Sobald ein Verein eine Website betreibt, verarbeitet er Daten der Besucher, oft ohne dass es den Verantwortlichen bewusst ist. Schon der Aufruf einer Seite hinterlässt in den Server-Logs die IP-Adresse, und ein Kontaktformular oder ein Newsletter erhebt weitere personenbezogene Angaben. Die DSGVO verlangt deshalb, dass die Website transparent über diese Verarbeitung informiert, und zwar in einer Datenschutzerklärung.
Die Datenschutzerklärung ist nicht dasselbe wie das Impressum. Das Impressum nennt den Anbieter der Seite, die Datenschutzerklärung beschreibt, was mit den Daten der Besucher geschieht. Beide gehören auf eine Vereinswebsite, sind aber getrennte Dokumente mit unterschiedlicher Funktion. In der Praxis werden sie meist über zwei getrennte Links im Footer erreichbar gemacht.
Impressum und Datenschutzerklärung auseinanderhalten
Viele Vorstände werfen die beiden Pflichtdokumente in einen Topf, was zu lückenhaften Seiten führt. Das Impressum erfüllt eine eigene gesetzliche Anbieterkennzeichnungspflicht und nennt unter anderem den Verein als Anbieter, die Vertretungsberechtigten und eine Kontaktmöglichkeit. Es beantwortet die Frage, wer hinter der Seite steht.
Die Datenschutzerklärung beantwortet dagegen die Frage, was mit den Daten der Besucher passiert. Sie setzt die Informationspflichten der DSGVO um und beschreibt jede Datenverarbeitung, die beim Besuch der Seite stattfindet. Beide Dokumente gehören auf jede Vereinswebsite, auch wenn diese nur aus wenigen Seiten besteht und keinen Shop oder Mitgliederbereich enthält.
Verzichte darauf, die beiden zu vermischen. Eine Datenschutzerklärung, die unter der Überschrift Impressum versteckt ist, erschwert das Auffinden und kann den Eindruck erwecken, der Verein nehme das Thema nicht ernst. Klare Trennung und gute Auffindbarkeit sind hier die einfachsten Mittel, um Probleme zu vermeiden.
In der Praxis bietet es sich an, beide Dokumente über getrennte, eindeutig beschriftete Links im Footer zu verlinken, sodass sie von jeder Unterseite aus mit einem Klick erreichbar sind. Diese ständige Erreichbarkeit ist wichtig, weil ein Besucher zu jedem Zeitpunkt nachvollziehen können soll, wer hinter der Seite steht und was mit seinen Daten geschieht. Ein Link, der nur auf der Startseite erscheint, genügt diesem Anspruch nicht.
Wozu die Datenschutzerklärung verpflichtet
Die Informationspflichten ergeben sich aus Art. 13 DSGVO. Danach muss der Verantwortliche die betroffene Person zum Zeitpunkt der Datenerhebung darüber informieren, wer die Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Auf einer Website wird dieser Pflicht über eine zentrale, leicht auffindbare Datenschutzerklärung nachgekommen.
Die Erklärung sollte verständlich formuliert und von jeder Seite aus erreichbar sein, üblicherweise über einen klar beschrifteten Link im Footer. Wichtig ist, dass sie zum tatsächlichen technischen Aufbau der Seite passt. Eine kopierte Mustererklärung, die Dienste auflistet, die gar nicht eingebunden sind, hilft nicht weiter und kann sogar irreführend sein. Umgekehrt ist eine Erklärung, die wesentliche Verarbeitungen verschweigt, ebenso problematisch. Beides lässt sich vermeiden, indem du die Erklärung konsequent am echten Aufbau deiner Seite ausrichtest.
Die Informationen müssen zum Zeitpunkt der Datenerhebung verfügbar sein, also bevor oder genau dann, wenn der Besucher seine Daten eingibt. Bei einem Kontaktformular bedeutet das beispielsweise, dass ein Hinweis oder Link zur Datenschutzerklärung direkt am Formular sichtbar sein sollte. So kann der Besucher sich informieren, bevor er auf Senden klickt.
Die Standardbausteine im Überblick
Auch eine schlanke Vereinswebsite ohne Shop kommt selten ohne ein paar typische Datenverarbeitungen aus. Die folgende Übersicht zeigt, welche Bausteine in den meisten Fällen relevant sind. Welche davon konkret zutreffen, hängt von deiner Seite ab.
| Baustein | Wann relevant |
|---|---|
| Server-Logfiles | Bei praktisch jeder Website durch den Hoster |
| Kontaktformular | Wenn Besucher per Formular schreiben können |
| Newsletter | Wenn ein E-Mail-Verteiler angeboten wird |
| Cookies und Reichweitenmessung | Wenn Analyse-Werkzeuge eingesetzt werden |
| Eingebundene Dienste | Bei Karten, Videos oder Social-Media-Plugins |
Jeder Baustein wird in der Erklärung kurz beschrieben: welche Daten anfallen, warum, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden. Bei Server-Logs ist das in der Regel ein berechtigtes Interesse am sicheren Betrieb, beim Newsletter dagegen die Einwilligung. Wichtig ist, dass die Beschreibung weder zu knapp noch zu ausschweifend ausfällt. Der Besucher soll auf einen Blick verstehen, was mit seinen Daten geschieht, ohne sich durch juristische Formeln arbeiten zu müssen. Eine in eigenen Worten verfasste, ehrliche Beschreibung ist meist hilfreicher als eine aufgeblähte Mustervorlage, die viele Besucher ohnehin überspringen.
Kontaktformular und Newsletter im Detail
Das Kontaktformular ist auf Vereinsseiten weit verbreitet und verdient eine genaue Beschreibung. Schreibt ein Besucher über das Formular, übermittelt er mindestens seinen Namen und seine E-Mail-Adresse sowie den Inhalt der Nachricht. In der Datenschutzerklärung gehört der Hinweis, dass diese Angaben zur Bearbeitung der Anfrage verarbeitet und nach Erledigung gelöscht werden, sofern keine Aufbewahrungspflicht entgegensteht.
Beim Newsletter ist die Einwilligung die übliche Rechtsgrundlage. Hier hat sich das sogenannte Double-Opt-in-Verfahren etabliert, bei dem der Anmeldung eine Bestätigungs-E-Mail folgt. Erst nach Klick auf den Bestätigungslink wird die Adresse in den Verteiler aufgenommen. Dieses Verfahren dient dem Nachweis, dass die Anmeldung tatsächlich vom Inhaber der Adresse stammt. In der Datenschutzerklärung beschreibst du den Ablauf und weist auf die jederzeitige Abmeldemöglichkeit hin.
Jeder Newsletter sollte einen funktionierenden Abmeldelink enthalten. Die Abmeldung ist Teil des Widerrufsrechts und muss so einfach sein wie die Anmeldung. Wer einen externen Newsletter-Dienst nutzt, muss zusätzlich prüfen, ob dafür ein Vertrag zur Auftragsverarbeitung nötig ist.
Eingebundene Dienste und Auftragsverarbeitung
Besondere Vorsicht ist bei Diensten geboten, die Daten an Dritte übertragen. Bindet die Seite etwa eine Karte, ein Video oder ein Social-Media-Plugin ein, werden beim Laden oft schon Daten an den jeweiligen Anbieter gesendet. Solche Dienste gehören in der Datenschutzerklärung benannt, und je nach Ausgestaltung kann eine Einwilligung der Besucher nötig sein, bevor sie geladen werden.
Wenn der Verein einen externen Dienstleister einsetzt, der in seinem Auftrag Daten verarbeitet, etwa einen Webhoster oder einen Newsletter-Anbieter, ist häufig ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Seriöse Anbieter stellen einen solchen Vertrag bereit. Prüfe das, bevor du einen Dienst produktiv nutzt.
Ein besonders sensibler Bereich ist die Übermittlung von Daten in Länder außerhalb der EU. Setzt der Verein einen Dienst ein, dessen Server außerhalb des europäischen Wirtschaftsraums stehen, gelten zusätzliche Anforderungen an die Zulässigkeit der Übermittlung. Diese Konstellation ist rechtlich anspruchsvoll und sollte nicht im Vorbeigehen entschieden werden. Wenn du nicht sicher bist, wo ein Dienstleister Daten verarbeitet, kläre das vor dem Einsatz und hol im Zweifel fachlichen Rat ein.
Pflichtangaben zu den Betroffenenrechten
Neben der Beschreibung der einzelnen Verarbeitungen muss die Datenschutzerklärung die Besucher über ihre Rechte informieren. Dazu gehören das Auskunftsrecht, das Recht auf Berichtigung und Löschung, das Recht auf Einschränkung der Verarbeitung sowie das Widerspruchs- und das Beschwerderecht. Diese Rechte ergeben sich aus den entsprechenden Artikeln der DSGVO und gelten für jede betroffene Person.
Ein wichtiger Hinweis betrifft das Beschwerderecht bei einer Aufsichtsbehörde. Jede betroffene Person kann sich an die für den Verein zuständige Datenschutzaufsicht wenden, wenn sie eine Verarbeitung für unzulässig hält. Die Datenschutzerklärung sollte auf diese Möglichkeit hinweisen, ohne dass eine konkrete Behörde namentlich genannt werden muss.
Damit die Rechte nicht nur auf dem Papier stehen, braucht der Verein eine erreichbare Kontaktstelle. In der Regel ist das der Vorstand oder eine benannte Ansprechperson. Diese sollte in der Erklärung mit einer Kontaktmöglichkeit genannt werden, damit Anfragen tatsächlich ankommen und bearbeitet werden können.
Verknüpfung mit den übrigen Datenschutzpflichten
Die Datenschutzerklärung steht nicht für sich allein. Die dort beschriebenen Verarbeitungen, etwa Kontaktformular und Newsletter, gehören gleichzeitig in das Verzeichnis von Verarbeitungstätigkeiten. So bleiben Außendarstellung und interne Dokumentation konsistent. Wie du das Verzeichnis aufbaust, liest du im Beitrag zum Verzeichnis von Verarbeitungstätigkeiten.
Zeigt die Website Fotos von Mitgliedern, greift zusätzlich das Thema Einwilligung, das der Ratgeber zur Fotoeinwilligung im Verein behandelt. Einen Gesamtüberblick über alle Pflichten gibt der DSGVO-Leitfaden für Vereine.
Cookies und Reichweitenmessung
Setzt eine Vereinswebsite Cookies oder ähnliche Techniken ein, die nicht für den Betrieb der Seite zwingend nötig sind, ist häufig eine Einwilligung der Besucher erforderlich, bevor diese gesetzt werden. Das betrifft vor allem Analyse- und Tracking-Werkzeuge, mit denen sich die Nutzung der Seite auswerten lässt. Technisch notwendige Cookies, etwa zur Speicherung einer Spracheinstellung, sind davon zu unterscheiden.
Viele Vereinsseiten kommen mit sehr wenig oder ganz ohne nicht notwendige Cookies aus. Das ist aus Datenschutzsicht der einfachste Weg, weil dann auch kein Einwilligungsbanner erforderlich ist. Wer dagegen Reichweitenmessung einsetzen möchte, sollte ein Verfahren wählen, das die Einwilligung der Besucher sauber einholt und deren Entscheidung respektiert.
In der Datenschutzerklärung beschreibst du, welche Cookies und Analyse-Werkzeuge eingesetzt werden, zu welchem Zweck und wie der Besucher seine Einwilligung erteilen oder widerrufen kann. Bleibt die Seite bewusst schlank, genügt der Hinweis auf die technisch notwendigen Cookies.
Aktualisierung und Verantwortung
Eine Datenschutzerklärung ist kein Dokument, das man einmal erstellt und dann vergisst. Sie muss mit der Website mitwachsen. Wird ein neues Kontaktformular ergänzt, ein Newsletter eingeführt oder ein eingebundener Dienst ausgetauscht, gehört die Erklärung angepasst. Eine veraltete Erklärung, die nicht mehr zur Seite passt, erfüllt ihren Zweck nicht.
Die Verantwortung dafür liegt beim Verein, vertreten durch den Vorstand. In der Praxis ist es sinnvoll, eine Person zu benennen, die die Website betreut und bei Änderungen auch an die Datenschutzerklärung denkt. So bleibt das Dokument aktuell, ohne dass es zu einer vergessenen Pflicht wird. Eine kurze jährliche Durchsicht reicht in vielen Fällen aus.
Wechselt die Person, die die Website betreut, sollte die Verantwortung für die Datenschutzerklärung ausdrücklich übergeben werden. Gerade in ehrenamtlich geführten Vereinen geht solches Wissen sonst leicht verloren, wenn ein Vorstandsmitglied ausscheidet. Eine knappe Dokumentation, welche Dienste eingebunden sind und wo die Verträge zur Auftragsverarbeitung liegen, erleichtert die Übergabe und stellt sicher, dass die Erklärung auch nach einem Wechsel gepflegt wird. Das ist weniger Aufwand, als es zunächst klingt, und erspart dem Nachfolger die mühsame Rekonstruktion des technischen Aufbaus.
Hosting und Server-Logfiles
Schon das bloße Aufrufen einer Website erzeugt Daten. Der Webhoster protokolliert in den Server-Logfiles technische Informationen wie die IP-Adresse des Besuchers, den Zeitpunkt des Zugriffs und die aufgerufene Seite. Diese Protokollierung dient dem sicheren und stabilen Betrieb der Seite und stützt sich in der Regel auf das berechtigte Interesse des Vereins am Betrieb der Website.
Weil der Hoster diese Daten im Auftrag des Vereins verarbeitet, ist häufig ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Seriöse Hosting-Anbieter stellen einen solchen Vertrag zur Verfügung, oft direkt im Kundenkonto. Prüfe, ob dieser Vertrag vorliegt, bevor du dich auf einen Anbieter festlegst. In der Datenschutzerklärung beschreibst du, dass Server-Logs anfallen und nach welcher Frist sie üblicherweise gelöscht werden.
Achte bei der Wahl des Hosters auch darauf, wo die Server stehen. Anbieter mit Servern innerhalb der EU vereinfachen die rechtliche Bewertung erheblich, weil dann keine zusätzlichen Anforderungen an eine Drittlandübermittlung zu prüfen sind. Für einen Verein, der seinen Aufwand gering halten möchte, ist das oft die unkomplizierteste Wahl.
So gehst du beim Erstellen vor
Liste zunächst auf, was deine Website technisch tatsächlich tut: Welcher Hoster, welches Kontaktformular, welche eingebundenen Dienste, welche Analyse-Tools. Beschreibe dann jeden dieser Punkte in einfacher Sprache mit Zweck, Rechtsgrundlage und Speicherdauer und verlinke die Erklärung gut sichtbar im Footer. Den strukturierten Einstieg in die gesamte Datenschutz-Dokumentation erleichtert dir dabei der DSGVO-Generator für Vereine, der die typischen Bausteine als Gerüst bereitstellt.
Aktualisiere die Erklärung anschließend immer dann, sobald sich an der Website etwas ändert, sei es ein neuer Dienst, ein neues Formular oder ein Wechsel des Hosters. Bei komplexeren Einbindungen, etwa Tracking über mehrere Dienste oder Datenübermittlungen in Drittländer, hol dir fachlichen Rat bei deinem Datenschutzbeauftragten oder der Aufsichtsbehörde, bevor du die Funktion live schaltest. So vermeidest du, dass eine vermeintlich kleine technische Erweiterung zu einer datenschutzrechtlichen Lücke wird.
