Datenschutz. Für viele ehrenamtlich Aktive im Verein klingt das Wort nach Bußgeldbescheiden, Anwaltskanzleien und einem Berg Papierkram, der mit der eigentlichen Vereinsarbeit nichts zu tun hat. Dabei lässt sich der Kern der DSGVO-Pflichten für einen Verein, der Jugendfreizeiten organisiert, in wenigen, verständlichen Bausteinen zusammenfassen – ohne dass ihr dafür Jura studiert haben müsst. Dieser Beitrag ist der Einstieg: Was bedeutet Datenschutz für euren Verein konkret, welche Pflichten gibt es wirklich, und wo findet ihr vertiefende Informationen, wenn ihr tiefer einsteigen wollt?
Warum Datenschutz auch euren kleinen Verein betrifft
Ein verbreiteter Irrtum lautet: „Wir sind doch nur ein kleiner, gemeinnütziger Verein – für uns gilt das nicht." Tatsächlich unterscheidet die Datenschutz-Grundverordnung (DSGVO) nicht zwischen Konzernen und Ehrenamt. Sobald euer Verein personenbezogene Daten verarbeitet – und das tut praktisch jeder Verein, der Mitglieder führt oder Freizeiten organisiert –, greifen dieselben Grundpflichten wie bei einem Unternehmen. Personenbezogen ist dabei jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht: Name, Anschrift, Geburtsdatum, aber auch Gesundheitsangaben, Fotos oder Notfallkontakte von Teilnehmenden.
Besonders bei Kinder- und Jugendfreizeiten kommt eine zusätzliche Sensibilität hinzu: Es werden regelmäßig Daten von Minderjährigen verarbeitet, teils sogar besondere Kategorien personenbezogener Daten wie Gesundheitsdaten (Allergien, Medikamente) oder Angaben zu Ernährungsgewohnheiten mit religiösem Hintergrund. Für solche Daten gelten nach Art. 9 DSGVO noch einmal strengere Anforderungen als für gewöhnliche Kontaktdaten.
Die Grundbegriffe: Verantwortlicher, Verarbeitung, betroffene Person
Drei Begriffe tauchen in fast jedem Datenschutztext auf und lohnen sich vorab zu klären: Der Verantwortliche ist die Stelle, die über Zwecke und Mittel der Datenverarbeitung entscheidet – bei einer Jugendfreizeit in aller Regel der veranstaltende Verein, vertreten durch den Vorstand. Verarbeitung meint praktisch jeden Umgang mit personenbezogenen Daten: Erheben, Speichern, Verändern, Weitergeben, sogar das bloße Anschauen einer Teilnehmerliste zählt bereits dazu. Die betroffene Person schließlich ist diejenige, um deren Daten es geht – bei einer Freizeit also Teilnehmende, Erziehungsberechtigte und mitunter auch Betreuer:innen selbst.
In Gesprächen werden die Begriffe Datenschutz und Datensicherheit häufig synonym verwendet, obwohl sie unterschiedliche Aspekte betreffen. Datenschutz beschreibt den rechtlichen Rahmen, der festlegt, ob und wie personenbezogene Daten überhaupt verarbeitet werden dürfen – also die „Ob"- und „Wie"-Frage aus rechtlicher Sicht. Datensicherheit dagegen meint die technische und organisatorische Absicherung dieser Verarbeitung gegen Verlust, Manipulation oder unbefugten Zugriff – im DSGVO-Sprachgebrauch die technischen und organisatorischen Maßnahmen aus Art. 32. Beide Aspekte greifen ineinander: Eine rechtlich einwandfrei eingeholte Einwilligung nützt wenig, wenn die dazugehörigen Daten anschließend ungeschützt auf einem geteilten Laufwerk liegen.
Rechtsgrundlage: Warum ihr Daten nicht „einfach so" verarbeiten dürft
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO – ohne eine solche ist sie grundsätzlich unzulässig. Für Vereine sind in der Praxis vor allem zwei Rechtsgrundlagen relevant: die Vertragserfüllung (Art. 6 Abs. 1 lit. b), etwa wenn ihr die Anmeldedaten braucht, um die Teilnahme an der Freizeit überhaupt organisieren zu können, und die Einwilligung (Art. 6 Abs. 1 lit. a), etwa für die Veröffentlichung von Fotos. Eine dritte, in der Praxis oft unterschätzte Rechtsgrundlage ist die rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) – etwa wenn ihr bestimmte Unterlagen aus steuerlichen Gründen aufbewahren müsst. Wichtig zu wissen: Für unterschiedliche Zwecke braucht ihr meist auch unterschiedliche Rechtsgrundlagen – die Anmeldedaten fallen unter Vertragserfüllung, die Fotoveröffentlichung braucht eine gesonderte Einwilligung.
Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)
Ein zentrales, aber oft unterschätztes Dokument ist das Verzeichnis von Verarbeitungstätigkeiten (kurz VVT). Es hält fest, welche Daten euer Verein zu welchem Zweck verarbeitet, wer darauf Zugriff hat und wie lange sie aufbewahrt werden. Klingt bürokratisch, ist aber im Kern eine strukturierte Selbstauskunft: Für jeden größeren Verarbeitungsvorgang – etwa „Anmeldung zur Jugendfreizeit" oder „Mitgliederverwaltung" – legt ihr eine kurze, tabellarische Beschreibung an. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) stellt dazu Hinweise und Muster bereit, an denen ihr euch orientieren könnt.
Auftragsverarbeitung: Wenn Dienstleister eure Daten verarbeiten (Art. 28 DSGVO)
Sobald ihr externe Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt – etwa eine Software für die Freizeitorganisation, einen Cloud-Speicher oder einen Newsletter-Anbieter –, braucht ihr in aller Regel einen Auftragsverarbeitungsvertrag (AVV). Er regelt, wie der Dienstleister mit euren Daten umgehen darf und welche Pflichten ihn treffen. Weil dieses Thema für Vereine besonders praxisrelevant ist, geht unser AVV-Muster ausführlicher darauf ein, wann genau ein AVV erforderlich ist und was hineingehört.
Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Neben den rechtlichen Grundlagen verlangt die DSGVO auch angemessenen technischen und organisatorischen Schutz der Daten – kurz TOM. Dazu zählen zum Beispiel Passwortschutz, Verschlüsselung, ein durchdachtes Zugriffsrechte-Konzept und klare Regeln, wer welche Unterlagen wie lange aufbewahrt. Für einen Verein bedeutet das nicht zwingend teure Technik, sondern vor allem organisatorische Klarheit: Wer darf auf die Teilnehmerliste zugreifen? Wo liegen die Einverständniserklärungen, und wer hat einen Schlüssel zum Aktenschrank?
Eine häufig gestellte Frage lautet, ob ein Verein einen betrieblichen Datenschutzbeauftragten benennen muss. In Deutschland ergibt sich aus § 38 BDSG eine entsprechende Pflicht grundsätzlich dann, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für die meisten ehrenamtlich getragenen Vereine liegt diese Zahl in der Praxis hoch – relevant wird die Pflicht aber unabhängig von dieser Schwelle auch dann, wenn im Kerngeschäft besonders sensible Datenkategorien in größerem Umfang verarbeitet werden oder eine Datenschutz-Folgenabschätzung erforderlich ist. Selbst wenn keine gesetzliche Pflicht besteht, kann es sinnvoll sein, freiwillig eine feste Ansprechperson für Datenschutzfragen im Vorstand oder Team zu benennen – schon damit Rückfragen nicht ins Leere laufen.
Die Rechte der Betroffenen (Art. 15–21 DSGVO)
Mitglieder, Teilnehmende und Erziehungsberechtigte haben eine Reihe von Rechten gegenüber eurem Verein: das Recht auf Auskunft über die gespeicherten Daten (Art. 15), auf Berichtigung fehlerhafter Angaben (Art. 16), auf Löschung (Art. 17, mit Einschränkungen durch gesetzliche Aufbewahrungspflichten), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21). Praktisch bedeutet das: Wenn ein Elternteil fragt, welche Daten ihr über sein Kind gespeichert habt, solltet ihr in der Lage sein, diese Frage in angemessener Zeit zu beantworten – dafür reicht meist eine grundsätzliche organisatorische Klarheit darüber, wo welche Daten liegen.
Was passiert bei Verstößen? Bußgelder realistisch eingeordnet
Verstöße gegen die DSGVO können mit Bußgeldern geahndet werden, deren Rahmen sich nach Art. 83 DSGVO richtet und theoretisch hoch ausfallen kann. In der Praxis sind Bußgelder gegen kleine, gemeinnützige Vereine seltener und fallen meist deutlich niedriger aus als bei Unternehmen – die Aufsichtsbehörden berücksichtigen unter anderem Größe, Art des Verstoßes und Kooperationsbereitschaft. Trotzdem sind auch Vereine nicht grundsätzlich ausgenommen, wie vereinzelte, öffentlich bekannt gewordene Fälle zeigen. Wichtiger als die Angst vor einem Bußgeld sollte aber ohnehin die Verantwortung gegenüber den Familien sein, deren Daten ihr verarbeitet.
Ein Baustein, der in Einsteigertexten oft fehlt, aber im Ernstfall entscheidend ist: Kommt es zu einer Verletzung des Schutzes personenbezogener Daten – etwa weil eine Liste mit Notfallkontakten verloren geht oder ein Account mit Teilnehmerdaten kompromittiert wird –, kann eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde entstehen, unter Umständen sogar eine Pflicht zur Benachrichtigung der betroffenen Personen selbst, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht. Solche Meldungen sind fristgebunden, weshalb es sich lohnt, im Team vorab zu klären, wer im Ernstfall informiert werden muss und wer die Meldung koordiniert – Panik in der akuten Situation lässt sich damit deutlich reduzieren.
Der pragmatische Einstieg: Wo fangt ihr an?
Wenn euer Verein noch ganz am Anfang steht, lohnt sich kein Versuch, alle DSGVO-Pflichten gleichzeitig abzuarbeiten. Sinnvoller ist ein schrittweises Vorgehen: Verschafft euch zuerst einen Überblick, welche Daten ihr überhaupt wo verarbeitet. Klärt dann, mit welchen externen Dienstleistern ihr zusammenarbeitet und ob dafür ein AVV nötig ist. Legt fest, wer im Verein für Datenschutzfragen ansprechbar ist. Und dokumentiert eure wichtigsten Verarbeitungen in einem einfachen Verzeichnis. Einen strukturierten Überblick über die zentralen Pflichten findet ihr zusätzlich auf unserer Datenschutz-Seite. Wer diese Schritte einmal sauber durchläuft, hat den größten Teil der Grundpflichten bereits abgedeckt – ohne dafür monatelang ausschließlich am Thema Datenschutz zu arbeiten.
Hilfreich ist außerdem, Datenschutz nicht als einmaliges Projekt, sondern als wiederkehrenden Punkt im Vereinsjahr zu behandeln: Ein kurzer Blick auf Verzeichnis, AVV-Liste und TOM-Dokumentation nach jeder Saison genügt meist, um Änderungen – ein neuer Dienstleister, ein neues Anmeldeverfahren – zeitnah nachzupflegen, statt Jahre später vor einem unübersichtlichen Aktualisierungsberg zu stehen.
Hinweis – keine Rechtsberatung: Dieser Beitrag gibt einen allgemeinen Überblick über die DSGVO-Grundpflichten für Vereine und ersetzt keine Rechtsberatung im Einzelfall. Für eine verbindliche Einschätzung eurer konkreten Situation wendet euch an eine Datenschutzberatung, eine Anwältin oder einen Anwalt bzw. die zuständige Aufsichtsbehörde.
Wie sich die einzelnen Bausteine in der Praxis zusammenfügen, zeigt ein einfaches Beispiel: Bei der Online-Anmeldung zu einer Freizeit werden zunächst nur die Daten abgefragt, die für die Organisation tatsächlich nötig sind (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c). Für die Verarbeitung der Anmeldedaten selbst reicht die Rechtsgrundlage der Vertragserfüllung, während für die optionale Fotoveröffentlichung eine gesonderte, separat ankreuzbare Einwilligung eingeholt wird. Die eingesetzte Anmeldesoftware wird über einen AVV vertraglich abgesichert, der Zugriff auf die eingehenden Anmeldungen ist auf die tatsächlich zuständigen Personen im Orga-Team beschränkt, und nach Abschluss der Freizeit werden nicht mehr benötigte, sensible Angaben zeitnah gelöscht. Keiner dieser Schritte ist für sich genommen kompliziert – in der Summe ergeben sie aber ein rundes, DSGVO-konformes Vorgehen.
Fazit: Datenschutz ist machbar – auch im Ehrenamt
Die DSGVO wirkt auf den ersten Blick nach viel Bürokratie für ein Ehrenamt, das eigentlich für die Freizeit mit Kindern und Jugendlichen brennt. Bei genauerem Hinsehen lassen sich die Grundpflichten jedoch mit überschaubarem Aufwand strukturiert abarbeiten, wenn ihr sie von Anfang an mitdenkt statt sie auf die lange Bank zu schieben. Wer tiefer in die einzelnen Bausteine einsteigen möchte, findet in unserer Handbuch-Serie zu Recht & Datenschutz eine ausführlichere Aufbereitung samt konkreter Hinweise, wie sich einzelne Pflichten im Vereinsalltag umsetzen lassen.