Datenschutzrechtlich Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art 4 Z 7 DSGVO). Ein Verein, der personenbezogene Daten etwa seiner Mitglieder verarbeitet, ist daher als Verantwortlicher im Sinn der DSGVO einzustufen; externe Dienstleister können als Auftragsverarbeiter für den Verein tätig werden. Die DSGVO erfasst nahezu jeden Umgang mit personenbezogenen Daten und verpflichtet Vereine insbesondere zu Information, Wahrung der Betroffenenrechte, Datensicherheit und interner Dokumentation.
Zum Autor: Von Mag. Dorian Schmelz, Rechtsanwalt in Wien mit Schwerpunkt Vereinsrecht und Gemeinnützigkeitsrecht // Stand: 26.8.2026
Die DSGVO knüpft ihre Pflichten grundsätzlich an den „Verantwortlichen“. Verantwortlicher ist jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art 4 Z 7 DSGVO). Diese Zuordnung ist deshalb zentral, weil der Verantwortliche dafür einzustehen hat, dass die Vorgaben der DSGVO eingehalten werden – etwa bei der Information der Betroffenen, der Wahl einer Rechtsgrundlage, der Datensicherheit, der Wahrung von Betroffenenrechten oder der Auswahl von Auftragsverarbeitern. Wer datenschutzrechtlich verantwortlich ist, ist daher keine bloße Formalfrage, sondern bestimmt, wen die wesentlichen Pflichten und Risiken der DSGVO treffen.
Die DSGVO unterscheidet dabei insbesondere zwischen zwei Rollen: dem Verantwortlichen und dem Auftragsverarbeiter. Verantwortlicher ist, wer über Zwecke und wesentliche Mittel der Verarbeitung personenbezogener Daten entscheidet (Art 4 Z 7 DSGVO). Ein Auftragsverarbeiter verarbeitet Daten hingegen im Auftrag und nach den Vorgaben des Verantwortlichen (Art 4 Z 8 DSGVO).
Bei einem Verein ist Verantwortlicher grundsätzlich der Verein selbst. Nicht der Obmann, die Schriftführerin oder jener Mitarbeiter, der die Mitgliederdatenbank betreut, wird dadurch persönlich zum datenschutzrechtlich Verantwortlichen. Die Organwalter handeln vielmehr für den Verein und müssen im Rahmen ihrer jeweiligen Zuständigkeit dafür sorgen, dass dieser seine datenschutzrechtlichen Verpflichtungen einhält. In einer Datenschutzerklärung ist daher grundsätzlich der Verein – mit seinem Namen und seinen Kontaktdaten – als Verantwortlicher anzuführen.
Der Begriff der personenbezogenen Daten ist weit zu verstehen. Erfasst sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu gehören nicht nur Name, Anschrift und Telefonnummer, sondern beispielsweise auch E-Mail-Adressen, Kontodaten, Fotos, Mitgliedsnummern oder – unter bestimmten Voraussetzungen – IP-Adressen.
Ebenso weit versteht die DSGVO den Begriff der Verarbeitung. Darunter fällt praktisch jeder Umgang mit personenbezogenen Daten: das Erheben und Erfassen ebenso wie das Ordnen, Speichern, Abfragen, Verwenden, Übermitteln, Verändern oder Löschen. Schon das Führen einer Mitgliederverwaltung, das Versenden eines Newsletters oder das Speichern von Anmeldungen zu einer Vereinsveranstaltung ist daher Datenverarbeitung im Sinn der DSGVO.
Auch der Kreis der betroffenen Personen reicht weit über die Vereinsmitglieder hinaus. Vereine verarbeiten regelmäßig Daten von Mitarbeitern, Funktionären, Spendern, Interessenten, Veranstaltungsteilnehmern, Lieferanten oder sonstigen Geschäftspartnern. Ein Verein, der eine Mitgliederliste, eine Buchhaltung oder einen E-Mail-Verteiler führt, verarbeitet daher zwangsläufig personenbezogene Daten.
Die DSGVO erfasst dabei jedenfalls automatisierte Datenverarbeitungen. Rein papiergebundene Unterlagen fallen ebenfalls darunter, wenn die darin enthaltenen personenbezogenen Daten Teil eines strukturierten Dateisystems sind oder werden sollen – etwa einer geordneten Mitgliederkartei.
Datenschutz ist damit keine Frage, die erst bei großen Vereinen relevant wird. Schon ein kleiner Verein mit Mitgliederliste, E-Mail-Verteiler und Website bewegt sich mitten im Anwendungsbereich der DSGVO. Entscheidend ist daher weniger die Größe des Vereins als die Frage, welche Daten zu welchen Zwecken verarbeitet werden und ob dafür klare, dokumentierte Regeln bestehen.
Viele Vereine bedienen sich externer Dienstleister. Typische Beispiele sind Anbieter einer cloudbasierten Mitgliederverwaltung, Newsletter-Dienste, Website-Hoster oder IT-Dienstleister. Verarbeitet ein solcher Anbieter personenbezogene Daten ausschließlich für den Verein und nach dessen Weisungen, liegt regelmäßig eine Auftragsverarbeitung vor.
In diesem Fall muss die Zusammenarbeit den Anforderungen des Art 28 DSGVO entsprechen. Insbesondere ist ein Vertrag oder ein anderes rechtlich bindendes Instrument abzuschließen, das unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die betroffenen Daten und Personengruppen sowie die Pflichten des Auftragsverarbeiters festlegt. Der Dienstleister darf die Daten grundsätzlich nur entsprechend den dokumentierten Weisungen des Vereins verarbeiten.
Umgekehrt ist nicht jeder externe Dienstleister zugleich Auftragsverarbeiter. Entscheidet der Dienstleister aufgrund eigener gesetzlicher oder beruflicher Verpflichtungen selbst über Zwecke und Mittel einer Verarbeitung, kann er eigenständig Verantwortlicher sein. Gerade bei Rechtsanwälten, Steuerberatern oder Banken ist daher im Einzelfall zu prüfen, welche datenschutzrechtliche Rolle sie tatsächlich einnehmen.
Besondere Aufmerksamkeit ist erforderlich, wenn personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Bei Übermittlungen in sogenannte Drittländer müssen zusätzlich die Voraussetzungen der Art 44 ff DSGVO erfüllt sein. Je nach Empfängerland können dafür etwa ein Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien wie Standardvertragsklauseln erforderlich sein.
Eine der wichtigsten Pflichten ist zunächst die Information der betroffenen Personen. Wer personenbezogene Daten erhebt, muss die Betroffenen nach Maßgabe der Art 12 bis 14 DSGVO unter anderem darüber informieren, wer Verantwortlicher ist, zu welchen Zwecken und auf welcher Rechtsgrundlage die Daten verarbeitet werden, an wen sie gegebenenfalls übermittelt werden, wie lange sie gespeichert werden und welche Rechte bestehen. In der Praxis erfolgt diese Information etwa durch eine Datenschutzerklärung auf der Website, einen Datenschutzhinweis beim Vereinsbeitritt oder entsprechende Informationen bei der Anmeldung zu einer Veranstaltung. Entscheidend ist, dass die Information rechtzeitig erfolgt – grundsätzlich bereits im Zusammenhang mit der Erhebung der Daten.
Hinzu kommen die Betroffenenrechte nach Art 15 ff DSGVO. Dazu gehören insbesondere das Recht auf Auskunft, Berichtigung und unter bestimmten Voraussetzungen Löschung oder Einschränkung der Verarbeitung sowie das Recht auf Datenübertragbarkeit und Widerspruch. Auf entsprechende Anträge muss der Verein grundsätzlich binnen eines Monats reagieren. Bevor Daten herausgegeben oder verändert werden, muss allerdings sichergestellt sein, dass tatsächlich die betroffene Person den Antrag stellt. Ebenso ist zu prüfen, ob dem jeweiligen Begehren gesetzliche Gründe entgegenstehen – etwa gesetzliche Aufbewahrungspflichten, die eine sofortige Löschung ausschließen.
Auch intern muss Datenschutz organisiert werden. Dazu gehören insbesondere angemessene technische und organisatorische Sicherheitsmaßnahmen, datenschutzfreundliche Voreinstellungen, klare Zugriffsberechtigungen und ein geregelter Umgang mit Datenschutzverletzungen. Geht beispielsweise eine Mitgliederliste verloren oder wird sie irrtümlich an einen falschen Empfänger versandt, muss geprüft werden, ob eine Meldung an die Datenschutzbehörde und gegebenenfalls eine Verständigung der Betroffenen erforderlich ist.
Von besonderer praktischer Bedeutung ist schließlich das Verzeichnis von Verarbeitungstätigkeiten nach Art 30 DSGVO. Darin wird dokumentiert, welche personenbezogenen Daten der Verein zu welchen Zwecken verarbeitet, welche Personengruppen betroffen sind, an welche Empfänger Daten weitergegeben werden und welche Löschfristen und Sicherheitsmaßnahmen vorgesehen sind. Zwar sieht die DSGVO für Organisationen mit weniger als 250 Beschäftigten eine Ausnahme vor; diese greift jedoch unter anderem dann nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Da die Verarbeitung von Mitgliederdaten regelmäßig dauerhaft erfolgt, sollten Vereine in der Praxis grundsätzlich ein solches Verzeichnis führen.
Sofern hier von Pflichten des Vereins gesprochen wird, sind diese vereinsintern vom Leitungsorgan umzusetzen; dieses kann sich freiwillig Gehilfen bedienen, etwa eines vereinsinternen Datenschutzbeauftragten oder externer IT-Dienstleister oder Rechtsberater. Mehr Informationen dazu finden Sie auf unserer Themenseite zum Datenschutz im Verein.
In aller Regel ja. Vereine unterliegen der DSGVO, sobald sie personenbezogene Daten verarbeiten – etwa Namen, Kontaktdaten, Bankverbindungen oder Fotos ihrer Mitglieder. Sie müssen daher insbesondere die Grundsätze der Datenverarbeitung einhalten, betroffene Personen informieren und für eine angemessene Datensicherheit sorgen. Je nach Art und Umfang der Datenverarbeitung können weitere Pflichten hinzukommen, etwa der Abschluss von Auftragsverarbeitungsverträgen oder die Führung eines Verzeichnisses von Verarbeitungstätigkeiten.
Ja. Verantwortlicher im Sinn der DSGVO ist grundsätzlich der Verein als juristische Person, wenn bzw weil er über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Nicht der Obmann, der Vorstand oder einzelne Mitarbeiter sind daher „Verantwortliche“ im datenschutzrechtlichen Sinn, sondern der Verein selbst.
Ja. Für die Anwendung der DSGVO ist es unerheblich, ob personenbezogene Daten elektronisch oder analog verarbeitet werden. Auch eine handgeschriebene Anwesenheitsliste der letzten Mitgliederversammlung stellt ein dem Anwendungsbereich der DSGVO unterliegendes Datum dar.
Nicht jeder. Die Verordnung nimmt vor allem jene besonders in die Pflicht, die Daten in besonderer Weise verarbeiten – etwa durch Bewertung persönlicher Aspekte oder Analyse von Verhaltensweisen – oder die in großem Umfang sensible Daten verarbeiten (Art 37 ff DSGVO, § 5 DSG). Ob ein Verein darunterfällt, ist anhand seiner konkreten Tätigkeit zu beurteilen.
In der Praxis fast immer. Art 30 DSGVO verpflichtet jeden Verantwortlichen dazu. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten greift nur, wenn die Verarbeitung bloß gelegentlich erfolgt, kein Risiko für die betroffenen Personen mit sich bringt und keine besonderen Kategorien personenbezogener Daten betrifft – laufend geführte Mitglieder-, Beitrags- und Kommunikationsdaten erfüllen diese Voraussetzungen nicht.
