Das Verarbeitungsverzeichnis im Verein sollte jede Verarbeitungstätigkeit mit ihrem Zweck, den betroffenen Personengruppen, den Datenarten, den Empfängern, den Löschfristen und den Schutzmaßnahmen, beschreiben; welche Angaben hineingehören, legt Art 30 DSGVO im Detail fest – als Mindestinhalt des Verarbeitungsverzeichnisses. Das Verarbeitungsverzeichnis ist zugleich eine Bestandsaufnahme, auf der die Datenschutzinformation des Vereins aufbaut und die der Datenschutzbehörde auf Anfrage zur Verfügung zu stellen ist.
Zum Autor: Von Mag. Dorian Schmelz, Rechtsanwalt in Wien mit Schwerpunkt Vereinsrecht und Gemeinnützigkeitsrecht // Stand: 8.10.2026
Die DSGVO verlangt vom Verein als Verantwortlichem nicht nur, Daten rechtmäßig zu verarbeiten, sondern das auch nachweisen zu können (Art 5 Abs 2 DSGVO). Das Verzeichnis der Verarbeitungstätigkeiten ist dafür das zentrale Dokument: Es zeigt, was der Verein mit personenbezogenen Daten tut, wozu und mit wem. Dass ein Verein es in aller Regel führen muss, erläutert der Beitrag Der Verein als Verantwortlicher im Sinn der DSGVO. Die Ausnahme des Art 30 Abs 5 DSGVO für Einrichtungen mit weniger als 250 Beschäftigten greift bei laufender Mitgliederverwaltung in der Regel nicht, weil diese Verarbeitung nicht nur gelegentlich erfolgt. Die praktische Frage lautet daher nicht, ob, sondern wie.
Für jede Verarbeitungstätigkeit enthält das Verzeichnis sieben Angaben:
Name und Kontaktdaten des Verantwortlichen, also des Vereins, und gegebenenfalls eines gemeinsam mit ihm Verantwortlichen, eines Vertreters und eines Datenschutzbeauftragten (lit a)
die Zwecke der Verarbeitung, so konkret, dass ein Außenstehender versteht, wozu die Daten dienen (lit b)
die Kategorien betroffener Personen und personenbezogener Daten, etwa „ordentliche Mitglieder“ und „Kontaktdaten, Bankverbindung“ (lit c)
die Kategorien von Empfängern, auch in Drittländern; Empfänger sind nach Art 4 Z 9 DSGVO auch Stellen, die keine Dritten sind, etwa Dienstleister, die im Auftrag des Vereins tätig sind (lit d)
gegebenenfalls Übermittlungen in ein Drittland oder an eine internationale Organisation (lit e)
wenn möglich, die vorgesehenen Löschfristen der einzelnen Datenkategorien (lit f)
wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art 32 Abs 1 DSGVO (lit g)
Das „wenn möglich“ ist keine Einladung zum Weglassen. Es trägt dem Umstand Rechnung, dass sich nicht jede Frist in Jahren angeben lässt; für die Datenschutzinformation verlangt Art 13 Abs 2 lit a DSGVO dann die Kriterien für die Speicherdauer, und es liegt nahe, sie schon hier festzuhalten. Ein verbreitetes Missverständnis: Das Verzeichnis ist keine zweite Mitgliederliste. Es nennt Personengruppen und Datenarten, nicht Frau Huber und ihre Telefonnummer – wer es mit Namen füllt, hat ein weiteres Dokument geschaffen, das selbst geschützt werden muss.
Der schwierigste Schritt ist nicht das Ausfüllen, sondern das Einteilen. Weil die DSGVO auf den konkreten Zweck abstellt, liegt es nahe, je Zweck eine Verarbeitungstätigkeit anzulegen, nicht je Programm oder Ordner. Ein typischer Verein kommt so etwa auf Mitgliederverwaltung, Beitragseinzug, Newsletter, Website, Veranstaltungen, die Übermittlung von Spenderdaten an die Finanzverwaltung und die Einteilung von Ehrenamtlichen. Dieselbe Adressdatei kann mehreren Tätigkeiten dienen; getrennt wird dort, wo sich Zweck, Personengruppe, Empfänger oder Frist unterscheiden.
Der Newsletter erreicht oft auch Nichtmitglieder, die Spendenmeldung betrifft Spender und geht an die Abgabenbehörden, bei Veranstaltungen kommen Gäste hinzu. Wer die Spendenmeldung einem Dienstleister überlässt, hat einen zusätzlichen Empfänger. Ehrenamtliche, die nicht Mitglieder sind, bilden eine eigene Personengruppe, die neben der Mitgliederverwaltung leicht übersehen wird. Wer zu grob einteilt, verliert die Unterschiede; wer zu fein einteilt, verliert den Überblick.
Das Verzeichnis ist mehr als eine Pflichtübung für die Behörde. Die Datenschutzinformation nach Art 13 DSGVO fragt nach Zwecken, Empfängern und Speicherdauer – genau den Angaben, die im Verzeichnis bereits stehen. Dasselbe gilt für eine Auskunft nach Art 15 Abs 1 DSGVO. Die Löschfristen sind der Kern eines Löschkonzepts: Daten dürfen nach Art 5 Abs 1 lit e DSGVO nur so lange identifizierbar gespeichert bleiben, wie der Zweck es erfordert. Für Buchhaltungsunterlagen ergibt sich die Untergrenze aus der grundsätzlich siebenjährigen Aufbewahrungspflicht nach § 132 Abs 1 BAO. Die Beschreibung der Schutzmaßnahmen schließlich zwingt dazu, sich zu fragen, wer worauf Zugriff hat.
Ohne laufende Pflege erfüllt das Verzeichnis seinen Zweck nicht, denn es soll die Verarbeitungstätigkeiten abbilden, die tatsächlich stattfinden. Anlass für eine Überarbeitung sind etwa neue Vereinssoftware, ein neuer Dienstleister, ein neues Angebot oder ein Wechsel im Vorstand. Zweckmäßig ist es, jede Fassung mit einem Stand zu datieren und das Verzeichnis bei der Übergabe an ein neues Leitungsorgan ausdrücklich mitzugeben. Nach Art 30 Abs 3 DSGVO ist es schriftlich zu führen, was auch elektronisch erfolgen kann. Gemeldet oder eingereicht wird es nicht, auch wenn sich diese Vorstellung hartnäckig hält. Der Verein stellt es der Datenschutzbehörde nach Art 30 Abs 4 DSGVO auf Anfrage zur Verfügung, und bei einer Prüfung wird sie es verlangen. Es sollte daher griffbereit sein und nicht erst rekonstruiert werden müssen.
Verantwortlicher im Sinn der DSGVO ist der Verein selbst; für ihn handelt das Leitungsorgan. Der Vorstand kann die Führung des Verzeichnisses einem seiner Mitglieder übertragen, die übrigen Vorstandsmitglieder bleiben aber zur Kontrolle verpflichtet und müssen einschreiten, wenn sich Missstände abzeichnen. Ein bestellter Datenschutzbeauftragter ist im Verzeichnis anzuführen und kann beratend helfen.
Nein. Da sich die Daten, die Vereine verarbeiten, ebenso wie die Zwecke und weiteren Umstände der Datenverarbeitung in jedem einzelnen Fall unterscheiden, ist es erforderlich, ein Datenverarbeitungsverzeichnis individuell zu erstellen.
Art 30 Abs 1 lit g DSGVO verlangt, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen, die zum Schutz personenbezogener Daten ergriffen werden. Ein ausführliches Sicherheitskonzept ist nicht erforderlich, wohl aber eine knappe Darstellung der ergriffenen Maßnahmen.
Ein fehlendes oder lückenhaftes Verzeichnis stellt eine Verletzung der DSGVO dar. Die Datenschutzbehörde kann dagegen vorgehen und Verwaltungsstrafen verhängen. Bei erstmaligen Verstößen kommt mitunter eine bloße Verwarnung in Betracht, bei wiederholten oder gravierenden Verstößen wird üblicherweise eine Geldstrafe verhängt.
Das Verzeichnis ist ein internes Dokument, das der Verein der Datenschutzbehörde auf Anfrage zur Verfügung zu stellen hat. Jedes Mitglied zwar nach Art 15 DSGVO Auskunft über die eigenen Daten verlangen, also auch darüber, zu welchen Zwecken sie verarbeitet werden, an wen sie gehen und wie lange sie gespeichert bleiben; Anspruch eines Mitglieds auf Einsicht in das vollumfängliche Verarbeitungsverzeichnis besteht jedoch nicht.
