Source: https://externer-datenschutzbeauftragter-bdsg.de/nachricht-anzeigen/datenschutzbeauftragter-im-verein.html
Timestamp: 2020-02-26 00:06:44+00:00

Document:
Datenschutzbeauftragter im Verein? - RA Thomas Engelhardt
Datenschutzbeauftragter im Verein?
14.03.2018 09:33 von Thomas Engelhardt
Ist dass wirklich nötig? - Empfehlung der Aufsichtsbehörde
Braucht ein Verein einen Datenschutzbeauftragten? Die sind doch da meist alle ehrenamtlich tätig, da braucht man so etwas nicht, oder? Nun ja, die Realität und insbesondere die DS-GVO bieten für diese Auffassung leider keinen Ansatz. Als langjähriger ehemaliger Vereinsvorsitzender eines Sportvereins mit mehreren Abteilungen weiß ich aus eigener Erfahrung, wie sich die Situation in den Vereinen darstellt:
Man hat beispielsweise eine cloudbasierte Mitgliederverwaltung, in die neben den Vorsitzenden und Mitgliedern der Vorstandschaft auch Abteilungsleiter, Trainer, Mannschaftsführer, etc. Einblick haben oder die Daten sogar bearbeiten können. Da kommen leicht einmal 15 oder 20 Personen zusammen. Braucht man da schon einen Datenschutzbeauftragten? Die Antwort ist eindeutig: Ja, aus folgendem Grund:
Das es sich bei den Mitgliederdaten um personenbezogene Daten handelt, setze ich als bekannt voraus. Dann ist es dem Grunde nach so, dass die DS-GVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, gilt (Art. 2 Abs. 1 DS-GVO), also zweifelsohne auch für unsere cloudbasierte Mitgliederverwaltung.
Nach Art. 37 DS-GVO Abs. 1 haben insbesondere Verantwortliche auf jeden Fall einen Datenschutzbeauftragten zu benennen, wenn die Kerntätigkeit des Verantwortlichen in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 besteht.
Art. 37 Absatz 4 der DS-GVO enthält eine Öffnungsklausel, die es den Mitgliedstaaten ermöglicht, die Benennungspflicht des Datenschutzbeauftragten weiter zu konkretisieren. Von diesem Recht hat der deutsche Gesetzgeber mit § 38 BDSG-neu gebraucht gemacht. Danach hat der Verantwortliche eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten unter anderem zu benennen, soweit er in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Zu diesen Personen zählen auch bei der nicht-öffentlichen Stelle, also auch beim Verein, beschäftigte freie Mitarbeiter und Leiharbeitnehmer, ebenso wie Heimarbeitskräfte, Auszubildende und Praktikanten oder ehrenamtlich Beschäftigte.
„Verantwortlicher“ ist nach Art. 4 Nr. 7 DS-GVO die natürliche oder juristische Person (also auch der Verein), Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Die Rechtslage ist damit klar: Im von mir genannten Beispiel muss der Verein einen Datenschutzbeauftragten benennen und auch nach Art. 37 Abs. 7 DS-GVO dessen Kontaktdaten der Aufsichtsbehörde melden und auch veröffentlichen (z.B. auf der Vereinswebseite).
Achtung: Die Aufsichtsbehörden empfehlen derzeit dringend im Zweifel einen DSB zu benennen und zu melden. Es ist durchaus möglich, dass dies überprüft wird. Das gilt wohl auch für Unternehmen. Ein Verstoß gegen die Verpflichtung kann nach Art. 83 Abs. 4 DS-GVO mit einer Geldbuße von bis zu 10 000 000 EUR geahndet werden. Im Fall eines Unternehmens sogar mit einer Geldbuße von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

References: Art. 37

Art. 37
 § 38
 Art. 4
 Art. 37
 Art. 83