Source: https://www.ancestry24.de/de/95-blog/allgemein/1225-dsgvo-und-genealogie
Timestamp: 2019-11-13 17:40:26+00:00

Document:
Our Family History - DSGVO und Genealogie
Nun kommen wir zum Anwendungsbereich, der für Genealogen relevant ist. Da heißt es in Art. 2 DSGVO Abs. 2 "Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten c) durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten."
Nun, in erster Linie ist die Ahnenforschung eine persönliche und familiäre Tätigkeit. Hier möchte ich Vereine ausschließen und auch Projekte zu Ortsfamilienbüchern oder anderen Zusammenstellungen von Personendaten im Rahmen der Genealogie, die nicht die eigene Familie betreffen.
Damit darf ich schon mal alle familiären Daten zumindest zu Hause für mich speichern, um einen Überblick über meine Familie zu haben und auch deren Anschriften und Geburtstage zu kennen. Natürlich dürfen wir diese Daten von lebenden Personen nicht veröffentlichen, außer nach Art. 6 DSGVO a) "Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben." (also für die Verwendung in unserer Datenbank). Dazu ist aber Art. 7 DSGVO Abs. (1) "Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat." zu beachten. Nachweisen kann man etwas am ehesten, wenn man es schriftlich vorliegen hat.
Außerdem steht geschrieben in Art. 9 DSGVO Abs. (2) "Absatz 1 gilt nicht in folgenden Fällen: e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat." Das hat in meinen Augen eine ähnliche Bedeutung wie die alte Formulierung § 28 Absatz 1 Nr. 3 BDSG. Im neuen BDSG, gültig seit 25.05.2018 gibt es diesen Passus aber nicht mehr. Stattdessen steht jetzt in § 1 geschrieben
Das neue BDSG wiederholt hier also ausdrücklich die Formulierung aus Art. 2 DSGVO Abs. 2.
In den Erläuterungen zum BDSG im Datenschutz Wiki steht zu persönlichen oder familiären Tätigkeiten:
Mit der Formulierung „für persönliche oder familiäre Tätigkeiten“ grenzt das Gesetz einen Bereich persönlicher Lebensführung von der beruflichen und geschäftlichen Sphäre ab. Hier betrachtet der Gesetzgeber denjenigen, der personenbezogene Daten erhebt, verarbeitet oder nutzt, als ebenso schutzbedürftig wie die Betroffenen und räumt diesen deshalb keinen rechtlichen Einfluss auf seinen Datenumgang ein. Entscheidend ist also, dass der Datenumgang im privaten Aktionskreis stattfindet. Diese Bedingung ist zugleich notwendig wie hinreichend. Wie intensiv die Belange von Betroffenen berührt werden, spielt keine Rolle. Auch der Umgang mit besonderen Daten nach § 3 Abs. 9 fällt unzweifelhaft unter die Ausnahme. [...] Der Datenumgang muss in vollem Umfang und während der gesamten Dauer ausschließlich für persönliche oder familiäre Tätigkeiten erfolgen. Werden beispielsweise die Adressen des persönlichen Freundes- und Bekanntenkreises auch nur einmal für eine Direktwerbeaktion zugunsten eines Dritten zur Verfügung gestellt oder genutzt, so entfällt die Ausnahme. Der konkrete Werbezweck ist dabei unerheblich; eine gewerbliche Produktwerbung fällt genauso darunter wie der Hinweis auf die erwünschte Unterstützung wohltätiger Organisationen oder kommunaler Anliegen. Jegliche nach außen gerichtete, über den persönlichen und familiären Kreis hinaustretende Tätigkeit verlässt den privilegierten Rahmen. [...] Dagegen gehört die Nutzung eines privaten Adressverzeichnisses durchaus zu den persönlichen Tätigkeiten, auch wenn Gruppenrundschreiben versandt werden, etwa mit Weihnachtgrüßen oder einer Virenwarnung. Eine erhebliche Größe einer Datensammlung oder eine hohe Intensität ihrer Verarbeitung schließen an sich einen persönlich-familiären Zweck nicht aus, können aber Indiz für eine darüber hinausgehende Zwecksetzung sein.
Daraus schlussfolgere ich jetzt für mich persönlich, ich darf die personenbezogenen Daten meiner Familie auf jeden Fall für mich privat sammeln. Eine öffentliches zugänglich machen auf der Webseite sollte unterlassen werden. Für die Daten Verstorbener ist es kein Problem, diese auch auf der Webseite darzustellen.
Nun bleibt noch die Betrachtung der Webseite in Bezug auf die DSGVO. Da gelten nun die üblichen Regeln, die für alle Webseiten gelten. Personenbezogene Daten werden in irgendeiner Weise bei jedem Besuch einer Webseite gespeichert, seien es Cookies oder vom Provider erhobene IP-Adressen. Darauf sollte ich natürlich in meiner Datenschutzerklärung hinweisen. Diese Daten werden aber in der Regel nur kurzzeitig gespeichert. Außerdem werden bei Gästebucheinträgen und Kommentarfunktionen persönliche Daten erhoben, das ist mindestens die Mailadresse, wenn angegeben der Klarname, die einen identifizierbar machen. Wenn man sich auf den Seiten registrieren kann, dann werden natürlich auch da Daten erhoben. Diese Daten bleiben gespeichert, solange die Registrierung besteht, da sie für die vom User gewollte zusätzliche Funktion der Webseite notwendig ist.
Fazit daraus ist, auf die Webseite gehört eine Datenschutzerklärung, die aufzeigt wo genau die Webseite Daten warum erhebt. Außerdem ist man verpflichtet auf Wunsch solche Daten auch wieder zu löschen, das gilt für Zugangsdaten genauso wie für Kommentare oder Gästebucheinträge. Man sollte also einem solchen Wunsch eines Users auch nachkommen oder eine technische Möglichkeit schaffen, dass User Ihre Daten selbst wieder löschen können.
Zur Speicherung sämtlicher Daten ist eine Einwilligung des Betroffenen notwendig. Nun, wer im Internet surft, weiß üblicherweise, dass da auch Daten erhoben werden, z.B. Cookies und IP Adressen gespeichert werden. Wer sich dem nicht aussetzen möchte, darf in meinen Augen grundsätzlich nicht im Internet surfen. Für Registrierungen, Gästebucheinträge und Kommentare besteht an sich der Grundsatz, der normale Mensch macht sowas schon bewusst. Grundsätzlich sagt die DSGVO zur Einwilligung:
Es besteht kein Formerfordernis für die Einwilligung, auch wenn die schriftliche Einwilligung aufgrund der Rechenschaftspflichten des Verantwortlichen weiterhin zu empfehlen ist. Sie kann daher auch in elektronischer Form erfolgen. Dabei ist zu beachten, dass laut Erwägungsgrund 32 eine Einwilligung nur durch eine eindeutige Handlung zustande kommen soll. Dies lässt auf das Erfordernis eines Opt-Ins schließen.
Es sollte also eine Zustimmung ermöglicht werden. Auf meiner Genealogiewebseite ist auch das weitestgehend umgesetzt. Bei Gästebucheinträgen ist eine aktive Zustimmung nötig, Bei Registrierungen wird ein Link verschickt, mit dem der User sein Konto selbst aktivieren muss, mit der Aktivierung stimmt er der Datenspeicherung zu. Außerdem wird er schon bei der Registrierung an sich auf die Datenspeicherung hingewiesen. Für die Kommentarfunktion muss noch eine Lösung gefunden werden.
Eine Übertragung der Userdaten erfolgt nur noch verschlüsselt. Die Webseite verwendet https.
Somit meine ich, den Erfordernissen des Datenschutzes in Genüge nachgekommen zu sein.
Hinweise, Ergänzungen, andere Interpretationen können gerne als Kommentar hinterlassen werden. Wenn Sie kommentieren stimmen Sie der Speicherung Ihrer Mailadresse zu.

References: Art. 2
 Art. 6
 Art. 7
 Art. 9
 § 28
 § 1
 Art. 2
 § 3