Hinweis: Dieser Artikel erklärt die Rechtslage nach bestem Wissen und mit Quellen, ersetzt aber keine Rechtsberatung. Stand Oktober 2026.
Seit 2018 hat sich in vielen Vereinen eine Art Grundangst eingeschlichen. Ob man die Liste aufhängen darf, ob jeder Helfer etwas unterschreiben muss, ob die WhatsApp-Gruppe jetzt verboten ist: Die Antworten sind meistens entspannter, als man denkt. Eine Helferliste ist keine heikle Datenverarbeitung. Ein paar Punkte solltet ihr aber kennen, weil genau dort in der Praxis die Fehler passieren.
Wer überhaupt verantwortlich ist
Im Sinne der DSGVO ist der Verein verantwortlich, nicht die Person, die die Liste zufällig auf ihrem Laptop führt. Das ist wichtig, weil sich manche Organisatoren auf die Ausnahme für private Zwecke berufen. Die greift aber nur bei „ausschließlich persönlichen oder familiären Tätigkeiten“ (Art. 2 Abs. 2 lit. c DSGVO). Wer für den Verein ein Fest organisiert, macht Vereinsarbeit.
Bei Schulen und Kitas hängt es davon ab, wer das Fest ausrichtet: die Schule selbst, der Förderverein oder der Träger. Fragt im Zweifel kurz bei der Schulleitung oder dem Träger nach, wer zuständig ist. Dort gibt es meistens auch eine Ansprechperson für Datenschutz.
Nutzt ihr ein Online-Tool für die Liste, verarbeitet der Anbieter die Daten in eurem Auftrag. Dafür braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Seriöse Anbieter haben den fertig und schließen ihn mit euch ab, ihr müsst da nichts selbst entwerfen.
Braucht ihr eine Einwilligung?
Für die Helferliste selbst in aller Regel nicht. Wer sich für die Kuchentheke von 14 bis 16 Uhr einträgt, will ja, dass ihr Namen und Nummer genau dafür verwendet. Der Landesbeauftragte für den Datenschutz Baden-Württemberg stützt die Verarbeitung von Mitgliederdaten für Vereinszwecke in seiner Orientierungshilfe auf Art. 6 Abs. 1 lit. b DSGVO, also auf die Mitgliedschaft. Für Daten von Nichtmitgliedern, etwa Eltern beim Schulfest, kommt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f in Frage.
Eine Einwilligung wird erst dann nötig, wenn ihr mehr wollt als die Organisation der Schichten. Typische Beispiele sind Fotos auf der Website oder eine Veröffentlichung der Helfernamen im Internet. Und eine Einwilligung ist nur wirksam, wenn sie freiwillig ist. Wer helfen will, darf also nicht gezwungen werden, nebenbei dem Newsletter zuzustimmen.
Was auf die Liste gehört und was nicht
Die DSGVO verlangt Datenminimierung (Art. 5 Abs. 1 lit. c). Ihr dürft nur erheben, was ihr für den Zweck braucht. Für eine Helferliste ist das überschaubar:
| Angabe | Nötig? | Warum |
|---|---|---|
| Name | Ja | Ihr müsst wissen, wer kommt. |
| Telefonnummer | Ja, meistens | Für Rückfragen und wenn am Festtag jemand fehlt. |
| Nur wenn ihr per Mail informiert | Wer alles über WhatsApp oder telefonisch klärt, braucht sie nicht. | |
| Adresse | Nein | Für eine Schicht am Grill gibt es keinen Grund. |
| Geburtsdatum | Nein | Wenn es um Jugendschutz am Ausschank geht, reicht die Angabe „volljährig ja/nein“. |
| Allergien, Krankheiten | Nein | Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Fragt sie nicht ab. |
| T-Shirt-Größe | Nur wenn ihr Shirts verteilt | Dann ist sie für den Zweck nötig. |
Der Punkt mit den Allergien kommt öfter vor, als man denkt. Beim Kuchenbuffet will man wissen, ob jemand Nüsse verwendet. Das ist eine Angabe zum Kuchen und völlig in Ordnung. Fragt ihr dagegen nach den Allergien der Helfer selbst, erhebt ihr Gesundheitsdaten, und das solltet ihr lassen.
Die Liste am Festtag aushängen
Am Festtag soll jeder sehen können, wer wann wo steht. Gleichzeitig hängt der Plan dann an einem Ort, an dem auch Gäste vorbeilaufen. Die Orientierungshilfe des LfDI Baden-Württemberg bewertet Aushänge am „Schwarzen Brett“ ausdrücklich als Weitergabe an einen nicht überschaubaren Kreis, weil nie auszuschließen ist, dass Fremde mitlesen. Personenbezogene Angaben sollen dort nur stehen, wenn es für den Vereinszweck erforderlich ist.
Für die Praxis heißt das: Ein Schichtplan am Stand ist in Ordnung, wenn er nur enthält, was die Leute vor Ort brauchen. Also Station, Uhrzeit und Vorname mit Initial, zum Beispiel „Grill, 16 bis 18 Uhr: Sabine K., Tobias M.“. Telefonnummern haben auf dem Aushang nichts zu suchen. Die Telefonliste gehört in den Ordner der Festleitung und nicht an die Pinnwand neben der Kasse.
Die Liste im Internet
Hier wird es strenger. Eine öffentlich abrufbare Tabelle, ein offener Doodle-Link oder eine Google-Tabelle mit „Jeder mit dem Link kann bearbeiten“ ist datenschutzrechtlich eine Veröffentlichung im Internet. Der LfDI Baden-Württemberg hält eine solche Veröffentlichung durch einen Verein grundsätzlich für unzulässig, wenn die Betroffenen nicht ausdrücklich eingewilligt haben.
Das ist der Grund, warum die klassische offene Online-Tabelle mit vollen Namen und Handynummern so problematisch ist. Jeder, der den Link bekommt, sieht alles. Der Link wird weitergeleitet, landet in anderen Gruppen und ist nach dem Fest immer noch aktiv. Wenn ihr eine Online-Liste nutzt, achtet darauf, dass andere Helfer höchstens gekürzte Namen sehen und Telefonnummern nur bei euch als Organisatoren landen.
WhatsApp-Gruppen
WhatsApp ist im Vereinsalltag kaum wegzudenken, und kein Mensch erwartet, dass ihr darauf verzichtet. Zwei Dinge solltet ihr aber wissen. In einer normalen Gruppe können die Mitglieder in der Regel die Telefonnummern aller anderen sehen. Wer also 60 Eltern in eine Gruppe packt, gibt 60 Handynummern an 59 Leute weiter. Außerdem greift WhatsApp, wenn man es erlaubt, auf das Adressbuch des Handys zu und gleicht die Nummern darin ab. Auch das ist bei Vereinsarbeit nicht ganz unproblematisch.
Was ihr praktisch tun könnt:
- Fügt niemanden ungefragt hinzu. Schickt lieber einen Einladungslink, dann entscheidet jeder selbst.
- Legt für das Fest eine eigene Gruppe an und löst sie danach auf. Eine Dauergruppe sammelt über Jahre Leute, die längst nichts mehr mit dem Verein zu tun haben.
- Nutzt die Gruppe zum Verteilen und führt die Liste woanders. Wie das aussehen kann, steht im Artikel Helferliste über WhatsApp.
- Bietet für Leute ohne WhatsApp einen anderen Weg an, etwa Telefon oder Mail.
Kurz informieren, wofür die Daten sind
Nach Art. 13 DSGVO müsst ihr den Leuten beim Erheben sagen, wer die Daten bekommt, wofür, auf welcher Rechtsgrundlage und wie lange. Unterschreiben muss dafür niemand. Ein kurzer Absatz neben der Liste oder im Formular reicht, zum Beispiel so:
Wir, der [Vereinsname], speichern deinen Namen und deine Telefonnummer, um die Schichten für das [Fest] am [Datum] zu planen und dich bei Änderungen zu erreichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO [bei Nichtmitgliedern: lit. f, unser Interesse an der Organisation des Festes]. [Falls zutreffend: Andere Helfer sehen nur deinen Vornamen und den ersten Buchstaben deines Nachnamens.] Wir geben die Daten nicht an Dritte weiter und löschen sie spätestens [Datum]. Fragen zum Datenschutz an: [Name, Kontakt]. Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch und kannst dich bei einer Datenschutzaufsichtsbehörde beschweren.
Wenn ein Online-Tool beteiligt ist, gehört ein Satz dazu, welcher Anbieter das ist und wo die Daten liegen. Wer eine ausführliche Vorlage für eine Vereins-Datenschutzerklärung sucht, findet beim LfDI Baden-Württemberg einen Praxisratgeber mit Mustern.
Nach dem Fest: löschen
Daten dürfen nur so lange gespeichert werden, wie ihr sie für den Zweck braucht (Art. 5 Abs. 1 lit. e DSGVO). Ist das Fest vorbei und die Abrechnung erledigt, ist der Zweck erfüllt, und Betroffene können die Löschung verlangen (Art. 17 DSGVO). Legt euch deshalb vorher ein Datum fest, zum Beispiel vier Wochen nach dem Fest, und schreibt es in den Infotext.
Das eigentliche Problem sind dabei nicht die Originale, sondern die Kopien. Prüft nach dem Fest:
- die Excel-Datei auf dem privaten Laptop der Kassenwartin,
- ausgedruckte Listen im Ordner, im Auto und an der Pinnwand,
- Screenshots und weitergeleitete Listen in WhatsApp-Chats,
- Mail-Anhänge mit der Liste im Postfach,
- die Online-Tabelle samt Freigabelink.
Wollt ihr fürs nächste Jahr wissen, wer gerne wieder am Grill steht, fragt die Leute lieber, ob sie in eine Kontaktliste für künftige Feste aufgenommen werden möchten. Das ist eine eigene Frage mit eigener Antwort und keine stillschweigende Verlängerung.
Bei Schichtplan-Manager passiert das Löschen automatisch: Alle Daten eines Events verschwinden 90 Tage nach dem Eventende, mit Vorwarnung im Dashboard. Was genau gespeichert wird und wer was sieht, steht offen auf der Transparenzseite. Die Kopien, die ihr selbst exportiert oder ausdruckt, müsst ihr trotzdem selbst löschen.
Die häufigsten Fehler
- Die Helferliste wird als offene Online-Tabelle mit vollen Namen und Handynummern geteilt.
- Die komplette Telefonliste hängt am Festtag sichtbar am Stand.
- Für die Liste werden Geburtsdatum und Adresse abgefragt, „weil das Formular das halt hatte“.
- Die Fest-Gruppe vom letzten Jahr wird einfach weitergenutzt, inklusive Leuten, die längst raus sind.
- Nach dem Fest löscht niemand etwas, weil sich keiner zuständig fühlt.
Wie ihr die Liste von Anfang an so aufbaut, dass diese Fehler gar nicht erst entstehen, zeigt die Anleitung Helferliste erstellen.
Quellen
- Datenschutz-Grundverordnung (DSGVO), EUR-Lex, insbesondere Art. 2, 5, 6, 7, 9, 13, 17 und 28
- LfDI Baden-Württemberg: Datenschutz im Verein nach der DS-GVO (Orientierungshilfe, Abschnitte 5.3 und 5.6)
- LfDI Baden-Württemberg: Praxisratgeber für Vereine (Stand Juni 2020)
- § 38 BDSG, Datenschutzbeauftragte