01
Was die DSGVO für Vereine bedeutet
Die Datenschutz-Grundverordnung (Verordnung 2016/679) gilt seit 25. Mai 2018. Sie gilt für Vereine in Österreich uneingeschränkt, das Datenschutzgesetz (DSG, BGBl. I Nr. 165/1999 in der geltenden Fassung) ergänzt sie nur. Der Verein ist gemäß Art. 4 Z 7 DSGVO Verantwortlicher für alle personenbezogenen Daten, die er verarbeitet, etwa von Mitgliedern, Funktionären, Spendern und Vertragspartnern.
Der Verein muss deshalb jederzeit erklären können, welche Daten er warum und wie lange speichert, wem er sie weitergibt und wie er sie schützt. Gesetzlich verantwortlich ist der Obmann, umgesetzt wird es in der Praxis vom Kassier.
02
Welche Mitgliederdaten sind erlaubt
Es gilt der Grundsatz der Datenminimierung (Art 5 Abs 1 lit c DSGVO): Gespeichert wird nur, was für die Mitgliederverwaltung nötig ist. Im Regelfall sind das:
- Vor- und Familienname
- Anschrift
- Geburtsdatum (zur Unterscheidung Voll- vs. Jugendmitglied, Versicherungsfragen)
- E-Mail-Adresse und ggf. Telefon
- Eintrittsdatum, ggf. Austrittsdatum
- Bankverbindung (wenn Beiträge abgebucht werden)
Ohne zusätzliche Rechtsgrundlage dürfen nicht gespeichert werden: Religionsbekenntnis, politische Einstellung, Gesundheitsdaten (außer z. B. bei Sportvereinen mit Tauglichkeits-Untersuchung und ausdrücklicher Einwilligung), biometrische Daten. Diese fallen unter Art 9 DSGVO (besondere Kategorien) und brauchen eine ausdrückliche Einwilligung oder eine gesetzliche Pflicht.
Praxis
Ein Musikverein darf das Instrument eines Mitglieds speichern, ein Sportverein die Rückennummer für die Turnierorganisation. Grundlage ist in beiden Fällen die Mitgliedschaft (Art 6 Abs 1 lit b), es handelt sich nicht um „besondere Kategorien" personenbezogener Daten.
03
Rechtsgrundlagen: Art 6 DSGVO im Vereinsalltag
Jede Datenverarbeitung braucht eine Rechtsgrundlage nach Art 6 Abs 1 DSGVO. Im Vereinskontext sind vier relevant:
- lit b (Vertrag): Alles, was zur Durchführung der Mitgliedschaft nötig ist, etwa Beiträge einheben, zur Generalversammlung einladen oder die Mitgliedskarte versenden.
- lit c (rechtliche Verpflichtung): Buchhaltungs-Aufzeichnungen nach BAO, UGB, Vereinsgesetz.
- lit f (berechtigtes Interesse): Versand eines Vereinsmagazins, Teilnehmerlisten bei Veranstaltungen. Hier muss jeweils eine Interessenabwägung dokumentiert werden.
- lit a (Einwilligung): Newsletter, Veröffentlichung auf Homepage mit Foto, Weitergabe an Sponsoren.
Einwilligungen müssen freiwillig sein (Art 7 Abs 4). Die Teilnahme an der Generalversammlung darf nicht davon abhängig gemacht werden, dass jemand in den Newsletter einwilligt.
04
Wie lange Daten gespeichert werden dürfen
Die DSGVO nennt keine festen Fristen, sie verlangt Zweckbindung und Erforderlichkeit. Für Vereine in Österreich gelten zusätzlich Fristen aus anderen Gesetzen:
| Datenkategorie | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Mitglieder-Stammdaten | Während der Mitgliedschaft, danach Löschung | Art 5 Abs 1 lit e DSGVO |
| Buchhaltungs-Unterlagen, Rechnungen | 7 Jahre ab Schluss des Kalenderjahres | §132 BAO |
| Spendenbestätigungen | 7 Jahre | §132 BAO |
| Lohnkonten (bei bezahlten Funktionären) | 7 Jahre | §132 BAO |
| Personenbezogene Protokolle (Vorstand, GV) | Zweckbezogen, meist 3-7 Jahre | Art 5 DSGVO + Bedarfsprüfung |
| Kontaktformular-Anfragen | Löschen, sobald erledigt (Praxis: bis 6 Monate) | Art 5 DSGVO |
Ein austretendes Mitglied hat Anspruch darauf, dass nicht mehr benötigte Daten aktiv gelöscht werden (Art 17 DSGVO). Die Buchhaltungs-Historie darf bleiben, der E-Mail-Newsletter-Verteiler muss bereinigt werden.
05
Auskunftspflicht und Löschungsanspruch
Jedes Mitglied hat das Recht, vom Verein Auskunft zu verlangen (Art 15 DSGVO). Binnen einem Monat muss der Verein schriftlich oder elektronisch mitteilen:
- Welche Daten verarbeitet werden
- Wozu sie verarbeitet werden
- Wer Empfänger ist (externe Dienstleister mit AVV)
- Wie lange sie gespeichert werden
- Woher die Daten stammen, falls nicht vom Mitglied selbst erhoben
Die Auskunft ist kostenlos zu erteilen. Nur bei offensichtlich unbegründeten oder exzessiven Anträgen darf ein „angemessenes Entgelt" verlangt werden, was in der Praxis sehr selten vorkommt.
Weitere Rechte:
- Art 16: Berichtigung unrichtiger Daten
- Art 17: Löschung („Recht auf Vergessenwerden“)
- Art 18: Einschränkung der Verarbeitung
- Art 20: Datenübertragbarkeit (maschinenlesbares Format)
- Art 21: Widerspruch gegen Verarbeitung auf Basis lit f oder e
- Art 77: Beschwerde bei der Datenschutzbehörde (dsb.gv.at)
06
Verarbeitungsverzeichnis und Auftragsverarbeitungsvertrag (AVV)
Das Verarbeitungsverzeichnis (Art 30 DSGVO) ist ein internes Dokument, das jede Art der Datenverarbeitung dokumentiert. Für einen kleinen Verein reicht eine einseitige Tabelle:
| Tätigkeit | Zweck | Datenkategorien | Empfänger | Frist |
|---|---|---|---|---|
| Mitgliederverwaltung | Mitgliedschaft, Beitragseinzug | Name, Adresse, IBAN | Hausbank, Vereinsbuddy | Mitgliedschaftsdauer + 7 Jahre |
| Newsletter | Vereinsinformation | E-Mail, Name | Newsletter-Dienst (Auftragsverarbeiter) | Bis Widerruf |
| Homepage-Fotos | Öffentlichkeitsarbeit | Bild, Name | Webhoster | Bis Widerruf |
Bei jedem externen Dienstleister, der Daten in deinem Auftrag verarbeitet (Cloud-Backup, Mail-Versand, Buchhaltungssoftware), brauchst du einen Auftragsverarbeitungsvertrag nach Art 28 DSGVO. Die meisten Anbieter stellen einen Standard-AVV bereit. Bei Vereinsbuddy ist der AVV Bestandteil der AGB und gilt ab Beginn der Testphase, ein Muster gibt es auf Anfrage an info@vereinsbuddy.at.
07
Datenpanne: die 72-Stunden-Regel
Eine Verletzung des Schutzes personenbezogener Daten nach Art 33 DSGVO liegt zum Beispiel vor, wenn eine Mitgliederliste versehentlich an den falschen Verteiler geht oder der Schriftführer seinen Laptop verliert. Der Verein muss binnen 72 Stunden die Datenschutzbehörde informieren, wenn ein Risiko für die Betroffenen besteht.
Die Meldung erfolgt über das Online-Formular der DSB und enthält:
- Art der Verletzung (versehentlicher Versand, Diebstahl, Hackerangriff)
- Betroffene Datenkategorien und ungefähre Anzahl Personen
- Wahrscheinliche Folgen
- Ergriffene oder geplante Gegenmaßnahmen
Bei hohem Risiko (z. B. IBAN-Liste öffentlich zugänglich) müssen auch die Betroffenen informiert werden (Art 34 DSGVO). Die Benachrichtigung muss klar und verständlich formuliert sein.
08
Die Checkliste: DSGVO für den kleinen Verein
- Verantwortlichen benennen. Üblicherweise der Obmann, schriftlich im Vorstandsprotokoll festhalten.
- Verarbeitungsverzeichnis anlegen. Als Tabelle einmal erstellen und jährlich überprüfen.
- AVVs einholen. Von jedem Dienstleister, der Mitgliederdaten im Auftrag des Vereins verarbeitet (etwa Cloud-Speicher, Mailversand, Vereinssoftware). Banken sind eigene Verantwortliche, mit ihnen gibt es keinen AVV.
- Datenschutzerklärung auf der Website. Sie beschreibt, welche Daten über Kontaktformular oder Cookies erfasst werden.
- Einwilligungen dokumentieren. Bei Newsletter, Foto-Veröffentlichung und Weitergabe an Sponsoren nachweisbar festhalten (Datum, Formular oder Mail).
- Löschroutinen definieren. Festlegen, was bei einem Austritt passiert, wie lange Daten bleiben und wann alte Protokolle vernichtet werden.
- Zugriff einschränken. Nur Vorstand und Kassier sehen die volle Mitgliederliste, Funktionäre nur ihren Zuständigkeitsbereich.
- Backup-Strategie. Festhalten, wo die Daten liegen, wer Zugriff hat und wie sie wiederhergestellt werden.
- Meldepfad für Datenpannen. Alle im Vorstand müssen wissen, dass eine Datenpanne innerhalb von 72 Stunden an die DSB zu melden ist.
- Schulung. Einmal im Jahr die Checkliste in einer kurzen Vorstandssitzung gemeinsam durchgehen. Ein Webinar ist dafür nicht nötig.
09
Häufige Fragen
Muss unser Verein einen Datenschutzbeauftragten bestellen?
In der Regel nicht. Pflicht ist ein Datenschutzbeauftragter, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in einer umfangreichen Verarbeitung besonderer Kategorien von Daten besteht (Art 37 Abs 1 DSGVO). Ein typischer Musik- oder Sportverein muss daher keinen bestellen.
Muss unser Verein ein Verarbeitungsverzeichnis führen?
In aller Regel ja. Art 30 DSGVO verpflichtet Verantwortliche, ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Die Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt (Art 30 Abs 5 DSGVO). Eine laufende Mitgliederverwaltung fällt darunter.
Wie lange dürfen wir Mitgliederdaten speichern?
So lange, wie sie für den Zweck gebraucht werden, in der Regel für die Dauer der Mitgliedschaft (Art 5 Abs 1 lit e DSGVO). Danach dürfen Daten nur aufbewahrt werden, soweit eine gesetzliche Pflicht besteht, etwa sieben Jahre für Buchhaltungsunterlagen (§132 BAO). Alles andere ist zu löschen oder zu anonymisieren.
Darf ich Fotos vom Vereinsfest auf der Homepage veröffentlichen?
Bei Gruppenaufnahmen auf öffentlichen Veranstaltungen kommt als Grundlage das berechtigte Interesse in Betracht (Art 6 Abs 1 lit f). Nach §78 UrhG dürfen Bildnisse nicht veröffentlicht werden, wenn dadurch berechtigte Interessen der abgebildeten Person verletzt würden. Bei erkennbar abgebildeten Einzelpersonen sollte eine Einwilligung eingeholt werden.
Wir schicken Mitgliederlisten an alle im Vorstand per Mail. Ist das ein Problem?
Grundsätzlich ja. Offene Mailverteiler sind datenschutzrechtlich heikel (abgefangene Mails, Weiterleitungen, archivierte Postfächer). Besser ist eine zentrale Ablage, auf die nur berechtigte Personen zugreifen, etwa Vereinsbuddy (Zugang nur für eingeladene Benutzer) oder ein verschlüsselter Cloud-Speicher.
Brauchen wir einen Cookie-Banner auf unserer Vereinshomepage?
Eine Einwilligung ist nötig, wenn die Website Cookies oder ähnliche Techniken nutzt, die für den Betrieb nicht unbedingt erforderlich sind, etwa für Statistik oder Werbung (§165 Abs 3 TKG 2021). Rein technisch nötige Cookies, etwa für einen Login, brauchen keine Einwilligung. Auch eingebettete Inhalte von Drittanbietern, zum Beispiel Videos oder Karten, können eine Einwilligung erfordern.
Was ist bei einer Datenpanne zu tun?
Der Verein meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden an die Datenschutzbehörde, außer sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art 33 DSGVO). Bei voraussichtlich hohem Risiko sind auch die betroffenen Personen zu benachrichtigen (Art 34 DSGVO).
Wie hoch können Geldbußen bei einem DSGVO-Verstoß sein?
Die DSGVO sieht Geldbußen bis zu 20 Millionen Euro vor, bei Unternehmen alternativ bis zu 4 Prozent des weltweiten Jahresumsatzes (Art 83 Abs 5 DSGVO). Im Einzelfall müssen Geldbußen wirksam, verhältnismäßig und abschreckend sein (Art 83 Abs 1 DSGVO).
Vereinsverwaltung aus Österreich
Vereinsbuddy hält die DSGVO-Hausaufgaben im Blick.
Mitgliederdaten auf Servern in der EU, Datenexport als ZIP, AVV auf Anfrage. 14 Tage kostenlos testen.