung in ein Drittland und das Schutzniveau (z. B. Angemessenheits­beschluss, Standard­vertrags­klauseln)
• Speicher­dauer oder Kriterien für die Festlegung der Speicher­dauer
• Hinweis auf Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs- und Widerspruchs­recht sowie Recht auf Daten­übertragbar­keit
• Hinweis auf Widerruf der Einwilligung mit Wirkung für die Zukunft
• Beschwerde­recht bei der Aufsichts­behörde
• Hinweis, ob die Bereitstellung der Daten gesetzlich/vertraglich vorgeschrieben ist und welche Folgen die Nicht-Bereitstellung hat
• Vorhandensein einer automatisierten Entscheidungs­findung einschließlich Profiling (in Vereinen meist nicht relevant – kann gestrichen werden)

Sonderfall: Foto- und Video-Aufnahmen

Veranstaltungs­fotos sind der häufigste Streit­punkt. Empfohlen wird ein gestuftes Vorgehen: bei reinen Übersichts­aufnahmen (Stadion­blick, Saal­publikum) reicht berechtigtes Interesse nach Art. 6 Abs. 1 lit. f. Bei Einzel- und Gruppen­porträts braucht es eine Einwilligung – am besten schriftlich auf einem separaten Formular, widerruflich. Kinder unter 16 Jahren brauchen die Einwilligung der Eltern (Art. 8 DSGVO).

Rechtliche Hinweise

Diese Mustertext-Vorlage ist Orientierung, kein Rechtsrat. Sie ersetzt keine Prüfung durch eine Rechts­anwältin oder einen Datenschutz­beauftragten. Die wichtigsten Quellen:

• Art. 13 DSGVO – Informations­pflicht bei Direkt­erhebung beim Betroffenen.
• Art. 14 DSGVO – Informations­pflicht bei Erhebung über Dritte (z. B. Mitglieder­übernahme von einem anderen Verein).
• Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung; sechs Rechts­grundlagen, mindestens eine muss greifen.
• Art. 7 DSGVO – Bedingungen für die Einwilligung: freiwillig, informiert, eindeutig, jederzeit widerruflich.
• Art. 30 DSGVO – Verzeichnis der Verarbeitungs­tätigkeiten, intern zu führen, nicht zu veröffentlichen.
• §38 BDSG – Pflicht zur Bestellung eines Datenschutz­beauftragten ab 20 Personen.
• KUG §22 – Recht am eigenen Bild; bei Personen­fotos Einwilligung des Abgebildeten erforderlich.

Aktualisiert die Datenschutz­erklärung mindestens jährlich oder bei jeder Änderung der Verarbeitungs­zwecke. Eine veraltete Erklärung gilt als Verstoß und kann mit Bußgeld nach Art. 83 DSGVO sanktioniert werden – für Vereine in der Praxis eher unwahrscheinlich, aber Abmahnungen durch Verbraucher­schutz­verbände sind möglich.