Source: https://lfd.niedersachsen.de/startseite/themen/vereine/corona-sportvereine-188355.html
Timestamp: 2020-06-03 06:31:12
Document Index: 129832771

Matched Legal Cases: ['§ 1', 'Art. 6', 'Art. 9', 'Art. 4', 'Art. 7', 'Art. 13', 'Art. 32', 'Art. 13', 'Art. 30']

Datenschutzkonforme Dokumentation durch Sportvereine zum Schutz vor Neuinfektionen mit dem Corona-Virus | Die Landesbeauftragte für den Datenschutz Niedersachsen
Datenschutzkonforme Dokumentation durch Sportvereine zum Schutz vor Neuinfektionen mit dem Corona-Virus
Der Betrieb und die Nutzung öffentlicher und privater Sportanlagen ist für den Breitensport in § 1 Abs. 8 der Niedersächsischen Verordnung über infektionsschützende Maßnahmen gegen die Ausbreitung des Corona-Virus vom 22. Mai 2020 abschließend geregelt. Hiernach besteht für Sportvereine und -verbände keine rechtliche Verpflichtung zur Erfassung von Kontaktdaten der Sportlerinnen und Sportler sowie des Zeitpunkts des Betretens und Verlassens der Sportanlagen. Deshalb können Vereine und Verbände eine derartige Datenerhebung nicht auf eine gesetzliche Rechtsgrundlage stützen.
Im Zusammenhang mit der Corona-Pandemie können Sportvereine und -verbände personenbezogene Daten ausschließlich auf Basis einer Einwilligungserklärung der betroffenen Sportlerinnen und Sportler datenschutzkonform verarbeiten. In Betracht kommt entweder Art. 6 Abs. 1 lit. a Datenschutzgrundverordnung (DS-GVO) bzw. bei der Erhebung von Gesundheitsdaten, zu denen auch Fragen nach Fieber oder Erkältungssymptomen gehören, Art. 9 Abs. 2 lit. a DS-GVO.
Da der niedersächsische Verordnungsgeber für den Sportbetrieb bewusst keine Pflicht zur Erfassung von Sportler(innen)daten normiert hat, müssen Vereine und Verbände sorgfältig und kritisch prüfen, ob sie eine Datenerhebung auf Einwilligungsbasis durchführen. Da eine Einwilligung freiwillig sein muss, darf die Nutzung der Sportanlage nicht von ihr abhängig gemacht werden. Zu beachten ist, dass eine solche Einwilligung jederzeit widerrufen werden kann.
Sofern ein Sportverein bzw. -verband dennoch auf Basis einer Einwilligung personenbezogene Daten im Zusammenhang mit der Corona-Pandemie erfassen möchte, ist aus datenschutzrechtlicher Hinsicht zwingend Folgendes zu beachten:
1. Wie ist die Einwilligung auszugestalten?
Die Einwilligung muss den Anforderungen des Art. 4 Nr. 11 und Art. 7 DS-GVO genügen. Dies bedeutet, sie muss freiwillig sein und in informierter Weise sowie in einer klaren und einfachen Sprache verfasst sein. „In informierter Weise“ bedeutet, dass die betroffene Person Informationen zur Verarbeitung Ihrer personenbezogenen Daten erhalten muss. Darunter fallen zumindest die Identität der für die Datenverarbeitung verantwortlichen Organisation, die Zwecke der Verarbeitung, die Art der verarbeiteten Daten und die Möglichkeit, die Einwilligung zu widerrufen. Die Teilnahme am Trainingsbetrieb darf nicht von der Einwilligung abhängig gemacht werden.
Darüber hinaus muss sie einen Hinweis auf den jederzeitigen Widerruf beinhalten. Der Verantwortliche (also der Verein oder Verband) muss nachweisen können, dass ihm eine Einwilligung vorliegt. Bei Minderjährigen bis zur Vollendung des 16. Lebensjahres müssen stets auch die Erziehungsberechtigten einwilligen.
Die personenbezogenen Daten sollten dem Grundsatz der Datenminimierung genügen. Da den Vereinen und Verbänden die Kontaktdaten ihrer Mitglieder im Regelfall bereits vorliegen, genügt es zur Nachverfolgung von Infektionsketten, den Namen sowie den Zeitpunkt des Betretens und Verlassens der Sportanlage zu erfassen. Fragen nach Fieber oder Erkältungssymptomen zur Ermittlung einer Corona-Infektion sind zudem nicht zwingend zielführend, da lt. Corona-Steckbrief des Robert-Koch-Instituts diese Symptome lediglich in maximal der Hälfte der Corona-Fälle auftreten und sollten daher grundsätzlich nicht gestellt werden.
2. Wie sollten die Daten erfasst werden?
Wird mit Erfassungslisten gearbeitet, ist darauf zu achten, dass keine Person außerhalb der Trainingsgruppe die Daten anderer Personen zur Kenntnis nehmen kann. Der Verantwortliche (oder Übungsleiter) sollte deshalb die Daten selbst in entsprechende Listen eintragen. Es wird empfohlen, für jedes Training eine neue Liste zu beginnen.
Die Sportlerinnen und Sportler müssen über die Datenerhebung gem. Art. 13 DS-GVO informiert werden. Dies kann durch einen Aushang oder ein Informationsblatt an dem Ort geschehen, wo die Daten erfasst werden (z. B. im Eingang zur Sportanlage).
3. Wie sind die Daten aufzubewahren?
Zur Aufbewahrung der Listen oder Erklärungen sind die Anforderungen des Art. 32 Abs. 1 DS-GVO zu beachten, insbesondere der Schutz vor unbefugtem Zugriff und unbefugter Einsichtnahme. Deshalb sollte sich beim Training jeweils nur die tagesaktuelle Liste auf der Sportanlage befinden.
4. Wie lange müssen diese Daten aufbewahrt werden?
Da Ziel der Datenverarbeitung die Nachverfolgbarkeit von Infektionsketten ist, sollte die Speicherdauer analog zur CoronaVO des Landes Niedersachsen auf die Dauer von drei Wochen nach dem letzten Kontakt mit der betreffenden Person begrenzt werden. Spätestens einen Monat nach dem letzten Kontakt sind die Daten zu löschen bzw. zu vernichten.
5. Wie müssen die Daten gelöscht bzw. vernichtet werden?
Nach Ende der Aufbewahrungsfrist sind die Daten zwingend zu vernichten bzw. zu löschen. Die Löschung muss datenschutzkonform erfolgen, z. B. durch Schreddern der Listen mit einem Aktenvernichter bei Papierunterlagen bzw. durch sicheres Löschen bei digitalen Formaten. Unzureichend wäre es, Papierunterlagen in Gänze oder nur zerrissen in den Hausmüll bzw. die Altpapiertonne zu geben bzw. Dateien lediglich in den digitalen Papierkorb zu verschieben und diesen zu leeren. Für ein datenschutzkonformes Löschen ist der Einsatz zusätzlicher Löschtools erforderlich, die ein unwiederbringliches Löschen von Dateien gewährleisten.
6. Welche Informations- und Dokumentationspflichten bestehen?
Zur Information der Sportlerinnen und Sportler ist zwingend ein eigenständiges Informationsblatt für diese Erhebung zur Verfügung zu stellen, welches die in Art. 13 DS-GVO festgelegten Informationen beinhalten muss.
Da es sich um eine Verarbeitung personenbezogener Daten handelt, ist zudem die Verarbeitung gem. Art. 30 DS-GVO zu dokumentieren.
Sinnvoll und datenschutzrechtlich unbedenklich sind Hinweise auf die allgemeinen Hygieneregeln und eine Ansage vor Beginn der sportlichen Aktivität, dass diese bei Krankheitssymptomen unterbleiben soll.