Stand 24.06.2021
1. Grundsätzliches
1.1. Gesetzliche Grundlagen
Im Verein werden personenbezogene Daten erhoben, verarbeitet und genutzt sowohl unter Verwendung von automatisierten Datenverarbeitungsanlagen als auch in manueller Dokumentation. Der Verein unterliegt damit den Anforderungen des Bundesdatenschutzgesetzes (BDSG) sowie der ab 25. Mai 2018 geltenden EU-Datenschutz-Grundverordnung (EU-DSGVO).
1.2 Begriffsbestimmungen
Personengebundene Daten: alle Daten, die zur Identifizierung einer natürlichen Person dienen, sowie darüber hinaus sämtliche Informationen, die etwas über die persönliche oder tatsächliche Situation einer Person aussagen.
Erheben: Datenbeschaffung durch Befragung oder Ausfüllen von Formularen.
Verarbeiten: Speichern von Daten, Verändern, Übermitteln, Sperren, Löschen, Anonymisieren.
Nutzen: Verwendung von personenbezogenen Daten für die Verwaltung und Betreuung von Vereinsmitgliedern.
Im weiteren Verlauf der Datenschutzordnung des Vereins wird der Begriff „Datennutzung“ als Sammelbegriff für das Erheben, Verarbeiten und Nutzen von personenbezogener Daten verwendet.
Automatisierte Verarbeitung: Erhebung, Verarbeitung oder Nutzung unter Einsatz elektronischer Anlagen und Programme.
manuelle Dokumentation: Datenerfassung und Speicherung in Papierform, sei es als handschriftlich ausgefülltes Formular oder als ausgedruckte Liste.
Verantwortliche Stelle: jede Institution oder Person, die personengebundene Daten für sich selbst erhebt, verarbeitet oder nutzt.
Betroffener: natürliche Person, deren Daten genutzt werden
1.3 Zulässigkeit der Datennutzung
Eine Datennutzung ist nur zulässig, sofern es eine Vorschrift des BDSG, der EU-DSGVO oder eine sonstige Rechtsvorschrift erlaubt oder der Betroffene eingewilligt hat. Die grundsätzliche Zulässigkeit einer Datennutzung ergibt sich für den Verein aus § 28 (1) BDSG:
„Das Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke ist zulässig,
- wenn es für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen erforderlich ist,
- soweit es zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt, oder
- wenn die Daten allgemein zugänglich sind oder die verantwortliche Stelle sie veröffentlichen dürfte, es sei denn, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung gegenüber dem berechtigten Interesse der verantwortlichen Stelle offensichtlich überwiegt.
Bei der Erhebung personenbezogener Daten sind die Zwecke, für die die Daten verarbeitet oder genutzt werden sollen, konkret festzulegen.“
Weiter ergibt sich die Zulässigkeit der Datennutzung auch aus der EU-DSGVO, Artikel 6 Ziffer 1 (b)
„ 1. Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) …
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Antrag der betroffenen Person erfolgen;
c) … “
Die Nutzung weiterer personengebundener Daten, die über die notwendigen Daten zur Vertragserfüllung hinausgehen, ist nur mit Einwilligung des Betroffenen zulässig (§4 BDSG Ziffer 1).
„Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat.“
In der EU-DSGVO ist diesbezüglich Art. 6 Ziffer 1 (a) anzuwenden:
„1. Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) … „
Hierzu wird in einer datenschutzrechtlichen Belehrung dargestellt, welche Daten der Verein zu welchem Zweck erhebt, welche Angaben freiwillig sind, welche Nachteile dem Betroffenen durch Nichtangabe entstehen können und in welchem Umfang die erhobenen Daten durch Funktionsträger des Vereins oder zur Übermittlung an Dritte genutzt werden.
Die Einwilligung bedarf nach §4a Abs. 1 Satz 3 BDSG
„ … der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.“
Der Verein sieht es als besonderen Umstand an, dass die Verwaltung des Vereins sowie die Organisation von Terminen vorwiegend online erfolgen. Weiter finden Treffen des Vereins an mehreren Standorten statt, so dass schriftliche Erklärungen nur mit einer zeitlichen Verzögerung von der verantwortlichen Stelle verarbeitet werden können. Die Einwilligung in Textform durch ein Kontrollkästchen (Pflichtfeld) im Online-Formular stellt daher eine angemessene andere Form dar.
Nach Art. 7 (1) EU-DSGVO ist für eine Einwilligung keine besondere Form vorgeschrieben, sondern lediglich der Nachweis notwendig, dass die betroffene Person eingewilligt hat.
„Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“
Einwilligungen für die Datennutzung durch den Verein können durch den Betroffenen (Vereinsmitglied) widerrufen werden.
Einwilligungen durch Kinder und Jugendliche können nicht erfolgen, in diesem Fall muss für die Datennutzung die Einwilligung eines Sorgeberechtigten erfolgen.
2. Erhebung personenbezogener Daten durch den Verein
2.1 Erhebung von Daten der Vereinsmitglieder
Folgende Daten sind notwendige Daten zur Verfolgung der Vereinsziele und zur Betreuung und Verwaltung der Mitglieder:
a) Name
b) Anschrift
c) E-Mail-Adresse
d) Benutzername auf https://rollenspielraum.de/forum/
e) Geburtsdatum
f) Bei Minderjährigen eine Notfallrufnummer eines Sorgeberechtigten
Alle weiteren personenbezogenen Daten, die vom Verein im Rahmen der Aufnahme als Mitglied, der Anmeldung zu Veranstaltungen oder sonstigen Datenerhebungen erfolgen, sind freiwillig. Hierauf wird bei Erhebung der Daten hingewiesen.
Zu den freiwilligen Daten im Rahmen der Verwirklichung der Vereinsziele sowie der Verwaltung und Betreuung der Mitglieder gehören in nicht abschließender Aufzählung unter anderem:
Telefonnummer, Erklärungen zu Urheberrechten und Rechten am eigenen Bild, Essgewohnheiten, Allergien, gesundheitliche Risiken, Kontodaten.
2.2 Erhebung von Daten Dritter
Der Verein erhebt Daten von anderen Personen als von Vereinsmitgliedern (Lieferanten, Gästen, Zuschauern, Besuchern, Teilnehmern an Veranstaltungen) soweit dies für berechtigte Interessen des Vereins notwendig ist und keine besonderen Schutzbedürfnisse der Betroffenen bestehen.
Bei Gästen, Zuschauern und Besuchern beschränkt sich dies im Regelfall auf die Legitimation der Anwesenheit, also Identifizierung als Interessent am Vereinsleben. Bei Teilnehmern an Veranstaltungen, welche letztlich dem Versicherungsschutz des Vereins unterliegen, erhebt der Verein notwendige und freiwillige Daten analog dem in Ziffer 2.1 beschriebenen Umfang und Verfahren.
2.3 Erhebung von Personaldaten der Beschäftigten des Vereins
Der Verein erhebt und nutzt personenbezogene Daten von Vorstandsmitgliedern, Kassenprüfern sowie weiteren Funktionsträgern des Vereins, soweit diese Daten für die Verwirklichung der Vereinsziele, die Betreuung von Mitgliedern sowie die Verwaltung des Vereins notwendig sind.
2.4 Hinweispflicht
Bei der Erhebung personenbezogener Daten belehrt der Verein über die Zulässigkeit der Datennutzung nach Ziffer 1.3 dieser Datenschutzordnung.
3. Speicherung personenbezogener Daten
3.1 Technische und organisatorische Maßnahmen
Der Verein trifft Maßnahmen nach Stand der Technik, um die Sicherheit personengebundener Daten in automatisierten Datenverarbeitungssystemen sowie manuellen Dokumenten zu gewährleisten. Hierzu gehören:
– Zugangskontrolle und Beschränkung zu den Datenverarbeitungssystemen (online / offline) über Benutzername und Passwort
– verschlüsselte Übertragung bei der Datenerhebung über Onlineformulare (https://)
– verschlüsselte Übertragung bei der Bearbeitung, Speicherung und Nutzung in einem Online-Datenverarbeitungssystem (https://)
– Zugangskontrolle und Beschränkung zu manuellen Dokumenten
– Versand von E-Mails an mehrere Empfänger, die einander nicht bekannt sind, nur über „bcc“ (=Blind Carbon Copy)
Das Vereinsprojekt “Valador” speichert personenbezogene Daten ggf. in der Anwendung “Whatsapp”. Hierfür gelten die Datenschutzbestimmungen des Herausgebers der Anwendung (WhatsApp LLC). Gegen diese Speicherung kann bei der Anmeldung zu Veranstaltungen des Projektes schriftlich formlos widersprochen werden.
3.2 Datenverarbeitung im Auftrag
Der Verein schließt mit dem Betreiber des Servers, auf dem das Datenverarbeitungssystem des Vereins installiert sowie die Datenbank gespeichert wird, einen Vertrag zur Auftragsdatenverarbeitung ab. Betroffene haben das Recht, den Inhalt des Vertrages einzusehen.
4. Nutzung von personenbezogenen Daten
4.1 Nutzung von Mitgliederdaten
Der Verein erhebt Daten ausschließlich für den Zweck der Verfolgung eigener Vereinsziele und zur Mitgliederbetreuung und Verwaltung.
4.2 Nutzung von Daten Dritter
Daten Dritter werden ausschließlich genutzt, soweit dies für die Verfolgung eigener Vereinsziele notwendig ist. Hierbei beschränkt sich die Nutzung auf diejenigen Zwecke, für die der Verein Daten erhoben oder erhalten hat.
4.3 Nutzung der Daten des Vereins für Spendenaufrufe und Werbung
Der Verein nutzt die Daten seiner Vereinsmitglieder nur für Spendenaufrufe und Werbung zur Erreichung der eigenen Ziele des Vereins. Die Nutzung von Mitgliederdaten für die Werbung Dritter, beispielweise Arbeitgebern oder Angehörigen von Vereinsmitgliedern erfolgt nur nach ausdrücklicher Zustimmung der Mitglieder.
5. Verarbeitung personenbezogener Daten und Übermittlung
5.1 Datenübermittlung an Vereinsmitglieder
Vereinsmitglieder haben, mit Ausnahme der Funktionsträger des Vereins, lediglich Zugriff auf die folgenden personengebundenen Daten anderer Mitglieder: Name, E-Mail-Adresse, Benutzername auf https://rollenspielraum.de/forum/. Soweit im Einzelfall für die Organisation von Veranstaltungen notwendig, können jedoch Kontaktdaten in notwendigem Umfang an einzelne Mitglieder herausgegeben werden, ohne dass diese Funktionsträger sind, soweit die jeweils Betroffenen dem zustimmen.
5.2 Mitteilungen in Aushängen und Vereinspublikationen
Die Offenbarung personenbezogener Daten in Aushängen und Vereinspublikationen beschränkt sich auf die Bekanntgabe von Veranstaltungsorganisatoren sowie die dienstlichen Erreichbarkeiten von Funktionsträgern.
5.3 Datenübermittlung an Dachverbände und andere Vereine
Personenbezogene Daten der eigenen Mitglieder dürfen an andere Vereine nur übermittelt werden, soweit diese dort benötigt werden, um die Vereinsziele des eigenen Vereins oder des anderen Vereins zu verwirklichen, beispielsweise bei der Teilnahme von Vereinsmitgliedern an Veranstaltungen anderer Vereine.
5.4 Datenübermittlung an Sponsoren und Firmen zu Werbezwecken
Eine Datenübermittlung an Sponsoren und Firmen zu Werbezwecken findet nicht statt. Über Ausnahmen entscheidet die Mitgliederversammlung, beispielsweise im Rahmen einer Abstimmung über den Abschluss eines Gruppenversicherungsvertrages.
5.5 Veröffentlichungen im Internet
Im Internet (Homepage & soziale Netzwerke) wird von Funktionsträgern der Vor- und Zuname veröffentlicht. Zur Kommunikation mit Funktionsträgern wird eine E-Mail-Weiterleitung pro Funktion zur Verfügung gestellt, deren Inhalt an die jeweiligen Funktionsträger weitergeleitet wird. Weitergehende personengebundene Daten der Funktionsträger werden nur mit ausdrücklicher Genehmigung im Internet veröffentlicht.
Bei Teilnahme von Vereinsmitgliedern an öffentlichen Veranstaltungen werden die Namen der Teilnehmer bekanntgegeben. Die Veröffentlichung von Einzelfotos erfolgt nur, soweit das Vereinsmitglied dem ausdrücklich zustimmt. Eine entsprechende Abfrage erfolgt bereits mit dem Aufnahmeantrag. Jedem Vereinsmitglied steht das Recht zu, diese Erlaubnis zur Veröffentlichung für den Einzelfall oder insgesamt zu widerrufen. Hierzu reicht eine formlose schriftliche Mitteilung aus.
5.6 personenbezogene Auskünfte an die Presse und andere Massenmedien
Pressemitteilungen und Auskünfte gehören zur normalen Öffentlichkeitsarbeit eines Vereins. Personenbezogene Daten werden in diesem Rahmen nur dann veröffentlicht, wenn es sich um einen Bericht über eine sowieso öffentliche Veranstaltung handelt und schutzwürdige Interesse der Mitglieder dem nicht entgegenstehen.
5.7 Übermittlung für Zwecke der Wahlwerbung
Eine Datenübermittlung zum Zwecke der Wahlwerbung findet nicht statt.
5.8 Übermittlung an Gemeindeverwaltungen
Verlangen Gemeindeverwaltungen im Rahmen der Nachweisführung der ordnungsgemäßen Verwendung von Zuwendungen die Vorlage von Listen mit Namen der Betroffenen, ist der Verein zur Übermittlung entsprechender notwendiger Daten berechtigt.
5.9 Datenübermittlung an Arbeitgeber eines Mitgliedes und die Versicherung
Gegenüber Arbeitgebern verweist der Verein auf den Grundsatz der Datendirekterhebung bei seinem Mitarbeiter.
Anfragen einer Versicherung werden ausschließlich im Rahmen der Schadensabwicklung in notwendigem Umfang beantwortet. Vor Auskunftserteilung wird das Mitglied hierzu angehört.
5.10 Kreis der Zugriffsberechtigten auf Daten
Die Mitglieder des Vorstandes und die Verantwortlichen für die Datenverarbeitung erhalten Vollzugriff auf die persönlichen Daten inklusive der Ergänzung, Änderung und Löschung von Daten. Alle Datenänderungen werden protokolliert.
Der Verantwortliche für die Buchführung erhält Zugriff auf die Adressdaten sowie die für die Beitragsberechnung erforderlichen Daten wie Zugehörigkeit zu bestimmten Beitragsrollen. Der Zugriff beinhaltet eine Schreibberechtigung für Daten zur Beitragszahlung.
Die Kassenprüfer erhalten Lesezugriff auf das Kassenbuch und damit die aktuelle Mitgliederliste sowie eingereichte Rechnungen und Verträge.
6. Berichtigung, Löschung und Sperrung von Daten
6.1 Umsetzung rechtlicher Vorgaben
Das Verfahren zur Berichtigung, Löschung und Sperrung von Daten richtet sich nach §35 BDSG bzw. Art. 16 und 17 EU-DSGVO.
Personenbezogene Daten sind zu berichtigen, wenn diese unrichtig sind.
Personenbezogene Daten müssen gelöscht werden, wenn:
– ihre Speicherung unzulässig ist
– die Kenntnis der Daten zur des Zwecks der Speicherung nicht mehr notwendig ist
– der Sachverhalt, zu dem die Daten gespeichert wurden, erledigt ist und seid Entstehung des Grundes der Datenerhebung mehr als 3 Jahre vergangen sind
– der Betroffene dies verlangt.
Anstelle der Löschung sind personenbezogene Daten für die weitere Verarbeitung zu sperren, wenn für Sachverhalte, für die diese Daten erhoben wurden, besondere Aufbewahrungsfristen gelten. Dies betrifft in nicht abschließender Aufzählung: Geschäftsbriefe, Buchungsbelege und Verwendungsnachweise in Zusammenhang mit öffentlicher Förderung.
Gleiches trifft zu, wenn die personenbezogenen Daten Bestandteil rechtlicher Ansprüche für oder gegen den Verein sind.
Personenbezogene Daten werden weiterhin gesperrt, soweit ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch Unrichtigkeit feststellen lässt.
Soweit gesperrte oder gelöschte personenbezogene Daten zu einem früheren Zeitpunkt nach Ziffer 5.6 dieser Ordnung veröffentlicht wurden, wird der Verein unter Berücksichtigung der verfügbaren Technologien und der Implementierungskosten angemessene Maßnahmen treffen, auch Links zu den personenbezogenen Daten zu löschen (Recht auf Vergessen).
Beim Ausscheiden oder Wechseln von Funktionsträgern wird sichergestellt, dass sämtliche Mitgliederdaten entweder ordnungsgemäß gelöscht oder an einen anderen Funktionsträger des Vereins übergeben werden und keine Kopien und Dateien und auch keine Zugriffsberechtigungen beim bisherigen Funktionsträger verbleiben.
6.2 technische Beschreibung der Datenlöschung
Personengebundene Daten in automatisierten Datenverarbeitungssystemen werden durch Entfernen des entsprechenden Datensatzes gelöscht. Da zur Aufrechterhaltung der Datenintegrität und Datensicherheit jedoch von der Datenbank nach Ziffer 3 dieser Ordnung Sicherheitskopien gefertigt werden, setzt der Verein die sichere Löschung von personengebundenen Daten wie folgt um:
– Sicherungskopien der Datenbank werden spätestens 3 Jahre nach Erstellung der Sicherung durch mehrfaches Überschreiben sicher gelöscht.
– einzelne personenbezogene Daten, die nicht in einem Datenverarbeitungssystem, sondern manuell erfasst wurden, wie eingescannte Dokumente, werden, sobald die Notwendigkeit für deren Speicherung entfällt, durch mehrfaches Überschreiben der einzelnen Datei sicher gelöscht.
– E-Mails, die personenbezogene Daten enthalten, werden durch Löschen und anschließendes Leeren des Ordners mit gelöschten Elementen gelöscht.
– Datenträger des Vereins, auf denen personenbezogene Daten gespeichert wurden, werden durch mehrfaches Überschreiben des gesamten Datenträgers sicher gelöscht, bevor eine Weitergabe an Dritte oder Entsorgung erfolgt.
– manuell erfasste oder dokumentierte personengebundene Daten in Papierform werden zur Vernichtung gesammelt (hierbei weiterhin als zu schützende Daten behandelt) und vom Verein an ein zertifiziertes Unternehmen zur Aktenvernichtung überstellt. Soweit Funktionsträger des Vereins beruflich Zugriff auf entsprechend zertifizierte Unternehmen haben und auch im Rahmen ihrer Tätigkeit als Angestellter oder Selbständiger den Datenschutzbestimmungen unterliegen, darf sich der Verein der Dienste dieser Funktionsträger bedienen, um in Papierform vorhandene personengebundene Daten einer gesicherten Vernichtung zuzuführen. Der entsprechende Nachweis der Vernichtung durch das zertifizierte Unternehmen ist dem Verein als Kopie zu überlassen.
7. Organisatorisches
7.1 Bestellung eines Datenschutzbeauftragten
Nach Prüfung der gesetzlichen Grundlagen (BDSG und EU-DSGVO) stellt der Verein fest, dass mindestens 10 Personen mit der Verarbeitung personenbezogener Daten beschäftigt sind.
Somit liegt eine gesetzliche Verpflichtung vor, einen Datenschutzbeauftragten zu bestellen. Der Vereinsvorstand bestellt diesen ab 25.05.2018 und danach jährlich nach der Mitgliederversammlung, welche den Vorstand wählt. Der Vereinsvorstand und der Datenschutzbeauftragte kümmern sich um die Einhaltung des Datenschutzes durch den Verein.
7.2 Verpflichtung auf Wahrung des Datengeheimnisses
Alle Personen, die Zugang zu Mitgliederdaten haben, werden schriftlich auf die Wahrung des Datengeheimnisses verpflichtet.
7.3 schriftliche Regelung zum Datenschutz und Veröffentlichung
Die Grundzüge der Erhebung, Verarbeitung und Nutzung von personengebundenen Daten werden durch diese Datenschutzordnung geregelt. Sie tritt durch Beschluss des Vorstandes in Kraft und ist den Vereinsmitgliedern durch Veröffentlichung im internen Bereich der Homepage sowie per E-Mail mit Verweis auf den Veröffentlichungsort bekannt zu geben.
7.4 Inkrafttreten
Vorstehende Datenschutzordnung wurde durch den Vorstand des Spielraum LE e. V. am 20.05.2018 beschlossen und ist mit Veröffentlichung in Kraft getreten.
© Quellenangabe und Weiterverwendung
Diese Datenschutzerklärung wurde erstellt unter Verwendung der Handreichungen des Landesbeauftragten für den Datenschutz Baden-Württemberg⇗ sowie der darauf basierenden Datenschutzerklärung des SFV Feuerblume e. V. ⇗ und individuell angepasst.
Änderungsprotokoll
24.06.2021: Ergänzung Abschnitt 3.1 um Spezifität des Projektes “Valador”.