Source: http://ea.newscpt.com/_ns.php?nid=3649079&npw=59cb2c86166b0c800c8ae1cae
Timestamp: 2018-12-10 10:30:30
Document Index: 86373501

Matched Legal Cases: ['Art. 4', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 13', 'Art. 13']

Sonderausgabe Datenschutz im Mai 2018 25.05.2018
mit dieser Sonderausgabe des Infobriefs informieren wir aus aktuellem Anlass über den Datenschutz - die rechtlichen Änderungen sind heute in Kraft getreten.
Neben den Erklärungen, zu denen der BDS verpflichtet ist, versuchen wir Ihnen im Anschluss auch ein wenig Hilfe zu leisten. Dabei fokussieren wir uns vor allem auf Sofortmaßnahmen. Tipps sollen dabei helfen, kurzfristig Schlimmeres zu verhüten und richten sich primär an diejenigen, die sich bislang noch nicht ausreichend mit der Thematik befasst haben.
Aufgrund des Umfangs des Themas und weil dazu nicht nur viele Ansichten kursieren, sondern leider auch sich widersprechende Meinungen und manche Detailfragen auch noch unklar sind, ist es zumindest momentan schwer möglich, endgültige Empfehlungen zu geben. Es wird daher nötig sein, den Datenschutz und seine rechtliche Handhabung längerfristig im Auge zu behalten.
Auch bitte ich um Verständnis dafür, dass der Bundesverband mit seiner sehr überschaubaren Zahl von Kräften keine Einzelrechtsberatung für fast 3.000 Vereine oder Hilfe im Einzelfall leisten kann.
Ein paar zentrale Maßnahmen sind jetzt unbedingt erforderlich, wie im Folgenden aufgeführt. Im Übrigen gilt als wichtiger Ratschlag vorab: Keine Panik!
In eigener Sache: Die BDS Datenschutzerklärung
Der BDS nimmt den Schutz der Daten seiner Mitglieder sehr ernst, nicht nur, aber auch wegen der waffenrechtlich gebotenen Sensibilität von Informationen.
Bitte beachten Sie die aktuelle Datenschutzerklärung des BDS, die für das gesamt Online-Angebot des BDS gilt, einschließlich dieses Newsletters.
In der Erklärung wird ausgeführt,
welche personenbezogene Daten wir erheben, verwenden, weitergeben und schützen,
auf welcher rechtlichen Grundlage dies geschieht,
welche Datenschutzrechte Sie haben und
wie Sie diese wahrnehmen können.
Wenn Sie weiterhin von uns per Infobrief informiert werden wollen, brauchen Sie nichts weiter zu unternehmen. Sollte nach Zugang dieser Mitteilung kein Widerspruch erfolgen, gilt die neue Datenschutzerklärung als akzeptiert
Wenn Sie in Zukunft keine Emails mehr von uns erhalten möchten, dann klicken Sie bitte auf den unten und oben in dieser Email befindlichen Link "Abmelden / Unsubscribe” oder schreiben Sie uns. Selbstverständlich ist auch danach jederzeit eine Stornierung des Newsletter-Bezugs auf die gleiche Weise möglich.
Zu Abmeldung / Unsubscribe
Zum Gebrauch der nachfolgenden Beiträge
Das Nachfolgende baut so auf, dass das kurzfristig Wichtigste zuerst kommt, dann das Erläuternde und schließlich die Detailinformationen. Der BDS empfiehlt dringend:
"5 unverzichtbare Schritte im Verein" prüfen und erforderlichenfalls sofort umsetzen,
"4 Punkte für eine datenschutzkonforme Homepage" sofort berücksichtigen,
"Datenschutz im Verein" als Übersicht verwenden,
sich im Weiteren zu informieren und
nötigenfalls externen Rechtsrat einzuholen.
Der Bund Deutscher Sportschützen 1975 e.V. (BDS) übernimmt keinerlei Gewähr für die Aktualität, Korrektheit, Vollständigkeit, Verständlichkeit oder Qualität der bereitgestellten Informationen. Haftungsansprüche gegen den BDS, welche sich auf Schäden materieller oder ideeller Art beziehen, die durch die Nutzung oder Nichtnutzung der dargebotenen Informationen bzw. durch die Nutzung fehlerhafter und unvollständiger Informationen verursacht wurden sind grundsätzlich ausgeschlossen, sofern seitens des BDS kein nachweislich vorsätzliches oder grob fahrlässiges Verschulden vorliegt.
5 unverzichtbare Schritte im Verein
4 Punkte für eine datenschutzkonforme Homepage
Zwei Sätze zum Datenschutzbeauftragten
Vor Betrügern wird gewarnt!
In die Vollen: Texte, Hilfen, Muster
Soweit noch nicht geschehen sollten sofort folgende Maßnahmen erfolgen:
1. Nach außen sichtbaren Datenschutz umsetzen, d. h. insbesondere Homepage auf Vordermann bringen
Leicht erkennbare Datenschutzverstöße bergen bereits kurzfristig das Risiko von Abmahnungen, Bußgeldern und unzufriedenen Mitgliedern. Gleich im nächsten Kasten wird erklärt, wie die Homepage DSVGP-tauglich wird - "4 Punkte für eine datenschutzkonforme Homepage".
2. Vereinbarungen über Auftragsverarbeitungen abschließen
Verarbeitet ein Externer die Daten des Vereins, wie z. B. ein Provider oder Dienstleiter für Zahlungen, Wettkampforganisation usw. so muss mit diesem ein Vertrag zur Datenverarbeitung im Auftrag geschlossen werden. Diese Verträge sollte jeder Dienstleister von sich aus anbieten, da ansonsten auf die Nutzung des Dienstes zu verzichten wäre.
3. Datenverarbeiter verpflichten
Vorstandsmitglieder und alle, die im Verein mit Daten umgehen müssen auf den Datenschutz verpflichtet werden. Muster im Kasten ganz unten.
4. Reaktionsfähigkeit bei Auskunftsbegehren herstellen
Aufgrund des derzeit hohen öffentlichen Interesses an der Thematik dürften häufig(er) Auskunftsverlangen vorkommen. Es ist zu überlegen wer anfragen könnte, welche Daten über ihn gespeichert sind und sich ein Verfahren zu überlegen, das zeitnah aber auch effizient die Auskunftsfähigkeit ermöglicht. Muster im Kasten ganz unten.
5. Bestandsaufnahme durchführen
Wo sind welche personenbezogenen Daten gespeichert? Was davon wird noch benötigt? Wer geht mit Daten um? Welche Verfahren gibt es? Welchen technischen Schutz wird benötigt?
Alles was an Daten nicht mehr benötigt wird und weg kann, macht weniger Arbeit und Verdruss. Personenbezogene Daten dürfen weder auf Papier herumliegen, noch unverschlüsselt im Internet verschickt werden oder abrufbar sein. Mehr zu alledem im letzten Kasten.
Diese 4 Punkte sind nicht verhandelbar und müssen auf jeder Homepage zumindest ab jetzt sofort berücksichtigt werden:
Jede Homepage benötigt eine Datenschutzerklärung, die die Vorgaben der DSGVO erfüllt. Damit die Datenschutzerklärung von der Start- und auch jeder Unterseite leicht erreichbar ist, sollte sie im Header oder Footer verlinkt und eindeutig mit „Datenschutz“ o.ä. bezeichnet sein.
Im Internet gibt es gut Baukästen, mit denen sich zumindest eine kurzfristig brauchbare Erklärungen "zusammengeklicken" kann:
Leider setzt das recht viel technisches Wissen voraus. Die Arbeit muss man sich aber ggf. zusammen mit dem Webseitenbetreuer, Admin, Provider,... machen, da bei Datenschutzverstößen hieraus ein erhebliches Abmahn- und Bußgeldrisiko resultieren kann.
Im Zweifel Dienste beenden oder vorsorglich in die Datenschutzerklärung aufnehmen.
Im Impressum müssen die wesentlichen Betreiberinformationen genannt sein, sprich die Vereinsdaten (beim e.V. der Hinweis auf das Vereinsregister). Auch ein Verantwortlicher für journalistisch-redaktionelle Inhalte ist erforderlich. Der Link zum Impressum sollte so klar erkennbar platziert werden wie die Datenschutzerklärung. Die Impressumspflicht besteht auch für die Social-Media-Seiten bei Facebook, Twitter und Co. und müssen auch dort erfüllt werden (Link genügt nicht).
Als Muster verweist der BDS auf sein eigenes Impressum.
3. Datenschutzkonformes Kontaktformular
Gibt es ein Kontaktformular, darf in diesem nur die E-Mail-Adresse als Pflichtfeld abgefragt werden. Die Datenübertragung muss verschlüsselt erfolgen. Die Datennutzung ist nur für die Beantwortung der Anfrage zulässig (für andere Nutzungen muss eine Einwilligung abgefragt werden). Durch die Datenschutzerklärung ist über Art, Umfang und Zweck von Erhebung und Verwendung der erhobenen Daten aufzuklären.
Im Zweifel auf das Kontaktformular verzichten und nur eine Emailerreichbarkeit angeben.
Fotos, die Personen erkennbar abbilden sind personenbezogene Daten. Aufgrund der DSGVO ist folgendes Vorgehen ratsam:
1) Holen Sie möglichst die Einwilligung der Abgebildeten ein und dokumentieren Sie diese.
2) Halten Sie sich ansonsten an die rechtlichen Vorgaben und verletzten Sie auch kein Urheberrecht.
Im Zweifel Foto löschen!
Ein Schritt zurück, zur Frage, warum momentan Aufregung um den Datenschutz besteht: Die Datenschutz-Grundverordnung (DSGVO) stellt ab 25. Mai 2018 geänderte rechtliche Bedingungen für die Verarbeitung personenbezogener Daten in der Europäischen Union. Es handelt sich dabei um eine EU-Verordnung, die direkt gilt! Daneben gibt es ergänzend weiterhin das Bundesdatenschutzgesetz (BDSG).
Auch wenn sich im Vergleich zur bisherigen Rechtslage nicht alles geändert hat, so besteht bei Umsetzung der DSGVO doch oft Handlungsbedarf, vor allem bei den Rechten von Nutzern, die durch alle Datenverarbeiter gewahrt werden müssen:
Recht auf technischen Datenschutz
Recht auf Beschwerde bei der Datenschutz-Aufsichtsbehörde
Alle Informationen, die sich auf eine identifizierbare oder identifizierte natürliche Person beziehen. Identifizierbar ist dabei eine natürliche Person, welche direkt oder indirekt identifiziert werden kann. (Art. 4 Nr. 1 DSGVO). Im Verein vor allem Mitgliederdaten und Daten zu Wettkämpfen.
Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. (Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Löschen oder Vernichtung). Im Verein vor allem Mitgliederverwaltung und der Schießbetrieb, daneben alles Waffenrechtliche im Verband und zur Behörde.
Was ist der Verantwortliche?
Eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Im Verein meist der Vorstand.
Ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, z. B. Zahlungsdienstleister, Wettkampfservice, Online-Anmeldung, Newsletter-Anbieter,...
1. Mitgliederdaten - Mit Augenmaß nutzen!
Ein Verein darf aufgrund des Art. 6 Abs. 1 lit. b) DSGVO beim Vereinsbeitritt (Aufnahmeantrag oder Beitrittserklärung) und während der Vereinsmitgliedschaft nur solche Daten von Mitgliedern erheben und verwenden, die für die Begründung und Durchführung des zwischen Mitglied und Verein durch den Beitritt zustande kommenden rechtsgeschäftsähnlichen Schuldverhältnisses erforderlich sind. Damit dürfen gleichzeitig alle Daten erhoben werden, die zur Verfolgung der Vereinsziele und für die Betreuung und Verwaltung der Mitglieder notwendig sind, wie etwa Name, Anschrift, in der Regel auch das Geburtsdatum, ferner Bankverbindung Bank und Kontonummer.
Bei Veranstaltungen wie Schießtraining und Meisterschaften dürfen die Daten erhoben und verarbeitet werden, die vom daran teilnehmenden Mitglied benötigt werden um eine Durchführung zu ermöglichen; Namen und Waffen für die Schießkladde, Geburtsjahrgang und Schießergebnis für die Wettkampfauswertung und so weiter.
Anmerkung: Hierfür ist keine Einwilligung erforderlich! Der Verein darf zur Erfüllung seiner Vereinszwecke alles an Daten verwenden, was er verwenden muss. Er muss nur begründen können, auf Nachfrage oder vorab ausdrücklich in der Satzung/Datenschutzordnung oder Wettkampfausschreibung, warum wer welche Daten benötigt.
2. Einwilligungen - Nicht übertreiben!
Deshalb ist aufgrund des Medienrummels zur DSGVO der vergangene Tage verständlich, aber unnötig und sogar schädlich, sich für jeden Vorgang möglichst viele Einwilligungen zur Datenverarbeitung von möglichst vielen geben zu lassen. Denn Einwilligungen sind nicht immer wirksam (Formmängel, Minderjährige,...) und können daneben jederzeit widerrufen werden. Eine Einwilligung ist daher nur einzuholen, wenn sie erforderlich ist und das ist wie angesprochen im Schützenverein oft nicht der Fall
Nochmal: Eine Einwilligung in die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist dann und nur dann erforderlich, soweit der Verein in weitergehendem Maße personenbezogene Daten verarbeitet, als er aufgrund Satzung oder Vertrag ohnehin bereits befugt ist. Es empfiehlt sich nicht, Einwilligungen für Datenverarbeitungsmaßnahmen einzuholen, die bereits aufgrund einer gesetzlichen Erlaubnis möglich sind. Denn dadurch wird beim Betroffenen auch der Eindruck erweckt, er könne mit der Verweigerung der Einwilligung oder ihrem späterem Widerruf die Datenverarbeitung verhindern. Hat der Verein aber von vornherein die Absicht, im Falle der Verweigerung des Einverständnisses auf die gesetzliche Verarbeitungsbefugnis zurückzugreifen, wird der Betroffene getäuscht, wenn man ihn erst nach seiner ausdrücklichen Einwilligung fragt, dann aber doch auf gesetzliche Ermächtigungen zurückgreift.
3. Informieren - Viel hilft viel!
Anders sieht es aus mit den Informationspflichten aus. Zu viel Information für Mitglieder, Internetznutzer etc. gibt es kaum. Die Informationspflichten muss jeder Verein oder Landesverband (Einzelmitglieder!), nicht aber der Bundesverband gegenüber den jeweiligen Mitgliedern erfüllen. Es ist allgemein oder anlassbezogen zu informieren über:
Kontaktdaten des Datenschutzbeauftragten, soweit einer bestellt ist
Zwecke der Verarbeitung (bitte im Einzelnen aufzählen)
Rechtsgrundlage der Verarbeitung (oft: Erfüllung der Satzungszwecke)
berechtigte Interessen i.S.d. Art. 6 Abs. 1 lit. f) DSGVO
Empfänger oder Kategorien von Empfängern (z.B. Weitergabe personenbezogener Daten an eine Versicherung, an den Dachverband, an alle Vereinsmitglieder, im Internet,...)
Absicht über Drittlandtransfer (z.B. bei Mitgliederverwaltung in der Cloud), sowie Hinweis auf (Fehlen von) Garantien zur Datensicherheit
Belehrung über Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruchsrecht gegen Verarbeitung)
Dies alles kann auch in einer "Datenschutzordnung" des Vereins erfolgen.
4. Jedem das Seine - Verantwortlichkeiten auf allen Ebenen
Zu denken ist von unten nach oben: Der Bundesverband bekommt Mitgliedsdaten nie direkt, sondern von den Landesverbänden und diese zumeist wiederum von Vereinen. D.h. die Rechtsgrundlage der Datenübermittlung an den Landesverband muss der Verein, die Rechtsgrundlage für die Übermittlung an den BDS muss der Landesverband schaffen. Auch die Hinweispflichten liegen bei den Vereinen und Landesverbänden.
Dachverbände, bei denen ein Verein Mitglied ist, sind im Verhältnis zu seinen Mitgliedern datenschutzrechtlich Dritte. Personenbezogene Daten der eigenen Mitglieder dürfen an andere Vereine und Verbände im Rahmen der Erforderlichkeit nur übermittelt werden, soweit diese dort benötigt werden, um die Vereinsziele des übermittelnden Vereins oder um die Ziele des anderen Vereins zu verwirklichen, etwa bei der überregionalen Organisation eines Wettkampfs, und sofern keine Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen (Art. 6 Abs. 1 lit. b) und lit f) DSGVO. Ist ein Verein verpflichtet, die Daten seiner Mitglieder regelmäßig einer Dachorganisation - beispielsweise einem Bundes- oder Landesverband - zu übermitteln (etwa in Form von Mitgliederlisten), sollte dies in der Vereinssatzung geregelt werden. Dadurch wird klargestellt, dass die Übermittlung im Vereinsinteresse erforderlich ist und keine Interessen oder Grundrechte und Grundfreiheiten der Vereinsmitglieder überwiegen (Art. 6 Abs. 1 lit. f) DSGVO). Fehlt eine Satzungsregelung, sollten die Mitglieder (Neumitglieder möglichst bereits im Aufnahmeverfahren) über die Übermittlung ihrer Daten an die Dachorganisation und den Übermittlungszweck informiert und ihnen Gelegenheit zu Einwendungen gegeben werden. Der Verein ist darüber hinaus verpflichtet, dafür Sorge zu tragen, dass die von ihm weitergegebenen Mitgliederdaten vom Dritten nicht zweckentfremdet genutzt werden (etwa kein Verkauf der Mitgliederadressen für Werbezwecke) oder dies allenfalls mit Einverständnis des Vereins und Einwilligung der betroffenen Mitglieder geschieht.
Sollen Mitgliederlisten oder im Einzelfall sonstige Mitgliederdaten auf freiwilliger Basis ohne vertragliche oder sonstige Verpflichtung an Dachverbände oder andere Vereine weitergegeben werden, ist dies nur unter den oben genannten Voraussetzungen zulässig. Soweit die Weitergabe im berechtigten Interesse des Vereins oder des Empfängers erfolgen soll, empfiehlt es sich in Zweifelsfällen, die Mitglieder vor der beabsichtigten Datenübermittlung zu informieren und ihnen die Möglichkeit zu geben, Einwendungen gegen die Weitergabe ihrer Daten geltend zu machen.
Bietet der Dachverband eine Versicherung für die Mitglieder eines Vereins an, die in erster Linie dem Verein dient, um sich gegen Haftungsansprüche seiner Mitglieder zu schützen, wenn diese beim Sport oder bei vergleichbar gefahrgeneigten Tätigkeiten verunglücken, hat der Verein ein berechtigtes Interesse, die für die Begründung des Versicherungsverhältnisses erforderlichen Daten seiner Mitglieder dem Dachverband zuzuleiten, es sei denn, das Mitglied hat ein überwiegendes schutzwürdiges Interesse, dass dies unterbleibt, wenn es etwa selbst bereits gegen dieses Risiko versichert ist. Will aber der Dachverband nur erreichen, dass sich die Vereinsmitglieder in eigenem Interesse bei ihm oder bei einer von ihm vermittelten Versicherung versichern können, darf der Verein deren Daten nur mit ihrer Einwilligung an den Dachverband übermitteln.
D.h. die Vereine müssen in ihren Satzungen oder Aufnahmeanträgen oder in jedem Einzelfall regeln, welche Daten an den Landes-/Bundesverband weitergegeben werden.
Zusammengefasst mit freundlicher Unterstützung durch den Datenschutzbeauftragten des BDS Helmut Glaser.
Ein Datenschutzbeauftragter muss nur bestellt werden, wenn im Verein 10 oder mehr Personen persönliche Daten verarbeiten. Das dürfte kaum einen Verein treffen und falls doch, wäre im Regelfall eher zu überlegen diese große Personenanzahl zu reduzieren, statt recht aufwändig einen Datenschutzbeauftragten zu ernennen und bei der Behörde anzumelden.
Vor Betrüger wird gewarnt!
Das Bundesamt für Sicherheit in der Informationstechnik warnt:
„Zurzeit erhalten Sie vermutlich viele Mails, in denen Unternehmen neue Nutzungsbedingungen vorstellen und darum bitten, diese zu bestätigen. Hintergrund ist das Inkrafttreten der neuen EU-Datenschutzgrundverordnung (EU-DSGVO) zum 25. Mai 2018. Leider nutzen Betrüger dies auch, um mit gefälschten Mails Personen zu schädigen. Sie versenden unter anderem im Namen von Online-Shops wie Amazon, eBay und Paypal wie auch von namhaften Banken Phishing-E-Mails, in denen sie auf um die Eingabe von sensiblen Informationen bitten. Es sind sogar schon Fälle aufgetreten, in denen Opfer dazu gebracht wurden, Ausweise einzuscannen und an den Absender zu versenden. Eine solche Vorgehensweise würden seriöse Unternehmen niemals anwenden. Deshalb sollten Sie solche E-Mails immer direkt löschen.
Um sich vor Phishing-Betrügern zu schützen, überprüfen Sie Ihre E-Mails am besten immer kritisch hinsichtlich Absender, Inhalt und Links. Worauf Sie dabei konkret achten sollten, haben wir Ihnen auf BSI für Bürger zusammengestellt."
Also vielleicht nicht blind auf jeden Link klicken, der einem zur Zeit zugemailt wird...
Der Datenschutzbeauftragte des BDS Helmut Glaser hat in unermüdlicher Kleinarbeit umfangreiche Präsentations- und Schulungsunterlagen zum Datenschutzrecht sowie Mustertexte zusammengestellt, die den derzeitigen Rechts- und Meinungsstand umfassend abbilden (alle Dateien als .pdf zum Herunterladen):
A Präsentation "Datenschutz im Verein"
B Grundlageninformationen
C Datenschutz im Verein
D Muster Datenschutzerklärung
E DSGVO Überblick
F Textbausteine Vereinssatzung
G Muster Datenschutzordnung
H Muster Satzungsregelungen
I Muster Informationspflichten
J Muster Information Art. 13 und 14 I
K Muster Information Art. 13 und 14 II
L Muster Verarbeitungsverzeichnis
M Muster Verantwortlicher
N Muster Auftragsdatenverarbeitung
O Übersicht Löschfristen
Q Information des Bundesdatenschützers
R Muster Vertraulichkeitsverpflichtung
S Muster Datengeheimnis
Impressum - Betreiber und Kontakt: