Gilt die DSGVO auch für kleine Vereine?

Ja. Die DSGVO gilt für jeden Verein unabhängig von Größe, Gemeinnützigkeit oder Rechtsform, sobald personenbezogene Daten verarbeitet werden (Art. 2, Art. 3 DSGVO). Verantwortlicher ist der Verein als juristische Person, vertreten durch den Vorstand (Art. 4 Nr. 7 DSGVO). Lediglich die Pflicht zur Benennung eines Datenschutzbeauftragten setzt erst ab 20 Personen ein (§ 38 BDSG), die DSGVO-Pflichten selbst gelten unabhängig davon.

Auf welcher Rechtsgrundlage darf ein Verein Mitgliederdaten verarbeiten?

Die Verwaltung der Mitglieder stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Mitgliedschaftsverhältnisses). Dazu zählen Name, Anschrift, Geburtsdatum, Eintrittsdatum und Bankverbindung für den Beitragseinzug. Für Verarbeitungen darüber hinaus braucht der Verein entweder ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f, mit Interessenabwägung) oder eine Einwilligung (Art. 6 Abs. 1 lit. a).

Darf ein Verein Fotos von Mitgliedern auf die Webseite stellen?

Regelmäßig nur mit Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, da die Veröffentlichung weder zur Durchführung des Mitgliedsvertrags noch aufgrund berechtigter Interessen des Vereins erforderlich ist. Bei Minderjährigen ist die Einwilligung der Sorgeberechtigten nötig. Die Einwilligung kann nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen werden; der Verein muss das Foto dann von den von ihm kontrollierten Kanälen entfernen.

Darf eine Mitgliederliste an alle Mitglieder verteilt werden?

Grundsätzlich nein. Es ist datenschutzrechtlich nicht zulässig, dass alle Mitglieder unbeschränkt auf die Daten der anderen zugreifen. Eine Verbreitung der Mitgliederliste unter den Vereinsangehörigen ist nach der Orientierungshilfe des LfDI Baden-Württemberg nur möglich, wenn der Vereinszweck gerade im Austausch der Mitglieder untereinander besteht (z. B. Selbsthilfevereine).

Wann braucht ein Verein einen Datenschutzbeauftragten?

Nach § 38 Abs. 1 Satz 1 BDSG muss ein Verein einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei zählen auch ehrenamtliche Helfer und Vorstandsmitglieder mit, sofern sie regelmäßig automatisiert Daten verarbeiten. Unabhängig von der Personenzahl besteht die Pflicht bei DSFA-pflichtigen Verarbeitungen (§ 38 Abs. 1 Satz 2 BDSG).

DSGVO im Verein – Mitgliederdaten, Webseite und Fotos

Datenschutz DSGVO Verein Mitgliederdaten BDSG § 38 Deutschland / EU

Status: in Kraft

Kurzantwort Auch ein Verein ist „Verantwortlicher" im Sinne von Art. 4 Nr. 7 DSGVO und muss die Datenschutz-Grundverordnung vollständig einhalten, sobald er personenbezogene Daten – etwa Mitgliederdaten – verarbeitet. Die Verwaltung der Mitglieder stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Mitgliedschaftsvertrags); für darüber hinausgehende Zwecke ist je nach Fall ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f) oder eine Einwilligung (Art. 6 Abs. 1 lit. a) nötig. Die Veröffentlichung von Mitgliederfotos auf Webseite, in sozialen Medien oder in der Vereinszeitung ist regelmäßig nur mit Einwilligung zulässig. Einen Datenschutzbeauftragten muss der Verein nach § 38 Abs. 1 BDSG erst benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Kernfakten

Punkt	Wert
Verein als Verantwortlicher	Art. 4 Nr. 7 DSGVO – der Verein (vertreten durch den Vorstand) ist verantwortliche Stelle
Rechtsgrundlage Mitgliederverwaltung	Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Mitgliedschaftsverhältnisses
Rechtsgrundlage darüber hinaus	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) oder lit. a (Einwilligung)
Erforderliche Identifikationsdaten	Name, Vorname, Anschrift, Geburtsdatum – nicht Ausweis-/Passnummer
Mitgliederliste an andere Mitglieder	grundsätzlich unzulässig; zulässig nur, wenn der Vereinszweck den Austausch erfordert
Fotos auf Webseite / Social Media	regelmäßig nur mit Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO
Informationspflicht bei Beitritt	Art. 13 DSGVO – Information bei Erhebung der Daten
Verzeichnis von Verarbeitungstätigkeiten	Art. 30 DSGVO – auch für Vereine
Datensicherheit (TOM)	Art. 32 DSGVO – technische und organisatorische Maßnahmen
Meldepflicht Datenpanne	Art. 33 DSGVO – Meldung binnen 72 Stunden; Art. 34 – Benachrichtigung Betroffener bei hohem Risiko
Datenschutzbeauftragter Pflicht	§ 38 Abs. 1 BDSG – ab i. d. R. 20 Personen ständig mit automatisierter Verarbeitung
Betroffenenrechte	Art. 15–21 DSGVO – Auskunft, Berichtigung, Löschung, Widerspruch
Bußgeldrahmen	Art. 83 DSGVO – bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (oberer Rahmen)

Geltungsbereich

Die DSGVO gilt für jeden Verein unabhängig von Größe, Gemeinnützigkeit oder Rechtsform, sobald personenbezogene Daten verarbeitet werden (Art. 2, Art. 3 DSGVO). Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Verein als juristische Person, nach außen vertreten durch den Vorstand (§ 26 BGB). Das gilt für eingetragene Vereine (e. V.) ebenso wie für nicht eingetragene Vereine. Eine Ausnahme greift nur für rein persönliche oder familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO) – die organisierte Mitgliederverwaltung eines Vereins fällt nicht darunter.

Rechtsgrundlagen der Datenverarbeitung im Verein

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Im Verein sind drei Grundlagen einschlägig:

Vertragserfüllung (lit. b) – Verarbeitung, die zur Begründung, Durchführung und Beendigung der Mitgliedschaft erforderlich ist: Name, Anschrift, Geburtsdatum, Bankverbindung für den Beitragseinzug, Eintritts- und Austrittsdatum. Hierfür ist keine gesonderte Einwilligung nötig.
Berechtigtes Interesse (lit. f) – Verarbeitung für einen anderen legitimen Vereinszweck, sofern keine überwiegenden schutzwürdigen Interessen der Mitglieder entgegenstehen. Erforderlich ist stets eine Interessenabwägung.
Einwilligung (lit. a) – für alle Verarbeitungen, die weder zur Vertragsdurchführung noch durch berechtigte Interessen gedeckt sind, etwa die Veröffentlichung von Fotos oder die Weitergabe von Daten an Dritte. Die Einwilligung muss freiwillig, informiert und widerruflich sein (Art. 7 DSGVO).

Nach der Orientierungshilfe des LfDI Baden-Württemberg besteht ein berechtigtes Interesse grundsätzlich nur an den Daten, die für eine eindeutige Identifizierung erforderlich und ausreichend sind, also Name, Vorname, Anschrift und Geburtsdatum – nicht jedoch Personalausweis- oder Passnummer.

Mitgliederliste und Datenweitergabe

Es ist datenschutzrechtlich nicht zulässig, dass alle Mitglieder unbeschränkt auf die Daten der anderen Mitglieder zugreifen können. Eine Verbreitung der Mitgliederliste unter den Vereinsangehörigen ist nach Auffassung des LfDI Baden-Württemberg nur dann möglich, wenn der Vereinszweck gerade darin besteht, dass die Mitglieder untereinander in Kontakt treten und sich austauschen (z. B. Selbsthilfevereine).

Für die Weitergabe von Mitgliederdaten an Dachverbände oder Landesverbände (etwa zur Spielberechtigung im Sport) braucht der Verein eine eigene Rechtsgrundlage – häufig die Vertragserfüllung, wenn die Verbandsmitgliedschaft satzungsgemäß Teil der Mitgliedschaft ist, sonst die Einwilligung. Eine Übermittlung an verbandsfremde Dritte (z. B. Sponsoren zu Werbezwecken) erfordert grundsätzlich die Einwilligung der betroffenen Mitglieder.

Fotos und Veröffentlichungen

Die Veröffentlichung von Fotos einzelner Personen auf der Vereins-Webseite, in sozialen Medien oder in einer Vereinszeitung ist regelmäßig nur mit Einwilligung zulässig, weil die Verarbeitung weder zur Durchführung des Mitgliedsvertrags noch aufgrund berechtigter Interessen des Vereins erforderlich ist. Bei Fotos von Minderjährigen ist die Einwilligung der Sorgeberechtigten einzuholen. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; der Verein muss das Foto dann von den von ihm kontrollierten Kanälen entfernen.

Auch die Veröffentlichung von Ehrungen, Geburtstagen oder Wahlergebnissen mit Namensnennung in Vereinszeitung, Aushang oder Webseite geht über die reine Mitgliederverwaltung hinaus und stützt sich daher auf eine Einwilligung oder eine sorgfältige Interessenabwägung.

Häufige Fehler und Missverständnisse

„Kleine Vereine sind ausgenommen" – falsch. Die DSGVO gilt unabhängig von der Vereinsgröße. Lediglich die Pflicht zur Benennung eines Datenschutzbeauftragten setzt erst ab 20 Personen ein (§ 38 BDSG).
„Wer keinen DSB braucht, muss nichts beachten" – falsch. Informationspflichten (Art. 13), Verarbeitungsverzeichnis (Art. 30), Datensicherheit (Art. 32), Meldepflicht (Art. 33) und Betroffenenrechte gelten für jeden Verein.
„Mitgliederlisten dürfen frei verteilt werden" – falsch. Eine pauschale Verteilung an alle Mitglieder ist regelmäßig unzulässig.
„Ein einmal aufgenommenes Foto darf dauerhaft online bleiben" – falsch. Die Einwilligung ist nach Art. 7 Abs. 3 DSGVO jederzeit widerrufbar.

Quellen

Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, Volltext (EUR-Lex, CELEX:32016R0679):: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A
§ 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen (gesetze-im-internet.de):: https://www.gesetze-im-internet.de/bdsg_2018/__38.html A
LfDI Baden-Württemberg – Orientierungshilfe: Datenschutz im Verein:: https://www.baden-wuerttemberg.datenschutz.de/orientierungshilfe-datenschutz-verein/ D
LfDI Baden-Württemberg – FAQ Vereine:: https://www.baden-wuerttemberg.datenschutz.de/faq-vereine/ D
LfDI Baden-Württemberg – FAQ Veröffentlichung von Fotos speziell für Vereine:: https://www.baden-wuerttemberg.datenschutz.de/faq-veroeffentlichung-von-fotos-speziell-fuer-vereine/ D
LDI Nordrhein-Westfalen – Broschüre „Datenschutz im Verein" (PDF):: https://www.ldi.nrw.de/system/files/media/document/file/broschuere_verein_ueberarbeitung_iii.pdf D

Stand:: 2026-06-03
Gültig ab:: 2018-05-25 (Geltungsbeginn der DSGVO)
Status:: aktuell
Quellenautorität:: A (EUR-Lex, gesetze-im-internet.de, Landesdatenschutzbehörden BW/NRW)
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an