Source: http://anglerverband-chemnitz.de/index.php/news-des-avs/verbandsinfos/558-datenschutz-im-verein-kein-grund-zur-panik
Timestamp: 2018-09-19 07:42:16+00:00

Document:
Information des Landesverbandes Sächsischer Angler e. V. und der Regionalverbände Anglerverband Südsachsen Mulde/Elster e. V., Anglerverband "Elbflorenz" Dresden e. V. und Anglerverband Leipzig e. V.
Datenschutz ernst nehmen und Handeln!
Dresden, 08.06.2018. Viele unserer Mitglieder sind seit Inkraftsetzung der Datenschutzgrundverordnung (DSGVO) am 25.05.2018 verunsichert, welche Daten wir als Verein/Verband von Mitgliedern noch erheben, speichern und verarbeiten dürfen. Dazu möchten wir wie folgt Stellung nehmen:
1. Die DSGVO ist seit 25.05.2018 in Kraft und gilt seither in allen EU-Mitgliedsländern, so auch Deutschland, unmittelbar und verdrängt die bisherigen datenschutzrechtlichen Regelungen. Aufgrund von Öffnungsklauseln können die nationalen Gesetzgeber konkretisierende und ergänzende Gesetze erlassen. Hiervon hat der deutsche Gesetzgeber mit der Schaffung des neuen Bundesdatenschutzgesetzes (BDSG-neu) Gebrauch gemacht. Die DSGVO kann eingesehen und heruntergeladen werden unter: https://www.bfdi.bund.de/SharedDocs/Publikationen/Infobroschueren/INFO6.pdf
2. Die DSGVO gilt gem. Art.2 I für die Verarbeitung personenbezogener Daten. Personenbezogene Daten sind gem. Art. 4 I alle Informationen, die sich auf eine bestimmte Person beziehen. Dazu gehören nicht nur unmittelbar identifizierende Angaben wie Name, Anschrift u. Geb.-Datum, sondern auch sonstige Informationen, wie Familienstand, Zahl der Kinder, Beruf, Telefonnummern, Mailadressen, persönl. Interessen, Mitgliedschaften in Organisationen, Eigentums- und Besitzverhältnisse, Datum des Vereinsbeitritts, Platzierungen bei Wettbewerben usw. gleichviel, ob diese in Schrift, Bild oder Ton vorliegen.
3. Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten richtet sich nach Art. 6 I DSGVO. Rechtmäßig ist danach die Verarbeitung, wenn entweder eine Einwilligung des Betroffenen gem. Art.6 I a vorliegt oder ein anderer in der DSGVO genannter Rechtsgrund vorliegt.
4. Die Verarbeitung personenbezogener Daten in den Vereinen ist nach der DSGVO daher gem. Art. 6 I b insbes. auch dann rechtmäßig, wenn die Verarbeitung zur Erfüllung eines Vertrages mit dem Betroffenen erforderlich ist. Die Mitgliedschaft in einem Verein ist ein solches Vertragsverhältnis, dessen Inhalt im Wesentlichen durch die Satzung und die Vereinsordnungen bestimmt ist. Die Verarbeitung von personenbezogenen Daten die zur Mitgliederverwaltung erforderlich sind, bedarf somit keiner separaten Einwilligung der betroffenen Mitglieder der Vereine/Verbände.
5. Die Verarbeitung personenbezogener Daten in den Vereinen/Verbänden ist darüber hinaus nach der DSGVO gem. Art. 6 I c auch dann rechtmäßig, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Hiervon betroffen sind etwa personenbezogene Daten, die zur Erfüllung der Verpflichtungen der Vereine/Verbände bspw. aus der Fischereigesetzgebung erfolgen. 6. Ebenso ist die Verarbeitung nach Art.
6 I f der DSGVO rechtmäßig, wenn dies zur Wahrung berechtigter Interessen des Vereins/Verbandes oder eines Dritten erforderlich ist, wobei hier eine Abwägung und mit den Grundrechten und -freiheiten der betroffenen Person vorzunehmen ist.
7. Bei der Erhebung der zu verarbeitenden personenbezogenen Daten ist der Betroffene nach den einzelnen Vorgaben der Art.13 u. 14 DSGVO insbes. darauf hinzuweisen für wen, zu welchem Zwecke und für welche Dauer diese Daten erhobenwerden und über seine Rechte zu belehren. Dies ist von der Frage einer Einwilligung (s. Nr.3 oben) oder sonstigen Rechtsgrundlage der Datenerhebung (s. Nr.4  6 oben) zu unterscheiden. Hierfür empfehlen sich Hinweisvordrucke auf den Formularen zur Datenerhebung (bspw. auf dem Antragsformular bei Erfassung der Mitgliederdaten bei Beitritt zum Verein/Verband). Eine Datenerhebung findet insbes. auch bei Vorhandensein einer Webseite des Vereins/Verbandes statt, denn bereits beim Aufrufen einer jeglichen Webseite werden zumindest technisch bedingte Daten verarbeitet (IP-Adresse, Zeitpunkt der Anfrage, verwendeter Browser, Betriebssystem usw.). Dies gilt umso mehr, wenn die Webseite zudem etwa Cookies setzt, ein Kontaktformular anbietet oder gar Analysetools einsetzt. Aus diesem Grunde ist auch auf der Webseite eine Datenschutzerklärung nach o.g. Maßgabe einsehbar zu machen. Der Umfang dieser Erklärung hängt von der Gestaltung der Webseite ab. Es gibt im Internet (ggf. kostenpflichtige) Seiten, die dialogbasiert die Erstellung einer individualisierten Datenschutzerklärung anbieten.
8. Da die Vereine/Verbände personenbezogene Daten nicht nur gelegentlich verarbeiten, ist nach den einzelnen Vorgaben des Art.30 DSGVO ein schriftliches oder elektronisches Datenverarbeitungsverzeichnis zu führen in welchem festgehalten ist, für wen welche Daten zu welchem Zwecke und für welche Dauer erhoben werden. Da den Verein/Verband die Pflicht zur Festlegung der Grundzüge der Datenverarbeitung trifft, können die entsprechenden Regelungen in der Satzung oder in gesonderten Regelwerken bspw. in Form einer Vereinsordnung (Datenschutzordnung) niedergelegt werden. Die Datenschutzordnung kann, wenn die Satzung nichts anderes bestimmt, vom Vorstand oder der Mitgliederversammlung beschlossen werden. Empfehlenswert ist es dabei, sich beim Aufbau der Datenschutzordnung am Weg der Daten von der Erhebung über die Speicherung und Nutzung und ggf. Übermittlung bis zur Löschung zu orientieren.
9. Nach Art.32 DSGVO sind bei der Verarbeitung personenbezogener Daten technische und organisatorische Maßnahmen zu treffen, die einen angemessenen Schutz der Daten gewährleisten. Dies erfordert etwa, dass sichergestellt werden muss, dass nicht unbefugte Dritte Zugriff auf die Vereins-/Verbandsdaten erlangen können (Virenscanner, Benutzerrechte, Passwörter, Schlüsselgewalt usw.) und Sorge gegen Datenverlust (Backup usw.) sowie eine fristgerechte Löschung von Daten nach Ende des Verwendungszwecks erfolgt.
10. Personenbezogene Daten der eigenen Mitglieder eines Vereins/Verbandes dürfen nach Art. 6 I a u. f DSGVO an andere Vereine/Verbände, insbes. Dachverbände im Rahmen der Erforderlichkeit übermittelt werden, soweit diese Daten dort benötigt werden, um die Vereinsziele des übermittelnden Vereins/Verbandes oder die des anderen Vereins/Verbandes zu verwirklichen. Ist ein Verein verpflichtet, Daten seiner Mitglieder regelmäßig einer Dachorganisation, bspw. einem Regional-, Landes- oder Bundesverband (etwa in Form von Mitgliederlisten) zu übermitteln, sollte dies in der Vereinssatzung geregelt werden. Bewegungsprofile von Mitgliedern werden übrigens seitens des LVSA e. V. selbstverständlich weder erstellt, noch vorgehalten.
11. Die Veröffentlichung von personenbezogenen Daten im Internet ohne Passwortschutz stellt datenschutzrechtlich eine Übermittlung an Jedermann dar. Deswegen ist die Veröffentlichung personenbezogener Daten (z. B. Name, Alter) durch einen Verein/Verband im Internet grds. unzulässig, wenn sich der Betroffene nicht ausdrücklich damit einverstanden erklärt hat.
12. Die Benennung eines Datenschutzbeauftragten ist gem. Art. 37 DSGVO i.V.m. § 38 BDSG-neu mangels der Verarbeitung personenbezogener Daten als primärer Geschäftszweck für Vereine/Verbände nur dann erforderlich, wenn mindestens 10 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind. Die Bestellung eines Datenschutzbeauftragter kann aber auf freiwilliger Basis erfolgen. Geschieht dies nicht bleibt es bei der Verpflichtung des Vorstandes des Vereins/Verbandes sich um die Einhaltung des Datenschutzes zu kümmern.
13. Wenn personenbezogene Daten zur Verarbeitung an externe Dienstleister gegeben werden (z. B. für Druck & Versand des Mitteilungsblattes Fischer & Angler oder der Anfertigung personenbezogener Erlaubnisscheine), ist gem. 28 und 29 der DSGVO ein Datenverarbeitungsvertrag notwendig. Mustervertrag - siehe auf der Internetseite des sächsischen Datenschutzbeauftragten: https://www.saechsdsb.de/handlungsbedarf-zur-umsetzung-ds-gvo-fuer-vereine Die Verarbeitung der erhobenen Mitgliederdaten gegenüber Verein/Regionalverband/LVSA ist durch die DSGVO weder beeinträchtigt, noch ausgeschlossen. Ohne der Bereitstellung und Verarbeitung der personenbezogenen Daten im Rahmen der Fischereigesetzgebung und der Satzung ist eine Mitgliedschaft und das Angeln in den Verbandsgewässern nicht möglich! Es wird darauf hingewiesen, dass die o.g. Übersicht keinen Anspruch auf Vollständigkeit erhebt und eine konkrete Rechtsberatung nicht ersetzt.
Anlagen: Hinweise zur Datenverarbeitung für Vereinsmitglieder

References: Art.2
 Art. 4
 Art. 6
 Art.6
 Art. 6
 Art. 6
 Art.
6
 Art.13
 Art.30
 Art.32
 Art. 6
 Art. 37
 § 38