DSGVO in Verein und Ehrenamt

Transkript

1 DSGVO in Verein und Ehrenamt Personendaten Datenschutz Seite 1 von 16

2 Datenschutz ist nichts Neues! Es gab auch schon bisher national das Bundesdatenschutzgesetz und z.b. für Fotos das Kunsturhebergesetz Neu: DSGVO regelt den Schutz von Personendaten seit 2016 in der EU, ist ab dem 25. Mai 2018 anzuwenden 2 von 16

3 Grundsätze der DSGVO Datensparsamkeit Verbot mit Erlaubnisvorbehalt Zweckbindung Transparenz Datensicherheit 3 von 16

4 Wer ist betroffen? Jeder, der nicht nur für sich persönlich oder familiär Daten verarbeitet (private Adressbücher, Fotos etc.) d.h. jedes Unternehmen, jeder Verein (ob eingetragen oder nicht), jede Personenvereinigung Datenverarbeitung von Personenbezogenen Daten bedeutet: Erheben, Speichern, Ändern, Nutzen, Übermitteln, Verknüpfen oder Löschen 4 von 16

5 Was ist zu tun? Umsetzung ist Chefsache! Vorstand, Geschäftsführer, Verantwortliche(r) 1. Bestandsaufnahme (Wo werden Personendaten verarbeitet?) 2. Erstellung eines Verarbeitungsverzeichnisses (ist essentiell!!) 3. Muss ich einen Datenschutzbeauftragten benennen? 4. Einwilligungserklärungen überarbeiten, Datenschutzerklärungen 5. Wo nutzen Sie ggfs. Auftragsverarbeiter? (z.b. externe Tools, Clouds, Webseite etc.) 6. Auskunftsrecht sicherstellen 7. Technische und organisatorische Maßnahmen beschreiben (TOMs) 5 von 16

6 zu 1. Bestandsaufnahme Wo werden Daten erhoben? Beispiele: Mitglieder Sonstige Ehrenamtliche Externe Mitarbeiter Kooperationspartner Spender Teilnehmer Personal (Übungsleiter, Mitarbeiter, Minijobber) 6 von 16

7 zu 2. Erstellung eines Verarbeitungsverzeichnisses Schriftlich oder elektronisch IST NICHT ÖFFENTLICH Dient nur gegenüber der Aufsichtsbehörde als Nachweis Inhalt: - Name und Kontaktdaten des Verantwortlichen - Verarbeitungszwecke - Beschreibung der Kategorien von Personen und Daten - Kategorien von Empfängern - vorgesehene Löschfristen - Hinweis auf Sicherheitsmaßnahmen (TOMs) Muster Bayerisches Landesamt für Datenschutz Seite 7 von 16

8 Seite 8 von 16

9 zu 3.Datenschutzbeauftragter? Ja, sofern mehr als 9 Personen mit der Verarbeitung von Personendaten beschäftigt sind (Mitgliederverwaltung, Übungsleiter ) oder wenn besondere Daten verarbeitet werden, z.b. Gesundheitsdaten, Straftaten, religöse Anschauungen etc., aber nur dann, wenn diese Erfassung eine Kerntätigkeit des Vereins darstellt Falls Sie einen Datenschutzbeauftragten benötigen - internen Datenschutzbeauftragten benennen (muss nötiges Fachwissen haben z.b. durch nachweisbare Schulungen). Achtung Interessenskonflikt z.b. EDV-Verantwortliche oder Vorstand kann kein Datenschutzbeauftragter sein - externer Datenschutzbeauftragter (Kosten!) Meldung des Datenschutzbeauftragten an die Aufsichtsbehörde (hier: Hessen) Seite 9 von 16

10 zu 4.Einwilligung / Datenschutzerklärung Art. 6 Abs. 1 Verarbeitung nur rechtmäßig, wenn die Person entweder eingewilligt hat freiwillig für einen bestimmten Zweck und wer benötigt diese muss widerrufbar sein (Hinweis) eindeutige Handlung (Unterschrift, Ankreuzen) oder andere Gründe (bedarf keiner expliziten Einwilligung): Vertragserfüllung Wahrung berechtigter Interessen Seite 10 von 16

11 zu 4.Einwilligung / Datenschutzerklärung Informationspflicht 13, 1+2 DSGVO - Formulare, Webseite umfängliche Infos (was, wer, warum, Rechte, Speicherdauer, Widerruf, Empfänger, Beschwerde) - Schriftliche Regelung z.b. Satzung oder in einem sep. Regelwerk (Datenschutzordnung) letzteres erspart bei Änderungen Satzungs änderungen Seite 11 von 16

12 zu 5.Auftragsverarbeitung Mitgliederverwaltung extern Internet-Datenbank Newsletterversand (extern) Mailanbieter Webseite (Provider) Daten in der Cloud Erfordernis: nur Auftragsverarbeiter die datenschutzkonform arbeiten Grundlage ist ein Vertrag (schriftlich o. elektronisch) Derzeit sind beliebte Tools wie Dropbox, Doodle, bestimmte Mailanbieter, WhatsApp etc. noch nicht datenschutzkonform! Seite 12 von 16

13 zu 6. Auskunftsrecht Jeder Person hat das Recht auf die Auskunft zu seinen gespeicherten Daten. Innerhalb von einem Monat nach Auskunftsersuchen Identität prüfen schriftlich oder elektronisch! Gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden nach Verstoß oder Aufforderung Seite 13 von 16

14 zu 7. TOM s - Sicherheitsmaßnahmen IT-Sicherheitskonzept ausarbeiten Zugang zu Daten z.b. Räume festlegen Datenschutzgeheimnis für haupt- u. ehrenamtliche Mitarbeiter, die Zugang zu Personendaten haben sicherstellen Berechtigungsmanagement muss da sein Mails verschlüsselt senden s über Verteiler nicht offen sondern nur per bcc senden Seite 14 von 16

15 Exkurs: Fotos, Minderjährige Fotos: Bisher hat das KUG Anwendung gefunden, Datenschützer sind aktuell der Meinung, dass das dann in der Regel auch dsgvo-konform ist - Veröffentlichung auch hier ohne Einwilligung nicht erlaubt 22 KUG - Verstorbene: bis 10 Jahre nach dem Tod nur mit Einwilligung der Angehörigen - 23 KUG Ausnahmen: Personen als Beiwerk, Zeitgeschichte, Kunst, Versammlungen = darf ohne Einwilligung veröffentlicht werden - Vereinsveranstaltungen ohne Einwilligung bei Bezug zur Veranstaltung z.b. Faschingsveranstaltung Aber! Herausheben einzelner Teilnehmer nur mit Einwilligung Minderjährige bis 16J. nur mit vorheriger schriftlicher Einwilligung der Sorgeberechtigten (konkrete Anlässe benennen) Seite 15 von 16

16 Homepage, Social Media & Co. Seiten im Netz benötigen - ein vollständiges Impressum - eine Datenschutzerklärung (beides muss mit 1 Klick erreichbar sein und gut auffindbar von jeder Seite) - https Verschlüsselung bei Kontaktformularen (am besten komplette Seite) - ggfs. Cookies Opt-In (im Hinblick auf 2019 wenn die E-Privacy Verordnung kommt) oder erstmal Hinweis auf Cookies, sofern Cookies verwendet werden Das Gerichtsurteil des EUGH hat entschieden, dass wer eine Facebook-Seite hat für nicht datenschutzkonformes Verhalten des Betreibers mithaftet. Tipp: Abwarten auf die Stellungnahme des Bundesverwaltungsgerichts Seite 16 von 16

17 Links und Infos DE/Home/Kurzmeldungen/DSGVO_Kurzpapiere1-3.html Links zur Kurzpapieren und 4seitige Handreichung für Vereine Leitfaden Zu mir: Claudia Bröse, Tel für Schulungen, Infos zum Datenschutz für Vereine und Ehrenamtliche für Datenschutz in Unternehmen o. ext. Datenschutz Seite 17 von 16

18 Seite 18 von 16