Viele Vereine sind unsicher, ob sie einen Datenschutzbeauftragten brauchen. Die einen benennen vorsichtshalber jemanden, ohne genau zu wissen, was dazugehört. Die anderen gehen davon aus, dass sie als kleiner Verein nicht betroffen sind. Dieser Artikel erklärt, wann die Benennung Pflicht ist und wie Vereine den Datenschutz sinnvoll organisieren.
Wann die Benennung Pflicht ist
Für nichtöffentliche Stellen wie Vereine gelten zwei Auslöser:
- Die 20-Personen-Regel: In der Regel sind mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Gezählt werden alle, die regelmäßig mit Daten am Computer oder Smartphone arbeiten, auch Ehrenamtliche. Dazu gehören zum Beispiel Vorstände, Kassenwart, Mitgliederverwaltung, Abteilungsleitungen und Trainer, die Teilnehmerlisten digital führen.
- Besondere Verarbeitungen: Unabhängig von der Personenzahl ist ein Datenschutzbeauftragter nötig, wenn die Kerntätigkeit des Vereins in der umfangreichen Verarbeitung besonders sensibler Daten besteht, etwa Gesundheitsdaten in einer Selbsthilfeorganisation, oder wenn Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern.
⚠️ Achtung: „Ständig“ bedeutet nicht täglich. Auch wer jede Woche die Anwesenheitsliste in einer App pflegt, ist regelmäßig mit Daten beschäftigt. Zählen Sie im Zweifel großzügig und dokumentieren Sie Ihre Einschätzung.
Wer das Amt übernehmen kann
Der Datenschutzbeauftragte kann intern oder extern sein:
| Interner Datenschutzbeauftragter | Externer Datenschutzbeauftragter | |
|---|---|---|
| Wer? | ein Vereinsmitglied mit Fachkunde | ein Dienstleister oder eine Fachperson von außen |
| Vorteile | kennt den Verein, oft kostenlos | Fachwissen, Unabhängigkeit, Entlastung |
| Nachteile | braucht Zeit und Fortbildung | verursacht Kosten |
Wichtig ist die Fachkunde: Die Person muss die Grundlagen des Datenschutzrechts kennen und sich weiterbilden. Außerdem darf es keinen Interessenkonflikt geben. Vorstandsmitglieder, die über die Datenverarbeitung entscheiden, sollten sich nicht selbst kontrollieren. Ungeeignet sind meist auch die Leitung der IT oder der Mitgliederverwaltung.
💡 Praxistipp: Fragen Sie bei Ihrem Dachverband nach. Viele Landessportbünde und Verbände bieten Schulungen für Datenschutzbeauftragte an oder vermitteln externe Beauftragte zu Sonderkonditionen.
Die Benennung
- Der Vorstand benennt die Person schriftlich und beschreibt ihre Aufgaben.
- Die Kontaktdaten werden veröffentlicht, etwa in der Datenschutzerklärung auf der Webseite.
- Die Kontaktdaten werden der zuständigen Datenschutz-Aufsichtsbehörde des Bundeslandes gemeldet. Die meisten Behörden bieten dafür ein Online-Formular an.
Ein gesetzlich vorgeschriebener Datenschutzbeauftragter genießt einen besonderen Schutz: Er darf wegen seiner Tätigkeit nicht benachteiligt und nur aus wichtigem Grund abberufen werden.
Die Aufgaben
Der Datenschutzbeauftragte berät und kontrolliert, er entscheidet aber nicht. Die Verantwortung für den Datenschutz bleibt beim Vorstand. Zu den Aufgaben gehören:
- den Vorstand und die Ehrenamtlichen über ihre Pflichten informieren und beraten,
- die Einhaltung des Datenschutzes überwachen, etwa durch Stichproben,
- bei der Erstellung von Verzeichnis der Verarbeitungstätigkeiten, Datenschutzhinweisen und Verträgen mit Dienstleistern unterstützen,
- Schulungen organisieren,
- Ansprechperson für Mitglieder und die Aufsichtsbehörde sein,
- bei Datenpannen beraten. Mehr dazu im Artikel Datenpanne im Verein.
Auch ohne Pflicht: Datenschutz organisieren
Kleine Vereine, die keinen Datenschutzbeauftragten benennen müssen, sind trotzdem an die DSGVO gebunden. Es hilft, eine Person zu bestimmen, die sich um das Thema kümmert, etwa als Datenschutzkoordinatorin. Sie hält die Unterlagen aktuell, beantwortet Fragen und erinnert an Löschfristen. Nennen Sie diese Person aber nicht Datenschutzbeauftragte, um Verwechslungen mit dem gesetzlichen Amt zu vermeiden. Die wichtigsten Pflichten fasst der Artikel DSGVO im Verein zusammen.
Häufige Fragen
Welche Folgen hat es, wenn ein Pflicht-Datenschutzbeauftragter fehlt?
Die Aufsichtsbehörde kann ein Bußgeld verhängen. In der Praxis wird sie bei Vereinen meist zunächst beraten und zur Benennung auffordern. Verlassen sollte man sich darauf nicht.
Kann ein Datenschutzbeauftragter für mehrere Vereine zuständig sein?
Ja. Gerade externe Datenschutzbeauftragte betreuen oft viele Organisationen. Auch Verbände bieten das für ihre Mitgliedsvereine an.
Muss der Datenschutzbeauftragte Mitglied im Verein sein?
Nein. Ein interner Beauftragter ist meist Mitglied, ein externer muss es nicht sein. Entscheidend sind Fachkunde und Unabhängigkeit.
📄 Passende Vorlagen
🔒 Download nach kostenloser Registrierung. Bereits registriert? Anmelden
Mehr zum Thema: Digitalisierung für Vereine →