Externer Datenschutzbeauftragter für NGO, NPO, gGmbH und Stiftung

So kommunizieren wir:

• Feste Ansprechpartner
• Regelmäßige Updates
• Klartext statt Fachchinesisch
• Rückmeldung innerhalb von 24 Stunden

Festpreis

Wir ermitteln gemeinsam ein geeignetes Paket. In den monatlichen Kosten sind dann alle anfallenden Arbeiten (inkl. Fahrtkosten) abgedeckt.

Beispiele für Monatspauschalen finden Sie in unserer ausführlichen Preisliste.

Für gemeinnützige Vereine, gGmbHs und Genossenschaften finden Sie hier Bruttopreise (inkl. MwSt.).

 

Kontakt

Kurz erklärt: Wann braucht eine NGO einen Datenschutzbeauftragten?
Eine NGO, ein Verein, eine gGmbH oder Stiftung benötigt insbesondere dann einen Datenschutzbeauftragten, wenn mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten, wenn umfangreich sensible Daten verarbeitet werden oder wenn regelmäßige und systematische Überwachung erfolgt. Externe Datenschutzbeauftragte können diese Rolle übernehmen und vermeiden oft Interessenkonflikte im Vorstand.

Datenschutz für NGOs, Vereine und gemeinnützige Organisationen – Die häufigsten Fragen

1. Braucht jede NGO einen Datenschutzbeauftragten?

Nicht jede NGO ist gesetzlich zur Benennung eines Datenschutzbeauftragten verpflichtet. Entscheidend ist vor allem die Zahl der Personen, die regelmäßig mit der Verarbeitung personenbezogener Daten beschäftigt sind. In Deutschland gilt: Sobald mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten, ist ein Datenschutzbeauftragter Pflicht. Unabhängig von dieser Schwelle kann eine Benennungspflicht entstehen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung sensibler Daten besteht – etwa bei Organisationen im Gesundheits-, Sozial- oder Menschenrechtsbereich. Doch auch ohne gesetzliche Pflicht ist ein Datenschutzbeauftragter sinnvoll: Er reduziert Haftungsrisiken, schafft Rechtssicherheit und stärkt das Vertrauen von Mitgliedern, Spendern und Partnern. Gerade NGOs profitieren von professioneller Begleitung, weil sie oft mit besonders schützenswerten Informationen arbeiten.

2. Ab wann muss ein Verein oder eine gGmbH einen Datenschutzbeauftragten benennen?

Die Benennungspflicht hängt nicht von der Rechtsform, sondern von der Datenverarbeitung ab. Sowohl Vereine als auch gemeinnützige GmbHs müssen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Dazu zählen auch ehrenamtliche Mitarbeitende, sofern sie regelmäßig Zugriff auf Mitglieder- oder Spenderdaten haben. Unabhängig von der 20-Personen-Grenze besteht die Pflicht außerdem, wenn die Organisation umfangreich besondere Kategorien von Daten verarbeitet – etwa Gesundheits-, Religions- oder Herkunftsdaten. Eine gGmbH unterliegt denselben Maßstäben wie ein Verein. Wer unsicher ist, sollte die eigene Verarbeitungssituation genau prüfen lassen, denn eine falsche Einschätzung kann zu Bußgeldern führen. Eine frühzeitige Analyse schafft hier Klarheit und Sicherheit.

3. Darf der Vereinsvorstand selbst Datenschutzbeauftragter sein?

Vom Vorstandsamt und der Funktion des Datenschutzbeauftragten ist dringend abzuraten – sie sind in der Regel nicht miteinander vereinbar. Der Datenschutzbeauftragte muss seine Aufgaben unabhängig und frei von Interessenkonflikten ausüben. Genau dieser Konflikt entsteht, wenn eine Person gleichzeitig über die Datenverarbeitung entscheidet und diese kontrollieren soll. Der Vorstand legt die Zwecke und Mittel der Verarbeitung fest und kann sich daher nicht wirksam selbst überwachen. Aufsichtsbehörden bewerten eine solche Doppelrolle als unzulässige Selbstkontrolle, was zu Beanstandungen führen kann. Dasselbe gilt häufig für Geschäftsführer oder IT-Leiter. Die saubere Lösung ist ein unabhängiger interner Mitarbeiter ohne Leitungsfunktion oder – meist praktikabler – ein externer Datenschutzbeauftragter, der die nötige Neutralität und Fachkunde mitbringt und das Haftungsrisiko des Vorstands deutlich senkt.

4. Was kostet ein externer Datenschutzbeauftragter für NGOs?

Die Kosten für einen externen Datenschutzbeauftragten richten sich nach Größe und Komplexität der Organisation. Für kleinere Vereine und NGOs beginnen monatliche Pauschalen häufig im niedrigen dreistelligen Bereich, während größere Organisationen mit vielen Mitarbeitenden und sensiblen Datenverarbeitungen entsprechend mehr investieren. Maßgeblich sind Faktoren wie die Anzahl der Beschäftigten, das Datenvolumen, die Art der verarbeiteten Daten und der Umfang der eingesetzten IT-Systeme. Ein externer Datenschutzbeauftragter ist dabei meist deutlich günstiger als eine interne Lösung, da keine Schulungs-, Personal- und Freistellungskosten anfallen. Viele Anbieter arbeiten mit transparenten Festpreisen, sodass die Ausgaben planbar bleiben. Gerade gemeinnützige Organisationen erhalten oft angepasste Konditionen. Eine individuelle Bedarfsanalyse zeigt schnell, welcher Leistungsumfang sinnvoll ist und welche Kosten realistisch eingeplant werden sollten.

5. Welche Daten sind bei NGOs besonders kritisch?

Besonders kritisch sind bei NGOs vor allem sensible personenbezogene Daten, die unter die besonderen Kategorien der DSGVO fallen. Dazu gehören Informationen über Gesundheit, religiöse oder weltanschauliche Überzeugungen, politische Meinungen, ethnische Herkunft sowie das Sexualleben. NGOs verarbeiten solche Daten häufiger als gedacht – etwa bei Hilfsprojekten, in der Flüchtlingsarbeit, bei medizinischer Unterstützung oder im Menschenrechtsbereich. Auch Spender- und Mitgliederdaten sind hochsensibel, da sie Rückschlüsse auf finanzielle Verhältnisse und Wertvorstellungen zulassen. Hinzu kommen Daten von Ehrenamtlichen und Beschäftigten. Werden Betroffene durch eine Veröffentlichung gefährdet, etwa Aktivisten in autoritären Staaten, steigt die Schutzbedürftigkeit zusätzlich. Für all diese Daten gelten strenge Anforderungen an Rechtsgrundlage, Sicherheit und Zweckbindung. Eine sorgfältige Risikobewertung ist daher unverzichtbar, um Betroffene wirksam zu schützen.

6. Wie geht man mit Spenderdaten und Fundraising-Daten DSGVO-konform um?

Spenderdaten dürfen nur auf einer klaren Rechtsgrundlage und für festgelegte Zwecke verarbeitet werden. Für die Abwicklung einer Spende und die Ausstellung von Zuwendungsbescheinigungen ist die Verarbeitung in der Regel zulässig. Anders sieht es beim werblichen Fundraising aus: Möchte eine NGO Spender erneut kontaktieren oder gezielt ansprechen, braucht sie meist eine Einwilligung oder muss sich auf ein berechtigtes Interesse stützen, das sorgfältig abzuwägen ist. Wichtig sind transparente Datenschutzhinweise, die erklären, welche Daten zu welchem Zweck genutzt werden. Spender müssen ihre Rechte – etwa auf Auskunft, Löschung oder Widerspruch gegen Werbung – einfach ausüben können. Daten sollten nur so lange gespeichert werden, wie sie benötigt werden, unter Beachtung steuerlicher Aufbewahrungsfristen. Auch externe Dienstleister wie Fundraising-Agenturen müssen über Auftragsverarbeitungsverträge eingebunden werden.

7. Wie werden Ehrenamtliche im Datenschutz geschult?

Ehrenamtliche sollten praxisnah und verständlich für den Umgang mit personenbezogenen Daten sensibilisiert werden. Da sie oft direkten Kontakt zu Mitgliedern, Spendern oder Hilfsbedürftigen haben, sind sie ein zentraler Baustein des Datenschutzes. Bewährt haben sich kompakte Schulungen, die typische Situationen aus dem Vereinsalltag aufgreifen – etwa der Umgang mit Teilnehmerlisten, Fotos oder Messenger-Gruppen. Wichtig ist, komplizierte Paragrafen in klare Handlungsregeln zu übersetzen: Welche Daten dürfen weitergegeben werden, wie werden Unterlagen sicher aufbewahrt und wie reagiert man bei einem Datenleck? Ergänzend sollten Ehrenamtliche auf die Vertraulichkeit verpflichtet werden. Regelmäßige Auffrischungen, kurze Merkblätter und feste Ansprechpartner erhöhen die Wirkung. Ein externer Datenschutzbeauftragter kann solche Schulungen übernehmen und an die konkreten Aufgaben der Organisation anpassen, sodass das Wissen tatsächlich im Alltag ankommt.

8. Was muss bei Fotos, Veranstaltungen und Einwilligungen beachtet werden?

Bei Fotos von Veranstaltungen ist immer zu klären, auf welcher Rechtsgrundlage die Aufnahmen und ihre Veröffentlichung erfolgen. Für gezielte Porträtaufnahmen einzelner Personen ist in der Regel eine ausdrückliche Einwilligung erforderlich, die freiwillig, informiert und nachweisbar sein muss. Bei Kindern müssen die Erziehungsberechtigten zustimmen. Sinnvoll ist es, Teilnehmende schon bei der Anmeldung über geplante Foto- und Videoaufnahmen zu informieren und Widerspruchsmöglichkeiten anzubieten, etwa durch gekennzeichnete Bereiche oder Hinweisschilder vor Ort. Einwilligungen sollten schriftlich oder digital dokumentiert werden und jederzeit widerrufbar sein. Auch der Verwendungszweck ist wichtig: Ein Foto für die interne Dokumentation rechtfertigt nicht automatisch die Nutzung auf Social Media. Bereits veröffentlichte Bilder müssen bei Widerruf möglichst entfernt werden. Klare Prozesse und vorbereitete Einwilligungsformulare erleichtern den rechtssicheren Umgang erheblich.

9. Welche Unterlagen braucht eine NGO für die Aufsichtsbehörde?

Eine NGO sollte jederzeit nachweisen können, dass sie ihre Datenschutzpflichten erfüllt – die wichtigste Grundlage dafür ist das Verzeichnis von Verarbeitungstätigkeiten. Darin werden alle Prozesse dokumentiert, in denen personenbezogene Daten verarbeitet werden, samt Zwecken, Rechtsgrundlagen und Löschfristen. Hinzu kommen technische und organisatorische Maßnahmen zur Datensicherheit, Auftragsverarbeitungsverträge mit Dienstleistern sowie Einwilligungs- und Informationsnachweise. Auch interne Richtlinien, Schulungsnachweise und die Verpflichtung der Mitarbeitenden auf Vertraulichkeit gehören dazu. Wird ein Datenschutzbeauftragter benannt, muss dieser der Aufsichtsbehörde gemeldet und seine Kontaktdaten veröffentlicht werden. Bei datenschutzintensiven Vorhaben kann zusätzlich eine Datenschutz-Folgenabschätzung erforderlich sein. Diese Unterlagen müssen nicht eingereicht, aber auf Anfrage vorgelegt werden können. Eine strukturierte Dokumentation sorgt dafür, dass die Organisation im Prüfungsfall auskunftsfähig ist und einen professionellen Eindruck hinterlässt.

10. Wie läuft der Wechsel zu einem externen Datenschutzbeauftragten ab?

Der Wechsel zu einem externen Datenschutzbeauftragten ist unkompliziert und in wenigen Schritten umgesetzt. Am Anfang steht ein Erstgespräch, in dem Bedarf, Größe und Datenverarbeitung der Organisation analysiert werden. Anschließend erfolgt eine Bestandsaufnahme: Der neue Datenschutzbeauftragte sichtet vorhandene Dokumente, prüft bestehende Prozesse und identifiziert Lücken oder Risiken. Danach wird die Benennung formal vollzogen und der Aufsichtsbehörde gemeldet, inklusive Veröffentlichung der Kontaktdaten. Im nächsten Schritt werden fehlende Unterlagen erstellt oder aktualisiert, etwa das Verarbeitungsverzeichnis oder Datenschutzhinweise. Ein vorheriger interner Beauftragter wird ordnungsgemäß abgelöst. Danach beginnt die laufende Betreuung mit regelmäßiger Beratung, Schulungen und Ansprechbarkeit bei Fragen oder Vorfällen. Der gesamte Prozess wird vom externen Dienstleister begleitet, sodass für die NGO nur minimaler Aufwand entsteht und der Datenschutz schnell auf ein solides Fundament gestellt wird.