DSGVO-Check für Vereine 2026: Was wirklich auf der Website sein muss

DSGVO Check für Vereine

Der Kassenwart fragt beim Vorstandstreffen, ob mit der Vereinswebsite eigentlich alles seine Richtigkeit hat. Keiner weiß eine genaue Antwort. Die Seite läuft seit Jahren, niemand hat sich beschwert, aber so richtig sicher ist sich auch niemand.

Diese Situation kenne ich aus vielen Gesprächen mit Vereinen im Saarland. Das Impressum wurde 2018 einmal ausgefüllt, seitdem hat sich niemand mehr damit befasst. Das ist verständlich, im Ehrenamt hat kaum jemand Zeit, sich mit Rechtstexten zu beschäftigen. Trotzdem lohnt sich ein Check, besonders 2026, wo Abmahnungen wegen fehlerhafter Cookie-Banner oder unvollständiger Datenschutzerklärungen keine Seltenheit mehr sind.

Hier die Punkte, die auf jeder Vereinswebsite stimmen müssen.

1. Das Impressum

Ein Impressum brauchen Sie, sobald die Website mehr als rein private Zwecke erfüllt. Bei einem Verein ist das praktisch immer der Fall.

Pflichtangaben sind:

  • Name des Vereins mit Rechtsform (e. V.)
  • Vertretungsberechtigter Vorstand (Name reicht, keine komplette Vorstandsliste nötig)
  • Ladungsfähige Anschrift, ein Postfach genügt nicht
  • Kontaktmöglichkeit: E-Mail-Adresse und nach Möglichkeit eine Telefonnummer
  • Registereintrag, falls der Verein im Vereinsregister eingetragen ist, inklusive Registernummer und zuständigem Amtsgericht

Wenn der Verein umsatzsteuerpflichtig ist oder eine Umsatzsteuer-ID besitzt, gehört auch die ins Impressum. Bei den meisten kleinen Vereinen ist das nicht der Fall, prüfen Sie es trotzdem einmal mit Ihrem Kassenwart.

2. Die Datenschutzerklärung

Hier hapert es bei Vereinen am häufigsten. Eine Datenschutzerklärung von 2019, die noch von Facebook-Pixel und Google Fonts von externen Servern spricht, obwohl beides längst nicht mehr eingebunden ist, hilft niemandem. Im Gegenteil, sie kann Abmahnungen provozieren, weil sie nicht zur tatsächlichen Website passt.

Die Datenschutzerklärung muss zu dem passen, was die Website tatsächlich tut. Konkret gehört hinein:

  • Welche Daten erhoben werden (Kontaktformular, Newsletter, Mitgliederbereich)
  • Welche externen Dienste eingebunden sind (Google Fonts, YouTube-Videos, Social-Media-Buttons)
  • Wie lange Daten gespeichert werden
  • An wen Daten weitergegeben werden, etwa an einen Hosting-Anbieter oder ein Newsletter-Tool

Am einfachsten gehen Sie die Website Seite für Seite durch und gleichen sie mit der Datenschutzerklärung ab. Was nicht mehr eingebunden ist, streichen Sie. Was neu dazugekommen ist, ergänzen Sie.

3. Cookie-Banner und Einwilligung

Ein Cookie-Banner allein reicht nicht. Es kommt darauf an, wie es funktioniert.

Kritisch wird es bei folgenden Punkten:

  • Der Button „Alle akzeptieren” darf nicht größer oder auffälliger gestaltet sein als „Ablehnen”
  • Ohne Einwilligung dürfen keine Cookies von Google Analytics, Facebook-Pixel oder ähnlichen Diensten gesetzt werden
  • Die Einwilligung muss protokolliert werden, damit Sie im Zweifel nachweisen können, wann und wie sie erteilt wurde

Viele Vereine nutzen noch Banner, die vor Jahren einmal eingerichtet wurden und technisch nicht mehr sauber funktionieren. Ein kurzer Test mit einem privaten Browserfenster zeigt schnell, ob im Hintergrund schon Cookies geladen werden, bevor überhaupt eine Auswahl getroffen wurde.

4. Google Fonts und externe Schriftarten

Ein Klassiker aus der Abmahnpraxis der letzten Jahre. Werden Schriftarten direkt von Google-Servern geladen, wird beim Seitenaufruf automatisch die IP-Adresse des Besuchers an Google übertragen, ohne Einwilligung.

Die Lösung ist unkompliziert: Schriftarten lokal auf dem eigenen Server einbinden statt sie von Google laden zu lassen. Das prüft man einmal und muss sich danach nicht mehr darum kümmern.

5. Eingebettete Videos und Social-Media-Buttons

YouTube-Videos, die direkt eingebettet sind, laden ebenfalls Daten an Dritte, sobald die Seite aufgerufen wird, unabhängig davon, ob das Video abgespielt wird oder nicht. Gleiches gilt für Facebook- oder Instagram-Buttons mit Live-Einbindung.

Zwei Wege sind sauber:

  • Erweiterter Datenschutzmodus bei YouTube (youtube-nocookie.com), kombiniert mit Vorabzustimmung
  • Ein Klick-Schutz, bei dem der Nutzer den Inhalt erst aktiv laden muss

6. Fotos von Vereinsfesten und Mitgliedern

Hier geht es nicht nur um die DSGVO, sondern auch um das Recht am eigenen Bild. Fotos vom letzten Vereinsfest online zu stellen, ist bei einer Gruppenaufnahme im öffentlichen Rahmen meist unkritisch. Sobald einzelne Personen erkennbar im Fokus stehen, vor allem Kinder, sieht das anders aus.

Praktikabel ist eine kurze Einverständniserklärung, die einmal jährlich bei der Mitgliederversammlung oder beim Anmeldeformular für Veranstaltungen mit unterschrieben wird. Das spart im Nachhinein viel Klärungsaufwand.

7. Kontaktformular und SSL-Verschlüsselung

Ein Kontaktformular ohne SSL-Verschlüsselung, erkennbar am fehlenden Schloss-Symbol in der Adresszeile, versendet Daten unverschlüsselt. Das ist ein klarer DSGVO-Verstoß und ein Sicherheitsrisiko. Die meisten Hosting-Anbieter stellen kostenlose SSL-Zertifikate bereit, oft ist nur eine Aktivierung im Kundenbereich nötig.

Was Sie jetzt tun können

Ein vollständiger Check dauert für die meisten Vereinsseiten ein bis zwei Stunden, nicht Tage. Gehen Sie die sieben Punkte oben der Reihe nach durch, am besten zu zweit: eine Person aus dem Vorstand, die die Inhalte kennt, und jemand, der sich mit der Technik auskennt.

Wo Sie unsicher sind, ob ein Dienst noch eingebunden ist oder eine Formulierung noch stimmt, lohnt sich ein zweiter Blick von außen. Genau das biete ich Vereinen im Saarland an: einen strukturierten Website-Check, der zeigt, wo es konkret hakt, und wie sich das ohne großen Aufwand beheben lässt.

Dieser Beitrag ersetzt keine Rechtsberatung.