Datenschutz-Kolumne: Datenschutz geht jeden an – auch im Verein! Im zweiten Teil von Ka-Jo’s Kolumne rund um den Datenschutz geht es um Bußgelder – auch für Vereine, eine Sicherheitslücke bei Microsoft und drei Jahre DSGVO. Wo steht Dein Verein da heute? Erfahre mehr über die 11 Herausforderungen bei der DSGVO und wie Du für Deinen Verein bewerten kannst, wo ihr wirklich steht.
Hand aufs Herz, hast Du Dir mal Gedanken darüber gemacht, welche personenbezogenen Daten an welchen Stellen und bei welchen Personen bei Euch im Verein verarbeitet werden? Sagen Dir die Abkürzungen VVT, TOM’s und AVV etwas? Weißt Du, was in den Artikeln 12 und 15 der DSGVO steht und bist Du auf eine Wahrnehmung der Betroffenenrechte nach Artikel 17 vorbereitet?
Die Vereinsmeier Datenschutz-Kolumne im April 2021: Moin, Moin, ich bin Ka-Jo Schäfer und ich werde zukünftig an dieser Stelle Eure Fragen zur Datenschutz-Grundverordnung DSGVO und manchmal auch, weil es ganz eng miteinander zu tun hat, zur Datensicherheit beantworten.
Bußgelder für Vereine – Ein Abstecher
Bevor ich wieder auf die DSGVO im Verein zu sprechen komme, einen kurzen Abstecher zu den Bußgeldern. Da ging vor ein paar Tagen der VfB Stuttgart durch die Presse. Der LfDI (Landesbeauftragte*r für den Datenschutz und die Informationsfreiheit) in Baden-Württemberg, Dr. Stefan Brink, hat ein Bußgeld in Höhe von 300.000 Euro gegen den Bundesligaklub VfB Stuttgart verhängt. Der Verein hat das Bußgeld angenommen, wird keinen Widerspruch einlegen, und hat angekündigt, sich verstärkt in der Initiative „Datenschutz geht zur Schule“ zu engagieren.
Was ist passiert? Die Querelen, besser gesagt, der Machtkampf zwischen dem Vorstandschef Thomas Hitzelsberger und Präsident Claus Vogt führte zwischen 2016 und 2818 dazu, dass zehntausende von Mitgliedsdaten ohne ausreichende rechtliche Grundlage an Dritte weitergegeben wurden. Damit sollte die Herauslösung der Profi-Abteilung vorangetrieben werden. Betroffen waren die Aktiengesellschaft genauso wie der eingetragene Verein. Davon bekam der LfDI Wind und startete das Verfahren gegen VfB Stuttgart AG und VfB Stuttgart e.V. Das Ende vom Lied? Eine Entschuldigung des Vorstandes an alle Mitglieder und sonstigen Betroffenen, eine Erklärung, dass zukünftig die Initiative „Datenschutz geht zur Schule“ unterstützt wird und die Zahlung des Bußgeldes in Höhe von 300.000 Euro.
Ähnliches ist auch dem niederländischen Tennisverband widerfahren. Dort haben die Verantwortlichen getreu der Headline: Daten sind das Gold des 21. Jahrhunderts die Mitgliedsdaten der Mitglieder an sogenannte Sponsoren zur Weiterverwendung verkauft. Antwort des niederländischen Datenschutzbeauftragten war ein Bußgeld von 525.000 Euro.
Kann uns nicht passieren, sagst Du? Wir haben gerade keine Profiabteilung zum Ausgliedern wie in Stuttgart und auch keine 350.000 Mitglieder wie der niederländische Tennisverband. Das höre ich oft in der Praxis. Aber was ist denn mit dem Markt um die Ecke, der Euch das Sommerfest sponsort und dafür die Email-Adressen Eurer Mitglieder für den wöchentlichen Newsletter mit Sonderangeboten erbittet?
Nichts liegt mir ferner, als Euch Angst machen zu wollen. Es ist schwer genug geworden ehrenamtliche Mitarbeiter*innen zu gewinnen, die auch Leitungsverantwortung übernehmen wollen. Ärgerst Du Dich nicht auch über die Flut der Spam-Mails in Deinem Postfach? Ich habe mal gelernt: Was du nicht willst, das man dir tut, das füg auch keinem andren zu! Vieles, was in der DSGVO geregelt wurde, lässt sich auf diesen Satz reduzieren. Einfach drüber nachdenken wenn es um die Mitgliedsdaten in Deinem Verein geht.
Noch ein Abstecher: Sicherheitslücke bei Microsoft
Als diese Kolumne geschrieben wurde, hat der LfDI Mecklenburg-Vorpommern gerade wieder (23.03.2021) gemeldet, dass die Sicherheitslücke bei der Software des Microsoft Exchange Servers immer noch nicht bei allen Anwendern und Nutzern geschlossen wurde. Wer einen Exchange-Server auch als Verein betreibt und das verfügbare Sicherheitsupdate nicht eingespielt hat, handelt mittlerweile grob fahrlässig.
Der sogenannte „Hafnium-Hack“ zeigt Sicherheitslücken die es weltweit möglich machen, auf Mailserver von Behörden, Unternehmen und Vereinen zuzugreifen. Oberflächlich sind zunächst Nachrichten, Adressbücher mit Kontaktdaten und Kalender betroffen. Das ist schon schlimm genug. Es scheint aber so, als ob die Sicherheitslücken genutzt werden können, um nachgelagerte Systeme mit Schadsoftware zu infizieren. Zum Beispiel mit Verschlüsselungstrojanern oder ähnlichem. Dann wird es richtig gemein. Teilweise aktiviert sich Schadsoftware erst Monate später und die in der Zwischenzeit durchgeführten Backups sind ebenfalls infiziert.
Also, an alle Vereins-ITler*innen: Wenn Ihr einen Exchange-Server betreibt und habt die Sicherheitsupdates noch nicht eingespielt, dann müsst Ihr das ganz dringend nachholen. Wenn Euer Provider Eure Emails über einen Exchange-Server verwaltet und Ihr keine Mitteilung über den Update erhalten habt, einfach einmal nachfragen. Das kostet nichts und lässt Euch auch weiterhin ruhig schlafen.
Drei Jahre DSGVO – wo steht Dein Verein heute?
Kommen wir zum Datenschutz in Deinem Verein. Wo steht Dein Verein heute? Tu mir mal den Gefallen, nimm ein Blatt Papier und einen Stift und zeichne einen Zahlenstrahl darauf. Links Null, rechts 10. Und jetzt schätze einmal, wo Dein Verein heute in Bezug auf die DSGVO steht. Ganz links, bei Null, würde bedeuten, noch nicht angefangen. Ganz rechts, bei 10, heißt, dass alles perfekt ist. Kreuzchen gemacht? Okay, leg das Papier einfach mal beiseite, wir brauchen es später nochmal.
DSGVO – Die Herausforderungen
1. Informationspflicht
Die DSGVO sieht umfangreiche Informationspflichten des Verantwortlichen – das ist im Verein in der Regel der Vorstand – gegenüber dem Betroffenen – also in erster Linie gegenüber dem Mitglied, aber auch anderen Personen – vor. In den Artikeln 12, 13 und 14 ist das festgelegt. Das Ziel ist eine Transparenz: Welche Daten werden über mich warum und wo verarbeitet?
Diese Informationspflicht beginnt mit dem ersten Erfassen von Betroffenendaten. In der Regel ist das der Erstkontakt. Eine Familie ist zugezogen, schaut auf Eure Internetseite, ruft das Kontaktformular auf und schreibt Euch: „Hallo, wir sind die Neuen, wir möchten bei Euch Mitglied werden!“
An dieser Stelle müsst Ihr schon darüber informieren, was mit den Interessentendaten passiert.
2. Fotos/Videos
Das Recht am eigenen Bild – da gibt es eigentlich nichts neues in der DSGVO. Auch vorher schon gab es Einschränkungen und eindeutige Regelungen. Nur, die Betroffenen sind heute sensibler geworden. Und die DSGVO schränkt die Veröffentlichung von Fotos und Videos nochmal erheblich ein.
Dabei liegt es im Interesse des Vereins, Fotos zu haben. Von der Jahreshauptversammlung, vom Ausflug an die Mosel, vom Fußballturnier der Kleinsten im Sommer 2019. Und wie schön ist es, wenn auf der Jahreshauptversammlung im Hintergrund die Dia-Show mit dem Jahresrückblick läuft. „Mensch, Felix, nach diesem Foto musstest Du ganz schnell ins Krankenhaus und vier Wochen später – aber da ist ja auch ein Foto vom Bäumchenstellen bei Euch im Garten!“
Alle diese Fotos können nach wie vor veröffentlicht werden. Wenn Ihr eine Einwilligung habt. Und wenn Ihr wisst, was zu tun ist, wenn die Einwilligung widerrufen wird.
3. Soziale Netzwerke
Gar nicht so einfach, die datenschutzkonforme Nutzung der Sozialen Medien, von Facebook & Co. Zumal viele Vereine schon vor langer Zeit die eigene Homepage stillgelegt haben und ganz auf die Fan-Seite bei Facebook setzen.
Facebook zum Beispiel gehört zu den Datenkraken. Der Konzern, zu dem auch noch Instagram und WhatsApp gehören, sammelt Daten und setzt sie im eigenen Konzern ein, um zum Beispiel den Werbekunden möglichst gezielte Werbung anbieten zu können. Das ist ganz leicht und läuft völlig im Hintergrund.
Nehmen wir mal ein ganz einfaches Beispiel. Morgens vor oder beim Frühstück checkst Du, ob sich etwas bei Deinen Facebook-Freundinnen und Freunden verändert hat. Ein neues Foto, ein neuer Status … was weiß ich. Du gehst auf das eine oder andere Profil – und Bingo, Facebook weiß jetzt schon mal, an welchen Freund*innen Du besonders interessiert bist. Übrigens war der Freund Deiner besten Freundin über die Ankündigung des Nachwuchses so glücklich, dass er die frohe Kunde gleich gepostet hat. Und Du willst nicht auf Facebook öffentlich gratulieren, sondern öffnest WhatsApp und schickst Deiner besten Freundin gleich mal 100 Herzchen. „Ich freue mich so für euch!“ Derweil surft Deine beste Freundin auf den Seiten von Babyausstattern, interessiert sich für Kindererziehung, möchte am liebsten schonmal den Kindersitz fürs Auto kaufen. Bingo! Wunderst Du Dich jetzt wirklich, dass bei Facebook jetzt lauter Geschenke zur Geburt bei Dir aufploppen?
Diese Zusammenhänge haben auch Wahlforscher erkannt und nutzen diese Daten von Facebook & Co. ganz gezielt für die Wahlwerbung. Das ist dann schon subtiler, wenn Du genau den Wahlspot zu sehen bekommst, der Deine Themen anspricht. Die Chance, Dich objektiv zu informieren, wird Dir genommen.
Ja, die Facebook-Vereinsseite ist einfach zu handeln und dazu noch kostenlos. Preiswerten Internetspeicherplatz gibt es an jeder Ecke, WordPress ist auch kostenlos und leicht zu bedienen. Ist das nicht eine bessere Alternative?
Ich weiß, ich schweife ab. Das Thema Facebook & Co. ist mir unheimlich wichtig. Die Sozialen Netzwerke sind toll – wenn wir alle damit verantwortungsvoll umzugehen wissen.
4. Unterrichtung der Beschäftigten
Geht mich nichts an! Wir haben keine Beschäftigten! Falsch! Die DSGVO definiert jedes Mitglied oder Nicht-Mitglied, das mit personenbezogenen Daten umgeht, als Beschäftigten. Dazu gehören natürlich alle ehrenamtlich Tätigen wie zum Beispiel Vorstand, Beisitzer, Kassenwart, Leiter*in der Geschäftsstelle und so weiter. Aber auch Praktikant*innen, 450-Euro-Kräfte, Platzwart, Hausmeister.
Um bei allen Beschäftigten, die mit personenbezogenen Daten umgehen, eine Sensibilisierung für den Datenschutz und Kenntnisse vom Datenschutzkonzept des Vereins zu vermitteln, nimmt die DSGVO die Verantwortlichen, das ist im Verein der Vorstand, in die Pflicht. Auch wenn eine Schulung nicht explizit verlangt wird, muss der Vorstand sicherstellen, dass die Beschäftigten auf dem aktuellen Stand des Datenschutzes sind.
In der Praxis kommt der Vorstand dieser Unterrichtungspflicht am Besten nach, indem er jährlich eine Datenschutz-Schulung für alle Beschäftigten durchführt oder durchführen lässt.
5. Verfahrensverzeichnisse
Schon mal gegoogelt, was die Abkürzung VVT aus dem Prolog dieser Datenschutz-Kolumne im Zusammenhang mit der DSGVO bedeutet? VVT steht für das Verzeichnis der Verfahrenstätigkeiten. Nach Artikel 30 der DSGVO ist für jede Verarbeitungstätigkeit eine Beschreibung anzufertigen.
Was bedeutet das konkret?
Dein Nachbar, Max Mustermann, ruft Dir über den Gartenzaun zu: „Erika, Karin und ich haben es uns überlegt, wir wollen doch Mitglieder in der Bürgerinitiative für den Erhalt des Gabler-Waldes werden!“ Du antwortest: „Prima, Max, warte einen Moment, ich hole eben zwei Mitgliedsanträge.“
Jetzt beschreibst Du für die „Verarbeitungstätigkeit Mitgliedsantrag – persönlich“ detailliert, was mit dem Mitgliedsantrag mit den persönlichen Daten von Max und Karin Mustermann passiert. Also von dem Moment an, wo Du Max die Formulare gibt, über die Erfassung in der Mitgliederdatei bis zur Vernichtung des Antrages.
Daneben gibt es dann noch die „Verarbeitungstätigkeit Mitgliedsantrag – Internet“ oder die Verarbeitungstätigkeit – Einzug Mitgliedsbeitrag“ oder, oder, oder … Überlege einfach mal, wann und wo Du mit personenbezogenen Daten umgehst. Newsletter, Einladung JHV, Mitgliederzeitung …
6. Auftragsverarbeitungsvertrag (AVV)
Wenn Ihr, gleich aus welchem Grund, personenbezogene Daten Eurer Mitglieder nach draußen zur Weiterverarbeitung gebt, dann braucht Ihr mit dem externen Dienstleister einen Auftrag-Verarbeitungs-Vertrag.
Beispiele? Schon mal an Euren Internet-Provider gedacht? Der verarbeitet Eure Emails oder die IP-Adressen Eurer Besucher. Oder der Newsletter-Versender.
Es gibt aber auch Externe, mit denen braucht Ihr keinen AVV zu schließen. Zum Beispiel mit Eurer Bank, die unterliegt dem noch strengeren Bankgeheimnis. Oder einige andere Dienstleister und/oder öffentliche Stellen.
7. Technisch-organisatorische Maßnahmen (TOM)
Die DSGVO nimmt den Schutz und die Sicherheit von personenbezogenen Daten sehr ernst. Das ist, so glaube ich, bis hierhin sehr klar geworden. Deshalb verlangt die DSGVO von Dir auch, dass die Daten ganz besonders geschützt werden.
Hast Du einen eigenen Computer für alle Vereinsaufgaben? Wohin machst Du wann und wie oft einen Backup Deiner Daten? Welchen Virenscanner hast Du installiert und wie oft wird der aktualisiert? Wer hat Zugriff auf den Laptop? Ist er passwortgeschützt?
Diese und viel mehr und viel banalere Fragen solltest Du Dir stellen. Sitzt Du mit dem Rücken zum Fenster zur Straßenseite im Erdgeschoss? Wie ist sichergestellt, dass Dir ein Passant nicht über die Schulter gucken kann?
8. Datenschutzbeauftragte
Habt Ihr im Verein mehr als 19 Beschäftigte, die personenbezogene Daten verarbeiten? Vorstand, Geschäftsstelle, Übungsleiter, Platzwart – die 20 Personen können schnell zusammenkommen. Oder verarbeitet Ihr auch besondere Daten? Zum Beispiel die Gesundheitsdaten der Teilnehmer an Eurer Reha-Sportgruppe.
Wenn Ihr nicht sicher seid, fragt lieber nach. Die Landesbeauftragten für den Datenschutz geben im Einzelfall gerne Auskunft.
Vereinsmeier Podcast: Hier geht es zum Vereinsmeier Podcast! Du findest die Folgen auch bei Podigee. Bei iTunes gibt es den Vereinsmeier-Podcast über diesen Link. Aber auch auf YouTube, Deezer, Amazon Music und Spotify kannst Du den Podcast abonnieren. Also jetzt den passenden Link klicken und jede Folge frei Haus bekommen!
9. Internetauftritt
Die überwiegende Zahl der Vereine hat schon im Mai 2018 die Homepage DSGVO-tauglich gemacht. Nochmal kurz nachgedacht: SSL-Verschlüsselung? Datenschutzerklärung? Informationspflichten?
10. Email-Verkehr
Ist die Archivierung des Vereins-Email-Verkehr gesichert? Und bei der Gelegenheit gleich noch die Anforderungen des BGB (Bürgerliches Gesetzbuch) umsetzen und eine Signatur für alle Vereins-Emails aufsetzen.
11. Datenpannen
Als letzten Punkt nenne ich noch die Datenpannen. Habt Ihr ein Konzept was veranlasst werden muss, wenn der Vereins-Laptop mit Datei oder das Vereins-Handy mit Adressbuch verloren geht oder gehackt wird.
11 Punkte hatten wir jetzt, 11 Punkte und 11 Herausforderungen für jeden Verein.
Darf ich Euch bitten, Euer Blatt mit der Selbsteinschätzung noch einmal in die Hand zu nehmen. Habt Ihr das Kreuzchen an der richtigen Stelle gemacht? Oder wollt Ihr noch einmal korrigieren?
Reden wir mal nur über die Kreuzchen bei 9 und 10 und auf der anderen Seite von 1 und 2.
Bei 9 oder 10: Herzlichen Glückwunsch, Ihr habt Euch wirklich hineingekniet (oder professionelle Hilfe gehabt. Bitte verliert nicht aus den Augen, dass Eure Datenschutzdokumentation regelmäßig aktualisiert werden muss.
Bei 1 oder 2: Aufgepasst, das ist grobe Fahrlässigkeit, heute, fast 3 Jahre nachdem die DSGVO in Kraft getreten ist. Stellt Euch vor, Ihr rast nachts um 2 mit 80 durch die Stadt und überfahrt alle roten Ampeln. Das kann vielleicht gutgehen. An der nächsten Kreuzung kann aber auch die Polizei stehen oder, das wäre noch schlimmer, es kracht ganz furchtbar. Fangt endlich an oder sucht Euch Hilfe, es ist höchste Zeit.
Alle anderen dazwischen haben noch ein bisschen – oder ein bisschen viel mehr – Arbeit vor sich.
Lass uns für heute zu einem Ende kommen. In unserer zweiten Datenschutz-Kolumne drehte es sich um die Themen
– Bußgelder werden auch von Vereinen verlangt
– Sicherheitslücke bei Microsoft Exchange-Server
– 3 Jahre DSGVO – wo steht Ihr heute?
– Die 11 größten Herausforderungen für den Vereins-Datenschutz
Habt Ihr die Aufgabe aus der Kolumne für März erledigt? Ich hatte Euch gebeten, alle im Verein zu sammelnden Daten aufzuschreiben und zu markieren, was wirklich notwendig ist. Nehmt bis zur nächsten Datenschutz-Kolumne einen Aktenordner, beschriftet den Rücken mit: Datenschutzdoku für Muster e.V. und legt Eure Liste darin ab. Dahinter kommt ein 11-teiliges Register. Die einzelnen Abteilungen bezeichnet Ihr wie die oben beschriebenen Herausforderungen.
Es bleibt zu sagen: Schützt Eure Daten, fangt bei Euch selbst an!
Herzlichst, Euer Ka-Jo Schäfer
Ka-Jo Schäfer ist als zertifizierter interner und externer Datenschutzbeauftragter (bvve) für Vereine in ganz Deutschland tätig. Außerdem engagiert er sich im Bundesverband für Vereine und Ehrenamt e.V. in der Region Mittelhessen für die Unterstützung von Vereinen und Verbänden. Der bvve setzt sich für das Ehrenamt in ganz Deutschland ein. Die Schwerpunkte sind Nachfolge, DSGVO, das digitale Vereinsheim und schlanke Satzung 4.0. Ka-Jos Vereinsmeier-Datenschutz Kolumne erscheint monatlich. Fragen an Ka-Jo Schäfer zum Thema Datenschutz im Verein und Ehrenamt könnt Ihr über die Kommentarfunktion stellen (bei allgemeinem Interesse) oder ihn direkt kontaktieren unter kajo.schaefer(at)datenschutz-im-ehrenamt(punkt)de. Seine Threema-ID lautet TMRAYY3F.
Ka-Jo war übrigens auch schon im Vereinsmeier-Podcast zu Gast. Die 60ste Folge mit Ka-Jo Schäfer findest Du hier. Und solltest Du Teil 1. der Datenschutzkolumne verpasst haben, kannst Du ihn im Artikel „Datenschutz-Kolumne: Einführung Datenschutz“ nachlesen.
Etwas zu schmökern als Buch gibt es hier, wenn Du grundsätzlich mehr zu vereinsrechtlichen Themen und Datenschutz erfahren möchtest:
Nutzen Sie zur Kommunikation im Verein WhatsApp? Gibt es einen Aushang mit Mitgliedernamen im Vereinsheim? Veröffentlichen Sie Fotos von Veranstaltungen, Trainings oder Wettkämpfen? Diese und andere Fragestellungen werden im Buch „Datenschutz im Verein: Leitfaden für den sicheren Umgang mit der DSGVO (Haufe Fachbuch)“ auf Herz und Nieren geprüft, damit Sie auch in Zeiten der DSGVO auf der sicheren Seite sind. Die Autorin bringt hier ihre jahrelange Erfahrung als selbstständige Unternehmerin und Beraterin ein und zeigt, wo die Fallstricke liegen. So wissen Sie, worauf Sie bei der Vielzahl der Regelungen ganz besonders achten müssen und wie Sie kostspielige Fehler vermeiden.
Ob Mitgliederverwaltung oder Spendenlisten – Vereine arbeiten heute mit einer wachsenden Fülle personenbezogener Daten. Am Thema Datenschutz und den Anforderungen der neuen Datenschutzregelungen durch die Datenschutz-Grundverordnung (DSGVO) kommt kein Vereinsvorstand mehr vorbei. Für einen rechtssicheren Umgang mit Daten im Vereinsalltag beantwortet Ihnen das Praxisbuch „Datenschutz für Vereine: Leitfaden für die Vereinspraxis“ von Frank Weller alle relevanten Fragen. In der umfassend aktualisierten 2. Auflage erfahren Sie u.a. welche Inhalte nach DSGVO und BDSG (neu) für Vereine wichtig sind, welchen Informationspflichten Vereine nachkommen müssen, wann Ihr Verein einen Datenschutzbeauftragten bestellen muss und wie Sie den Datenschutz auch in Ausnahmesituationen sicherstellen, bspw. bei virtuellen Sitzungen. Praxistipps, Beispiele und Mustertexte unterstützen Sie bei der Umsetzung.
Der Verein ist im Nonprofit-Sektor nach wie vor die beliebteste Rechtsform. Dies hat viele Gründe: Basisdemokratisch, einfach und bekannt dürften die am häufigsten genannten Gründe sein. Andererseits ist die Handhabung der Rechtsform Verein aber an verschiedenen Stellen für die Verantwortlichen fehleranfällig und schwierig. Dies umso mehr, wenn zu der Rechtsform Verein noch die Gemeinnützigkeit kommt. Guter Rat ist dann häufig teuer. Jörg Ammon zeigt in der 3. Auflage seines erfolgreichen Buches „Stolperfalle Verein“ praxisnah und verständlich, wie Du sicher mit der Rechtsform Verein, auch und gerade in Kombination mit der Gemeinnützigkeit umgehen und Stolperfallen vermeiden kannst. Erweitert hat er die aktuelle Auflage natürlich um das schwierige Thema Datenschutz.
Weitere interessante Artikel für Dich auf Vereinsmeier.online:
Grundsätzliches: Die Mitgliederversammlung
Vereinsregister: Was Du wissen musst
Hinweis: Die Beiträge auf dieser Seite dienen lediglich der allgemeinen Bildung und Information – nicht der juristischen Beratung bei rechtlichen Anliegen. Dieser Artikel ersetzt keine Beratung durch einen Rechtsanwalt, Steuerberater oder ähnlicher Beratungsstellen. Die Nutzung erfolgt auf eigene Verantwortung.