Datenschutz im Verein
Datenschutz im Verein, wie geht das? Ist das machbar nach DSGVO? Das geht doch gar nicht, ist alles viel zu aufwändig, wir machen das ja schließlich im Ehrenamt. In diesem Tenor sind die Fragen und Ängste, die mich in Bezug auf Umsetzung der DSGVO erreichen. Ich möchte mit diesem Artikel etwas aufklären und die Ängste nehmen.
DSGVO wird in der Presse sehr aufgebauscht, soviel neues ist aber gar nicht hinzugekommen. Das BDSG gab es schon vorher, es wurde lediglich erneuert, auch da schon mußte der Datenschutz im Verein eingehalten werden.
Ich sehe das als Barometer, diejenigen, die jetzt besonders aufgeregt sind, das sind diejenigen, die neu in das Thema Datenschutz einsteigen. Das heißt also, diejenigen, die sich vorher gar nicht darum gekümmert haben. DSGVO kommt auch mit neuen Bußgeldern um die Ecke, das erhöht natürlich die Relevanz, also ist das Arbeitspaket für die bisherigen „Nichtdatenschützer“ ungleich höher. Die anderen, werden wenig Last mit dem Datenschutz im Verein haben, wenn sie ihn denn vorher schon ernst genommen haben.
Es ist also machbar, man kann gute und bequeme Wege finden, um dem Datenschutz im Verein genügend Raum zu geben.
Man muss nur endlich mal mit einer Bestandsanalyse anfangen und alle mit ins Boot holen. Im Ehrenamt finden sich ja ganz verschiedene Menschen zusammen, da ist Information natürlich ein wichtiges Thema.
Normale Vereine
Hierbei muss man sich anschauen, welche Daten anfallen und ob sie wirklichalle benötigt werden. Wir betrachten mal ein paar Beispiele: Reitverein, Sportverein, Kaninchenzüchter, Arbeitgeberverände etc. ich habe die Überschrift „normale Vereine“ genannt, um eine Unterscheidung treffen zu können s.u.
Diese Vereine verarbeiten natürlich personenbezogene Daten, hier kommen ganz normal DSDVO Kapitel 2 Abs 5ff in Betracht.
Die DSGVO bringt mehr Dokumentations- und Informationspflichten mit sich. Eigentlich Selbstverständlichkeiten, diejenigen die bereits im Thema sind, müssen sicher nur Feinschliff machen, um dem Datenschutz im Verein gerecht zu werden.
Aber die Informationspflichten haben sich erweitert, man muss jeden Betroffenen, darüber informieren, welche Daten über ihn gespeichert werden und zu welchem Zweck. Ok, dafür braucht man also einen Prozess, wo gibt es diesen Fall, wer bearbeitet ihn, wie wird er dokumentiert?
Ein Beispiel: Jemand interessiert sich für den Verein und möchte gerne einen Termin vereinbaren. Der Verein nutzt ein „bequemes“ Contentmanagementsystem für seine Webseite, sagen wir mal WordPress.
Da könnte man das Kontaktformular gleich so gestalten, dass es nach dem Abschicken eine automatische Antwort an den Absender sendet. Beispiel abgekürzt:
„Vielen Dank für Ihre Anfrage…..
zur Bearbeitung Ihres Anliegens speichern wir die folgenden Daten von Ihnen:
Vorname
Nachname
Mailadresse
…
Die Daten werden nur zur Bearbeitung dieser Anfrage verwendet und nach Abschluß Ihres Anliegens von uns unwiderbringlich gelöscht………..“
Und so weiter, hier wäre man nun der Informationspflicht schon nachgekommen und alles geht automatisch, also wenig Arbeit. Mit Anfragen, die per Mail kommen, könnte man genauso verfahren, man erstellt sich eine Mailvorlage, die man in diesen Fällen immer benutzen kann.
Das ist nur ein Beispiel wie der Datenschutz im Verein smart gestaltet werden kann.
Natürlich muss man sich auch über andere Themen Gedanken machen, z.B. das Postgeheimnis. Wer bekommt welche Email, wie kommt der Verein bei einem Austritt der Person an diese Daten, wie werden sie übergeben an den nächsten Amtsinhaber, wer hat Zugriff auf den PC und die Mailadresse, lesenhier Angehörige mit…
besondere Vereine
Beispiele: Parteien, Gewerkschaften, Freimaurerlogen u.ä.
Dies sind alles Vereine, die Daten verarbeiten, die in Bezug zur pers. Meinung, Weltanschauung u.ä. stehen oder bei der die Zugehörigkeit zu einem solchen Verein bereits genau das ausdrückt.
Hier käme dann zusätzlich DSGVO Kapitel 2 Abs. 9 in Betracht:
„Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.“
Ein weiteres Zitat aus dem Datenschutzjahrbuch 2018 der Gesellschaft für Datenschutz und Datensicherheit (GDD) :
Hier wird die Begrifflichkeit nochmal genauer abgegrenzt und mit Beispielen unterlegt.
Es sind besondere Massnahmen erforderlich, in Bezug auf den wirklichen Schutz dieser Daten. Meistens ist es ja auch so, dass solche Vereine sich eine Geheimhaltung ihrer Mitglieder zusätzlich selbst auferlegt haben, das sollte man dann auch umsetzen, denn es gibt Menschen, die persönliche, oder berufliche Nachteile durch das Bekanntwerden einer Mitgliedschaft in z.B. einer bestimmten Partei oder auch in einem Geheimbund zu befürchten haben.
Dieser Punkt ist besonders wichtig in Bezug auf den Datenschutz im Verein. Diese Teile der DSGVO sind aber auch keinesfalls neu, es gab sie vorher schon.
Es ist auch ganz wichtig zu betrachten, wo werden die Mitgliedsdaten gespeichert? Wie und wo und durch wen werden sie gesichert? Darf soetwas von Vereinsfremden durchgeführt werden, denn dort könnten dann die Daten eingesehen werden etc. Wer hat Zugriff auf die Rechner, an denen diese Daten verarbeitet werden. Hier muss sehr sensibel agiert werden. Nochmal deutlich, hier geht es um den Schutz der Persönlichkeitsrechte der einzelnen Mitglieder, nicht um darum, was der Vorstand will. DSGVO kann man auch nicht durch Abstimmung aushebeln.
Auch ist zu überlegen, ob eine sogenannte Datenschutzfolgenabschätzung erstellt werden muss. Es könnte bei Bekanntwerden dieser Daten einen großen immateriellen Schaden für den oder die Betroffenen bedeuten, dafür sieht die DSGVO eine Abschätzung der Folgen vor.
Vereine mit minderjährigen Mitgliedern
Auch hier gelten erweiterte Regelungen, um die Persönlichkeitsrechte von Kindern zu schützen. Da ich in diesem Bereich nicht tätig bin, gehe ich an dieser Stelle nicht genauer darauf ein.
Fazit
Man muss sich darum kümmern, aber es ist mit vertretbarem Aufwand machbar. Man muss auch kein Jurist sein, das DSGVO und das BDSG sind meiner Ansicht nach, zwar nicht in allen Punkten eindeutig aber dennoch gut zu verstehen und es gibt auch genug Hilfestellungen im Netz.
Das war nur ein Kurzabriss für Vereinsfunktionäre, die gerade beginnen, sich mit diesem Thema auseinanderzusetzen.