Ratgeber

DSGVO für Vereine:
Was ihr wirklich braucht

Keine Panik, kein Juristendeutsch. Hier steht, was eure Vereinswebsite braucht, um DSGVO-konform zu sein — und was ihr getrost ignorieren könnt.

Ich betreue seit 2007 Vereinswebsites. In der Zeit habe ich ungefähr 200 Datenschutzerklärungen gelesen, die nicht zur Website gepasst haben, und mindestens 50 Cookie-Banner gesehen, die mehr Daten gesammelt haben als die Website selbst. Die DSGVO ist kein Hexenwerk — aber die meisten Vereine machen es sich entweder viel zu kompliziert oder viel zu einfach.

BESTANDSAUFNAHME

Zwei Sorten Verein, beide falsch.

Typ A: Der Angstverein

Hat gehört, dass DSGVO-Verstöße 20 Millionen Euro kosten können. Traut sich kaum noch, Fotos vom Sommerfest zu zeigen. Hat drei verschiedene Cookie-Banner ausprobiert und versteht keins davon. Die Website ist seit 2018 nicht mehr aktualisiert worden — aus Angst, etwas falsch zu machen.

Typ B: Der Ignorant

Denkt: „Wir sind nur ein kleiner Verein, da kontrolliert keiner.“ Hat noch Google Fonts über die US-Server eingebunden. Die Datenschutzerklärung ist von 2019 und wurde nie aktualisiert. Cookie-Banner? Wozu. Hat noch nie eine Abmahnung bekommen — und verwechselt Glück mit Recht.

Wie es sein sollte

Die Basics sind erledigt, die Website läuft sauber, und niemand im Vorstand muss nachts wach liegen. Das ist machbar — auch für Vereine mit null Technik-Affinität. Diese Seite zeigt euch wie.

DIE CHECKLISTE

7 Dinge, die eure Website wirklich braucht.

Kein theoretisches Wunschkonzert, sondern das, was bei einer Prüfung tatsächlich beanstandet wird. Sortiert nach Dringlichkeit.

1

SSL-Zertifikat (https://)

Ohne SSL ist eure Seite nicht verschlüsselt. Jeder Kontaktformular-Eintrag, jede Spende wandert im Klartext durchs Netz. Browser zeigen mittlerweile eine fette Warnung an — „Diese Seite ist nicht sicher“. Das allein kostet euch schon Besucher, bevor irgendein Datenschützer sich meldet.

Aufwand: 5 Minuten beim Hoster. Oft kostenlos (Let’s Encrypt).

2

Datenschutzerklärung

Jede Website braucht eine. Und zwar eine, die zu eurer Website passt — nicht die vom Nachbarverein rauskopiert. Nutzt ihr ein Kontaktformular? Muss rein. Google Maps eingebettet? Muss rein. Newsletter-Anmeldung? Muss rein. Am einfachsten: Einen Generator nutzen, z.B. den von eRecht24 oder dem Datenschutz-Generator von Dr. Schwenke.

Aufwand: 30–60 Minuten mit einem Generator. Einmal im Jahr prüfen.

3

Cookie-Banner (das richtige)

Hier wird’s tricky. Nicht jede Website braucht ein Cookie-Banner. Wenn ihr keine externen Dienste einbindet (kein YouTube, kein Google Maps, kein Analytics, keine Social-Media-Buttons), dann setzt ihr nur technisch notwendige Cookies — und braucht kein Banner. Aber: Die wenigsten Vereinsseiten kommen ganz ohne externe Dienste aus. Sobald ein YouTube-Video oder ein Google-Maps-Kartenausschnitt auf der Seite ist, braucht ihr ein Banner, das erst fragt, bevor es lädt.

Aufwand: Plugin einrichten (z.B. Real Cookie Banner), 1–2 Stunden. Danach läuft es.

4

Google Fonts lokal einbinden

Das ist der Klassiker. 2022 gab es eine Abmahnwelle gegen Websites, die Google Fonts direkt von Googles Servern geladen haben. Problem: Bei jedem Seitenaufruf wird die IP-Adresse des Besuchers an Google in die USA geschickt — ohne Einwilligung. Die Lösung: Schriften herunterladen und auf dem eigenen Server hosten. Technisch kein Hexenwerk, aber man muss wissen, dass man es tun muss.

Aufwand: 15 Minuten mit einem Plugin wie OMGF. Einmalig.

5

Impressum

Kein reines DSGVO-Thema, aber wird genauso oft vergessen oder ist fehlerhaft. Ein Verein braucht im Impressum: Vereinsname, Registergericht und VR-Nummer, vertretungsberechtigte Personen (Vorstand), Anschrift, E-Mail. Was erstaunlich viele vergessen: Wenn der Vorstand wechselt, muss auch das Impressum aktualisiert werden. Passiert fast nie.

Aufwand: 10 Minuten. Nach jeder Vorstandswahl prüfen.

6

Kontaktformulare absichern

Wenn jemand über euer Kontaktformular schreibt, verarbeitet ihr personenbezogene Daten. Also: In der Datenschutzerklärung erwähnen, Daten nicht länger speichern als nötig, und eine Checkbox drunterpacken, die auf die Datenschutzerklärung verweist. Kein vorausgefülltes Häkchen — der Besucher muss aktiv zustimmen.

Aufwand: 15 Minuten im Formular-Plugin.

7

Auftragsverarbeitungsvertrag (AVV) mit dem Hoster

Klingt bürokratisch, ist aber simpel: Euer Hoster verarbeitet Daten eurer Besucher (IP-Adressen, Logfiles). Dafür braucht ihr einen Auftragsverarbeitungsvertrag. Die meisten großen Hoster (Hetzner, All-Inkl, IONOS, Mittwald) bieten den als PDF zum Download an. Runterladen, unterschreiben, ablegen. Manche bieten das sogar als Klick im Kundenportal an.

Aufwand: 10 Minuten. Einmalig.

AUS DER PRAXIS
Die 5 häufigsten Fehler, die ich sehe.

Keine Theorie — das sind Sachen, die mir bei echten Vereinswebsites regelmäßig begegnen.

Fehler Warum das ein Problem ist Was ihr tun solltet
Google Analytics ohne Cookie-Consent Jeder Seitenaufruf schickt Nutzerdaten an Google in die USA — ohne Einwilligung Auf Plausible oder Matomo wechseln, oder Analytics erst nach Cookie-Consent laden
Fotos von Kindern ohne Einwilligung der Eltern Besonders heikel bei Jugendvereinen. Ein Elternteil beschwert sich — und hat Recht Schriftliche Foto-Einwilligung einholen. Bei Kindern: beide Erziehungsberechtigte
Newsletter ohne Double-Opt-In Ohne bestätigte Anmeldung könnt ihr nicht beweisen, dass jemand den Newsletter wollte Double-Opt-In in Brevo/Mailchimp aktivieren. Ist eine Einstellung, kein Aufwand
Datenschutzerklärung von 2019 Neue Dienste hinzugefügt, alte rausgenommen — aber die Erklärung ist noch die alte Einmal im Jahr durch den Generator jagen und abgleichen
WhatsApp-Gruppe als Vereinskommunikation WhatsApp teilt Kontaktdaten aller Gruppenmitglieder mit Meta. Einwilligung? Fehlanzeige Signal oder Threema als Alternative. Oder zumindest eine Einwilligung einholen
SONDERFALL

Fotos auf der Vereinswebsite: Was darf, was nicht?

Das ist das Thema, das in Vorstandssitzungen die meiste Unsicherheit auslöst. Deshalb hier in Kurzform:

Veranstaltungsfotos mit vielen Menschen (Publikum, Chor auf der Bühne) — in der Regel ok, wenn kein Einzelner hervorgehoben wird
Vorstandsfotos — mit Einwilligung der abgebildeten Personen
Kinderfotos — nur mit schriftlicher Einwilligung beider Erziehungsberechtigter
Einzelporträts ohne Einwilligung — auch nicht „die sehen ja so glücklich aus“
Fotos von hinten, Detailaufnahmen (Hände, Instrumente, Schuhe) — unproblematisch, wenn niemand erkennbar ist
Fotos aus Social Media übernehmen — nur weil jemand etwas auf Instagram postet, dürft ihr es nicht auf eure Website stellen
„Die sicherste Vereinsfoto-Strategie: Viel von hinten, viel Hände und Instrumente, wenig Gesichter. Und für alles, wo Gesichter drauf sind: eine unterschriebene Einwilligung. Klingt umständlich, wird nach dem dritten Mal Routine.“ — Aus der Praxis

Was davon übernimmt vereinsbühne?

Wenn ihr eure Website bei uns betreuen lasst, sind folgende DSGVO-Punkte von Anfang an erledigt:

  • SSL-Zertifikat — wird automatisch eingerichtet und erneuert sich selbst
  • Google Fonts — lokal gehostet, keine Verbindung zu Google
  • Cookie-Banner — Real Cookie Banner, korrekt konfiguriert, blockiert externe Dienste bis zur Einwilligung
  • Datenschutzerklärung — wir erstellen sie passend zu eurer Website und aktualisieren sie, wenn sich was ändert
  • Impressum — wir erinnern euch nach jeder Vorstandswahl daran, es zu aktualisieren
  • AVV mit dem Hoster — ist bei uns schon abgeschlossen
  • Analytics — wir nutzen Plausible (selbst gehostet, in der EU, kein Cookie nötig)
  • Kontaktformulare — mit Datenschutz-Checkbox und korrekter Speicherdauer

Was wir nicht für euch machen können: Foto-Einwilligungen einholen (das müsst ihr vor Ort regeln) und eure WhatsApp-Gruppe ersetzen. Aber den Baustein Foto-Einwilligungen gibt’s als Add-on — damit könnt ihr digitale Einwilligungen per Smartphone einholen und habt alles dokumentiert.

HÄUFIGE FRAGEN

Zum Thema Datenschutz.

Braucht unser Verein einen Datenschutzbeauftragten?
Wahrscheinlich nicht. Die Pflicht greift erst, wenn mindestens 20 Personen regelmäßig mit personenbezogenen Daten arbeiten. Bei den meisten Vereinen ist das nicht der Fall. Trotzdem schadet es nicht, im Vorstand jemanden zu benennen, der sich ums Thema kümmert — auch ohne offizielle Ernennung.
Können wir als Verein abgemahnt werden?
Ja, grundsätzlich schon. Die Abmahnwelle wegen Google Fonts 2022 hat auch Vereine getroffen. Allerdings: Wer die Basics erledigt hat (SSL, lokale Fonts, Cookie-Banner, aktuelle Datenschutzerklärung), ist auf der sicheren Seite. Bußgelder in Millionenhöhe sind für Vereine unrealistisch — die Aufsichtsbehörden gehen mit Augenmaß vor. Trotzdem: Abmahnkosten von ein paar hundert Euro sind ärgerlich genug.
Dürfen wir Mitglieder-E-Mails für den Newsletter nutzen?
Kommt drauf an. Vereinsinterne Informationen an eure Mitglieder — ja, das ist durch das berechtigte Interesse gedeckt. Ein Marketing-Newsletter mit Werbung für Veranstaltungen an Nicht-Mitglieder — dafür braucht ihr eine separate Einwilligung per Double-Opt-In. Am sichersten: Immer mit Anmeldeformular und Bestätigungsmail arbeiten.
Was machen wir mit alten Mitgliederdaten nach dem Austritt?
Löschen — aber nicht sofort. Steuerrechtlich müsst ihr Buchungsbelege 10 Jahre aufbewahren, Spendenbescheinigungen ebenfalls. Reine Kontaktdaten (Name, Adresse, E-Mail) solltet ihr nach dem Austritt löschen, sobald keine offenen Beiträge oder Rückfragen mehr bestehen. In der Praxis: ein halbes Jahr nach Austritt aufräumen.
Reicht ein Cookie-Banner von einem kostenlosen Plugin?
Meistens nicht. Viele kostenlose Banner sind nur optisch da, blockieren aber die Cookies gar nicht technisch. Das heißt: Der Besucher klickt „Ablehnen“, aber Google Analytics trackt trotzdem weiter. Ein gutes Plugin wie Real Cookie Banner oder Complianz blockiert Skripte erst wirklich, bis die Einwilligung da ist. Das kostet je nach Plugin 50–80 € im Jahr — aber dafür funktioniert es.
Müssen wir ein Verarbeitungsverzeichnis führen?
Streng genommen ja — auch als Verein. In der Praxis wird das bei kleinen Vereinen selten geprüft, aber es schadet nicht, eins zu haben. Ist letztlich eine Tabelle: Welche Daten erhebt ihr, warum, wie lange speichert ihr sie, und wer hat Zugriff. Die Datenschutzkonferenz stellt Vorlagen speziell für Vereine bereit. Eine Stunde Arbeit, einmal anlegen, dann gelegentlich aktualisieren.
PASST DAZU

Das könnte euch auch helfen.

Kai Rauch, Inhaber von vereinsbühne

DSGVO soll kein Thema
mehr für euch sein?

Bei vereinsbühne ist die DSGVO-Grundausstattung in jedem Setup dabei. Kein Extra, kein Aufpreis. Im Erstgespräch schauen wir uns an, wie eure aktuelle Seite dasteht — und was sich mit wenig Aufwand verbessern lässt.

Erstgespräch buchen →
Kostenlos Unverbindlich Ein Mensch geht ran