Aktuelles
Datum:
Datenschutzpannen sind eine Frage der Organisation und damit Haftungssache des Verantwortlichen - Betroffene können ihre Rechte gegenüber dem Sportverein geltend machen
Datenschutzverstöße werden für Sportvereine zunehmend zu einem Haftungsrisiko mit erheblicher finanzieller Tragweite. Mit mehreren Entscheidungen aus den Jahren 2025 und 2026 hat der Bundesgerichtshof (BGH) die Anforderungen an den Umgang mit personenbezogenen Daten weiter konkretisiert. Die zentrale Botschaft lautet: Die datenschutzrechtliche Verantwortung verbleibt beim „Verantwortlichen“ im Sinne der DSGVO – also bei der Organisation, die über Zweck und Mittel der Datenverarbeitung entscheidet. Auch wenn externe Dienstleister eingebunden werden, kann sich der Verantwortliche seiner Haftung nicht entziehen.
Für Sportvereine ist diese Bestätigung von besonderer Bedeutung, da sie täglich große Mengen personenbezogener Daten verarbeiten – von Mitgliederdaten über Gesundheitsinformationen bis hin zu Spieler-, Mitarbeiter- und Sponsoringdaten.
Besondere Aufmerksamkeit erhielt ein Urteil des BGH vom 11. November 2025 (Az. VI ZR 396/24). Der Fall betraf personenbezogene Daten, die nach Beendigung eines Auftragsverarbeitungsverhältnisses beim Dienstleister verblieben und später unbefugt abgegriffen wurden. Der BGH stellte klar, dass der Verantwortliche auch nach Vertragsende sicherstellen muss, dass personenbezogene Daten beim Auftragsverarbeiter tatsächlich gelöscht oder zurückgegeben werden. Kommt er dieser Pflicht nicht nach, haftet er für daraus entstehende Schäden der Betroffenen.
Bereits zuvor hatte der BGH entschieden, dass ein bloßer Kontrollverlust über personenbezogene Daten einen ersatzfähigen immateriellen Schaden darstellen kann. Es ist also nicht erforderlich, dass Betroffene einen konkreten Vermögensschaden nachweisen. Schon die unzulässige Weitergabe oder Verarbeitung personenbezogener Daten kann Schadensersatzansprüche auslösen.
Die Rechtsprechung verschärft damit die Verantwortung von Organisationen erheblich. Datenschutz wird nicht mehr nur als Compliance-Thema betrachtet, sondern zunehmend als Haftungsfrage mit unmittelbaren finanziellen Konsequenzen.
Kaum eine Organisation verarbeitet so viele unterschiedliche personenbezogene Daten wie ein moderner Sportverein. Mitgliederverwaltung, Online-Anmeldungen, Kursbuchungen, Ticketing-Systeme, Videoanalysen, Gesundheitsdaten von Athleten, Newsletter-Versand oder Cloud-Lösungen für die Vereinsorganisation – häufig werden hierfür externe Dienstleister eingesetzt.
Genau hier liegt das Risiko. Viele Vereinsverantwortliche gehen davon aus, dass ein externer IT-Dienstleister oder Softwareanbieter für Datenschutzverstöße verantwortlich ist. Die aktuelle BGH-Rechtsprechung macht jedoch deutlich, dass die datenschutzrechtliche Hauptverantwortung beim Verein verbleibt. Der Dienstleister mag Mitverursacher sein – Anspruchsgegner der Betroffenen bleibt aber regelmäßig der Verantwortliche.
Für Geschäftsführer bedeutet dies ein erhebliches wirtschaftliches Risiko. Datenschutzverstöße können nicht nur behördliche Bußgelder nach sich ziehen, sondern auch individuelle Schadensersatzforderungen von Mitgliedern, Mitarbeitern, Trainern oder Athleten. Da bereits der Verlust der Kontrolle über personenbezogene Daten als Schaden anerkannt werden kann, sinkt die Hürde für entsprechende Ansprüche erheblich.
Geschäftsführer sollten die aktuelle Rechtsprechung (erneut) zum Anlass nehmen, ihre Datenschutzorganisation unverzüglich zu überprüfen.
Besonders dringlich sind folgende Maßnahmen:
Die BGH-Rechtsprechung zeigt deutlich: Datenschutzverstöße werden zunehmend als eigenständiges Haftungsrisiko behandelt. Für Geschäftsführungen von Sportvereinen bedeutet dies, dass Datenschutz nicht mehr ausschließlich Aufgabe von Datenschutzbeauftragten oder der IT-Abteilung ist. Er gehört zu den zentralen Organisations- und Überwachungspflichten der Vereinsleitung. Wer hier nicht rechtzeitig handelt, riskiert neben Reputationsschäden auch erhebliche finanzielle Belastungen durch Schadensersatzforderungen und aufsichtsbehördliche Maßnahmen.
Die aktuellen Entscheidungen des Bundesgerichtshofs zeigen, dass Datenschutz ein zentrales Element einer rechtssicheren Vereinsorganisation ist. BDO unterstützt Sportvereine dabei, ihre Datenschutzorganisation ganzheitlich zu überprüfen und an die aktuellen rechtlichen Anforderungen anzupassen. Dazu gehören unter anderem die Analyse bestehender Prozesse, die Überprüfung von Auftragsverarbeitungsverträgen, die Bewertung technischer und organisatorischer Maßnahmen sowie die Entwicklung praxistauglicher Lösch- und Berechtigungskonzepte. Darüber hinaus begleiten wir Vereine bei der Umsetzung datenschutzkonformer Strukturen und schulen Geschäftsführungen, Mitarbeitende sowie Ehrenamtliche. So helfen wir Ihnen, Haftungsrisiken frühzeitig zu erkennen, Compliance nachhaltig zu stärken und den Schutz personenbezogener Daten langfristig sicherzustellen.
Sie möchten Ihre Datenschutzorganisation auf den Prüfstand stellen oder benötigen Unterstützung bei der Umsetzung der DSGVO-Anforderungen? Sprechen Sie uns an – unsere Expertinnen und Experten begleiten Sie mit einer praxisnahen und rechtssicheren Beratung.
