Source: https://fvm.de/recht/hinweise-zur-neuen-dsgvo/
Timestamp: 2020-07-14 07:13:01
Document Index: 288064620

Matched Legal Cases: ['Art. 6', 'Art. 6', 'Art. 17', 'Art. 5', 'Art. 30', 'Art. 13', 'Art. 12', '§ 38', '§ 26']

Fast jeder spricht inzwischen davon und in drei Wochen gilt sie: Die Datenschutz-Grundverordnung (DSGVO) bringt seit dem 25. Mai 2018 einige Neuerungen. Fast jeder weiß, dass durch die neue Gesetzeslage vor allem auf Unternehmen einiger Handlungsbedarf zukommt. Doch nicht nur Unternehmen, auch Vereine sollten sich spätestens jetzt mit der Umsetzung des neuen Datenschutzrechts befassen.
Die Verordnung formuliert einheitliche Spielregeln „für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“, wie es in Artikel 2 DSGVO heißt. Der Anwendungsbereich ist bewusst weit gehalten. Die Verordnung wird angewendet auf die Verarbeitung personenbezogener Daten, „soweit diese im Rahmen der Tätigkeit einer Niederlassung eines Verantwortlichen (…)“ erfolgt. Eine Unterscheidung zwischen Unternehmen und Vereinen findet nicht statt.
Hier ändert sich in Deutschland nicht viel. Bereits jetzt gilt für die Verarbeitung personenbezogener Daten das Verbot mit Erlaubnisvorbehalt. Demnach ist datenschutzrechtlich nicht etwa alles erlaubt, was nicht ausdrücklich verboten ist, sondern jede Verarbeitung personenbezogener Daten bedarf vielmehr einer Rechtsgrundlage. Diese richtet sich zukünftig nach Art. 6 Abs. 1 DSGVO. In Betracht kommen hier insbesondere Art. 6 Abs. 1 lit. a) (Einwilligung), lit.b) (Vertragsverhältnis) und lit. f) (berechtigtes Interesse). Auch die Grundsätze der Datensparsamkeit, der Zweckbindung und der Datenrichtigkeit kannte das bisherige Recht bereits.
Neu führt die DSGVO in Artikel 32 den Grundsatz der Datensicherheit ein. Demnach sind bei der Verarbeitung personenbezogener Daten geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Das bedeutet, welche Maßnahmen konkret an welcher Stelle ergriffen werden müssen, orientiert sich an der Schutzbedürftigkeit der Daten, dem Stand der Technik, den Kosten und den weiteren Umständen. Die Schutzbedürftigkeit von Gesundheitsdaten beim Vorhandensein einer Reha-Sportabteilung im Verein ist gewiss höher anzusehen als beispielsweise eine E-Mailadresse für den Newsletter-Versand.
Ebenfalls neu ist für Betroffene das „Recht auf Vergessenwerden“. Insbesondere gegenüber Suchmaschinen ist ein solches Recht vom Europäischen Gerichtshof bereits in der Vergangenheit bestätigt worden. Die Verordnung schreibt dieses Recht nun in Artikel 17 fest. Demnach sind die Daten auf Verlangen der betroffenen Person zu löschen, wenn der Zweck, für den die Daten erhoben wurden, erfüllt ist und die Daten nicht mehr notwendig sind, der Betroffene seine Einwilligung widerruft oder die Daten unrechtmäßig verarbeitet wurden. Gemäß Art. 17 Abs. 2 DSGVO hat der Verantwortliche zudem angemessene Maßnahmen zu treffen, damit alle weiteren Verantwortlichen, die die Daten verarbeiten, über das Löschungsverlangen informiert werden. Das kann beispielsweise dann der Fall sein, wenn der Verein Daten eines Mitgliedes auf seiner Vereinshomepage veröffentlicht hat und diese trotz Löschung weiterhin in den Ergebnissen einer Suchmaschine angezeigt werden.
Verantwortlicher ist gemäß Artikel 4 Nr. 7 DSGVO die natürliche oder juristische Person, die alleine oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dem Verein sind dabei seine unselbständigen Untergliederungen wie Abteilungen oder Ortsgruppen sowie seine Funktionsträger, Auftragnehmer und seine Mitarbeiter, soweit sie für den Verein tätig werden, zuzurechnen. Die Datenschutz-Verantwortung liegt dabei immer beim Vorstand. Er ist die sogenannte verantwortliche Stelle. Die Verordnung verpflichtet die Vereine nicht nur dazu, nach den zuvor beschriebenen Grundsätzen zu handeln, sondern gemäß Art. 5 Abs. 2 DSGVO auch dazu, die Einhaltung der Prinzipien auf Aufforderung nachzuweisen („Rechenschaftspflicht“). Zur Rechenschaftspflicht gehört auch, dass ein „Verzeichnis von Verarbeitungstätigkeiten“ geführt werden muss (Art. 30 DSGVO). In der Vorschrift werden die Angaben aufgelistet, die das Verzeichnis zu enthalten hat. Bei der Einhaltung der gesetzlichen Vorgaben wird das Verzeichnis eine tragende Rolle spielen. Denn es enthält eine Dokumentation und Übersicht über alle eingesetzten Verfahren, bei denen personenbezogene Daten verarbeitet werden. Zwar sieht der Artikel Ausnahmen für Verantwortliche mit weniger als 250 Beschäftigten vor, da jedoch in jedem Verein die Verarbeitung personenbezogener Daten nicht nur gelegentlich (z.B. Buchhaltung, Mitgliederverwaltung) erfolgt, kommt kein Verein um die Führung eines solchen Verzeichnisses herum.
Bei der Gestaltung von Erhebungsbögen und (Online-)Formularen, die zur Datenerhebung eingesetzt werden, ist Art. 13 DSGVO zu beachten. Darin werden die Angaben aufgelistet, die eine Datenschutzerklärung zukünftig zu beinhalten hat. Zu den Angaben gehören unter anderem die Kontaktdaten des Verantwortlichen (im Verein sind das die Daten des Vorstandes), ggf. Namen und Kontaktdaten des Datenschutzbeauftragten, Zwecke der Datenerhebung und ebenfalls neu, die Rechtsgrundlagen dafür. Zusätzlich werden neue Informationspflichten eingeführt wie etwa die Unterrichtung über das Recht auf Auskunft sowie das Recht auf Löschung oder Einschränkung der Verarbeitung sowie das Recht auf Widerruf einer bereits gegebenen Einwilligung. Diese Informationen sind nach Art. 12 Abs. 1 DSGVO „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln“.
Wie bisher hat ein Verein auch nach § 38 Abs. 1 BDSG (neu) einen Datenschutzbeauftragten (DSB) zu benennen, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei zielt der Wortlaut nicht darauf ab, ob die zehn Personen in einem bezahlten Arbeitsverhältnis stehen, auch Ehrenamtliche zählen dazu. Es kommt auch nicht auf die Anzahl der Mitglieder an, sondern auf die Anzahl der Zugriffsberechtigten.
Aber Achtung: Auch wenn für den Verein keine Verpflichtung zur Benennung eines Datenschutzbeauftragten besteht, hat er dennoch die datenschutzrechtlichen Regelungen zu beachten. Dann liegt die Verantwortung beim Vorstand nach § 26 BGB und er muss sich vergewissern, dass er über das rechtliche und technische Knowhow verfügt.
Die Aufsichtsbehörden werden mit Sicherheit ab dem 25. Mai 2018 nicht über die Vereine „herfallen“ und prüfen, ob alle datenschutzrechtlichen Vorgaben eingehalten werden; dazu dürfte man alleine aus personellen Gründen schon nicht in der Lage sein. Da bei der Nichtbeachtung aber empfindliche Bußgelder drohen, sollten Vereinsvorstände die Umsetzung der neuen Maßnahmen aber nicht auf die lange Bank schieben.