Die Datenschutzgrundverordnung (DS-GVO) ist das ab dem 25. Mai 2018 in der gesamten Europäischen Union unmittelbar geltende Datenschutzrecht. Die DS-GVO löst das bisherige Bundesdatenschutzgesetz (BDSG) ab. Im zukünftigen BDSG finden sich dann nur noch spezielle deutsche Regelungen zum Datenschutz. Die Grundsätze des „Verbots mit Erlaubnisvorbehalt“, der „Datenvermeidung und Datensparsamkeit“, der „Zweckbindung“ und der „Transparenz“ prägen aber auch weiterhin das Datenschutzrecht.
Das Datenschutzrecht ist immer dann anwendbar, wenn personenbezogene Daten verarbeitet werden. Personenbezogen sind Daten, die eine identifizierte oder identifizierbare natürliche Person betreffen. Personenbezogen sind daher Daten, durch die eine Person direkt (etwa über den Namen) bestimmt werden kann, aber auch solche Daten, die eine Kennnummer (z.B. Mitgliedsnummer) enthalten, aufgrund derer Sie oder ein anderer die betroffene Person identifizieren können (pseudonyme Daten). Nicht anwendbar ist das Datenschutzrecht auf anonyme Daten, bei denen eine Identifizierung des Betroffenen für niemanden mehr möglich ist.
Nein, viele grundsätzliche Dinge bleiben beim Alten; man muss sich aber an viele neue Begriffe gewöhnen (z.B. Auftragsverarbeitung statt bisher Auftragsdatenverarbeitung). Wer sich bisher schon mit dem Datenschutzrecht befasst hat, findet sich in der DS-GVO schnell zurecht. Es gibt allerdings auch neue Anforderungen, die Anpassungen erforderlich machen (siehe „Was muss ich als Vereinsverantwortlicher jetzt veranlassen?“)
Im Verein ist der Vorstand für die Umsetzung der gesetzlichen Anforderungen verantwortlich und muss daher entsprechende Veranlassungen treffen. Soweit ein Datenschutzbeauftragter bestellt ist, überwacht dieser zwar die Einhaltung des Datenschutzrechts, ist jedoch selbst nicht für die Umsetzung der sich daraus ergebenden Anforderungen zuständig.
Wenn Sie im Bereich des Datenschutzes bisher gut aufgestellt waren, ist der Aufwand überschaubar. Geringfügige Anpassungen sind im Bereich der Betroffenenrechte und hier insbesondere der Informationspflichten (siehe „Welche Informationspflichten treffen meinen Verein?“) erforderlich. Das Verzeichnis über die Verarbeitungstätigkeiten ist anzupassen (siehe „Was ist ein Verzeichnis der Verarbeitungstätigkeiten und braucht mein Verein so etwas?“) und die Verträge über die Auftragsverarbeitung sind zu prüfen. Schließlich sollten Sie sich mit den Dokumentations- und Nachweispflichten der DSG-VO vertraut machen, um im Falle des Falles den Nachweis über eine ordnungsgemäße Datenverarbeitung führen zu können.
In jedem Fall empfiehlt es sich, zunächst mit den außenwirksamen Handlungsfeldern zu beginnen:
- datenschutzrechtliche Informationspflichten auf der Vereinswebsite anpassen
- Überarbeitung von datenschutzrechtlichen Einwilligungserklärungen (soweit vorhanden)
- Datenschutzbeauftragten bestellen, soweit dies erforderlich ist und auf der Vereinswebsite und gegenüber der zuständigen Landesdatenschutzbehörde bekannt geben (siehe „Muss mein Verein einen Datenschutzbeauftragten bestellen?“)
- Verzeichnis über die Verarbeitungstätigkeiten überarbeiten oder anlegen
- Informationspflichten gegenüber Mitgliedern, Ehrenamtlichen und Mitarbeitern erfüllen
- Verträge über die Auftragsverarbeitung abschließen oder erneuern
- Regelungen zum Umgang mit Datenschutzverstößen aufstellen
Hinsichtlich der Pflicht, einen Datenschutzbeauftragten für den Verein zu bestellen, ändert sich für Vereine wenig. Wie schon nach alter Rechtslage muss ein Verein auch nach dem neuen BDSG einen Datenschutzbeauftragten bestellen, wenn er in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Die zu berücksichtigenden Personen müssen nicht beim Verein angestellt sein, da auch eine ehrenamtliche Tätigkeit (z.B. Trainer, Jugendwart, Kassenwart) ausreichend ist. Der Vereinsvorstand wird allerdings nicht mitgerechnet. Ständig ist die Tätigkeit, wenn sie für die Erledigung der Aufgabe normalerweise erforderlich ist und auch erfolgt. Gelegentliche Aushilfstätigkeiten finden demnach keine Berücksichtigung.
Dieses Verzeichnis dient der Transparenz über die Verarbeitung personenbezogener Daten und der rechtlichen Absicherung des Vereins. Darin werden die Verarbeitungsvorgänge erfasst, bei denen personenbezogene Daten betroffen sind. Dies sind normale Verwaltungsprozesse, wie etwa die Mitgliederverwaltung oder Buchhaltung, aber auch fußballspezifische Prozesse wie die Erstellung der elektronischen Spielberechtigungslisten und des elektronischen Spielberichts oder die Antragstellung über Pass Online und die Erstellung des Spielerpass Online. Für jeden Verarbeitungsprozess werden dessen Zweck und die verarbeiteten personenbezogenen Daten beschrieben, auf welcher Rechtsgrundlage die Verarbeitung erfolgt, ggf. an wen die Daten übermittelt werden und welche Maßnahmen für den Schutz der Daten ergriffen wurden.
Um die Verarbeitung personenbezogener Daten für die Betroffenen (Mitglieder, Beschäftigte, Ehrenamtliche, Kunden, Nutzer, Fans) möglichst transparent zu gestalten, sehen Art. 13 und 14 DS-GVO umfassende Informationspflichten vor. Dies ist insbesondere im Hinblick auf die Vereinswebsite und die Mitgliederverwaltung – insbesondere bei der Ansprache neuer Mitglieder – relevant.
Ja, denn die DS-GVO schützt Kinder und Jugendliche besonders, indem eine wirksame datenschutzrechtliche Einwilligung (z.B. zur werblichen Ansprache) erst nach Vollendung des 16. Lebensjahres möglich ist und bis dahin die gesetzlichen Vertreter wirksam einwilligen müssen.
Wer personenbezogene Daten verarbeitet, ist gesetzlich dazu verpflichtet für einen angemessenen technischen und organisatorischen Schutz dieser Daten zu sorgen. Dazu gehören mindestens der Schutz vor unbefugten Zugriffen, ein aktueller Virenschutz und regelmäßige Datensicherung sowie regelmäßige Sicherheitsupdates für Betriebssystem und Anwendungssoftware. Je nach Vereinsgröße und Komplexität der eingesetzten Informationstechnologie können wegen des größeren Risikos weitere Maßnahmen erforderlich werden. Der Verein trägt auch die Verantwortung, dass Auftragsverarbeiter in ihren Systemen für angemessenen Schutz sorgen. Seriöse Anbieter legen daher spätestens auf Anfrage eine Beschreibung der Sicherheitsmaßnahmen vor und haben auch vor einer persönlichen Prüfung keine Angst.
