NEUES VEREINSMITGLIED? WAS BEI DER NEUAUFNAHME DATENSCHUTZRECHTLICH ZÄHLT.

05.11.2026

Aufnahme eines Neumitglieds im Vereinsheim: Eine Frau im dunklen Blazer reicht einem Mann in grüner Jacke über einen Holztresen die Hand. Im Hintergrund steht ein Mann im grauen Strickpullover, auf dem Tresen liegen ein Klemmbrett mit Aufnahmeantrag und Datenschutzinformation.

Viele Vorstände glauben, ein neues Mitglied müsse bei Neuaufnahme in den Verein oder Verband neben dem Mitgliedsantrag vor allem zuerst einmal eine Datenschutzerklärung unterschreiben. Tatsächlich verlangt das Gesetz etwas anderes: die richtige Rechtsgrundlage, verständliche Information und nachvollziehbare Dokumentation. Dieser Beitrag zeigt, wie Sie das bei der Aufnahme pragmatisch umsetzen.

1 DAS PROBLEM IN DER PRAXIS

Wer ein neues Mitglied aufnimmt, setzt datenschutzrechtlich mehrere Verarbeitungen gleichzeitig in Gang: Der Antrag enthält Stammdaten, das SEPA-Mandat bringt Bankdaten hinzu. Später folgen Beitragsverwaltung, Mitgliederkommunikation und gegebenenfalls Meldungen an den Dach- oder Landesverband. Oft kommen Zugänge zu Vereinssoftware oder Cloud, Fotos von Veranstaltungen und freiwillige Angaben hinzu, etwa zur Gesundheit.

Das betrifft Sport- und Kulturvereine ebenso wie Fachverbände mit Mitgliedsbetrieben, Handwerksinnungen und katholische Verbände. Für jede dieser Verarbeitungen benötigen Sie eine eigene Rechtsgrundlage, also eine gesetzliche Erlaubnis, die die Verarbeitung zulässig macht. Zusätzlich gehört die Aufnahme als eigener Vorgang in das Verzeichnis von Verarbeitungstätigkeiten (VdV), die interne Übersicht aller Verarbeitungen.

In der Praxis läuft das oft anders, wie zwei Beispiele (fiktiv) zeigen.

Beispiel 1 : Der Imkerverein. Ein neues Mitglied füllt den Papierantrag aus. Die Schatzmeisterin überträgt die Angaben abends in eine Excel-Tabelle auf ihrem privaten Laptop. Am selben Abend erscheint ein Foto vom Willkommenstreffen für die Neumitglieder auf Instagram, auf dem das neue Mitglied gut erkennbar ist.

—>Die Mitgliederverwaltung selbst war zulässig. Das Foto ohne Einwilligung und die ungeregelte Ablage auf einem Privatgerät waren es nicht.

Beispiel 2 : Der katholische Jugendverband. Der Antrag fragt Name, Anschrift und Bankdaten ab. Er enthält ein gemeinsames Kästchen für „Fotos und Newsletter“. Eine Datenschutzinformation fehlt. Ein neu gewählter Ehrenamtlicher erhält am ersten Tag Zugriff auf die gesamte Mitgliederliste.

—> Offen sind damit die Information bei der Erhebung, ein Berechtigungskonzept und die Verpflichtung auf das Datengeheimnis.

2 DER RECHTLICHE RAHMEN

Für die meisten Vereine oder Verbände gelten die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG). Katholische Verbände und andere kirchliche Stellen wenden dagegen das Gesetz über den Kirchlichen Datenschutz (KDG) und die Durchführungsverordnung (KDG-DVO) an. (Voraussetzung ist, dass der Verband eine kirchliche Stelle im Sinne des § 3 Abs. 1 KDG ist.)

Beide Regelwerke sind ähnlich aufgebaut, unterscheiden sich aber im Detail gerade bei ehrenamtlichen Tätigkeiten. Wir stellen sie deshalb nebeneinander.

3 RECHTSGRUNDLAGEN RICHTIG ZUORDNEN

Die Tabelle zeigt, welche Rechtsgrundlage typischerweise zu welcher Verarbeitung bei der Aufnahme passt:

Verarbeitung bei Aufnahme	DSGVO	KDG
Name, Anschrift, Kontaktdaten, Eintrittsdatum, Beitragsverwaltung	Art. 6 Abs. 1 lit. b (Mitgliedschaft als Vertrag)	§ 6 Abs. 1 lit. c
Bankdaten für den Beitragseinzug	Art. 6 Abs. 1 lit. b	§ 6 Abs. 1 lit. c
Aufbewahrung von Buchungs- und Zuwendungsbelegen	Art. 6 Abs. 1 lit. c (rechtliche Verpflichtung)	§ 6 Abs. 1 lit. d
Interne Vereinsverwaltung im Rahmen der Satzung	Art. 6 Abs. 1 lit. b oder lit. f (vertragliche Grundlage, berechtigtes Interesse)	§ 6 Abs. 1 lit. c oder lit. g
Fotos, Newsletter ohne Vereinsbezug, freiwillige Gesundheitsangaben	Art. 6 Abs. 1 lit. a bzw. Art. 9 Abs. 2 lit. a (Einwilligung)	§ 6 Abs. 1 lit. b bzw. § 11 Abs. 2 lit. a

Weil das auch oft gefragt wird: Die Aufbewahrungspflichten selbst ergeben sich aus anderen Gesetzen, zum Beispiel aus der Abgabenordnung.

Weiterer Hinweis zum KDG: § 6 Abs. 1 lit. g gilt nicht für öffentlich-rechtlich organisierte kirchliche Stellen, die in Erfüllung ihrer Aufgaben handeln.

In Orientierungshilfen taucht häufig die „Erfüllung des Vereinszwecks“ als Rechtsgrundlage auf. Art. 6 DSGVO kennt diese Rechtsgrundlage für eine Datenverarbeitung in dieser Form nicht. Ordnen Sie den Vereinszweck deshalb über die Rechtsgrundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / § 6 Abs. 1 lit. c KDG) ein, weil die Satzung Inhalt des Mitgliedschaftsvertrags ist, oder im Einzelfall über das „berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO / § 6 Abs. 1 lit. g KDG). Ebenfalls wichtig: Tragen Sie im Verzeichnis der Verarbeitungstätigkeiten (VdV) die konkrete Rechtsgrundlage zu jeder Verarbeitungstätigkeit ein.

4 WANN BRAUCHT ES WIRKLICH EINE EINWILLIGUNG?

Eine Frage die uns oft erreicht? Kann ich das Neumitglied nicht einfach eine Einwilligung unterschreiben lassen und darf dann „alles machen“? Nein, in der Regel brauchen Sie das aber auch nicht. Eine Einwilligung kann ebenfalls eine Rechtsgrundlage für eine Verarbeitung sein. Sie ist jedoch unter allen rechtmäßigen Verarbeitungen die „schwächste“, da sie jederzeit wiederrufbar ist.

Eine Einwilligung kommt also sinnvollerweise als Rechtsgrundlage nur in Betracht, wenn weder der Mitgliedschaftsvertrag noch eine rechtliche Verpflichtung noch ein berechtigtes Interesse die Verarbeitung trägt. Für die Mitgliederverwaltung selbst ist sie in der Regel nicht nötig. Typische Fälle in denen eine Einwilligung als Rechtsgrundlage sinnvoll ist, sind Fotoveröffentlichungen, Abo eines Newsletters über das Vereinsinteresse hinaus und z.B. bei freiwilligen Gesundheitsangaben.

Eine wirksame Einwilligung erfüllt mehrere Anforderungen:

Sie beruht auf einer freien Entscheidung. Ob der Vertrag von einer nicht erforderlichen Einwilligung abhängt, ist dabei zu berücksichtigen (Art. 7 Abs. 4 DSGVO, § 8 Abs. 5 KDG, sogenanntes Kopplungsverbot).
Sie nennt den Zweck und weist vorab auf das Widerrufsrecht hin. Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO, § 8 Abs. 4 KDG).
Sie ist von anderen Sachverhalten klar zu unterscheiden, wenn sie in einer schriftlichen Erklärung steht (Art. 7 Abs. 2 Satz 1 DSGVO / § 8 Abs. 3 Satz 1 KDG).
Sie ist nachweisbar (Art. 7 Abs. 1 DSGVO, § 8 Abs. 1 KDG).
Sie muss durch eine unmissverständlich abgegebene Willensbekundung bestätigt werden, das kann in Form eines Kreuzes auf ein Formular oder eine andere bestätigende Handlung auch einem Handzeichen gemacht werden (Art. 4 Nr. 11 DSGVO/ § 4 Nr. 13 KDG).

Eine bestimmte Form schreibt das Gesetz (seit der KDG Novelle weder DSGVO noch KDG) in diesen Fällen nicht vor. Wir empfehlen dennoch eine schriftliche oder elektronische Erklärung mit Datum zu dokumentieren. Holen Sie sie getrennt vom Aufnahmeantrag ein, mit eigenem Ankreuzfeld je Zweck. Denn die Nachweispflicht bliebt zu jederzeit bei Ihnen als Verein.

5 BESONDERE KATEGORIEN VON DATEN

Gesundheitsdaten, politische Meinungen oder die Gewerkschaftszugehörigkeit sind besonders geschützt (Art. 9 DSGVO, § 11 KDG). Ihre Verarbeitung ist grundsätzlich untersagt, solange kein Ausnahmetatbestand greift. Die Einwilligung ist also nicht der einzige Weg.

Vereine mit religiöser, weltanschaulicher, politischer oder gewerkschaftlicher Ausrichtung (Tendenzbetriebe) können sich auf Art. 9 Abs. 2 lit. d DSGVO stützen, kirchliche Stellen auf § 11 Abs. 2 lit. d KDG. Voraussetzung ist dabei jeweils, dass sich die Verarbeitung ausschließlich auf Mitglieder oder Personen mit regelmäßigem Kontakt bezieht. Ohne Einwilligung dürfen die Daten nicht nach außen offengelegt werden.

Die Konfession kann als religiöse Überzeugung zu den besonderen Kategorien zählen (DSGVO). Erheben Sie sie deshalb nur, wenn Ihre Satzung es erfordert.

6 MINDERJÄHRIGE NEUMITGLIEDER

Kinder und Jugendliche verdienen besonderen Schutz (Art. 8 DSGVO, § 8 Abs. 6 KDG). Die Altersgrenze von 16 Jahren gilt nach dem Wortlaut nur für Dienste der Informationsgesellschaft beziehungsweise für elektronisch unterbreitete Angebote. Für Beitritt und Einwilligungen im Verein spielen zusätzlich Einsichtsfähigkeit und Vertragsrecht eine Rolle. Die pauschale Regel „unter 16 immer mit Eltern“ greift daher zu kurz. Binden Sie die Sorgeberechtigten ein, stellen Sie eine kindgerechte Datenschutzinformation bereit und veröffentlichen Sie Fotos nur mit dokumentierter Einwilligung.

7 DIE INFORMATIONSPFLICHT BEIM EINTRITT

Werden Daten bei der betroffenen Person erhoben, müssen Sie diese zum Zeitpunkt der Erhebung zusätzlich dazu, dass sie die Rechtsgrundlage dokumentieren (z.B. Vertragserfüllung, berechtigtes Interesse, Einwilligung etc.), auch nachvollziehbar über die Verarbeitung informieren (Art. 13 DSGVO/ § 15 KDG). Bei der Aufnahme heißt das: Die Information liegt spätestens mit dem Antrag vor. Die Datenschutzinformation nennt unter anderem den Verantwortlichen, gegebenenfalls die Kontaktdaten der oder des Datenschutzbeauftragten, Zwecke und Rechtsgrundlagen der Verarbeitungen sowie Empfänger, Speicherdauer und Betroffenenrechte einschließlich Beschwerderecht bei der Aufsichtsbehörde.

Eine Unterschrift der Datenschutzinformation ist nicht erforderlich. Als Nachweis für den bzw. die Verantwortliche:n empfiehlt sich ein Aushändigungsvermerk. Der Antrag darf auf die Website verweisen, wenn die Information dort ohne Umwege auffindbar ist. Bei Papieranträgen halten Sie einen Ausdruck bereit. Hat der Dachverband bereits informiert, prüfen Sie, ob das Ihre eigenen Verarbeitungen im Verein oder Verband vollständig abdeckt.

8 WENN DAS NEUMITGLIED EHRENAMTLICH AKTIV WIRD

Arbeitet das neue Mitglied als ehrenamtlich Tätige:r mit personenbezogenen Daten, kommen weitere Pflichten hinzu. Im KDG gilt das Datengeheimnis (die Pflicht, Daten nicht unbefugt zu verarbeiten) ausdrücklich auch für Ehrenamtliche. Sie sind bei Aufnahme der Tätigkeit schriftlich zu verpflichten (§ 5 Abs. 1 und 2 KDG). Die KDG-DVO zählt Ehrenamtliche datenschutzrechtlich (nicht arbeitsrechtlich) zu den „Mitarbeitenden“. Sie verlangt eine Belehrung, eine nachweisbar dokumentierte Verpflichtungserklärung (§ 2 Abs. 5 KDG-DVO/ § 5 KDG Abs 2), eine erneute Belehrung bei neuer Tätigkeit (§ 2 Abs. 4 KDG-DVO) und regelmäßige Schulungen (§ 2 Abs. 7 KDG-DVO). Weil § 5 KDG eine schriftliche Verpflichtung verlangt, ist die Unterschrift der sicherste Weg.

Die DSGVO enthält keine ausdrückliche Verpflichtungsnorm für Ehrenamtliche. Unterstellte Personen sind jedoch an die Weisungen des Verantwortlichen gebunden (Art. 29 DSGVO). Zudem verlangt die Sicherheit der Verarbeitung geeignete Maßnahmen (Art. 32 DSGVO). Wir empfehlen daher, Regeln vor dem ersten Datenzugriff festzulegen und die Verpflichtung unmittelbar danach einzuholen. Frischen Sie das Wissen jährlich auf. Eine pauschale Erklärung ohne konkrete Regeln bleibt weitgehend wirkungslos.

Geben Sie Ehrenamtlichen außerdem eine eigene Datenschutzinformation und vergeben Sie Zugriffsrechte passend nach Funktion. Richten Sie eine Vereins-E-Mail-Adresse statt eines privaten Postfachs ein. Für die Kinder- und Jugendarbeit können weitere gesetzliche Anforderungen gelten, etwa zum erweiterten Führungszeugnis.

Infobox: DSGVO und KDG im Überblick

RECHTSGRUNDLAGE MITGLIEDSCHAFT: Art. 6 Abs. 1 lit. b DSGVO / § 6 Abs. 1 lit. c KDG
EINWILLIGUNG: keine feste Form, aber Nachweispflicht (Art. 7 DSGVO/ § 8 KDG)
BESONDERE KATEGORIEN, VEREINSPRIVILEG: Art. 9 Abs. 2 lit. d DSGVO/ § 11 Abs. 2 lit. d KDG
INFORMATIONSPFLICHT: Art. 13 DSGVO / § 15 KDG
VDV: Art. 30 / § 31
EHRENAMTLICHE: Weisungsbindung (Art. 29 DSGVO), Verpflichtung empfohlen / Datengeheimnis schriftlich und Schulung (§ 5 KDG, § 2 KDG-DVO)

9 DIE UMSETZUNG SCHRITT FÜR SCHRITT

Die Checkliste führt Sie in sinnvoller Reihenfolge durch die Aufnahme:

Schritt 1: Bestandsaufnahme. Klären Sie, welche Teilverarbeitungen zur Aufnahme gehören und wo die Daten liegen: Papier, Excel, Vereinssoftware oder Cloud.
Schritt 2: Rechtsgrundlagen festlegen. Ordnen Sie jedem Zweck eine Rechtsgrundlage zu. Streichen Sie Felder im Antrag, die Sie nicht benötigen.
Schritt 3: Information bereitstellen. Legen Sie dem Antrag die Datenschutzinformation mit Version und Stand bei und vermerken Sie die Aushändigung.
Schritt 4: Einwilligungen einholen. Fragen Sie nur dort, wo keine andere Rechtsgrundlage (etwa. Vertragserfüllung oder berechtigtes Interesse) trägt. Nutzen Sie ein getrenntes Formular mit eigenem Ankreuzfeld und Widerrufshinweis.
Schritt 5: VdV und Verträge. Tragen Sie die „Mitgliederaufnahme" ins VdV ein. Schließen Sie mit Dienstleistern für Mitgliederverwaltung, Hosting oder Newsletter einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO/ § 29 KDG).
Schritt 6: Zugriffe und Ablage regeln. Vergeben Sie Rechte passend nach Funktion. Legen Sie Daten geschützt auf z. B. einer Vereins-Cloud oder einer verschlüsselten Vereinsfestplatte ab. Treffen Sie dafür Sicherheitsmaßnahmen, die Ihrer Vereinsgröße angemessen sind und regeln Sie dies schriftlich mit ihren ehrenamtlich Tätigen. Es ist sinnvoll in eine in Deutschland gehostete Cloud (hier immer an den Vertrag zur Auftragsverarbeitung denken) oder eine verschlüsselte Festplatte investieren. Diese sind bereits günstig zu haben und bieten bereits die notwendigen Maßnahmen zur Sicherheit der Verarbeitung. Bei einer Vereins-Cloud können, alle gemäß Rechten und Rollen auf die Daten des Vereins zugreifen, ohne dass Sie sich in eine rechtliche Unsicherheit aufgrund der Nutzung einer privaten Cloud begeben.
Schritt 7: Ehrenamtliche verpflichten. Legen Sie zuerst die Regeln fest (Verpflichtung auf das Datengeheimnis, BYOD-Regelungen etc.). Belehren und verpflichten Sie danach, in jedem Fall vor dem ersten Datenzugriff.
Schritt 8: Löschfristen festlegen. Definieren Sie, wie lange Sie Daten nach dem Austritt aufbewahren und wann Sie diese löschen.

Typische Fehler und wie Sie sie vermeiden:

EIN KÄSTCHEN FÜR ALLES. Ein gemeinsames Kästchen für Mitgliedschaft, Fotos und Newsletter vermischt notwendige und freiwillige Verarbeitungen. Das gefährdet die Freiwilligkeit der Einwilligung. Trennen Sie alle Zwecke konsequent.
PAUSCHALE VERPFLICHTUNGSERKLÄRUNG. Wer unterschreiben lässt, ohne vorher konkrete Regeln festzulegen, erzeugt ein Dokument, aber keinen Schutz. Definieren Sie erst Rollen und Maßnahmen.

TOOLS, VORLAGEN UND NÄCHSTE SCHRITTE

Für einen belastbaren Aufnahmeprozess brauchen Sie keine aufwendige Software, sondern gute Vorlagen und klare Abläufe. Bewährt haben sich:

eine einseitige Checkliste „Neumitglied“,
Datenschutzinformationen für Mitglieder, Kinder und Ehrenamtliche
ein Antragsformular (wo nötig mit getrennten Einwilligungsfeldern)
ein Verzeichnis der Verarbeitungstätigkeiten (VdV)
ein Rollen- und Rechtekonzept in Tabellenform
eine auf Ihren Verein angepasste Verpflichtungserklärung.

Die folgende Übersicht zeigt, was Pflicht ist, was sinnvoll ist und was Sie dokumentieren sollten:

Maßnahme	Pflicht?	Dokumentation
Rechtsgrundlage je Zweck, Datenminimierung im Antrag	Pflicht	VdV
Datenschutzinformation bei Erhebung (Art. 13 DSGVO / § 15 KDG)	Pflicht	Vorlage mit Version und Stand, Aushändigungsvermerk (sinnvoll)
VdV-Eintrag „Mitgliederaufnahme" (Art. 30 DSGVO / § 31 KDG)	Pflicht, bei Vereinen in der Regel	VdV
Einwilligungen, nur wo nötig (Art. 7 DSGVO/ § 8 KDG)	Pflicht, wenn sie als Rechtsgrundlage für eine Verarbeitung genutzt werden	Text, Version, Datum, Widerruf
Auftragsverarbeitungsvertrag (Art. 28 DSGVO / § 29 KDG)	Pflicht bei Dienstleistern	Vertrag
Technische und organisatorische Maßnahmen (TOM), Zugriffsrechte (Art. 32 DSGVO / § 26 KDG)	Pflicht	TOM-Dokumentation
Verpflichtung auf Datengeheimnis, Belehrung (§ 5 KDG / Art. 32 Abs. 4 DSGVO )	KDG: Pflicht. DSGVO: empfohlen	Verpflichtungserklärung, Schulungsnachweis
Löschkonzept (Art. 5, 17 DSGVO / §§ 7, 19 KDG)	Pflicht	Löschfristen im VdV
Prüfung Datenschutzbeauftragte:r	Je nach Fall, z. B. bei in der Regel mindestens 20 ständig mit Datenverarbeitung beschäftigten Personen (auch Ehrenamtliche) (§ 36 Abs. 2 KDG; für DSGVO-Vereine § 38 BDSG)	Prüfvermerk

NÄCHSTE SCHRITTE (SOFORT UMSETZBAR)

Prüfen Sie Ihren Aufnahmeantrag auf Datenminimierung und vermischte Einwilligungen.
Stellen Sie sicher, dass jedes neue Mitglied die Datenschutzinformation erhält.
Nehmen Sie Mitgliederlisten von privaten Geräten und legen Sie sie zentral und geschützt ab
Legen Sie fest, wer auf welche Daten zugreifen darf.

LANGFRISTIGE STRATEGISCHE MASSNAHMEN

Pflegen Sie das VdV regelmäßig, mindestens bei jeder Änderung des Aufnahmeprozesses.
Schulen Sie Ehrenamtliche mindestens jährlich. (Im KDG sind regelmäßige Schulungen verpflichtend.)
Setzen Sie Löschfristen bei Austritten konsequent um.
Prüfen Sie Dienstleister und Verträge in festen Abständen.

10 FAZIT UND NÄCHSTE SCHRITTE

Ein sauberer Aufnahmeprozess ist die Grundlage aller weiteren Datenschutzpflichten eines Vereins oder Verbands. Die Mitgliederverwaltung kommt in der Regel ohne Einwilligung aus, wenn Sie die richtige Rechtsgrundlage wählen, bei der Erhebung informieren, Ehrenamtliche klar einbinden und alles dokumentieren. Wer diese Abläufe einmal sauber aufsetzt, spart künftig Aufwand und stärkt das Vertrauen der Mitglieder.

Unsere Empfehlung: Gleichen Sie Ihren Aufnahmeantrag und Ihre Datenschutzinformation mit der Checkliste ab. Halten Sie fest, wo Nachbesserungsbedarf besteht.

Jetzt Audit anfragen und den Status quo prüfen: https://www.datafreshup.de/bookings

DIESER BEITRAG ERSETZT KEINE INDIVIDUELLE RECHTSBERATUNG.