Die Rechtsgrundlage für Mitgliederdaten im Verein ist in den meisten Fällen der Vertrag: Die Mitgliedschaft ist ein Vertragsverhältnis, und was der Verein zu ihrer Abwicklung braucht, darf er nach Art 6 Abs 1 lit b DSGVO ohne gesonderte Einwilligung seiner Mitglieder verarbeiten. Als weitere Rechtsgrundlagen kommen gesetzliche Pflichten in Betracht, etwa in der Buchhaltung, und das berechtigte Interesse des Vereins, das eine Abwägung mit den Interessen der Mitglieder verlangt. Die gesonderte Einwilligung eines Mitglieds in die Verarbeitung (darüber hinausgehender) personenbezogener Daten ist die Ausnahme für das, was nicht bereits durch die obgenannten Gründe abgedeckt wird.
Zum Autor: Von Mag. Dorian Schmelz, Rechtsanwalt in Wien mit Schwerpunkt Vereinsrecht und Gemeinnützigkeitsrecht // Stand: 24.9.2026
Wer einem Verein beitritt, schließt mit ihm einen Vertrag: Beitrittserklärung und Aufnahme begründen das Mitgliedschaftsverhältnis. Was der Verein braucht, um diese Mitgliedschaft abzuwickeln, darf er deshalb auf Art 6 Abs 1 lit b DSGVO stützen – Name und Kontaktdaten, die Mitgliederkategorie und die Daten zum Beitrag samt Kontoverbindung und Zahlungsstand. Die Grenze liegt im Wort „erforderlich“: Was die Mitgliedschaft nicht braucht, trägt der Vertrag nicht. Wie weit sie reicht, bestimmen wesentlich die Statuten.
Für diese Daten holt der Verein im Beitrittsformular keine Einwilligung ein, muss aber nach Art 13 Abs 1 lit c DSGVO angeben, auf welche Rechtsgrundlage er sich stützt. Wie die Informationspflichten insgesamt aussehen, zeigt der Beitrag Der Verein als Verantwortlicher im Sinn der DSGVO. Die Zuordnung vorzunehmen, ist Sache des Leitungsorgans, also des Vorstands.
Manche Daten verarbeitet der Verein nicht, weil er will, sondern weil er muss. Dafür steht Art 6 Abs 1 lit c DSGVO, die Erfüllung einer rechtlichen Verpflichtung. Naheliegend ist die Buchhaltung: Bücher, Aufzeichnungen und Belege, auch über Mitgliedsbeiträge, sind nach § 132 Abs 1 BAO grundsätzlich sieben Jahre aufzubewahren. Spendenbegünstigte Vereine melden zudem Spenden aus dem Privatvermögen nach § 18 Abs 8 EStG elektronisch an die Finanzverwaltung; dafür brauchen sie Vor- und Zunamen sowie das Geburtsdatum der Spender. Diese Grundlage reicht so weit wie die Pflicht selbst. Wer das Geburtsdatum für die Spendenmeldung erhebt, hat es damit noch nicht für die Geburtstagsgrüße in der Vereinszeitung.
Art 6 Abs 1 lit f DSGVO erlaubt eine Verarbeitung, die zur Wahrung berechtigter Interessen des Vereins oder eines Dritten erforderlich ist, sofern nicht die Interessen der betroffenen Person überwiegen – besonders, wenn sie ein Kind ist. Das ist keine Generalvollmacht, sondern eine Abwägung, die der Verein nachvollziehbar treffen muss, und sie hängt auch vom Charakter des Vereins ab. Praktisch wichtig ist lit f vor allem bei Fotos von Vereinsveranstaltungen und bei der Weitergabe von Mitgliederdaten an Mitglieder, die Minderheitenrechte ausüben wollen – beides verdient eine eigene Betrachtung.
Wer sich auf lit f stützt, muss das Interesse in der Datenschutzinformation benennen und gesondert auf das Widerspruchsrecht hinweisen (Art 21 Abs 4 DSGVO). Widerspricht ein Mitglied aus Gründen seiner besonderen Situation, darf der Verein nur weiter verarbeiten, wenn er zwingende schutzwürdige Gründe nachweist oder die Daten für Rechtsansprüche braucht.
Verbreitet ist die Annahme, am sichersten sei es, für alles eine Einwilligung einzuholen. Eher trifft das Gegenteil zu. Eine Einwilligung nach Art 6 Abs 1 lit a DSGVO muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich erteilt werden (Art 4 Z 11 DSGVO), und sie kann nach Art 7 Abs 3 DSGVO jederzeit widerrufen werden. Eine Verarbeitung, ohne die die Mitgliedschaft nicht funktioniert, auf eine Erklärung zu stützen, die das Mitglied morgen zurückziehen kann, ist daher wenig klug. Macht der Verein den Beitritt von einer Einwilligung abhängig, die für die Mitgliedschaft nicht nötig ist, steht zudem die Freiwilligkeit in Frage (Art 7 Abs 4 DSGVO).
Ihren Platz hat die Einwilligung dort, wo keine andere Grundlage trägt; ein Newsletter an vereinsfremde Interessenten ist das klassische Beispiel.
Daten über politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder sexuelle Orientierung unterliegen nach Art 9 Abs 1 DSGVO einem grundsätzlichen Verarbeitungsverbot. Für Vereine ist das heikel, weil oft schon die Mitgliedschaft selbst ein solches Datum ist.
Art 9 Abs 2 lit d DSGVO erlaubt politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichteten Vereinigungen ohne Gewinnerzielungsabsicht, solche Daten im Rahmen ihrer rechtmäßigen Tätigkeit zu verarbeiten. Voraussetzung ist, dass sich die Verarbeitung auf Mitglieder, ehemalige Mitglieder oder Personen mit regelmäßigem Kontakt bezieht, auf geeigneten Garantien beruht und die Daten nicht ohne Einwilligung nach außen gelangen. Was „geeignete Garantien“ sind, lässt die DSGVO offen. Ein Sportverein, der Gesundheitsangaben erhebt, kann sich auf diese Ausnahme nicht stützen; für ihn kommt vor allem die ausdrückliche Einwilligung nach Art 9 Abs 2 lit a DSGVO in Betracht.
Ja, soweit das für die Entscheidung über die Aufnahme nötig ist. Art 6 Abs 1 lit b DSGVO erfasst auch Maßnahmen vor Vertragsschluss, die auf Anfrage der betroffenen Person erfolgen, und ein Aufnahmeantrag ist eine solche Anfrage. Wird der Antrag abgelehnt oder zurückgezogen, fällt dieser Zweck weg.
Das hängt vom Verein ab. Lässt die Mitgliedschaft auf politische Meinungen, religiöse oder weltanschauliche Überzeugungen, die Gesundheit oder die sexuelle Orientierung schließen, gehört schon die Information über die Mitgliedschaft zu den besonderen Kategorien des Art 9 Abs 1 DSGVO. Ein solcher Verein braucht stärkere technische und organisatorische Schutzmaßnahmen als ein Verein, der nur gewöhnliche Daten verarbeitet.
Ja. Nach Art 13 Abs 1 lit c DSGVO gehört die Rechtsgrundlage zu den Informationen, die der Verein bei der Erhebung der Daten geben muss, und zwar für jeden Zweck einzeln. Stützt er sich auf ein berechtigtes Interesse, ist auch dieses Interesse zu nennen.
Das Widerspruchsrecht nach Art 21 Abs 1 DSGVO richtet sich gegen Verarbeitungen, die auf ein berechtigtes Interesse oder auf eine Aufgabe im öffentlichen Interesse gestützt sind. Die Verwaltung der Mitgliedschaft beruht dagegen auf dem Vertrag, die Buchhaltung auf gesetzlichen Pflichten.
Mitglieder des Leitungsorgans dürfen die Mitgliederliste grundsätzlich einsehen und die darin enthaltenen Daten verarbeiten, aber nur für Zwecke des Vereins - etwa um die Stimmberechtigung vor einer Mitgliederversammlung zu prüfen. Eine Verwendung für vereinsfremde Zwecke ist unzulässig.
