Datenschutz im Verein: Mitgliederlisten, Zugriffsrechte und Cloud-Dienste prüfen

Datenschutz im Verein: Was Sie bei Mitgliederlisten, Zugriffsrechten und Cloud-Diensten beachten sollten

Vereinsdaten sind sensibel – auch wenn das im Alltag oft in Vergessenheit gerät. Wer im Verein Mitgliederlisten führt, Newsletter verschickt oder Fotos vom letzten Vereinsfest hochlädt, verarbeitet personenbezogene Daten. Das fällt unter die Datenschutz-Grundverordnung (DSGVO), die seit 2018 auch für österreichische Vereine gilt.

Viele Vorstände sind sich ihrer Pflichten bewusst, wissen aber nicht genau, wo sie konkret ansetzen sollen. Diese Checkliste hilft Ihnen dabei, die wichtigsten Bereiche systematisch zu prüfen: von der Mitgliederverwaltung über interne Zugriffsrechte bis hin zu Cloud-Diensten und externen Tools.

Grundsätzliches: Was bedeutet Datenschutz für Vereine?

Vereine gelten als Verantwortliche im Sinne der DSGVO, sobald sie personenbezogene Daten verarbeiten. Dazu gehören Name, Adresse, Geburtsdatum, E-Mail-Adresse, Kontonummer für Lastschriften oder auch Fotos von Mitgliedern. Die Vereinsgröße spielt dabei keine Rolle – auch ein kleiner Sportverein mit 50 Mitgliedern ist in der Pflicht.

Die drei häufigsten Problembereiche in der Praxis sind:

• unklare Regelungen für Mitgliederlisten und deren Weitergabe
• fehlende oder unklare Zugriffsrechte innerhalb des Vorstands
• der Einsatz von Cloud-Diensten und digitalen Tools ohne ausreichende Prüfung

Genau diese drei Bereiche deckt die folgende Checkliste ab.

Checkliste: Mitgliederlisten datenschutzkonform verwalten

Die Mitgliederliste ist das Herzstück jeder Vereinsverwaltung – und gleichzeitig eine der datenschutzrechtlich heikelsten Datensammlungen im Verein.

• Daten auf das Notwendige beschränken: Erfassen Sie nur jene Daten, die für den Vereinszweck tatsächlich erforderlich sind. Name, Kontaktdaten und Mitgliedsbeitrag reichen in den meisten Fällen aus.
• Rechtsgrundlage klären: Die Verarbeitung braucht eine Grundlage – häufig sind das Mitgliedschaft und Vereinsstatuten oder eine ausdrückliche Einwilligung. Prüfen Sie, ob das in Ihren Statuten und Beitrittsformularen klar geregelt ist.
• Datenschutzerklärung vorhanden: Mitglieder müssen bei Aufnahme in den Verein darüber informiert werden, welche Daten zu welchem Zweck gespeichert werden. Diese Information sollte schriftlich erfolgen.
• Keine Weitergabe ohne Grundlage: Die Mitgliederliste darf nicht ohne weiteres an Dritte weitergegeben werden – auch nicht an andere Vereinsmitglieder, wenn dafür keine Einwilligung oder satzungsmäßige Grundlage besteht.
• Veraltete Daten löschen: Daten ausgetretener Mitglieder dürfen nur so lange gespeichert bleiben, wie es gesetzlich oder buchhalterisch erforderlich ist. Danach sind sie zu löschen.
• Aufbewahrungsort sichern: Mitgliederlisten dürfen nicht ungesichert auf privaten Laptops, USB-Sticks oder freigegebenen Netzwerklaufwerken liegen.

Checkliste: Zugriffsrechte im Verein klar regeln

Ein häufiger Fehler: Jeder im Vorstand hat Zugriff auf alle Daten – einfach weil es nie anders eingerichtet wurde. Das entspricht nicht dem Grundsatz der Datensparsamkeit und kann im Ernstfall zum Problem werden.

• Zugriffsrechte dokumentieren: Legen Sie schriftlich fest, wer auf welche Daten zugreifen darf. Kassier, Obfrau und Schriftführer brauchen nicht zwingend denselben Datenzugang.
• Rollenbasierter Zugriff: Wer die Buchhaltung führt, braucht Bankdaten – aber nicht unbedingt Sportergebnisse oder medizinische Angaben einzelner Mitglieder. Trennen Sie Zugriffe nach Funktion.
• Zugangsdaten nicht teilen: Gemeinsam genutzte Passwörter für Vereinskonten oder Software sind ein Sicherheitsrisiko. Jede Person sollte einen eigenen Zugang haben.
• Zugriffsrechte bei Funktionswechsel aktualisieren: Wenn jemand aus dem Vorstand ausscheidet, müssen Passwörter geändert und Zugriffsrechte entzogen werden – sofort und vollständig.
• Protokolle und Änderungshistorien nutzen: Viele Vereinsverwaltungsprogramme bieten Zugriffslogs. Aktivieren Sie diese Funktion, wenn verfügbar.
• Verantwortlichkeit benennen: Im Verein sollte eine konkrete Person für den Datenschutz zuständig sein – auch wenn kein formell bestellter Datenschutzbeauftragter erforderlich ist.

Checkliste: Cloud-Dienste und digitale Tools prüfen

Google Drive, Dropbox, WhatsApp, Doodle, Mailchimp – viele Vereine nutzen solche Dienste selbstverständlich, ohne deren datenschutzrechtliche Tauglichkeit geprüft zu haben. Das kann riskant sein.

• Serverstandort prüfen: Werden Daten in der EU oder im Europäischen Wirtschaftsraum gespeichert? Bei Anbietern mit Servern außerhalb der EU gelten besondere Anforderungen. Prüfen Sie das in den Datenschutzbestimmungen des jeweiligen Dienstes.
• Auftragsverarbeitungsvertrag abschließen: Wenn ein externer Anbieter Vereinsdaten verarbeitet, ist in vielen Fällen ein sogenannter Auftragsverarbeitungsvertrag (AVV) erforderlich. Manche Anbieter stellen diesen automatisch bereit, bei anderen muss er aktiv angefragt werden.
• WhatsApp und ähnliche Messenger kritisch bewerten: Messenger-Apps für interne Vereinskommunikation sind praktisch, aber nicht unproblematisch – insbesondere wenn Mitgliedsdaten oder Telefonnummern in Gruppenchats geteilt werden. Datenschutzfreundlichere Alternativen wie Signal oder vereinsspezifische Tools können sinnvoll sein.
• Fotos und Videos separat regeln: Das Hochladen von Vereinsfotos auf Facebook, Instagram oder in eine Cloud braucht eine Einwilligung der abgebildeten Personen. Das gilt auch für Fotos von Minderjährigen – hier ist die Einwilligung der Erziehungsberechtigten notwendig.
• Newsletter-Tools korrekt einsetzen: Wer E-Mail-Newsletter versendet, braucht eine nachweisbare Einwilligung der Empfänger. Das sogenannte Double-Opt-in-Verfahren ist empfohlen und sollte dokumentiert werden.
• Nicht mehr genutzte Accounts löschen: Alte Vereins-E-Mail-Adressen, inaktive Cloud-Zugänge oder nicht mehr benötigte Drittanbieter-Konten sollten regelmäßig deaktiviert und gelöscht werden.

Was tun, wenn etwas nicht stimmt?

Wenn Sie bei der Prüfung feststellen, dass im Verein Handlungsbedarf besteht, ist das kein Grund zur Panik. Wichtig ist, dass Sie aktiv werden und Verbesserungen dokumentieren.

Typische erste Schritte sind:

• Bestandsaufnahme aller verarbeiteten Daten und genutzten Tools
• Erstellung oder Aktualisierung eines Verzeichnisses der Verarbeitungstätigkeiten
• Anpassung von Beitrittsformularen und Datenschutzerklärung
• Überarbeitung der Zugriffsrechte in der Vereinssoftware
• Prüfung und gegebenenfalls Wechsel genutzter Cloud-Dienste

Bei komplexen Fragen – etwa bei der Verarbeitung besonderer Datenkategorien wie Gesundheitsdaten im Sportverein – kann eine Beratung durch eine datenschutzkonforme Fachkraft sinnvoll sein. Die österreichische Datenschutzbehörde bietet zudem Informationsmaterial für Vereine und andere Organisationen an.

Häufige Fragen zum Datenschutz im Verein

Gilt die DSGVO auch für kleine Vereine?

Ja. Die DSGVO kennt keine Ausnahme nach Vereinsgröße. Sobald ein Verein personenbezogene Daten verarbeitet – und das tut praktisch jeder Verein –, gelten die Datenschutzpflichten. Der Umfang der erforderlichen Maßnahmen richtet sich jedoch nach Art und Menge der verarbeiteten Daten.

Darf die Mitgliederliste an alle Vereinsmitglieder weitergegeben werden?

Nicht automatisch. Eine Weitergabe ist nur zulässig, wenn dafür eine Rechtsgrundlage besteht – etwa eine ausdrückliche Einwilligung der betroffenen Mitglieder oder eine entsprechende Regelung in den Vereinsstatuten. Im Zweifelsfall lieber nicht weitergeben und die Rechtslage prüfen.

Was ist ein Verzeichnis der Verarbeitungstätigkeiten?

Das ist eine interne Dokumentation, in der ein Verein festhält, welche personenbezogenen Daten er zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeitet. Es muss nicht veröffentlicht werden, sollte aber im Verein vorhanden sein und auf Anfrage der Datenschutzbehörde vorgelegt werden können.

Braucht ein Verein einen Datenschutzbeauftragten?

In den meisten Fällen nicht verpflichtend. Eine Ausnahme besteht, wenn der Verein in größerem Umfang besondere Kategorien von Daten verarbeitet – etwa Gesundheitsdaten bei Sportvereinen mit medizinischer Betreuung. Es ist jedoch sinnvoll, intern eine verantwortliche Person für Datenschutzfragen zu benennen.

Fazit

Datenschutz im Verein muss kein bürokratisches Hindernis sein. Mit einer strukturierten Prüfung der Mitgliederverwaltung, klaren Zugriffsregelungen und einem bewussten Umgang mit digitalen Werkzeugen lässt sich ein solider Datenschutzstandard im Verein erreichen – auch ohne juristisches Fachwissen. Wer die Checkliste regelmäßig durchgeht und Änderungen dokumentiert, ist für den Alltag gut aufgestellt.