Vereine sind in Deutschland sehr weit verbreitet. Ob es sich um einen Sportverein handelt, einen Sch\u00fctzenverein, einen Kulturverein oder gemeinn\u00fctzige Organisationen, wie Rotary International oder Lions Clubs International. Als Rechtsform hierf\u00fcr wird regelm\u00e4\u00dfig ein Verein gew\u00e4hlt.<\/p>\n
Am 25. Mai 2018 wird die neue Datenschutzgrundverordnung (DSGVO) anwendbar. Sie soll den Datenschutz in den EU-Mitgliedsl\u00e4ndern einheitlich regeln. Da sie nicht nur auf Unternehmen Anwendung findet, sondern auf alle Einrichtungen, die personenbezogene Daten verarbeiten, sind auch Vereine von den neuen Regelungen betroffen.<\/p>\n
Die DSGVO enth\u00e4lt in einigen Bereichen wesentlich strengere Anforderungen als die bisherigen Vorschriften, weshalb es h\u00f6chste Zeit ist, sich mit den neuen Vorschriften und Pflichten vertraut zu machen und die gegebenenfalls erforderlichen Ma\u00dfnahmen zu ergreifen.<\/p>\n
Doch welche Informationen werden \u00fcberhaupt als \u201epersonenbezogene Daten\u201c im Sinne der Verordnung verstanden? Nach Art. 4 DSGVO<\/a> sind \u201epersonenbezogene Daten\u201c alle Informationen, die sich auf eine identifizierte oder identifizierbare nat\u00fcrliche Person beziehen.<\/p>\n Darunter fallen also nicht nur Angaben zu den Mitgliedern des Vereins, wie Name, Adresse, Geburtsdatum oder Kontodaten, sondern auch etwa Wettkampfergebnisse oder Einsatzzeiten, die in vielen Vereinen auch dokumentiert werden. Die meisten Vereine erhalten solche personenbezogene Daten ihrer Mitglieder durch den Mitgliedsantrag oder durch Anmeldeformulare zu Wettk\u00e4mpfen. Welche Daten durch den Verein erhoben werden d\u00fcrfen, h\u00e4ngt von den durch die Vereinssatzung definierten Vereinszielen ab. Der Verein darf nur solche personenbezogenen Daten seiner Mitglieder erheben und verarbeiten, die f\u00fcr die Verfolgung des Vereinsziels sowie der Mitgliederbetreuung und -verwaltung erforderlich sind. Verarbeitet werden diese etwa durch die Speicherung oder die Weitergabe an einen \u00fcbergeordneten Verband.<\/p>\n Deshalb f\u00e4llt so gut wie jeder Verein in den Anwendungsbereich der DSGVO und muss sich somit an die von dieser vorgegebenen Pflichten halten.<\/p>\n Art. 5 DSGVO<\/a> listet zun\u00e4chst die allgemeinen Grunds\u00e4tze f\u00fcr die Verarbeitung personenbezogener Daten auf. Die meisten dieser Grunds\u00e4tze sind zwar nicht neu, wurden jedoch zum Teil modifiziert beziehungsweise strengeren Anforderungen unterworfen. So gilt weiterhin der Grundsatz der Zweckbindung, nach dem personenbezogen Daten nur f\u00fcr festgelegte, eindeutige und legitime Zwecke erhoben werden d\u00fcrfen. Auch der Grundsatz der \u201eDatenminimierung\u201c beziehungsweise der \u201eDatensparsamkeit\u201c besteht fort, nach dem die Datenerhebung auf das notwendige Ma\u00df beschr\u00e4nkt werden muss.<\/p>\n Neu ist auch die Pflicht einen internen oder externen Datenschutzbeauftragten zu benennen nicht. Das gilt f\u00fcr alle Vereine, bei denen in der Regel mindestens zehn Personen st\u00e4ndig mit der automatisierten Verarbeitung personenbezogener Daten besch\u00e4ftigt sind. Diese Aufgabe kann jedoch nicht einfach vom Vorstand \u00fcbernommen werden. Auch neu ist, dass die Informationspflichten der DSGVO wesentlich weiter reichen, als das nach der bisherigen Regelung der Fall gewesen ist.<\/p>\n Art. 13 DSGVO<\/a> listet detailliert die Informationen auf, die der betroffenen Person zum Zeitpunkt der Erhebung der Daten mitgeteilt werden m\u00fcssen. Personen deren Daten bereits erhoben wurden m\u00fcssen die fehlenden Informationen aktiv bis zum 25. Mai 2018 vom Verein mitgeteilt werden.<\/p>\n Die Anforderungen an die F\u00fchrung eines Verfahrensverzeichnisses wurden durch die DSGVO deutlich modifiziert. In dem nun nach Art. 30 DSGVO<\/a> geforderten Verzeichnis m\u00fcssen s\u00e4mtliche Prozesse, die im Zusammenhang mit der Verarbeitung personenbezogener Daten bestehen, aufgef\u00fchrt und genau beschrieben werden. Das Verzeichnis muss zum Beispiel die Zwecke der Verarbeitung nennen und eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten enthalten. Welche weiteren Angaben das Verzeichnis genau enthalten muss ist in Art. 30 DSGVO<\/a> festgelegt.<\/p>\n Zwar gilt die Vorschrift nach Art. 30 Abs. 5 DSGVO<\/a> nicht f\u00fcr Einrichtungen, die weniger als 250 Mitarbeiter besch\u00e4ftigen. Allerdings gibt es hierzu eine R\u00fcckausnahme, dass dies nur dann gilt, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Diese Einschr\u00e4nkung der Ausnahme f\u00fchrt dazu, dass der Anwendungsbereich der Norm und damit die Pflicht zur F\u00fchrung eines Verfahrensverzeichnisses wieder deutlich erweitert wird. F\u00fcr Vereine bedeutet dies, dass eine nicht nur gelegentliche Verarbeitung personenbezogener Daten stattfindet, wenn sie z.B. regelm\u00e4\u00dfig Wettkampfergebnisse verarbeiten, T\u00e4tigkeitsberichte der Mitglieder verfassen oder in sonstiger Weise personenbezogene Daten verarbeiten. Klarzustellen ist, dass \u201eregelm\u00e4\u00dfig\u201c im Sinne der Norm f\u00fcr Unternehmen wohl schon dann erf\u00fcllt sein d\u00fcrfte, wenn Verarbeitungen zu Verg\u00fctungen monatlich erfolgen. Hieraus kann man f\u00fcr Vereine schlie\u00dfen, dass eine regelm\u00e4\u00dfige Verarbeitung dann vorliegen d\u00fcrfte, wenn diese zumindest monatlich erfolgt.<\/p>\n Art. 4 Nr. 11 DSGVO<\/a> schreibt detailliert Regelungen zur Einwilligungserkl\u00e4rung f\u00fcr die Verarbeitung personenbezogener Daten vor. Danach d\u00fcrften beispielsweise bereits im Vorhinein angekreuzte K\u00e4stchen nicht mehr zul\u00e4ssig sein, da die DSGVO eine unmissverst\u00e4ndlich abgegebene Willenserkl\u00e4rung beziehungsweise eine eindeutig best\u00e4tigende Handlung als Einwilligung verlangt.<\/p>\n Nach Art. 7 Abs. 2 DSGVO<\/a> muss in Zukunft die schriftliche Einwilligung in verst\u00e4ndlicher und leicht zug\u00e4nglicher Form in einer klaren und einfachen Sprache gefasst sein. Auch bereits erteilte Einwilligungen sollten diesbez\u00fcglich \u00fcberpr\u00fcft und falls notwendig neu angefordert werden.<\/p>\n Zudem enth\u00e4lt die neue DSGVO noch weiter, zum Teil sehr verstreute, Pflichten f\u00fcr Vereine.<\/p>\n So muss der Verantwortlichen nach Art. 24 Abs. 1 DSGVO<\/a> geeignete technische und organisatorische Ma\u00dfnahmen ergreifen und sicherstellen und den Nachweis daf\u00fcr erbringen, dass die Verarbeitung gem\u00e4\u00df der Verordnung erfolgt ist. Geeignete Sicherheitsvorkehrungen m\u00fcssen somit getroffen und stets auf dem neuesten Stand gehalten werden.<\/p>\n Wird jemand anders (z.B. ein Hostingunternehmen f\u00fcr die Vereinshomepage) beauftragt die vom Verein erhobenen Daten zu verarbeiten, so muss nach Art. 28 Abs. 1 DSGVO<\/a> sichergestellt werden, dass geeignete technische und organisatorische Ma\u00dfnahmen so durchgef\u00fchrt werden, dass die Verarbeitung im Einklang mit den Anforderungen DSGVO erfolgt und den Schutz der Rechte der betroffenen Person gew\u00e4hrleistet. Daf\u00fcr muss ein entsprechender Vertrag nach Art. 28 Abs. 3 DSGVO<\/a> geschlossen werden. Neu ist dabei, dass solche Vertr\u00e4ge nun auch elektronisch geschlossen werden k\u00f6nnen. Sollte es trotz all der Sicherheitsvorkehrungen zur Verletzung des Schutzes personenbezogener Daten kommen, so ist der Verein nach Art. 33 Abs. 1 DSGVO<\/a> zu Meldung des Vorfalles verpflichtet. Die Meldung muss unverz\u00fcglich und binnen 72 Stunden nach Bekanntwerden an die zust\u00e4ndige Aufsichtsbeh\u00f6rde erfolgen. Der Mindestinhalt dieser Meldung bestimmt sich nach Art. 33 Abs. 3 DSGVO<\/a>.<\/p>\n Die DSGVO bringt also einige Neuerungen f\u00fcr Vereine im Umgang mit den Daten der Mitglieder. Die Anforderungen sollten stets genau beachtet und eingehalten werden, da im Rahmen der Verordnung auch die Bu\u00dfgelder f\u00fcr den Fall eines Versto\u00dfenes deutlich erh\u00f6ht wurden.<\/p>\n Jeder Verein sollte sich deshalb vor Augen f\u00fchren in welchen Bereichen personenbezogen Daten verarbeitet werden und welche Prozesse damit in Verbindung stehen. Daraufhin sollten die erforderlichen Ma\u00dfnahmen getroffen und Aufgaben gegebenenfalls neu verteilt werden. Insbesondere ist dabei noch einmal an die Bestellung eines Datenschutzbeauftragten, die \u00dcberpr\u00fcfung von Einwilligungserkl\u00e4rungen und das Anlegen eines Verfahrensverzeichnisses und die Sicherung der Rechte der betroffenen zu erinnern.<\/p>\n Zus\u00e4tzlich sollte ein besonderes Augenmerk auch auf die Internetseite des Vereins gelegt werden. Denn die DSGVO verlangt auch dort umfangreiche Anpassungen, insbesondere im Rahmen der Datenschutzerkl\u00e4rung sowie der Einholung von Einwilligungen, z.B. f\u00fcr einen Newsletter.<\/p>\n","protected":false},"excerpt":{"rendered":" Vereine sind in Deutschland sehr weit verbreitet. Ob es sich um einen Sportverein handelt, einen Sch\u00fctzenverein, einen Kulturverein oder gemeinn\u00fctzige Organisationen, wie Rotary International oder Lions Clubs International. Als Rechtsform hierf\u00fcr wird regelm\u00e4\u00dfig ein Verein gew\u00e4hlt. Am 25. Mai 2018 wird die neue Datenschutzgrundverordnung (DSGVO) anwendbar. Sie soll den Datenschutz in den EU-Mitgliedsl\u00e4ndern einheitlich regeln. […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[4518,4490,1271,4419,4516,4517,4519,4515,4499],"class_list":["post-6250","post","type-post","status-publish","format-standard","hentry","category-datenschutz-medienrecht","tag-datenschutzbeauftragter","tag-datenschutzgrundverordnung","tag-dokumentation","tag-dsgvo","tag-eu-dsgvo","tag-gemeinnuetzig","tag-pflichten","tag-verein","tag-verfahrensverzeichnis"],"yoast_head":"\nGrunds\u00e4tze der Datenverarbeitung<\/h2>\n
Datenschutzbeauftragter<\/h2>\n
\nGe\u00e4ndert hat sich jedoch, dass dieser Datenschutzbeauftragte nach Art. 37 Abs. 8 DSGVO<\/a> der zust\u00e4ndigen Aufsichtsbeh\u00f6rde gemeldet werden muss.<\/p>\nInformationspflichten<\/h2>\n
Verfahrensverzeichnis<\/h2>\n
Einwilligungserkl\u00e4rung<\/h2>\n
Weitere Pflichten und Ma\u00dfnahmen<\/h2>\n
\nZudem muss nach Art. 35 DSGVO<\/a> im Vorfeld eine Datenschutzfolgenabsch\u00e4tzung durchgef\u00fchrt werden, wenn die Form der Verarbeitung der Daten ein besonders gro\u00dfes Risiko f\u00fcr die Rechte der Betroffenen darstellt. Welchen Inhalt diese Absch\u00e4tzung auf jeden Fall haben muss regelt Art. 35 Abs. 7 DSGVO<\/a>.<\/p>\nFazit<\/h2>\n