Paul ArtjomowVereins-App und DSGVO: Worauf Vorstände bei der Auswahl achten müssen
Wer eine Vereins-App einführt, gibt Mitgliederdaten aus der Hand – die Verantwortung dafür aber nicht. Sieben Punkte, die du vor der Entscheidung klären solltest.
Im März 2021 verhängte der Landesbeauftragte für den Datenschutz in Baden-Württemberg ein Bußgeld von 300.000 Euro gegen den VfB Stuttgart. Der Grund war kein Hackerangriff und kein Datenleck, sondern eine fahrlässige Verletzung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Mitgliederdaten waren wiederholt an Dritte weitergegeben worden, ohne dass der Verein das sauber nachweisen konnte.
Der VfB ist ein Profiverein mit Geschäftsstelle und Rechtsabteilung. Für einen Tennisverein mit 300 Mitgliedern und einem ehrenamtlichen Vorstand ist die Lage nicht einfacher – nur die Aufmerksamkeit ist geringer.
Und genau deshalb lohnt es sich, bei der Auswahl einer Vereins-App die richtigen Fragen zu stellen. Nicht, weil Software gefährlich wäre. Sondern weil die Verantwortung beim Verein bleibt, egal welches Tool ihr benutzt.
Der Punkt, den viele Vorstände übersehen
Nach Art. 4 Nr. 7 DSGVO ist der Verein der "Verantwortliche" – also die Stelle, die über Zweck und Mittel der Datenverarbeitung entscheidet. Vertreten wird er durch den Vorstand. Ein Softwareanbieter ist demgegenüber in der Regel nur "Auftragsverarbeiter": Er verarbeitet die Daten weisungsgebunden für euch.
Praktisch heißt das: Wenn beim Anbieter etwas schiefgeht, ist das erst einmal euer Problem. Art. 24 Abs. 1 DSGVO verlangt vom Verantwortlichen, geeignete technische und organisatorische Maßnahmen umzusetzen und deren Einhaltung nachweisen zu können. Ein Anbieter, der auf seiner Website "DSGVO-konform" schreibt, ist kein Nachweis.
Die gute Nachricht: Die Prüfung ist überschaubar. Sieben Punkte reichen.
Die Checkliste
1. Gibt es einen Auftragsverarbeitungsvertrag – und liegt er vor der Nutzung vor?
Nach Art. 28 DSGVO ist ein AV-Vertrag Pflicht, sobald ein Dienstleister personenbezogene Daten für euch verarbeitet. Er muss Gegenstand, Dauer, Umfang, Art und Zweck der Verarbeitung regeln, ebenso die technischen und organisatorischen Maßnahmen und den Umgang mit Unterauftragnehmern (Art. 28 Abs. 3). Schriftform ist nicht zwingend Papier – ein elektronisches Format genügt (Art. 28 Abs. 9).
Frage an den Anbieter: Schickt mir bitte euren AV-Vertrag vorab zum Lesen. Wer das nicht in fünf Minuten liefern kann, hat ihn nicht.
2. Wo liegen die Daten, und wer sind die Unterauftragnehmer?
Serverstandort Deutschland oder EU ist die einfachste Antwort. Entscheidend ist aber die vollständige Kette: Hosting, Backup, E-Mail-Versand, Analyse-Tools, Push-Benachrichtigungen. Jeder dieser Dienste ist ein Unterauftragnehmer und muss im AV-Vertrag aufgeführt sein.
Sobald US-Anbieter beteiligt sind, hängt die Rechtmäßigkeit am EU-US Data Privacy Framework. Das gilt derzeit: Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe). Das Rechtsmittel ist allerdings beim EuGH anhängig (C-703/25 P), eine Entscheidung steht aus. Für einen Verein ist das kein Grund zur Panik, aber ein guter Grund, eine Lösung zu bevorzugen, die nicht davon abhängt.
Frage an den Anbieter: Liste aller Unterauftragnehmer mit Standort, bitte.
3. Wie sind die Daten technisch geschützt?
Art. 32 DSGVO verlangt Maßnahmen nach dem Stand der Technik – in der Praxis: verschlüsselte Übertragung, Zugriffsbeschränkungen nach Rollen, geregelte Backups, Passwortschutz. Für euch relevant ist vor allem das Rollenkonzept: Kann jedes Vorstandsmitglied alle Daten sehen, oder nur die, die es für seine Aufgabe braucht?
Frage an den Anbieter: Welche Rollen gibt es, und was sieht jede davon?
4. Was passiert mit Daten von ausgetretenen Mitgliedern?
Nach Art. 17 DSGVO sind Daten zu löschen, wenn der Zweck entfällt – mit Ausnahme steuer- und handelsrechtlicher Aufbewahrungspflichten, die für Beitragsdaten weiter gelten. Eine App, die Mitglieder nur "deaktiviert" und alles auf ewig behält, verlagert das Problem nur.
Frage an den Anbieter: Gibt es ein Löschkonzept mit Fristen?
5. Könnt ihr Auskunft geben – innerhalb eines Monats?
Ein Mitglied kann jederzeit Auskunft über seine gespeicherten Daten verlangen. Ihr müsst unverzüglich antworten, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Ohne Exportfunktion bedeutet das Handarbeit über mehrere Systeme hinweg.
Frage an den Anbieter: Kann ich alle Daten zu einer Person auf Knopfdruck exportieren?
6. Hilft euch die App beim Verarbeitungsverzeichnis?
Vereine, die Daten elektronisch verarbeiten, müssen ein Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO): Zwecke, Datenkategorien, Empfänger, Speicherdauer, Sicherheitsmaßnahmen. Gute Anbieter liefern für ihren Teil einen fertigen Textbaustein mit. Das spart dem Vorstand einen Abend.
7. Wie schnell erfahrt ihr von einer Datenpanne?
Meldepflichtige Vorfälle müsst ihr binnen 72 Stunden an die Aufsichtsbehörde melden (Art. 33 DSGVO). Die Frist läuft ab eurer Kenntnis – deshalb muss der AV-Vertrag den Anbieter verpflichten, euch unverzüglich zu informieren.
Zwei Dinge, die oft gefragt werden
Braucht unser Verein einen Datenschutzbeauftragten? Nach § 38 Abs. 1 BDSG erst, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind. Für die meisten Tennisvereine heißt das: nein. Die übrigen Pflichten gelten trotzdem.
Und Fotos von der Clubmeisterschaft? Die Veröffentlichung von Fotos braucht grundsätzlich eine Einwilligung; enge Ausnahmen kennt § 23 KUG etwa für Bilder von Versammlungen und für Beiwerk. Bei Ergebnislisten reicht in der Regel Name, Vorname und Vereinszugehörigkeit.
Der ehrliche Vergleich
Die entscheidende Frage ist nicht, ob eine App datenschutzrechtlich perfekt ist. Sondern ob sie besser ist als das, was ihr heute macht.
Und der Status quo in vielen Vereinen sieht so aus: Mitgliederliste als Excel auf dem privaten Laptop des Kassenwarts, Kommunikation über eine WhatsApp-Gruppe, Kontaktdaten im Mailverteiler ohne BCC. Für nichts davon existiert ein AV-Vertrag, ein Löschkonzept oder ein Rollenmodell. Der Wechsel auf ein System mit Vertrag, Zugriffsrechten und Löschfristen ist für die meisten Vereine kein zusätzliches Risiko – er ist der erste Schritt zur Nachweisbarkeit, die Art. 5 Abs. 2 DSGVO ohnehin verlangt.
Wie wir das bei Ace handhaben
Wir liefern den AV-Vertrag vor Vertragsschluss, nicht danach. Mitglieder, Buchungen und Aktivitäten liegen an einem Ort statt verteilt über Tabellen und Chats – das macht Auskunft und Löschung überhaupt erst praktikabel. Zugriffe sind an Rollen gebunden, und für euer Verarbeitungsverzeichnis bekommt ihr den Ace-Baustein fertig formuliert.
Fragt uns die sieben Punkte oben einfach ab. Wenn ein Anbieter darauf keine klaren Antworten gibt, ist das die Antwort.
Bereit, die Mitgliederdaten eures Vereins auf eine nachvollziehbare Grundlage zu stellen?
Bucht eine Demo oder vereinbart ein Pilotgespräch – wir gehen die Checkliste mit euch durch.
Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Für den Einzelfall wendet euch an eine Datenschutzberatung oder an die Beratungsangebote eures Landessportbunds.
Quellen
Landesbeauftragter für den Datenschutz Baden-Württemberg, Bußgeld gegen VfB Stuttgart, März 2021 – LTO
LfDI Baden-Württemberg, Orientierungshilfe Datenschutz im Verein – baden-wuerttemberg.datenschutz.de
LDI Nordrhein-Westfalen, Broschüre "Datenschutz im Verein" – ldi.nrw.de
EuG, Urteil vom 3. September 2025, T-553/23 (Latombe) – dejure.org
Rechtsmittel beim EuGH, C-703/25 P, anhängig – datenschutz-rv.de