Datenschutz im Verein: DSGVO für Jugendarbeit

Kinderfußball lebt von Gemeinschaft: Training, Turniere, Fahrgemeinschaften, Teamfotos, WhatsApp-Gruppen. Genau dabei entstehen aber auch viele personenbezogene Daten – und damit Pflichten nach der DSGVO (Datenschutz-Grundverordnung). Klingt nach Bürokratie? Ja, manchmal. Aber gute Datenschutzpraxis schützt vor allem dein Kind, die Familien und auch den Verein. Und sie lässt sich im Alltag so umsetzen, dass sie nicht wie ein Bremsklotz wirkt.

Warum Datenschutz in der Jugendarbeit so wichtig ist

Im Jugendbereich geht es fast immer um Daten von Minderjährigen. Das macht die Sache sensibler: Namen, Geburtsdaten, Fotos, Leistungsdaten, medizinische Hinweise (z. B. Asthma), Kontaktdaten der Eltern – all das kann missbraucht werden oder unbeabsichtigt in falsche Hände geraten.

Datenschutz bedeutet nicht „nichts darf mehr“. Datenschutz bedeutet: Du weißt, welche Daten du warum nutzt, wie lange du sie brauchst und wer Zugriff hat. Er ist zugleich ein Baustein eines umfassenden Kinderschutzkonzepts im Verein.

Die Basics: Was zählt im Verein als personenbezogenes Datum?

Personenbezogene Daten sind alle Informationen, mit denen eine Person direkt oder indirekt identifiziert werden kann.

Typische Beispiele im Jugendfußball:

• Stammdaten: Name, Adresse, Geburtsdatum, Passnummer
• Kontaktdaten: E-Mail, Telefonnummern der Eltern
• Organisationsdaten: Teamzuordnung, Trainingszeiten, Anwesenheitslisten
• Bild- & Videodaten: Mannschaftsfotos, Spielvideos, Social-Media-Posts
• Besondere Kategorien (besonders geschützt): Gesundheitsdaten (z. B. Allergien), religiöse Angaben (z. B. Essensvorschriften), ggf. Daten zur Behinderung

Merke dir: Sobald du eine Liste führst, eine Cloud nutzt oder Bilder teilst, bist du mitten im Datenschutz.

Rechtsgrundlagen: Wann darf der Verein Daten überhaupt verarbeiten?

Damit Datenverarbeitung erlaubt ist, braucht der Verein eine Rechtsgrundlage. In der Jugendarbeit sind das meist:

Vertrag / Mitgliedschaft (Art. 6 Abs. 1 b DSGVO)

Viele Daten sind nötig, um die Mitgliedschaft zu verwalten: Beitragseinzug, Spielerpass, Kommunikation zu Trainingszeiten.

Rechtliche Pflicht (Art. 6 Abs. 1 c DSGVO)

Zum Beispiel Aufbewahrungspflichten für Buchhaltung.

Berechtigtes Interesse (Art. 6 Abs. 1 f DSGVO)

Das kann z. B. interne Organisation sein – aber nur, wenn die Interessen der Betroffenen nicht überwiegen. Bei Kindern solltest du hier besonders vorsichtig sein.

Einwilligung (Art. 6 Abs. 1 a DSGVO)

Wichtig für alles, was nicht zwingend nötig ist – besonders bei Fotos/Videos, Social Media, Website, Sponsorenposts.

Praxisfrage: „Dürfen wir Teamfotos auf die Website stellen?“ – Ja, aber in der Regel nur mit klarer Einwilligung der Erziehungsberechtigten.

Einwilligungen richtig einholen: Fotos, Videos & Social Media

Fotos sind im Jugendfußball ein Dauerbrenner. Die konkreten rechtlichen Fallstricke behandelt Mannschaftsfotos und Social Media: Rechtliches. Damit du nicht bei jedem Turnier diskutieren musst, hilft eine saubere, verständliche Regelung.

So sieht eine gute Foto-Einwilligung aus

Sie sollte:

• konkret sein (z. B. „Website“, „Instagram“, „Presse“, „Vereinsheft“)
• freiwillig sein (keine versteckten Nachteile bei Ablehnung)
• widerrufbar sein (Hinweis, wie der Widerruf geht)
• dokumentiert werden (wer hat wann unterschrieben?)

Praktischer Tipp:

• Arbeite mit Ampel-Logik in der Trainerliste:
  • Grün = Foto/Video ok (definierte Kanäle)
  • Gelb = nur intern (z. B. Teamchat)
  • Rot = keine Bilder

Wichtig: Auch im Teamchat können Bilder „weitergeleitet“ werden. Kommuniziere deshalb klare Teamregeln: Keine Weitergabe außerhalb der Gruppe.

Ab wann dürfen Jugendliche selbst einwilligen?

Solange das Kind minderjährig ist, holst du die Einwilligung grundsätzlich bei den Sorgeberechtigten ein – darauf weist die Sächsische Datenschutz- und Transparenzbeauftragte in ihren Handlungsempfehlungen für Vereine ausdrücklich hin, gerade bei Veröffentlichungen im Internet.

Eine feste Altersgrenze nennt die DSGVO nur für einen Sonderfall: Nach Art. 8 DSGVO können Kinder erst ab 16 Jahren selbst wirksam in „Dienste der Informationsgesellschaft“ einwilligen – gemeint sind Online-Angebote wie Social-Media-Plattformen oder Apps. Darunter muss die Einwilligung von den Eltern kommen oder mit deren Zustimmung erteilt werden. Die EU-Staaten dürfen diese Grenze auf bis zu 13 Jahre absenken; Deutschland hat davon keinen Gebrauch gemacht und bleibt bei 16.

Für den Vereinsalltag heißt das:

• Team-App oder Vereinsportal: Kinder unter 16 über die Eltern anmelden, nicht selbst registrieren lassen
• Fotos und Videos: unabhängig vom Alter mit den Sorgeberechtigten klären, solange das Kind minderjährig ist
• Ab 16: Jugendliche aktiv einbeziehen – wer selbst entscheiden darf, sollte auch gefragt werden

WhatsApp, Signal, Spond & Co.: Kommunikation datenschutzfreundlich organisieren

Viele Teams organisieren sich über Messenger. Das ist praktisch – aber nicht automatisch DSGVO-konform.

Typische Risiken

• Telefonnummern werden für alle sichtbar
• Inhalte werden weitergeleitet
• Geräte gehen verloren, Chats bleiben ungeschützt

Bessere Praxis im Alltag

• Nutze, wenn möglich, vereinsseitige Tools oder Apps mit Rollen/Rechten.
• Wenn Messenger genutzt wird:
  • Nur Eltern (nicht Kinder) in die Orga-Gruppe
  • Gruppenregeln schriftlich festhalten
  • Keine sensiblen Daten (Gesundheit, Konflikte) in den Chat
  • Trainerhandy mit PIN/Biometrie sichern

Du willst den Fokus im Kinderfußball auf Entwicklung statt Druck legen? Dann lohnt auch ein Blick auf Talentförderung ohne Druck – ein Leitfaden für Eltern – dort geht es um gute Kommunikation und gesunde Rahmenbedingungen, die auch beim Datenschutz helfen.

Datenminimierung & Aufbewahrung: Was du wirklich brauchst (und was nicht)

Die DSGVO fordert Datenminimierung: so viel wie nötig, so wenig wie möglich.

Praktische Beispiele

• Anwesenheitsliste: Name + Datum reicht meist. Kein Geburtsdatum nötig.
• Turnierorganisation: Elternkontakt ja, aber nicht „Beruf der Eltern“.
• Gesundheitsinfos: Nur, wenn es relevant ist (z. B. Notfallmedikation). Und dann besonders geschützt.

Löschfristen: Wann musst du Daten löschen?

• Nach Vereinswechsel/Austritt: Daten, die nicht mehr nötig sind, löschen
• Buchhaltung/Beiträge: nach gesetzlichen Fristen aufbewahren
• Fotoarchiv: regelmäßig prüfen und alte Bilder entfernen, wenn Zweck entfällt

Tipp für Vereine: Lege eine einfache Lösch- und Aufbewahrungsübersicht an (1 Seite), damit Trainer und Vorstand nicht raten müssen.

Zugriff & Rollen: Wer darf was sehen?

Ein häufiger Fehler: „Alle Trainer haben Zugriff auf alles.“ Besser ist ein Rollenprinzip.

Sinnvolle Rollenverteilung

• Jugendleitung: Überblick, aber nicht automatisch Zugriff auf Gesundheitsdaten
• Trainerteam: nur Daten der eigenen Mannschaft
• Kassenwart: nur Beitrags- und Zahlungsdaten
• Webmaster/Social Media: nur freigegebene Bilder + Einwilligungsstatus

Technischer Tipp:

• Nutze Cloud-Ordner mit Berechtigungen statt „ein Link für alle“.
• Speichere Einwilligungen und Listen nicht unverschlüsselt auf privaten Laptops.

Informationspflichten: Was Eltern wissen müssen

Eltern haben ein Recht darauf zu erfahren:

• welche Daten verarbeitet werden
• zu welchem Zweck
• wie lange die Daten gespeichert werden
• an wen Daten gehen (z. B. Verband, Passstelle, Turnierveranstalter)
• welche Rechte sie haben (Auskunft, Löschung, Widerspruch)

Praktisch umgesetzt:

• Datenschutzhinweise im Aufnahmeantrag + auf der Website
• Kurzer Hinweis bei Saisonstart: „So gehen wir mit Daten, Fotos und Teamchats um“

Datenschutz für Vereine: die vier formalen Pflichten

Neben den Alltagsfragen gibt es vier formale Pflichten, die im Traineralltag nicht auffallen – bei einer Elternbeschwerde oder einer Anfrage der Aufsichtsbehörde aber sofort auf dem Tisch liegen.

1) Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Das ist eine schlichte Übersicht: Welche Daten verarbeitet der Verein, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange, und wer bekommt sie?

Viele halten das für verzichtbar, weil Art. 30 Abs. 5 DSGVO eine Ausnahme für Stellen mit weniger als 250 Beschäftigten vorsieht. Bei Vereinen greift diese Ausnahme aber meist nicht: Sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Datenkategorien betroffen sind. Die Sächsische Datenschutz- und Transparenzbeauftragte nennt dafür genau die typischen Vereinsfälle – Verwaltung der Mitgliedsbeiträge, Veröffentlichung von Mitgliederfotos, regelmäßiger Newsletter per E-Mail. Das ist regelmäßige Verarbeitung. Ergebnis: Praktisch jeder Verein braucht das Verzeichnis.

Gute Nachricht: Eine Tabelle mit einer Zeile je Verarbeitung reicht als Einstieg – Mitgliederverwaltung, Beitragseinzug, Spielbetrieb und Passwesen, Fotos, Newsletter, Team-App.

2) Datenschutzbeauftragter – ab wann Pflicht?

Ein Datenschutzbeauftragter ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG, dazu Art. 37 Abs. 1 lit. c DSGVO).

Zwei Punkte werden dabei regelmäßig falsch verstanden:

• Ehrenamt zählt mit. Es kommt nicht darauf an, ob jemand bezahlt wird, sondern auf den tatsächlichen Aufgabenbereich. Trainer, die Anwesenheiten in einer App pflegen, gehören dazu.
• Die Schwelle lag früher bei 10. Seit dem 25.11.2019 liegt sie bei 20 – der Gesetzgeber wollte damit ausdrücklich kleinere Unternehmen und ehrenamtlich tätige Vereine entlasten.

Unabhängig von der Personenzahl kann die Benennung nötig werden, wenn der Verein in größerem Umfang sensible Daten wie Gesundheitsdaten verarbeitet. Zähle im Zweifel einmal konkret durch, statt zu schätzen.

3) Verträge mit Dienstleistern (Art. 28 DSGVO)

Sobald ein externer Anbieter Daten für euch verarbeitet – Vereinssoftware, Team-App, Cloud-Speicher, Newsletter-Tool, Website-Hoster –, braucht ihr mit ihm eine schriftliche Vereinbarung zur Auftragsverarbeitung. Der Anbieter muss hinreichende Garantien für eine datenschutzkonforme Verarbeitung bieten. Seriöse Anbieter stellen den Vertrag fertig bereit, oft direkt im Kundenkonto.

Dazu gehört die Kehrseite im eigenen Verein: Wer Zugriff auf Daten hat, wird auf Vertraulichkeit verpflichtet (Art. 29 DSGVO). Ein unterschriebenes Blatt beim Trainer-Onboarding genügt dafür.

4) Datenpanne: die 72-Stunden-Regel (Art. 33 DSGVO)

Ein verlorenes Trainerhandy mit Elternkontakten, eine Mitgliederliste im falschen Verteiler, ein offener Cloud-Link – das sind Datenschutzverletzungen, keine Pannen zweiter Klasse.

Was dann gilt:

• Der Verein meldet den Vorfall der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden, wenn ein Risiko für die Betroffenen besteht.
• Bei hohem Risiko müssen zusätzlich die betroffenen Personen selbst informiert werden (Art. 34 DSGVO).
• Vorbeugend verlangt Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau: aktuelle Systeme, Passwörter, Backups.

Praxis-Tipp: Halte auf einer Seite fest, wer im Verein im Ernstfall meldet und welche Aufsichtsbehörde für euer Bundesland zuständig ist. 72 Stunden sind kürzer, als sie klingen – vor allem, wenn der Vorfall am Freitagabend nach dem Spiel passiert.

Hinweis: Dieser Beitrag gibt einen praxisorientierten Überblick und ersetzt im Einzelfall keine Rechtsberatung.

Typische Vereinssituationen – und wie du sie DSGVO-sicher löst

1) Turnierliste mit Namen und Geburtsjahr

• Ok, wenn erforderlich für Turniermeldung.
• Schicke sie nur an den Veranstalter, nicht in große offene Verteiler.

2) Spielbericht & Liveticker

• Namen von Kindern öffentlich? Prüfe Zweck und Einwilligung.
• Besser: nur Vornamen oder Nummern, wenn öffentlich.

3) Sponsorenfoto mit Trikotübergabe

• Das ist oft Marketing. Dafür brauchst du meist Einwilligung.
• Kläre vorab, ob der Sponsor das Bild selbst posten darf.

4) Förderanträge und Zuschüsse

Bei Fördermitteln werden oft Teilnehmerzahlen, Konzepte oder Nachweise verlangt. Achte darauf, nur das Notwendige zu übermitteln.

Wenn dein Verein Fördermittel nutzt, hilft dir auch der Artikel Fördergelder für Jugendfußball beantragen – und mit sauberem Datenschutz wirkst du dabei professioneller.

Datenschutz-Checkliste für Trainer und Jugendleiter (Beginner)

• Einwilligungen für Fotos/Videos aktuell und dokumentiert?
• Teamchat-Regeln klar (keine Weitergabe, keine sensiblen Daten)?
• Zugriff auf Listen nur für Berechtigte?
• Geräte gesichert (PIN, automatische Sperre, keine offenen Cloud-Links)?
• Löschroutine (z. B. am Saisonende) fest eingeplant?
• Datenschutzhinweise für Eltern leicht auffindbar?
• Verzeichnis von Verarbeitungstätigkeiten angelegt – und sei es als einseitige Tabelle?
• Einmal durchgezählt, ob 20 Personen ständig automatisiert Daten verarbeiten?
• Auftragsverarbeitungsverträge mit App-, Cloud- und Newsletter-Anbietern abgeschlossen?
• Festgelegt, wer eine Datenpanne innerhalb von 72 Stunden meldet?

Fazit: Datenschutz als Teil guter Vereinsarbeit

DSGVO im Jugendfußball muss kein Angstthema sein. Wenn du Einwilligungen sauber regelst, Daten sparsam erhebst, Zugriffe begrenzt und Kommunikation bewusst organisierst, schützt du Kinder und Eltern – und reduzierst Stress im Traineralltag. Am Ende geht es um Vertrauen: Wer verantwortungsvoll mit Daten umgeht, schafft ein Umfeld, in dem sich Familien im Verein wirklich sicher fühlen.