{"id":37066,"date":"2025-04-15T16:41:09","date_gmt":"2025-04-15T16:41:09","guid":{"rendered":"https:\/\/2b-advice.com\/?p=37066"},"modified":"2025-04-17T11:34:24","modified_gmt":"2025-04-17T11:34:24","slug":"datenschutz-im-verein-anforderungen-und-umsetzung-nach-der-dsgvo","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2025\/04\/15\/datenschutz-im-verein-anforderungen-und-umsetzung-nach-der-dsgvo\/","title":{"rendered":"Datenschutz im Verein \u2013 Anforderungen und Umsetzung nach der DSGVO"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Vereine sind als Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO verpflichtet, alle datenschutzrechtlichen Anforderungen zu erf\u00fcllen und deren Einhaltung nachzuweisen (Art. 5 Abs. 2 DSGVO \u2013 Rechenschaftspflicht). Die Umsetzung stellt insbesondere kleinere, ehrenamtlich organisierte Vereine regelm\u00e4\u00dfig vor erhebliche praktische Herausforderungen. Die nachfolgenden Ausf\u00fchrungen fassen die wesentlichen Pflichten im Verein zusammen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Rechtm\u00e4\u00dfigkeit der Datenverarbeitung<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die zentrale Rechtsgrundlage f\u00fcr die Datenverarbeitung im Verein ist Art. 6 Abs. 1 lit. b DSGVO – die Erf\u00fcllung des Vereinsvertrages, konkretisiert durch die Vereinssatzung. Daneben k\u00f6nnen berechtigte Interessen (Art. 6 Abs. 1 lit. f) DSGVO) oder Einwilligungen (Art. 6 Abs. 1 lit. a DSGVO) die Verarbeitung rechtfertigen. Letztere sind insbesondere dann erforderlich, wenn Daten \u00fcber die Zwecke der Mitgliedschaft hinaus verarbeitet oder ver\u00f6ffentlicht werden (z.B. Fotos, Geburtstagslisten, Spendenaufrufe per E-Mail). Die Einwilligung muss freiwillig, informiert, eindeutig, zweckgebunden und jederzeit widerrufbar sein. Sie muss schriftlich oder elektronisch dokumentiert werden und darf sich nicht in allgemeinen Erkl\u00e4rungen verstecken.

Bei der Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) – z.B. Gesundheitsdaten – ist regelm\u00e4\u00dfig eine ausdr\u00fcckliche Einwilligung erforderlich. Dies betrifft typischerweise Selbsthilfegruppen, Gewerkschaften oder religi\u00f6se Vereinigungen.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Organisationsverantwortung im Verein<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Der Vereinsvorstand hat sowohl rechtlich als auch tats\u00e4chlich f\u00fcr die Einhaltung der datenschutzrechtlichen Vorgaben einzustehen (\u00a7 26 Abs. 1 S. 2 BGB i.V.m. Art. 24 DSGVO). Er hat geeignete technische und organisatorische Ma\u00dfnahmen zu treffen, um die Rechtm\u00e4\u00dfigkeit der Datenverarbeitung sicherzustellen.<\/p>

Dies schlie\u00dft auch die Delegation von Aufgaben ein, wobei die datenschutzkonforme Umsetzung sichergestellt sein muss. Auch bei einer Delegation bleibt die Gesamtverantwortung beim Vorstand.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Vertraulichkeit und Informationspflichten<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Alle im Verein mit der Verarbeitung personenbezogener Daten betrauten Personen sind auf die Vertraulichkeit zu verpflichten. Zwar enth\u00e4lt die DSGVO keine dem \u00a7 5 BDSG a.F. entsprechende Regelung, jedoch ist eine dokumentierte Verpflichtung auf die datenschutzrechtlichen Grunds\u00e4tze des Art. 5 Abs. 1 DSGVO erforderlich.

Dar\u00fcber hinaus ist sicherzustellen, dass die betroffenen Personen – insbesondere Mitglieder, ehrenamtlich T\u00e4tige und Dienstleister – \u00fcber die Verarbeitung ihrer Daten gem. Art. 13 und 14 DSGVO informiert werden. Diese Informationspflichten sollten in das Beitrittsformular integriert werden, wobei sich bei bereits bestehenden Mitgliedschaften eine nachtr\u00e4gliche Information empfiehlt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Sicherheit der Verarbeitung im Verein<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die Sicherheit der Verarbeitung personenbezogener Daten ist ein zentraler Grundsatz der Datenschutz-Grundverordnung. Nach Art. 32 DSGVO sind Verantwortliche – also auch Vereine – verpflichtet, geeignete technische und organisatorische Ma\u00dfnahmen (TOM) zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gew\u00e4hrleisten. Diese Ma\u00dfnahmen sind regelm\u00e4\u00dfig zu \u00fcberpr\u00fcfen und gegebenenfalls anzupassen.<\/p>

Technische Schutzma\u00dfnahmen sind z.B.: Verschl\u00fcsselung gespeicherter und \u00fcbertragener Daten (z.B. Transport- und Ende-zu-Ende-Verschl\u00fcsselung bei E-Mails), Passwortschutz und Zwei-Faktor-Authentifizierung beim Zugriff auf Mitgliederdaten, regelm\u00e4\u00dfige Sicherheitsupdates und Virenschutzsoftware, getrennte Benutzerkonten bei gemeinsam genutzten Systemen, automatische Sperrmechanismen bei Inaktivit\u00e4t.<\/p>

Zu den organisatorischen Ma\u00dfnahmen im Verein geh\u00f6ren unter anderem: ein klar geregeltes Berechtigungs- und Rollenkonzept f\u00fcr die Datennutzung, die Schulung von Vorstandsmitgliedern und Ehrenamtlichen im sicheren Umgang mit personenbezogenen Daten, die Erstellung eines Datenschutz- und IT-Sicherheitskonzeptes, die Festlegung von Meldewegen bei Datenschutzvorf\u00e4llen, schriftliche Regelungen zur Nutzung privater Ger\u00e4te (\u201eBring Your Own Device\u201c) sowie deren Kontrolle.
Dar\u00fcber hinaus sind auch Back-up-Konzepte, die Protokollierung von Zugriffen sowie L\u00f6schkonzepte f\u00fcr nicht mehr ben\u00f6tigte Daten als Bestandteile der Datenschutzorganisation zu verstehen.<\/p>

Lese-Tipp: Newsletter zwischen DSGVO und ePrivacy – Einwilligung nicht immer erforderlich<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Rechte der betroffenen Personen<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Vereine haben interne Verfahren zu etablieren, die eine z\u00fcgige, vollst\u00e4ndige und datenschutzkonforme Bearbeitung von Anfragen betroffener Personen sicherstellen. Dies umfasst insbesondere die Einrichtung einer zentralen Anlaufstelle f\u00fcr Datenschutzanliegen, die Schulung zust\u00e4ndiger Personen sowie die Dokumentation eingehender Anfragen und deren Bearbeitungsschritte.<\/p>

Gem\u00e4\u00df Art. 15 DSGVO haben betroffene Personen ein Recht auf Auskunft \u00fcber die zu ihrer Person gespeicherten Daten. Dieses Auskunftsrecht erstreckt sich unter anderem auf die Zwecke der Verarbeitung, die Kategorien der verarbeiteten Daten, die Empf\u00e4nger oder Kategorien von Empf\u00e4ngern, gegen\u00fcber denen die Daten offengelegt wurden oder werden, die geplante Speicherdauer oder die Kriterien f\u00fcr deren Festlegung sowie das Bestehen weiterer Betroffenenrechte. Auch \u00fcber die Herkunft der Daten (sofern sie nicht beim Betroffenen erhoben wurden) und das Bestehen einer automatisierten Entscheidungsfindung einschlie\u00dflich Profiling ist zu informieren.<\/p>

Dar\u00fcber hinaus haben Betroffene unter bestimmten gesetzlichen Voraussetzungen das Recht auf:<\/p>