Wer im Verein zuständig ist — und wann ein Datenschutzbeauftragter nötig wird

Verantwortlich ist der Verein. Ob ein Datenschutzbeauftragter nötig ist, richtet sich nach § 38 Abs. 1 BDSG — und ob Ehrenamtliche in die 20 Personen zählen, ist umstritten.

Warum das wichtig ist

Die Zuständigkeit ist zuerst eine Vorstandsaufgabe: Er legt fest, wer welche Daten führen darf. Verantwortlicher im Sinne der Verordnung ist der Verein. Wer ihn vertritt und wer wofür einsteht, ist Vereinsrecht — und das ist hier bewusst nicht Thema.

§ 38 Abs. 1 S. 1 BDSG verlangt einen Datenschutzbeauftragten, wenn „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt" sind. Diese Zahl steht nicht in der DSGVO, sie ist deutsches Recht.

Ob ehrenamtlich Tätige in diese 20 Personen zählen, ist umstritten, und wir entscheiden das hier nicht. Der Kurs nennt den Wortlaut und sagt: Das entscheidet der Vorstand im Einzelfall, wenn nötig mit Beratung. Wer Ihnen hier eine einfache Antwort verkauft, hat die Streitfrage überlesen.

Unabhängig von der Zahl gilt Satz 2: Bei Verarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern, ist ein Datenschutzbeauftragter ohne Rücksicht auf die Personenzahl zu benennen.

Was das Gesetz sagt

§ 38 Abs. 1 S. 1 BDSG

„Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen."

§ 38 Abs. 1 S. 2 BDSG

„Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen."

So macht man es richtig

1. Im Vorstand festlegen, wer zuständig ist, und es schriftlich halten.
2. Die Frage nach dem Datenschutzbeauftragten im Einzelfall klären, nicht nach Gefühl.
3. Satz 2 mitprüfen — er gilt unabhängig von der Personenzahl.
4. Bei Unsicherheit Beratung einholen, statt die Streitfrage selbst zu entscheiden.

Stand: 25.10.2026