Auswirkungen auch auf die Vereinsarbeit
Ab 25. Mai 2018 dem gilt auch in Deutschland die Datenschutzgrundverordnung (DSGVO) der Europäischen Union (EU). Was bisher in der EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) und dem Bundesdatenschutzgesetz (BDSG) stand wird grundlegend geregelt. Zeitgleich tritt ein dazu gehöriges deutsches Ergänzungsgesetz, das Datenschutz-Anpassungs- und -Umsetzungsgesetz – DSAnpUG in Kraft. Es modifiziert und konkretisiert die DSGVO zum Teil, weil dort eben doch nicht alles einheitlich geregelt wird.
Was geregelt wird, das steht in 11 Kapiteln mit 99 Artikeln; die DSAnpUG legt noch einmal 85 Paragrafen und sieben Artikel oben drauf. Dass auch wir mit unsren Vereinen die Regelungen zu beachten haben wird beim Studium der Verordnung schnell deutlich.
Datenschutz wird auch in Deutschland viel diskutiert. Oft verbinden wir den Begriff mit dem Speichern von Gesundheitsdaten auf der Krankenkassenkarte, der Speicherung von Telefonverbindungen oder der Erfassung von Daten durch Unternehmen wie Google, Facebook und WhatsApp. Aber auch in Vereinen wird das Thema Datenschutz zunehmend wichtig. Früher haben wir darüber diskutiert, ob die Namen der Pächter im Kolonieplan im Aushangkasten erscheinen dürfen. Heute geht es auch bei uns um die digitale Erfassung und Verbreitung von Daten zu unseren Mitgliedern und Pächtern. Wer darf diese Daten erheben, wo werden sie gespeichert, wie dürfen sie weitergegeben werden, wie lange werden sie aufbewahrt.
Sicherlich spielen wir in den Datenschutzbestimmungen mit unseren Vereinen nicht die Hauptrolle. Aber wenn in der Datenschutz-grundverordnung von personenbezogene Daten und Verarbeitung, von Verantwortlichen und Auftragsverarbeitern gesprochen wird, dann sind wir mit angesprochen. Nach den Begriffsbestimmungen im Artikel 4 der DSGVO sind „Auftragsverarbeiter“ natürliche oder juristische Personen, also auch wir als Verein.
Mit der DSGVO kommen wir immer dann in Berührung, wenn wir Daten unserer Mitglieder erfassen. Das erfolgt vorwiegend bei der Aufnahme, wenn wir nach Namen, Adressen, Geburtsdaten und Beruf fragen. Auch die Kontonummer wird notiert, vielleicht noch das PKW-Kennzeichen, die Telefonnummer, das Geschlecht, der Familienstand und das Hochzeitsdatum und auch die Mitwirkung in anderen Vereinen.
Einige Angaben benötigen wir für die Vereinsverwaltung, die Zustellung von Einladungen und Rechnungen. Andere für Gratulationen und Ehrungen, die Einteilung bei der Gemeinschaftsarbeit oder besondere Fähigkeiten, die für uns im Verein nützlich sind. Auch der Dachverband möchte Listen haben als Nachweis für die Versicherten, für den Bezug der Verbandszeitschrift oder für statistische Zwecke über Altersstrukturen und soziale Fragen. Wir erfassen die Daten in den Aufnahmeanträgen und übertragen sie dann in Vereinsverwaltungsprogramme oder Tabellen. Computerfreaks erstellen daraus Geburtstagslisten, Vereinsübersichten oder verwalten die Kasse.
Unzulässig ist die Erhebung von Daten nicht, wenn wir sie für die Erfüllung unserer Aufgaben benötigen. Aber die DSGVO stellt auch an uns Bedingungen, die wir zu erfüllen haben. Dazu gehören Informationspflichten. Zum Beispiel welche Daten erhoben werden, wer sie erhebt und wer sie noch bekommt. Es muss dargelegt werden, wo und wie lange die Daten gespeichert werden. Dabei ist es wichtig, dass der Zugang zu den Daten geschützt wird.
Die betroffenen Personen, also auch unsere Mitglieder und Pächter haben ein Recht auf Berichtigung. Falsche Angaben müssen korrigiert und bei Weitergabe der Daten auch die anderen Stellen informiert werden. Und schließlich gibt es ein „Recht auf Vergessenwerden“. Das ist insbesondere beim Ausscheiden eines Mitgliedes aus dem Verein der Fall oder bei unrichtigen Daten. Dann muss unverzüglich gelöscht werden.
Bei der Erfassung von Daten empfiehlt es sich immer, das schriftliche Einverständnis festzuhalten. Im Aufnahmeantrag kann dazu eine Formulierung erfolgen, welche Daten erfasst, für welche Zwecke genutzt und wann sie gelöscht werden. Das neue Mitglied stimmt dem mit seiner Unterschrift ausdrücklich zu. Dazu können auch Angaben in der Verbandszeitschrift gehören wie die Nennung von Geburts- oder Hochzeitstagen.
Regelungen der DSGVO - auch für Vereine - in Kürze:
Art. 4 Abs. 1 bestimmt, dass „personenbezogene Daten“ alle Informationen sind, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Art. 4 Abs. 11 gibt detaillierte Regelungen zu Einwilligungserklärungen vor.
Art. 5 beschreibt die Grundsätze der Verarbeitung personenbezogener Daten.
Art. 13 gibt eine Liste der Informationen vor, die der betroffenen Person zum Zeitpunkt der Erhebung mitzuteilen sind.
Art. 24 Abs. 1 regelt, dass mit geeigneten technischen und organisatorischen Maßnahmen der Datenverarbeitung Datensicherheit gewährleistet werden muss. (Datensicherung, Verschlüsselung, etc.).
Art 30. verpflichtet auch uns als Vereine ein Verzeichnis aller Verarbeitungstätigkeiten, die in unserer Zuständigkeit unterliegen zu führen, weil die Verarbeitung regelmäßig erfolgt.
Art. 33 Abs. 1 verpflichtet, „Verletzung des Schutzes personenbezogener Daten ... unverzüglich und möglichst binnen 72 Stunden, nachdem ... die Verletzung bekannt wurde, der ... zuständigen Aufsichtsbehörde“ zu melden. Mindestinhalte der Meldung sind in Art 33 Abs. 3 geregelt.
Art. 35 Abs. 1 verlangt die Prüfung ob besonders risikobehaftete Datenverarbeitungsvorgänge (z.B. Speicherung in einer Cloud) gegeben sind. Darauf aufbauend beschreibt Art. 35 Abs. 7 die Mindestinhalte der Datenschutz-Folgeabschätzungen.
Nachweispflicht:
Nach Art. 5 Abs. 2 muss bei Datenschutzverstößen nachgewiesen werden, dass die datenschutzrechtlichen Regelungen eingehalten wurden.
Weiterführende Informationen zum Thema bietet das Internet.
Die DSGVO finden sie zum Beispiel unter https://dsgvo-gesetz.de/. Nützliche Infos zum Datenschutz im Verein und Verband gibt Rechtsanwalt Patrick Nessler auf seiner Homepage unter https://www.rkpn.de/datenschutz-im-verein-und-verband/index.html. Patrick Nessler ist Mitglied im wissenschaftlichen Beirat des Bundesverbandes Deutscher Gartenfreunde e.V.
Checkliste Datenschutz
- Gibt es Datenschutzregelungen im Verein?
Siehe zum Beispiel https://www.baden-wuerttemberg.datenschutz.de/datenschutz-im-verein/ - Ist im Aufnahmeantrag angegeben, welche Daten erhoben werden?
- Sind die Daten für den Vereinszweck erforderlich
- Ist angegeben, an wen diese Daten weitergegeben werden (Dachverband)?
Der Dachverband muss ein berechtigtes Interesse haben (z.B. Versichertenlisten gemäß Rahmenvertrag) - Ist dem Mitglied/Pächter bekannt, wie Daten erfasst und genutzt werden (Aushang am schwarzen Brett, Info in der Verbandszeitschrift oder im Internet)
- Ist im Verein geregelt, welches Vorstandsmitglied (Funktionsträger) auf welche Daten zugreifen darf?
- Ist geregelt, wie die Daten gesichert werden?
- Kann das Mitglied der Veröffentlichung / Weitergabe von Daten widersprechen?
- Gibt es eine sogenannte Datenlöschkonzeption die festlegt, wann welche Daten der Mitglieder zu löschen sind? (Als Faustregel gilt, eine Löschung ist geboten, wenn nach dem Rücktritt keine Rückfragen mehr zu erwarten sind. Dann ist die auch tatsächlich vorzunehmen.)
636067_original_R_K_B_by_Rainer Sturm_pixelio.de
oder 721898_original_R_K_B_by_Rainer Sturm_pixelio.de
Datenschutz ist auch in Vereinen wichtig