DSGVO bei Vereinsmitgliederverwaltung: 8 Pflichten

Hauptartikel: VVT erstellen 2026 — wie Sie das Verarbeitungsverzeichnis nach Art. 30 DSGVO anlegen und pflegen.

1. Mitgliederdaten als personenbezogene Daten behandeln

Die Mitgliederliste enthält personenbezogene Daten: Name, Adresse, Geburtsdatum und, sobald Beiträge eingezogen werden, die Bankverbindung — eine datenschutzkonforme Verwaltung ist damit Pflicht. Für den Verein gelten dieselben Regeln wie für ein Unternehmen: Jede dieser Verarbeitungen braucht eine Rechtsgrundlage, muss dokumentiert und gegenüber der Aufsicht nachweisbar sein (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO).

Zwei Punkte kommen im Verein hinzu. Erstens: Sobald aus den Daten politische Meinungen, religiöse oder weltanschauliche Überzeugungen hervorgehen oder Gesundheitsdaten verarbeitet werden, greift zusätzlich das grundsätzliche Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO — zulässig nur über eine der engen Ausnahmen des Abs. 2, etwa die ausdrückliche Einwilligung. Was daraus für die Vereinspraxis folgt, steht im Abschnitt Besondere Kategorien im Verein. Zweitens: Wer Mitgliederdaten in einer Vereinssoftware, einer Cloud oder beim Steuerbüro verarbeiten lässt, braucht einen Auftragsverarbeitungsvertrag mit dem Mindestinhalt aus Art. 28 Abs. 3 DSGVO — und darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1). Prüfbar wird dieser Mindestinhalt an den Punkten, die die Norm ausdrücklich nennt: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie die Pflichten und Rechte des Vereins als Verantwortlichem. Wer einen vorgelegten Vertrag prüft, geht diese Punkte einzeln durch.

Der erste ausführbare Schritt ist eine Bestandsaufnahme je Datenkategorie: Stammdaten, Bankverbindung, Gesundheitsangaben, Fotos, Ergebnis- und Ehrentafel-Daten — jeweils mit Ablageort (Vereinssoftware, Tabelle des Schatzmeisters, Cloud-Ordner, Steuerbüro) und der Angabe, welche Funktionsträger Zugriff haben. Diese Liste ist zugleich die Vorlage für die Felder 3 bis 5 des Verarbeitungsverzeichnisses — Kategorien betroffener Personen, Kategorien personenbezogener Daten und Kategorien von Empfängern.

2. Rechtsgrundlage Mitgliedschaft

Für die Mitgliederverwaltung ist Art. 6 Abs. 1 lit. b DSGVO die Grundlage — die Mitgliedschaft ist ein Vertrag im Sinne der Norm. Was zur Vertragserfüllung nicht mehr erforderlich ist, aber zum Vereinsleben gehört, läuft über lit. f; wo eine konkrete gesetzliche Pflicht dahintersteht, über lit. c (Vereinsrecht, in Deutschland §§ 21 ff. BGB). Art. 6 Abs. 1 DSGVO kennt insgesamt sechs Erlaubnistatbestände: Einwilligung (lit. a), Vertragserfüllung oder vorvertragliche Maßnahmen (lit. b), rechtliche Verpflichtung (lit. c), lebenswichtige Interessen (lit. d), öffentliches Interesse (lit. e) und die Wahrung berechtigter Interessen (lit. f).

So ordnet dieser Artikel die im Verein üblichen Verarbeitungen zu. Welche Grundlage im Einzelfall trägt, prüfen Sie je Verarbeitung und halten das Ergebnis im Verarbeitungsverzeichnis fest.

Entscheidend ist die Zuordnung je Verarbeitung, nicht pauschal für „den Verein“. Wer eine Einwilligung wählt (lit. a), übernimmt die Bedingungen des Art. 7 DSGVO: Der Verein muss nachweisen können, dass die Person eingewilligt hat (Abs. 1); die Einwilligung ist jederzeit widerrufbar, der Widerruf muss so einfach sein wie die Erteilung, und die bis dahin erfolgte Verarbeitung bleibt rechtmäßig (Abs. 3). Halten Sie die gewählte Grundlage schriftlich fest — im Verarbeitungsverzeichnis ist sie das Praxisfeld, das die Rechenschaftspflicht bedienbar macht.

3. Datenschutzerklärung im Aufnahmeantrag

Pflicht ist die Information nach Art. 13 DSGVO beim Eintritt — sie gehört auf den Aufnahmeantrag; eine fertige Vorlage gehört zum vollständigen Dokumentensatz, auf den die Box am Ende dieses Artikels verweist. Die Informationspflichten folgen unmittelbar aus Art. 13 und Art. 14 DSGVO; das österreichische DSG enthält dazu keine eigene Norm.

Zum Pflichtinhalt gehört der Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde (Art. 13 Abs. 2 lit. d DSGVO). Hier trennen sich die Rechtsräume: In Deutschland überwachen die nach Landesrecht zuständigen Behörden die nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG); der BfDI ist für öffentliche Stellen des Bundes und bestimmte TK-Anbieter zuständig (§ 9 Abs. 1 BDSG). In Österreich ist es die Datenschutzbehörde (§ 18 Abs. 1 DSG), Barichgasse 40-42, 1030 Wien — dort gehören Adresse und Beschwerdeweg sowie AT-typische Empfänger-Kategorien in den Text. Ist ein Datenschutzbeauftragter benannt, gehören seine Kontaktdaten in die Datenschutzerklärung — sie stehen bereits in Feld 1 des Verarbeitungsverzeichnisses.

Das Material dafür müssen Sie nicht neu zusammensuchen: Verantwortlicher mit Kontaktdaten, Zwecke, Rechtsgrundlage je Verarbeitung, Empfänger-Kategorien und Löschfristen stehen bereits im Verarbeitungsverzeichnis (siehe unten). Praxisempfehlung: Die Information gehört auf dasselbe Blatt, das das Mitglied unterschreibt — eine nachgeschickte E-Mail lässt sich Jahre später schlechter nachweisen.

4. Newsletter an Mitglieder

Ein Vereins-Newsletter kann auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden, Werbung dagegen erfordert eine Einwilligung — trennen Sie deshalb beide Inhalte, statt sie in einer Aussendung zu mischen. Die Trennlinie verläuft zwischen Vereinsinformation (Termine, Spielpläne, Einladung zur Jahreshauptversammlung) und Werbung — auch Werbung für Sponsoren, Vereinsartikel oder kostenpflichtige Angebote Dritter.

Wo Sie mit Einwilligung arbeiten, gelten die Bedingungen des Art. 7 DSGVO (Nachweis und Widerruf, siehe Abschnitt 2). In der Praxis heißt das (Praxisempfehlung, keine gesetzliche Vorgabe): ein Abmeldelink in jeder Aussendung, ein festgehaltenes Anmeldedatum und ein Ort, an dem Widerrufe dokumentiert werden. Ebenfalls Praxisempfehlung: Zwei getrennte Verteiler — Vereinsinformation und Werbung — sind einfacher zu führen als einer mit Ausnahmelisten.

Für Österreich gilt zusätzlich § 174 TKG 2021 (Unerbetene Nachrichten): Einwilligung beziehungsweise Double-Opt-In. Führen Sie das Anmeldeprotokoll so, dass Zeitpunkt und Bestätigung belegbar bleiben. Die deutsche Wettbewerbsrechtslage zu Werbe-E-Mails behandelt dieser Artikel nicht; für Deutschland bleiben hier die Einwilligungsbedingungen des Art. 7 DSGVO der belegte Maßstab.

5. Aufbewahrung nach Austritt

Der Austritt beendet nicht jede Speicherung: Er beendet den Zweck der laufenden Mitgliederverwaltung, während gesetzliche Aufbewahrungspflichten weiterlaufen — in Deutschland die zehnjährige Aufbewahrung von Buchhaltungsunterlagen nach HGB/AO. Für Kommunikationsdaten setzt dieser Artikel drei Jahre an; das ist ein Praxiswert, keine gesetzliche Frist — welche Frist Ihr Verein ansetzt, gehört mit Begründung ins Verarbeitungsverzeichnis. Die Sport-Vergangenheit — also Wettkampfergebnisse, Ranglisten und Ehrentafeln ehemaliger Mitglieder — hat nach dem Austritt keine Vertragsgrundlage mehr; wer sie weiter veröffentlichen will, braucht dafür die Einwilligung nach Art. 7 DSGVO.

Stammdaten wie Anschrift und Kontaktangaben verlieren mit dem Austritt ihre Grundlage nach Art. 6 Abs. 1 lit. b DSGVO und sind aus dem aktiven Bestand zu entfernen; soweit dieselben Angaben in Buchhaltungsbelegen enthalten sind, bleiben sie dort für die Dauer der gesetzlichen Aufbewahrung nach Art. 6 Abs. 1 lit. c DSGVO gespeichert — dokumentieren Sie beide Kategorien getrennt im Verarbeitungsverzeichnis. Für Österreich nennt dieser Artikel keine abgabenrechtliche Frist: Halten Sie in diesem Fall die selbst gewählte Frist mit Begründung im Verarbeitungsverzeichnis fest (Art. 30 Abs. 1 DSGVO) und lassen Sie die Aufbewahrungsdauer für Buchhaltungsbelege durch die steuerliche Beratung des Vereins bestätigen.

Damit das prüfbar wird, gehören geplante Löschfristen je Datenkategorie ins Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO) — nicht als Sammelangabe „nach Bedarf“, sondern pro Kategorie: Beitrags- und Belegdaten, Stammdaten, Kommunikationsdaten, Foto-Archiv, Ergebnis- und Ehrentafel-Daten. Wo eine Aufbewahrungspflicht dem Löschanspruch nach Art. 17 DSGVO entgegensteht, dokumentieren Sie Konflikt und Begründung schriftlich; das ist die Antwort, die Sie später einem Mitglied oder der Aufsicht geben. Die Löschung einmal im Vereinsjahr an einem festen Termin abzuarbeiten, ist eine Praxisempfehlung, keine gesetzliche Frist.

6. Bilder-Veröffentlichung

Für Fotos auf Vereins-Webseiten und in Social Media brauchen Sie die Einwilligung der erkennbaren Personen; in Deutschland stehen dafür KunstUrhG und DSGVO nebeneinander. Bei Gruppenbildern arbeitet die Vereinspraxis mit kollektiver Information — gemeint ist der Hinweis in der Ausschreibung, der Aushang am Eingang oder die Ansage vor dem Wettkampf (Praxisempfehlung). Für die Einwilligung selbst gilt davon unabhängig Art. 7 Abs. 1 DSGVO — der Nachweis ist personenbezogen zu führen, also für die betroffene Person (siehe Abschnitt 2).

Praxisempfehlung für die Abgrenzung: Übersichtsaufnahmen vom Spielfeld sind unkritischer als Porträt- und Siegerfotos; sobald eine Person erkennbar im Mittelpunkt steht, ist die dokumentierte Einwilligung der übliche Weg. Weil die Einwilligung jederzeit widerrufen werden kann (Art. 7 Abs. 3 DSGVO, siehe Abschnitt 2), braucht der Verein einen Weg, ein Bild kurzfristig herunterzunehmen — inklusive der Kopien in Social-Media-Kanälen.

Davon zu trennen ist die Kamera am Vereinsheim: Für Bildaufnahmen kennt Österreich mit §§ 12, 13 DSG eine eigene Regelung — Kennzeichnungspflicht (§ 13 Abs. 5) und die Vorgabe, dass eine länger als 72 Stunden andauernde Aufbewahrung verhältnismäßig sein muss und gesondert zu protokollieren und zu begründen ist (§ 13 Abs. 3). Ebenfalls zu trennen ist die Einwilligung der Website-Besucher — dazu der Abschnitt Vereins-Website: Cookies und Tracking.

7. Datenschutzbeauftragten benennen — ab wann?

Pflicht, sobald der Verein in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 Satz 1 BDSG). Das Gesetz stellt auf Personen ab, nicht auf Arbeitnehmer oder Mitarbeiter — im Verein zählen daher auch ehrenamtlich Tätige (Vorstand, Schatzmeister, Übungsleiter) mit, wenn sie ständig automatisiert Mitgliederdaten verarbeiten. Unabhängig von der Personenzahl ist ein Datenschutzbeauftragter zu benennen, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen (§ 38 Abs. 1 Satz 2 BDSG). Woran Sie eine solche Verarbeitung erkennen, benennt Art. 35 Abs. 3 DSGVO: systematische umfassende Bewertung persönlicher Aspekte mit Rechtswirkung, umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 sowie systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Im Verein kommen vor allem die letzten beiden Fälle in Betracht: eine Kamera, die einen öffentlich zugänglichen Bereich systematisch und umfangreich überwacht, und die umfangreiche Verarbeitung besonderer Kategorien — etwa bei konfessioneller oder parteinaher Ausrichtung; ob die Schwelle im Einzelfall erreicht ist, ist je Verarbeitung zu prüfen.

Diese deutsche Schwelle tritt ergänzend neben die EU-Grundfälle des Art. 37 Abs. 1 DSGVO, die unabhängig von jeder Personenzahl gelten: lit. a Verarbeitung durch eine Behörde oder öffentliche Stelle, lit. b Kerntätigkeit in Verarbeitungsvorgängen, die eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erforderlich machen, lit. c Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 oder von Daten über strafrechtliche Verurteilungen nach Art. 10. Ist ein Datenschutzbeauftragter benannt, nennt Art. 39 Abs. 1 DSGVO seine fünf Kernaufgaben (lit. a–e): Unterrichtung und Beratung, Überwachung der Einhaltung einschließlich Sensibilisierung und Schulung der Beteiligten, Beratung bei der Datenschutz-Folgenabschätzung, Zusammenarbeit mit der Aufsichtsbehörde und Tätigkeit als deren Anlaufstelle. Dass auch betroffene Personen ihn zu Rate ziehen können, folgt aus Art. 38 Abs. 4 DSGVO.

DE / AT: Die 20-Personen-Schwelle gilt nur in Deutschland; in Österreich folgt die Benennungspflicht unmittelbar aus Art. 37 DSGVO — § 5 DSG regelt nur Geheimhaltung und, im öffentlichen Bereich, Weisungsfreiheit. Die übrigen Rechtsgrundlagen (Art. 6, 9, 13 DSGVO) gelten in beiden Ländern gleichermaßen. Gegenüberstellung einschließlich der zuständigen Aufsicht: Tabelle „Fristen und DE/AT-Unterschiede“.

8. Schulung Funktionsträger

Zu schulen sind alle, die Mitgliederdaten anfassen: Vorstand, Schatzmeister, Trainer und Übungsleiter, nach Praxisempfehlung mindestens einmal jährlich — diese Frequenz ist eine Praxisempfehlung, keine gesetzliche Frist. Ihr Nutzen: Schulung ist ein einfacher Weg, die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO für den Faktor Mensch zu bedienen.

Wo ein Datenschutzbeauftragter benannt ist, gehört die Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeitenden ohnehin zu seiner Überwachungsaufgabe nach Art. 39 Abs. 1 lit. b DSGVO. In Österreich kommt das Datengeheimnis nach § 6 DSG hinzu: Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter sind zur Geheimhaltung verpflichtet — eine schriftliche Verpflichtungserklärung ist dort die übliche Umsetzung (Praxisempfehlung). Inhaltlich genügt für den ehrenamtlichen Kreis wenig, aber Verbindliches: Welche Daten liegen wo, wer darf sie sehen, was passiert bei einem Auskunftsverlangen, was bei einer Datenpanne. In der Praxis dient eine Teilnahmeliste mit Datum als Nachweis.

Damit sind die acht Pflichten der Mitgliederverwaltung abgedeckt. Unabhängig davon kommen querschnittliche Pflichten hinzu, die in den folgenden Abschnitten stehen: die Prüfung besonderer Kategorien (Art. 9 DSGVO), die Einwilligung für die Vereins-Website (§ 25 Abs. 1 TDDDG in Deutschland, § 165 TKG 2021 in Österreich), das Verarbeitungsverzeichnis (Art. 30 DSGVO), die Beantwortung von Betroffenenanträgen (Art. 12 Abs. 3 DSGVO) und die Meldung einer Datenpanne (Art. 33 DSGVO).

Besondere Kategorien im Verein: wann Art. 9 DSGVO greift

Besondere Kategorien liegen im Verein häufiger vor als vermutet: Art. 9 Abs. 1 DSGVO erfasst Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, außerdem genetische Daten, biometrische Daten zur eindeutigen Identifizierung, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung. Im Verein können sich solche Daten schon aus dem Vereinszweck und aus Spendendaten ergeben — bei konfessioneller, parteinaher oder gewerkschaftlicher Ausrichtung — und aus Gesundheitsangaben, die für den Sportbetrieb erhoben werden. Die Verarbeitung ist grundsätzlich untersagt und nur über eine der engen Ausnahmen des Abs. 2 zulässig, praktisch am häufigsten über die ausdrückliche Einwilligung; welcher Ausnahmetatbestand im konkreten Verein trägt, ist je Verarbeitung zu prüfen.

Daran hängen vier Folgen für die Vereinspraxis. Erstens ist im Verarbeitungsverzeichnis neben der Rechtsgrundlage nach Art. 6 eine zusätzliche Grundlage nach Art. 9 Abs. 2 zu dokumentieren. Zweitens ist die Ausnahme des Art. 30 Abs. 5 DSGVO ausgeschlossen, sobald besondere Kategorien verarbeitet werden — das Verarbeitungsverzeichnis ist dann in jedem Fall zu führen. Drittens greift bei umfangreicher Verarbeitung die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 3 DSGVO und, wenn diese umfangreiche Verarbeitung Kerntätigkeit ist, die Benennungspflicht nach Art. 37 Abs. 1 lit. c DSGVO. Viertens liegt der Bußgeldrahmen oben: Verstöße gegen Art. 9 fallen unter Art. 83 Abs. 5 DSGVO.

Vereins-Website: Cookies und Tracking

Für Tracking-Cookies auf der Vereinsseite braucht der Verein eine vorherige, informierte Einwilligung. In Deutschland regelt das § 25 Abs. 1 TDDDG: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf dort bereits gespeicherte Informationen sind nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat; Information und Einwilligung haben nach DSGVO-Maßstab zu erfolgen. Ohne Einwilligung bleibt nach Abs. 2 nur, was allein der Durchführung der Nachrichtenübertragung dient oder unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann. In Österreich verlangt § 165 TKG 2021 ein Opt-in für Tracking-Cookies.

Für den Verein heißt das in Deutschland: Jedes eingebundene Element der Vereinsseite — eingebettete Videos, extern nachgeladene Schriften, Besucherstatistik, Karten- oder Anmelde-Widgets — einzeln daraufhin prüfen, ob es Informationen in der Endeinrichtung speichert oder darauf zugreift, und die Einwilligung vor dem ersten Zugriff einholen (§ 25 Abs. 1 TDDDG). Für Österreich ist der hier belegte Maßstab das Opt-in für Tracking-Cookies nach § 165 TKG 2021. Der Nachweisweg ist in beiden Fällen derselbe wie bei den Einwilligungen für Fotos und Werbung: Es gelten die Bedingungen des Art. 7 DSGVO (Nachweis und Widerruf, siehe Abschnitt 2).

Verarbeitungsverzeichnis: Warum die Ausnahme des Art. 30 Abs. 5 DSGVO im Verein selten trägt

Die Ausnahme des Art. 30 Abs. 5 DSGVO trägt im Verein selten, weil sie alle vier Bedingungen kumulativ verlangt — und eine laufend geführte Mitgliederliste mit Beitragseinzug bereits die Bedingung „keine regelmäßige Verarbeitung“ bricht. Ein Verein braucht ein Verarbeitungsverzeichnis (VVT) deshalb, sobald er personenbezogene Daten verarbeitet; bei geführter Mitgliederliste ist das immer der Fall. Vereine fallen insoweit unter dieselben Regeln wie KMU.

Kumulativ heißt: Die Ausnahme greift nur, wenn alle Bedingungen zusammen erfüllt sind — weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 oder Daten über strafrechtliche Verurteilungen. Wichtig ist der Wortlaut: Er stellt auf „ein Risiko“ ab, nicht auf ein hohes Risiko — die Schwelle „hohes Risiko“ gilt allein für die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO.

Inhaltlich zählt Art. 30 Abs. 1 DSGVO sieben Pflichtangaben auf (lit. a–g). Weil lit. c zwei Punkte bündelt — Kategorien betroffener Personen und Kategorien personenbezogener Daten —, führt die Praxis daraus acht Pflichtfelder je Verarbeitungstätigkeit und ergänzt die Rechtsgrundlage als neuntes Feld. Für einen Verein sehen die neun Felder so aus:

1. Name und Kontaktdaten des Verantwortlichen — der Verein, vertreten durch den Vorstand — sowie, falls benannt, des Datenschutzbeauftragten
2. Zwecke der Verarbeitung: Mitgliederverwaltung, Beitragseinzug, Vereinsinformation
3. Kategorien betroffener Personen: Mitglieder, Übungsleiter, Spender
4. Kategorien personenbezogener Daten: Stammdaten, Bankverbindung, ggf. Gesundheitsangaben
5. Kategorien von Empfängern: Vereinssoftware, Steuerbüro, Verband
6. Drittlandübermittlungen einschließlich der Garantien
7. Wenn möglich: geplante Löschfristen je Datenkategorie
8. Wenn möglich: allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO — als Verweis auf ein zentrales TOM-Konzept
9. Rechtsgrundlage je Verarbeitung — Praxisfeld: In Art. 30 Abs. 1 ist es nicht genannt, es folgt aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO

Vorzulegen ist das Verzeichnis auf Anfrage der Aufsicht (Art. 30 Abs. 4 DSGVO); eine feste Frist nennt die Norm nicht — Praxisempfehlung: das Verzeichnis so aktuell halten, dass es ohne Vorlauf übermittelt werden kann. Eine Tabellenkalkulation genügt: Das Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann (Art. 30 Abs. 3 DSGVO); entscheidend sind Inhalt, Aktualität und Lesbarkeit. In Österreich gilt Art. 30 DSGVO wortgleich.

Betroffenenrechte: Wenn ein Mitglied Auskunft verlangt

Auf Anträge zur Ausübung der Rechte nach Art. 15 bis 22 DSGVO — unter anderem Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch — muss der Verein unverzüglich reagieren, in jedem Fall aber innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO).

Die Frist ist um weitere zwei Monate verlängerbar, wenn Komplexität und Anzahl der Anträge das erforderlich machen — dann muss der Verein die betroffene Person aber innerhalb des ersten Monats über die Verlängerung und deren Gründe unterrichten. Praktisch heißt das: Eingangsdatum festhalten, eine benannte Adresse für solche Anträge führen (Vorstand oder, falls benannt, der Datenschutzbeauftragte als Anlaufstelle nach Art. 38 Abs. 4 DSGVO), Antwort mit Datum ablegen. Der Sanktionsrahmen liegt im oberen Bereich: Verstöße gegen die Rechte der betroffenen Person (Art. 12–22) fallen unter Art. 83 Abs. 5 DSGVO — bis zu 20.000.000 EUR oder, bei einem Unternehmen, bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist. In Deutschland stellt § 43 BDSG ergänzend bestimmte Verstöße — die fehlerhafte Behandlung eines Auskunftsverlangens bzw. die Verbraucherunterrichtung jeweils nach § 30 BDSG — als Ordnungswidrigkeit mit Geldbuße bis zu 50.000 Euro unter Sanktion (§ 43 Abs. 2 und Abs. 3 BDSG).

Datenpanne im Verein: die 72-Stunden-Meldung

Wird eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet der Verein sie unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Frist läuft ab Kenntnis, nicht ab Abschluss der internen Aufklärung; erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen.

Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge, kommt die Benachrichtigung der Betroffenen hinzu — unverzüglich und in klarer und einfacher Sprache (Art. 34 DSGVO). Sie entfällt in den Fällen des Abs. 3: wirksame Schutzmaßnahmen, insbesondere Verschlüsselung; nachträgliche Maßnahmen, die das hohe Risiko beseitigen; oder unverhältnismäßiger Aufwand — dann tritt eine öffentliche Bekanntmachung an ihre Stelle.

Adressat ist in Deutschland die nach Landesrecht zuständige Behörde für nichtöffentliche Stellen (§ 40 Abs. 1 BDSG), in Österreich die Datenschutzbehörde (§ 18 Abs. 1 DSG). Dort sieht § 62 Abs. 1 DSG ergänzend Verwaltungsstrafen bis zu 50.000 Euro für bestimmte Vorsatztaten vor (z. B. vorsätzlich widerrechtlicher Zugang zu einer Datenverarbeitung, vorsätzliche Übermittlung in Verletzung des Datengeheimnisses nach § 6 DSG) — und nur, sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht. § 11 DSG hält die Aufsicht zu verhältnismäßiger Anwendung des Art. 83 DSGVO an, insbesondere zur Verwarnung statt Geldbuße bei erstmaligen Verstößen.

Fristen und DE/AT-Unterschiede im Überblick

Die Spalte „Frist/Zeitpunkt“ gibt wieder, was im Wortlaut der jeweils genannten Norm steht. Praxisempfehlungen — etwa der Schulungsrhythmus oder der jährliche Löschtermin — stehen nicht in dieser Tabelle, sondern im Fließtext.

Umsetzung im Ehrenamt: die Reihenfolge

Für einen Verein ohne hauptamtliche Verwaltung lohnt sich diese Reihenfolge — sie kommt ohne Software aus:

1. Verarbeitungen sammeln und je Verarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO festlegen: Mitgliederverwaltung, Beitragseinzug, Newsletter, Website, Fotos, Übungsleiter-Abrechnung.
2. Besondere Kategorien nach Art. 9 DSGVO gesondert kennzeichnen — Vereinszweck, Spendendaten, Gesundheitsangaben — und die zusätzliche Grundlage nach Art. 9 Abs. 2 DSGVO dokumentieren.
3. Verarbeitungsverzeichnis mit den neun Feldern anlegen; eine Tabelle genügt.
4. Aufnahmeantrag um die Information nach Art. 13 DSGVO ergänzen, inklusive Beschwerderecht bei der zuständigen Aufsichtsbehörde.
5. Einwilligungen für Fotos und Werbung so einholen, dass Nachweis und einfacher Widerruf nach Art. 7 DSGVO möglich sind.
6. Löschfristen je Datenkategorie festhalten und Konflikte mit Art. 17 DSGVO schriftlich begründen.
7. Vereins-Website prüfen: in Deutschland Einwilligung vor Speichern in bzw. Zugreifen auf die Endeinrichtung (§ 25 Abs. 1 TDDDG), in Österreich Opt-in für Tracking-Cookies (§ 165 TKG 2021).
8. Zuständigkeiten benennen: Wer beantwortet Anträge nach Art. 12 Abs. 3 DSGVO, wer meldet nach Art. 33 DSGVO? Und: Auftragsverarbeitungsverträge nach Art. 28 Abs. 3 DSGVO für Vereinssoftware, Cloud und Steuerbüro prüfen — die Prüfpunkte stehen in Abschnitt 1.