Der zentrale Gedanke des Vortrags stimmt: Anders als im Alltag ist im Datenschutz nicht erlaubt, was nicht verboten ist — jede Verarbeitung braucht eine positive Rechtsgrundlage. Für Vereine sind praktisch nur vier davon relevant:

• lit. b — Vertragserfüllung: trägt die gesamte Mitgliederverwaltung. Die Mitgliedschaft ist ein Vertrag; Stammdaten, Beitragseinzug, Einladungen zur Mitgliederversammlung laufen darüber. Keine Einwilligung nötig.
• lit. f — berechtigtes Interesse: Öffentlichkeitsarbeit, Vereinschronik, Ergebnisberichte, IT-Sicherheit.
• lit. c — rechtliche Verpflichtung: Steuer- und Handelsrecht, Meldepflichten an Fachverbände.
• lit. a — Einwilligung: nur für das, was darüber hinausgeht (Newsletter, Fotos einzelner Mitglieder, Geburtstagslisten).

Wichtige Korrektur zur Praxis: Viele Vereine holen für alles Einwilligungen ein. Das ist nicht nur unnötig, sondern riskant — eine Einwilligung ist jederzeit widerrufbar, ein Vertrag nicht. Für Pflichtverarbeitungen ist lit. b die stabilere Grundlage.

Der Vortrag nennt die Satzung zu Recht den „Kernpunkt des Erlaubnistatbestandes“. Der Vereinszweck definiert, welche Daten erforderlich sind: Ein Schachverein braucht keine Blutgruppe, ein Tauchverein möglicherweise schon. Erhoben werden darf, was zur Verfolgung des Satzungszwecks und zur Mitgliederbetreuung nötig ist — Name, Anschrift, Geburtsdatum, Bankverbindung, Eintrittsdatum.

Der Tipp „Satzung 4.0“ — Datenschutz-, Beitrags- und Geschäftsordnung aus der Satzung auslagern, damit der Vorstand ohne Mitgliederversammlung nachsteuern kann — ist 2026 noch besser als 2017, weil sich die Rechtslage schneller bewegt.

Die sieben Grundsätze („Rechtmäßigkeit, Einwilligung, Zweckbindung, Erforderlichkeit, Transparenz, Datensicherheit, Kontrolle“) sind im Kern die heutigen Grundsätze aus Art. 5: Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit — plus Rechenschaftspflicht.

Aus der Speicherbegrenzung folgt die Pflicht, die der Vortrag noch als Frage formuliert: Werden Daten auch wieder gelöscht? 2026 erwarten Aufsichtsbehörden dazu ein schriftliches Löschkonzept mit Fristen je Datenart.

Die Beispiele des Vortrags sind nach wie vor eine gute Blaupause: Der Kassenwart sieht Bankverbindungen, der Abteilungsleiter Name, Anschrift und Telefonnummer seiner Abteilung, die Geschäftsstelle alles im Rahmen der Verwaltung. Need-to-know statt Vollzugriff für alle.

Technisch heißt das heute: eigene Benutzerkonten statt eines geteilten „Vorstand“-Logins, rollenbasierte Rechte in der Vereinssoftware, MFA für administrative Zugänge, keine Mitgliederlisten auf privaten USB-Sticks.

Unverändert richtig und praktisch der häufigste Vereinsverstoß überhaupt. Ein offener Verteiler an 200 Mitglieder ist eine unbefugte Offenlegung — also eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO, nicht nur ein Stilfehler. Aufsichtsbehörden haben dafür wiederholt Bußgelder verhängt.

Besser als BCC-Disziplin ist ein echtes Verteilerwerkzeug (Newsletter-Tool, Mailingliste, Vereinssoftware), das den Fehler technisch ausschließt.

Die Argumentation des Vortrags ist zeitlos: Das Netz vergisst nichts, Daten sind maschinell recherchierbar, sie lassen sich zu Profilen verdichten, sie sind für Arbeitgeber und Versicherer interessant, und ihre Echtheit ist nicht garantiert. Wer ohne Zugangsschutz veröffentlicht, übermittelt an alle.

Ebenso weiterhin richtig: Funktionsträger dürfen mit ihrer dienstlichen Erreichbarkeit genannt werden, Veröffentlichungen müssen aktuell gehalten werden, und ihre Dauer ist begrenzt — Saisonergebnisse also nach der Saison entfernen.

Im Jugendbereich schriftlich informieren, Einwilligung der Sorgeberechtigten einholen, Rücklaufkontrolle führen — alles davon ist 2026 gängige Empfehlung der Aufsichtsbehörden. Praxisstandard ist die Doppelunterschrift: Sorgeberechtigte plus das Kind ab etwa 14 Jahren.

Fehlt für ein einziges Kind die Einwilligung, darf das Gruppenfoto mit diesem Kind nicht veröffentlicht werden. Zur Altersgrenze siehe aber die Korrektur in Teil B.

„Sie sind verantwortlich für das, was auf Ihrer Web-Seite passiert, auch wenn es für Sie nicht sichtbar passiert“ — dieser Satz hat sich als der zukunftssicherste des ganzen Vortrags erwiesen. Er beschreibt exakt die spätere Rechtsprechung zu Social-Media-Plugins, eingebundenen Schriftarten und Tracking-Skripten.

Der empfohlene Prüfdienst Webbkoll (webbkoll.dataskydd.net) existiert weiterhin. Ergänzend nützlich: die Entwicklerkonsole des Browsers und ein Blick in die Netzwerkanfragen beim ersten Seitenaufruf, bevor irgendein Banner geklickt wurde.

Alle sieben genannten Kardinalfehler sind 2026 unverändert die Punkte, an denen Prüfungen scheitern: Verarbeitung ohne Rechtsgrundlage, kein Verzeichnis der Verarbeitungstätigkeiten, kein Datenschutzbeauftragter trotz Pflicht, ignorierte Auftragsverarbeitung, kein Datenschutzmanagement, unzureichende technische Absicherung, fehlende Verpflichtung auf Vertraulichkeit.

Nur die letzte Formulierung wandert: Aus der „Verpflichtung auf das Datengeheimnis“ nach § 5 BDSG a.F. wurde die Verpflichtung zur Vertraulichkeit nach Art. 28 Abs. 3 lit. b und Art. 32 Abs. 4 DSGVO. Sie ist inhaltlich dieselbe und für jeden Helfer mit Datenzugriff weiterhin einzuholen.

Der Vortrag hat diesen Punkt bereits 2017 korrekt vorweggenommen: Es genügt nicht, rechtmäßig zu handeln — der Verein muss es nachweisen können. Wer nichts dokumentiert hat, verliert die Diskussion mit der Aufsichtsbehörde unabhängig davon, wie sauber er tatsächlich arbeitet.

Das ist die einzige echte Begründung dafür, warum ein Verein Papier produzieren muss: Verzeichnis, Löschkonzept, TOM-Beschreibung, AV-Verträge, Einwilligungsnachweise, Verpflichtungserklärungen.

Das alte BDSG wurde durch Art. 8 des DSAnpUG-EU vom 30.06.2017 mit Wirkung zum 25.05.2018 vollständig aufgehoben. An seine Stelle traten die DSGVO als unmittelbar geltendes EU-Recht und ein neues BDSG, das nur noch dort regelt, wo die DSGVO Öffnungsklauseln lässt.

Praktisch bedeutet das: Sämtliche Definitionsfolien des Vortrags (Erheben, Verarbeiten, Nutzen, Übermitteln, Sperren, Löschen) benennen Begriffe, die es rechtlich nicht mehr gibt.

Die DSGVO kennt nur noch einen Oberbegriff: Verarbeitung. Er umfasst alles vom Erheben über das Ordnen und Auslesen bis zur Löschung. Die alte Dreiteilung ist entfallen, „Sperren“ heißt heute Einschränkung der Verarbeitung (Art. 18) und ist zugleich ein Betroffenenrecht.

Praktische Folge: Die Unterscheidung des Vortrags zwischen erlaubter „Nutzung“ innerhalb des Vereins und rechtfertigungsbedürftiger „Übermittlung“ nach außen trägt nicht mehr. Heute braucht jeder Verarbeitungsschritt eine Rechtsgrundlage — auch die interne. Innerhalb derselben juristischen Person liegt zwar keine Weitergabe an Dritte vor, aber die Zugriffsbeschränkung folgt dann aus Art. 5 Abs. 1 lit. f und Art. 32.

Datenschutzrechtlich Verantwortlicher ist der Verein als juristische Person — nicht der Vorstand persönlich. Bußgelder nach Art. 83 richten sich gegen den Verein, ebenso Schadensersatzansprüche nach Art. 82. Der Vorstand ist das handelnde Organ und muss die Umsetzung sicherstellen; seine Haftung ist eine Frage des Innenverhältnisses.

Dabei greift für ehrenamtliche Vorstände das Haftungsprivileg des § 31a BGB: Wer unentgeltlich tätig ist oder höchstens 840 Euro jährlich erhält, haftet dem Verein gegenüber nur für Vorsatz und grobe Fahrlässigkeit. Der Betrag wurde 2021 von 720 auf 840 Euro angehoben.

Warum das wichtig ist: Die Zuspitzung des Vortrags („Sie der Vorstand und Ihre Kollegen haften“) schreckt Ehrenamtliche unnötig ab. Richtig ist: Der Vorstand muss handeln, aber er steht nicht mit seinem Privatvermögen für jeden Fehler ein.

Die im Vortrag genannte Zehner-Schwelle wurde durch das Zweite Datenschutz-Anpassungs- und Umsetzungsgesetz EU zum 26.11.2019 auf 20 Personen angehoben. Maßgeblich ist, wie viele Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — dazu zählen auch ehrenamtliche Funktionsträger, nicht nur Angestellte. Für die allermeisten Vereine bedeutet das: keine Bestellpflicht.

Unabhängig von der Zahl besteht die Pflicht nach Art. 37 Abs. 1 DSGVO, wenn die Kerntätigkeit in umfangreicher Verarbeitung besonderer Datenkategorien oder in umfangreicher systematischer Überwachung besteht — sowie nach § 38 Abs. 1 S. 2 BDSG, wenn eine Datenschutz-Folgenabschätzung erforderlich ist oder Daten geschäftsmäßig zur Übermittlung bzw. für Markt- und Meinungsforschung verarbeitet werden.

Unverändert richtig bleibt: Wird ein DSB benannt, sind seine Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7).

So pauschal stimmt das nicht. Die Bestellpflicht setzt voraus, dass die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien besteht. Ein Verein, der für den Rehasport ein paar Atteste ablegt, erfüllt das nicht.

Was dagegen sehr wohl gilt: Gesundheitsdaten, Religionszugehörigkeit, politische Meinung oder Gewerkschaftszugehörigkeit dürfen überhaupt nur verarbeitet werden, wenn zusätzlich zu Art. 6 eine Ausnahme nach Art. 9 Abs. 2 greift — im Verein praktisch fast immer die ausdrückliche Einwilligung. Und die Schwelle für eine Datenschutz-Folgenabschätzung nach Art. 35 rückt näher.

Randnotiz: Richtig bleibt der Hinweis des Vortrags, dass Angaben über Verstorbene nicht dem Datenschutzrecht unterfallen — die DSGVO schützt nach ErwGr. 27 nur lebende Personen. Der Nachruf im Vereinsblatt ist also unproblematisch; das postmortale Persönlichkeitsrecht und Interessen der Angehörigen bleiben unberührt.

Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags- und Verfügbarkeitskontrolle plus Trennungsgebot: Diese Liste ist als Rechtsnorm entfallen. Art. 32 verlangt stattdessen einen risikobasierten Ansatz und nennt beispielhaft Pseudonymisierung, Verschlüsselung, Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung.

Dazu kommt Art. 25: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen — im Verein etwa die Vereinssoftware, die neue Mitglieder nicht standardmäßig auf „Foto­veröffentlichung erlaubt“ setzt.

Trotzdem brauchbar: Die acht Kontrollen bleiben eine gute Gliederung, um die eigenen Maßnahmen zu dokumentieren — viele Muster-TOM-Dokumente der Aufsichtsbehörden sind noch immer so aufgebaut. Als methodisch saubereren Rahmen bietet die Datenschutzkonferenz das Standard-Datenschutzmodell (SDM) an.

Kleine, aber folgenreiche Verwechslung im Vortrag: Die Pflicht steht in Art. 30 Abs. 1. Abs. 5 ist die Ausnahme für Organisationen mit weniger als 250 Beschäftigten.

Diese Ausnahme greift für Vereine so gut wie nie, denn sie entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für Betroffene besteht oder besondere Datenkategorien verarbeitet werden. Eine laufende Mitgliederverwaltung ist nie „gelegentlich“. Faustregel: Jeder Verein führt ein Verzeichnis.

Häufiger Irrtum: Die 250 beziehen sich auf Beschäftigte, nicht auf Mitglieder. Ein Verein mit 3.000 Mitgliedern und null Angestellten liegt unter der Schwelle — und muss das Verzeichnis trotzdem führen.

Drei Korrekturen zu einer viel zitierten Folie:

• Art. 83 DSGVO stimmt: bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem was höher ist; für formale Verstöße (Verzeichnis, TOM, DSB) bis 10 Mio. Euro oder 2 %. Da ein Verein regelmäßig kein „Unternehmen“ im Sinne der Norm ist, greift der absolute Betrag.
• Die 300.000 Euro aus „§ 40 BDSG-neu“ gibt es nicht. § 40 BDSG regelt die Aufsichtsbehörden der Länder. Bußgeldvorschrift ist § 43 BDSG — bis 50.000 Euro, und nur für einen engen Sonderfall im Auskunfteirecht.
• Die DSGVO kennt keine Freiheitsstrafe. Sie folgt aus § 42 BDSG: bis zu drei Jahren für die gewerbsmäßige unbefugte Übermittlung nicht allgemein zugänglicher Daten, bis zu zwei Jahren für das Erschleichen oder Verarbeiten gegen Entgelt bzw. in Bereicherungs- oder Schädigungsabsicht.

Was der Vortrag noch nicht kennen konnte: Das praktisch größte Risiko für Vereine sind heute nicht Bußgelder, sondern Schadensersatzansprüche einzelner Mitglieder nach Art. 82 — siehe Punkt 27.

Gleich zwei Gesetze aus dem Vortrag existieren nicht mehr:

• Das Telemediengesetz wurde am 14.05.2024 durch das Digitale-Dienste-Gesetz (DDG) abgelöst. Die Impressumspflicht steht inhaltlich unverändert in § 5 DDG. Verweise auf „§ 5 TMG“ im Vereinsimpressum sind veraltet und sollten korrigiert oder ganz weggelassen werden — die Nennung der Norm ist nicht vorgeschrieben.
• Der Rundfunkstaatsvertrag wurde im November 2020 durch den Medienstaatsvertrag ersetzt. Der inhaltlich Verantwortliche für redaktionelle Beiträge folgt jetzt aus § 18 Abs. 2 MStV, nicht mehr aus § 55 Abs. 2 RStV.

Anzugeben sind: Name und Anschrift des Vereins, alle vertretungsberechtigten Vorstandsmitglieder, Registergericht und Vereinsregisternummer, E-Mail-Adresse und eine weitere schnelle Kontaktmöglichkeit, gegebenenfalls die USt-IdNr. Eine Privatanschrift der Vorstandsmitglieder ist nicht erforderlich; die Vereinsanschrift genügt, sofern dort rechtserhebliche Post zugestellt werden kann.

Bußgeldrahmen: bis 50.000 Euro nach § 33 DDG und ebenso bis 50.000 Euro nach § 115 MStV — dazu weiterhin das Abmahnrisiko. Die im Vortrag genannte Zahl stimmt also, nur die Fundstelle (§ 16 TMG) nicht mehr.

Die Inhaltsliste des Vortrags ist inhaltlich noch brauchbar, aber die Systematik hat sich getrennt:

• Die Datenschutzerklärung erfüllt heute die Informationspflichten der Art. 13/14 DSGVO. Erforderlich sind unter anderem Identität des Verantwortlichen, Kontaktdaten des DSB (falls vorhanden), Zwecke und Rechtsgrundlagen, berechtigte Interessen, Empfänger, Drittlandübermittlungen, Speicherdauer, sämtliche Betroffenenrechte, das Widerrufsrecht und das Beschwerderecht bei der Aufsichtsbehörde. Rechtsgrundlage und Speicherdauer fehlten in der alten TMG-Welt und sind heute Pflicht.
• Cookies und Endgerätezugriff laufen über § 25 TDDDG — bis zum 14.05.2024 hieß dasselbe Gesetz TTDSG. Alles, was nicht unbedingt erforderlich ist (Analytics, Karten, Videos, Social Plugins), braucht eine vorherige, aktive Einwilligung. „Weitersurfen gilt als Zustimmung“ und vorangekreuzte Kästchen sind seit EuGH Planet49 und der BGH-Folgeentscheidung unzulässig; „Ablehnen“ muss auf derselben Ebene gleichwertig erreichbar sein.

Neu seit 01.04.2025: Die Einwilligungsverwaltungsverordnung (EinwV) auf Basis von § 26 TDDDG erlaubt anerkannte zentrale Einwilligungsdienste (PIMS). Der erste anerkannte Dienst wurde im Oktober 2025 registriert. Die Teilnahme ist für Website-Betreiber freiwillig, die Verbreitung bislang gering — das Cookie-Banner bleibt vorerst.

Zwei Punkte im Vortrag brauchen eine Korrektur:

• Keine Schriftform. Der Vortrag nennt „Schriftform der Einwilligungserklärung“ als Voraussetzung. Die DSGVO verlangt keine bestimmte Form — eine Einwilligung kann elektronisch, per Häkchen oder mündlich erteilt werden. Was sie verlangt, ist der Nachweis (Art. 7 Abs. 1). Textform ist also nicht Pflicht, aber dringend zu empfehlen.
• Altersgrenze 16, nicht 13. Der Vortrag lässt offen, ob national auf 13 abgesenkt wird. Deutschland hat diese Öffnungsklausel nicht genutzt: Es bleibt bei 16 Jahren. Zudem gilt Art. 8 unmittelbar nur für Dienste der Informationsgesellschaft, also Online-Angebote. Für die Offline-Vereinsarbeit kommt es auf die individuelle Einsichtsfähigkeit an — die Praxis holt bei Minderjährigen ohnehin die Zustimmung der Sorgeberechtigten ein.

Unverändert richtig sind die übrigen Anforderungen: verständliche und leicht zugängliche Form, klare Sprache, deutlich abgesetzt von anderen Erklärungen, freiwillig, granular pro Zweck, jederzeit widerruflich mit Hinweis darauf, und das Kopplungsverbot nach Art. 7 Abs. 4 — die Aufnahme in den Verein darf nicht von der Newsletter-Einwilligung abhängen.

In dieser Schärfe ist die Aussage nicht haltbar. Der BGH hat in mehreren Entscheidungen anerkannt, dass ein Vereinsmitglied unter bestimmten Voraussetzungen einen Anspruch auf Mitteilung der Mitgliederdaten hat — etwa um vor einer Mitgliederversammlung Mitstreiter zu gewinnen oder Minderheitenrechte auszuüben. Der Anspruch folgt aus dem Mitgliedschaftsverhältnis; das Datenschutzrecht steht ihm nicht grundsätzlich entgegen, sondern verlangt eine Abwägung im Einzelfall.

Praktikabler Weg: berechtigtes Interesse des anfragenden Mitglieds prüfen, Zweckbindung schriftlich zusichern lassen, nur die tatsächlich benötigten Datenfelder herausgeben (in der Regel Name und Anschrift, nicht Bankverbindung oder Geburtsdatum), Mitglieder in der Datenschutzinformation vorab darauf hinweisen.

Weitergabe an den Dachverband ist ebenfalls kein Verbotstatbestand: Verlangt die Verbandsmitgliedschaft die Meldung von Mitgliederdaten (Landessportbund, Fachverband, Versicherungsschutz), trägt Art. 6 Abs. 1 lit. b oder f. Wichtig ist, dass die Weitergabe in Satzung oder Ordnung angelegt und in der Datenschutzinformation genannt ist.

Der Vortrag empfiehlt durchgängig Einwilligungserklärungen. Das ist der sichere Weg, aber nicht der einzige. Nach heute ganz überwiegender Auffassung der Aufsichtsbehörden kann die Veröffentlichung von Bildern aus dem Vereinsleben auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f gestützt werden — etwa Mannschaftsfotos, Spielszenen oder Berichte über öffentliche Veranstaltungen, weil Teilnehmende dort vernünftigerweise mit Aufnahmen rechnen. In die Abwägung fließen die Wertungen der §§ 22, 23 KUG ein.

Eine Einwilligung bleibt erforderlich bei: Porträtaufnahmen einzelner Personen, werblicher Nutzung, geschlossenen Veranstaltungen, Bildern mit Bezug zu besonderen Datenkategorien (Gesundheit, Religion) und — praktisch immer — bei Kindern und Jugendlichen.

Nicht vergessen: Auch beim berechtigten Interesse bleiben die Informationspflicht nach Art. 13 (Hinweisschild am Eingang, Ankündigung in der Einladung) und das Widerspruchsrecht nach Art. 21 bestehen. Ein Widerspruch führt zur Entfernung des Bildes.

§ 37a HGB verpflichtet Kaufleute zu Pflichtangaben auf Geschäftsbriefen. Ein nichtwirtschaftlicher eingetragener Verein ist kein Kaufmann und fällt nicht darunter — eine gesetzliche Pflichtangaben-Regelung für E-Mails des e.V. existiert nicht. Eine ordentliche Signatur mit Vereinsname, Anschrift, Registergericht und Vertretungsberechtigten ist trotzdem gute Praxis und erspart Diskussionen.

Die Transparenzpflicht für kommerzielle Kommunikation steht heute in § 6 DDG. Für Newsletter ist zusätzlich § 7 UWG maßgeblich — dort wurzelt das Double-Opt-In-Verfahren, das der Vortrag richtig als De-facto-Standard beschreibt.

Auch weiterhin gilt: Eine gesetzliche Pflicht zur Nutzung einer vereinseigenen E-Mail-Adresse gibt es nicht. Die Empfehlung des Vortrags, private Adressen wie vorstand@gmx.de zu vermeiden, ist unter Art. 32 aber stärker geworden: Vereinsdaten in privaten Postfächern entziehen sich jeder Zugriffs- und Löschkontrolle und gehen beim Ämterwechsel verloren.

Der Vortrag verweist auf die §§ 30 bis 35 BDSG. Die Ausgestaltung der Betroffenenrechte findet sich tatsächlich in den §§ 32 bis 37 BDSG; § 30 betrifft Verbraucherkredite und § 31 das Scoring.

Inhaltlich unverändert: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung und „Recht auf Vergessenwerden“ (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21). Frist: ein Monat, verlängerbar um zwei Monate.

Praxisrelevante Verschärfung: Der EuGH hat entschieden, dass das Auskunftsrecht eine originalgetreue Reproduktion der Daten umfasst — eine Zusammenfassung genügt nicht. Auskunftsersuchen sind heute ein häufiges Instrument in Vereinsstreitigkeiten, etwa nach Ausschlussverfahren. Ein vorbereiteter Antwortprozess spart im Ernstfall viel Zeit.

Eine Folie nennt den 26. Mai 2018 als Geltungsbeginn, eine andere korrekt den 25. Mai 2018. Richtig ist der 25. Mai 2018. Für die Praxis unerheblich, aber beim Zitieren des Skripts ärgerlich.

Der Vortrag kennt nur Bußgelder. Das eigentliche Risiko für Vereine ist inzwischen ein anderes: Jede betroffene Person kann bei einem Verstoß Schadensersatz verlangen — ausdrücklich auch für immaterielle Schäden.

Die Rechtsprechung hat sich klar zugunsten Betroffener entwickelt. Der EuGH hat eine Erheblichkeitsschwelle abgelehnt; der bloße Verstoß genügt zwar nicht, wohl aber ein konkreter Nachteil. Der BGH hat entschieden, dass bereits der Kontrollverlust über eigene Daten ein ersatzfähiger immaterieller Schaden sein kann, und im Scraping-Verfahren rund 100 Euro dafür zugesprochen (Urteil vom 18.11.2024, VI ZR 10/24; bestätigt am 11.02.2025, VI ZR 365/22). Im Juni 2026 hat der BGH zudem klargestellt, dass schon eine einzelne fehlgeleitete Nachricht mit vertraulichem Inhalt einen Anspruch auslösen kann (Urteil vom 23.06.2026, VI ZR 97/22).

Für den Verein heißt das konkret: Ein offener E-Mail-Verteiler an 200 Mitglieder ist nicht mehr nur peinlich. Er ist im ungünstigen Fall 200 potenzielle Ansprüche im unteren dreistelligen Bereich — plus Rechtsverfolgungskosten.

Der Vortrag nennt die Meldepflicht als Stichwort, ohne sie auszuführen. Sie ist der Punkt, an dem Vereine am schnellsten in Verzug geraten:

• Innerhalb von 72 Stunden ab Kenntnis Meldung an die zuständige Landesdatenschutzbehörde — es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich. Die Frist läuft auch am Wochenende.
• Bei hohem Risiko zusätzlich unverzügliche Benachrichtigung der Betroffenen (Art. 34).
• Jede Panne ist intern zu dokumentieren, auch die nicht gemeldete — samt Begründung, warum nicht gemeldet wurde.

Typische Vereinsfälle: gestohlener Laptop mit Mitgliederliste, offener E-Mail-Verteiler, versehentlich öffentlich gestellter Cloud-Ordner, gehackte WordPress-Installation, verlorener USB-Stick, an die falsche Person gesendete Beitragsabrechnung.

Empfehlung: Eine einseitige Notfallkarte im Vorstandsordner — wer wird informiert, wer meldet, an welche Behörde, welche Angaben. In 72 Stunden ist keine Zeit für Recherche.

Der Vortrag nennt „Grundsätze der Auftragsdatenverarbeitung“ als Todsünde, ohne den Umfang zu zeigen. Heute braucht der Verein mit praktisch jedem IT-Dienstleister einen Auftragsverarbeitungsvertrag:

• Webhoster und Betreiber der Vereinshomepage
• Vereinsverwaltungssoftware, insbesondere als Cloud-Dienst
• Newsletter- und Umfrage-Dienste
• Cloud-Speicher, Backup-Dienste, Videokonferenzsysteme
• externe Buchhaltung und Lohnabrechnung
• externer Datenschutzbeauftragter, sofern beauftragt

Der Vertrag muss die Pflichtinhalte des Art. 28 Abs. 3 abbilden — Weisungsbindung, Vertraulichkeit, TOM, Unterauftragnehmer, Unterstützung bei Betroffenenrechten, Löschung nach Vertragsende, Nachweise. Die EU-Kommission hat 2021 Standardvertragsklauseln auch für dieses Verhältnis veröffentlicht.

Abgrenzung: Steuerberater, Rechtsanwalt und Wirtschaftsprüfer sind in ihrer fachlichen Tätigkeit keine Auftragsverarbeiter, sondern eigene Verantwortliche. Dort ist kein AV-Vertrag nötig.

Ein Thema, das es 2017 in dieser Form noch nicht gab. Die Chronologie in Kürze: 2020 kippte der EuGH mit Schrems II das Privacy Shield. Seit Juli 2023 stützt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework Übermittlungen an zertifizierte US-Anbieter. Eine Nichtigkeitsklage wies das EuG am 03.09.2025 ab (T-553/23, Latombe); dagegen ist seit Ende Oktober 2025 ein Rechtsmittel beim EuGH anhängig (C-703/25 P).

Neu und ernst: Am 29.06.2026 hat der US Supreme Court entschieden, dass der Präsident die Leitung unabhängiger Bundesbehörden frei abberufen kann. Genau auf deren Unabhängigkeit stützt sich der Angemessenheitsbeschluss an zahlreichen Stellen. Formal gilt der Beschluss weiter, bis die Kommission ihn zurückzieht oder der EuGH ihn aufhebt — ein „Schrems III“-Szenario ist aber nicht mehr fernliegend.

Für Vereine praktisch: Wer Website-Analyse, Newsletter, Cloud-Speicher oder Videokonferenzen bei EU-Anbietern mit EU-Rechenzentren betreibt, ist von dieser Diskussion schlicht nicht betroffen. Das ist derzeit der günstigste Weg, das Thema loszuwerden.

Die Warnung des Vortrags vor Social-Media-Buttons hat sich vollständig bestätigt. Der EuGH entschied in Wirtschaftsakademie (C-210/16) für Facebook-Fanpages und in Fashion ID (C-40/17) für den Like-Button, dass der Seitenbetreiber gemeinsam Verantwortlicher ist — mit der Pflicht zu einer Vereinbarung nach Art. 26 und zur vorherigen Einwilligung, bevor Daten abfließen.

Für Vereinsseiten heißt das konkret: Social-Buttons nur als reine Verlinkung oder mit Zwei-Klick-Lösung; YouTube-Videos, Google Maps und Schriftarten erst nach Einwilligung nachladen oder lokal einbinden. Der Fall der dynamisch von Google-Servern geladenen Schriftart hat 2022 eine Abmahnwelle ausgelöst — Schriftarten gehören auf den eigenen Server.

Der Vortrag stellt die richtige Frage, liefert aber keine Fristen. Als Orientierung für Vereine:

• Mitgliedsstammdaten: Löschung zeitnah nach Austritt, soweit keine Aufbewahrungspflicht entgegensteht. Für die Abwehr möglicher Ansprüche kann ein eingeschränkter Datensatz bis zum Ablauf der Verjährung gehalten werden.
• Buchungsbelege und Rechnungen: Die Frist wurde durch das Vierte Bürokratieentlastungsgesetz mit Wirkung ab 01.01.2025 von zehn auf acht Jahre verkürzt. Für Bücher, Inventare, Jahresabschlüsse bleibt es bei zehn Jahren.
• Bewerbungen: in der Regel sechs Monate nach Absage.
• Fotos und Ergebnislisten: Aufbewahrungsdauer aktiv festlegen, nicht unbegrenzt online lassen.

Hinweis: Steuerliche Aufbewahrungspflichten sind Aufbewahrungs-, keine Nutzungserlaubnisse. Wer Daten nur wegen § 147 AO vorhält, darf sie nicht mehr für Einladungen oder Werbung verwenden — technisch am besten durch ein gesperrtes Archiv gelöst.

Themen, die es 2017 im Verein so noch nicht gab:

• WhatsApp-Gruppen für Mannschaften und Vorstände: Der Verein als Verantwortlicher hat wenig Kontrolle über Adressbuchzugriffe und Metadaten. Aufsichtsbehörden sehen den dienstlichen Einsatz kritisch. Wo es geht: auf Dienste ausweichen, die keinen Adressbuchabgleich verlangen, und die Teilnahme freiwillig halten — niemand darf vom Vereinsleben ausgeschlossen werden, weil er den Messenger nicht nutzt.
• KI-Assistenten für Protokolle, Anschreiben oder Förderanträge: Keine Mitglieder- oder Gesundheitsdaten in Dienste eingeben, deren Verarbeitung und Trainingsnutzung nicht vertraglich geklärt ist. Wo Mitgliederdaten verarbeitet werden, braucht es einen AV-Vertrag und einen Eintrag im Verarbeitungsverzeichnis.
• Videoüberwachung von Vereinsheim oder Sportanlage: § 4 BDSG ist für nichtöffentliche Stellen unionsrechtlich umstritten; maßgeblich ist Art. 6 Abs. 1 lit. f mit dokumentierter Abwägung, Hinweisschild nach Art. 13 und kurzer Speicherdauer.

Drei Vorhaben, die man 2026 im Blick behalten sollte — alle noch nicht geltendes Recht:

• Digital Omnibus der EU-Kommission (Vorschlag vom 19.11.2025): erstmals ein direkter Eingriff in den Bestand der DSGVO — unter anderem Präzisierung des Begriffs personenbezogener Daten, Erleichterungen bei pseudonymisierten Daten, Anpassungen bei Cookies und Endgerätezugriff sowie Klarstellungen zum Auskunftsrecht. Das Verfahren läuft in Parlament und Rat; EDSA und EDSB haben im Februar 2026 eine gemeinsame Stellungnahme mit erheblicher Kritik an der Neudefinition personenbezogener Daten vorgelegt. Der separate KI-Omnibus ist bereits am 27.07.2026 in Kraft getreten.
• Aufhebung von § 38 Abs. 1 BDSG: Die Bundesregierung hat in der Föderalen Modernisierungsagenda vom 04.12.2025 angekündigt, die deutsche Sonderschwelle für den betrieblichen Datenschutzbeauftragten bis Ende 2026 zu streichen. Dann bliebe nur noch Art. 37 DSGVO. Für Vereine, die heute knapp über 20 Personen liegen, könnte die Bestellpflicht damit entfallen — bestellt bleibt aber, wer freiwillig bestellt, und der Kündigungsschutz interner DSB ist eine eigene Frage.
• Beschäftigtendatenschutz: Nach dem EuGH-Urteil vom 30.03.2023 (C-34/21) zur hessischen Parallelnorm gilt § 26 BDSG als unionsrechtlich angreifbar. Ein eigenes Beschäftigtendatengesetz wurde mehrfach angekündigt, ist aber bis heute nicht verabschiedet. Vereine mit Angestellten stützen Beschäftigtendaten sicherheitshalber zusätzlich auf Art. 6 Abs. 1 lit. b.