Grundrecht auf Datenschutz

...

- Umgang mit personenbezogenen Daten

...

Die neue Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in der gesamten Europäischen Union. Darin wird das Grundrecht aller Personen auf Datenschutz gesichert. An einigen Stellen wurden die nationalen Gesetzgeber ermächtigt, die Regelungen der Verordnung zu konkretisieren und zu ergänzen. Hiervon hat der Gesetzgeber durch die Schaffung des Bundesdatenschutzgesetz-neu (BDSG-neu) Gebrauch gemacht. Die DSGVO (mitsamt ihren „Erwägungsgründen“) und das BDSG-neu bilden seitdem die Rechtsgrundlage für die Verarbeitung personenbezogener Daten.

...

Damit eine Verarbeitung rechtmäßig ist, müssen personenbezogene Daten mit Einwilligung der betroffenen Person verarbeitet werden (Art. 6 Abs. 1 DSGVO; Erwägungsgrund 40). Die Mitgliedschaft in einem Verein wie dem LBV ist als Vertragsverhältnis zwischen den Mitgliedern und dem Verein anzusehen, dessen Inhalt im Wesentlichen durch die Vereinssatzung vorgegeben wird. Eine Vereinssatzung bestimmt insoweit die Vereinsziele, für welche die Mitgliederdaten genutzt werden können. Die personenbezogenen Daten, die bei der Übernahme der Aufsichtspflicht über Minderjährige erhoben werden, z. B. bei einem Angebot des LBV im örtlichen Ferienprogramm oder in einer Naturkindergruppe der NAJU, begründen sich ebenfalls über einen Vertrag. Dieser wird zwischen der NAJU/dem LBV und den Eltern geschlossen. In allen eingetragenen Vereinen (e. V.) fungiert immer der Verein als Vertragspartner mit den Eltern. Jeder Gruppenleiter übt beispielsweise als “Erfüllungsgehilfe” die Aufsichtspflicht oder auch Maßnahmen für den Datenschutz in dessen Namen aus.

Datenschutzerklärung des LBV - Textbaustein für Formulare

Erfolgt eine Erhebung personenbezogener Daten direkt bei der betroffenen Person bzw. bei Minderjährigen mittels des/der Personensorgeberechtigten (Eltern, Vormund), so hat der Verein aus Gründen der Transparenz von Datenverarbeitungsprozessen zum Zeitpunkt der Datenerhebung eine entsprechende datenschutzrechtliche Unterrichtung vorzunehmen (Art. 13 Abs. 1 und Abs. 2 DSGVO). Daraus folgt, dass der LBV und die NAJU in jedem Formular, das zur Erhebung personenbezogener Daten genutzt wird, einen Datenschutz-Claimer verwendet, der gleichzeitig einen Link auf die Datenschutzerklärung des LBV beinhaltet. Der Datenschutz-Claimer, der auf jedem dieser Formulare verwendet werden muss, lautet:

...

Jedem Ehrenamtlichen, der im LBV Umgang mit personenbezogenen Daten hat, ist untersagt, diese unbefugt - also außerhalb der vereinsmäßigen Zwecke - zu verarbeiten. Dieses Datengeheimnis besteht auch nach einer Beendigung der ehrenamtlichen Tätigkeit fort.

...

Konkrete Datenschutzmaßnahmen im LBV

a) Durch einen vom LBV bestellten externen Datenschutzbeauftragten wird seit 2012 die Einhaltung der Datenschutzbestimmungen kontrolliert. Dieser steht auch als Berater in allen Fragen zur Verfügung, die den Datenschutz betreffen. Mit dem Datenschutzbeauftragten könnt ihr über datenschutz@lbv.de Kontakt aufnehmen.

...

e) Nutzung mobiler Geräte (Notebooks und Handys): Nutzt der Mitarbeiter ein mobiles Gerät, um auf Daten des LBV zuzugreifen, so ist das mobile Gerät auf jeden Fall mit einem Passwort oder Pin zu schützen. Wenn die Daten auf dem mobilen Gerät nicht mehr benötigt werden, sind sie unverzüglich zu löschen. Es ist untersagt, personenbezogene Daten unbefugt zu verarbeiten. Unter Verarbeitung fällt auch die Übermittlung. Der Mitarbeiter/Ehrenamtliche hat Sorge zu tragen, dass zu keiner Zeit Unbefugte Zugriff auf die gespeicherten personenbezogenen Daten erhalten.

Praxistipps

...

für Gruppenleiter zum Datenschutz

Die folgenden Beispiele aus der Praxis beschreiben Vorgänge, bei denen Gruppenleiter personenbezogene Daten

...

der Gruppenkinder, Eltern, etc. verarbeiten. Wie dabei datenschutzkonform vorgegangen werden kann, wird aufgezeigt:

• Oft legen Betreuer einen Emailverteiler an, um Eltern z. B. das neue Gruppenstunden-Programm zu senden. Achtet bitte beim Versand einer Email an mehrere Personen darauf, dass die Emailadressen nicht für alle sichtbar sein dürfen. Deshalb beim Versand an einen Verteiler im Empfängerfeld lediglich die eigene Emailadresse und alle anderen Empfänger im BCC-Feld eintragen! Nutzt zusätzlich die Verschlüsselungsmöglichkeiten eures Email-Programms.
• Selten kommt es vor, dass die Gruppenleitung die Daten von Kindern an Dritte weitergeben muss. Zum Beispiel kann das nötig werden beim Abschluss einer extra Versicherung zwecks Teilnahme an einem internationalen Jugendaustausch oder zum Nachweis der Teilnehmeranzahl bei einer geförderten Veranstaltung gegenüber dem Fördergeber. In diesem Fall ist die Weitergabe an Fördermittelgebende eine zulässige Datenverarbeitung, da sie im Rahmen der Wahrnehmung berechtigter Interessen des Vereins, nämlich der Vereinsförderung, erfolgt.
• Erstellst du einen Anmeldezettel zur Aufnahme von Kindern in deine Gruppenstunden, dann beachte den Grundsatz der Datenminimierung. Dieser besagt, dass nur so wenige Daten wie notwendig abgefragt werden dürfen. Zum Beispiel sollten keine Schwimmkenntnisse abgefragt werden, wenn du nie vorhast, in den Gruppenstunden schwimmen zu gehen. Die Abfrage von Angaben wie Religionszugehörigkeit, Allergien, Krankheiten oder Behinderungen, die in den Bereich besonders sensibler Daten fallen, ist notwendig, um zum Beispiel eine Jugendferienfreizeit entsprechend aller Bedürfnisse gut vorbereiten und Kinder vor Gefahren schützen zu können. Solche Angaben sollten jedoch niemals Pflichtangaben sein, sondern freiwillig erfolgen. Die Anmeldezettel sind für das gesamte Betreuerteam ein wichtiges Dokument zur Ausübung der Aufsichtspflicht und sollten bei den Veranstaltungen mitgeführt werden. So besteht die Möglichkeit, bei Notfällen wichtige Kinder-Infos nachzulesen. Findet ein Betreuerwechsel statt, so müssen die Anmeldezettel unbedingt an das neue Team weitergegeben werden. Eine erneute Elternerlaubnis bedarf es dafür nicht. Löst sich eine Gruppe auf, sollten die Anmeldezettel noch 12 Monate aufbewahrt werden. So könnte man auf Probleme, die erst nach der Gruppenauflösung auftauchen sollten, noch entsprechend reagieren. Sämtliche personenbezogenen Daten müssen vor dem Zugriff Unbefugter geschützt aufbewahrt werden. In der Praxis bedeutet das, dass zum Beispiel Anmeldelisten nicht frei zugänglich herumliegen dürfen, sondern von der verantwortlichen Person sicher aufbewahrt werden müssen. Dabei ist es egal, ob es sich um lose Blätter oder um Dateien auf dem Computer handelt.
• Es ist gängige Praxis, dass Betreuer und Eltern Messenger-Dienste (z. B. WhatsApp oder Telegram) nutzen und dort eine gemeinsame Gruppe eröffnen, um sich über die geplanten Aktivitäten der NAJU-Gruppe auszutauschen. Beachtet dabei bitte, dass alle dem auch zugestimmt haben oder anders gesagt, fügt nicht einfach ungefragt die Telefonnummern von Eltern der Gruppe bei. Damit wird deren Handynummer für alle Gruppenmitglieder sichtbar. Versendet auch keine Bilder über Messenger-Dienste (außer ihr habt vorher abgeklärt, wie die Anbieter mit den Daten verfahren). Im Falle von WhatsApp zum Beispiel werden die Bildrechte abgegeben, was dem Anbieter erlaubt, alle hochgeladenen Medien für eigene Zwecke zu verwenden.
• Gruppenleiter müssen immer wieder personenbezogene Daten von sich selbst, von Mitgliedern des Betreuerteams und den Kindern/Eltern der NAJU-Gruppe an Mitarbeiter in den LBV-Geschäftsstellen übermitteln. Das können zum Beispiel eingesammelte Mitgliedsanträge sein, der Gründungssteckbrief der NAJU-Gruppe oder das erweiterte Führungszeugnis. Werden die Dokumente über den Postweg versendet, dann bitte direkt an die entsprechende Abteilung bzw. den zuständigen Ansprechpartner senden. Beim Versand von Daten per Email hat dies ausschließlich über gesicherte bzw. verschlüsselte Kanäle zu erfolgen (z. B. kennwortgeschützte ZIP-Ordner oder pdf). Erfolgt der Versand innerhalb des LBV-Intranets kann dies unverschlüsselt erfolgen (die dafür nötige LBV-Emailadresse kann unter www.emailadresse.lbv.de beantragt werden).
• Selten kommt es vor, dass die Gruppenleitung die Daten von Kindern an Dritte weitergeben muss. Zum Beispiel kann das nötig werden beim Abschluss einer extra Versicherung zwecks Teilnahme an einem internationalen Jugendaustausch oder zum Nachweis der Teilnehmeranzahl bei einer geförderten Veranstaltung gegenüber dem Fördergeber. In diesem Fall ist die Weitergabe an Fördermittelgebende eine zulässige Datenverarbeitung, da sie im Rahmen der Wahrnehmung berechtigter Interessen des Vereins, nämlich der Vereinsförderung, erfolgt.

Verhalten bei Datenschutzpannen

...

Die Bestimmungen zum Datenschutz sind von allen LBV-Mitarbeitern und allen im LBV/in der NAJU ehrenamtlich Tätigen, die mit Mitgliederdaten in Berührung kommen, strikt zu befolgen. Die Inhalte sind Bestandteil der LBV-Geschäftsordnung. Alle entsprechenden Personen erklären durch ihre Unterschrift, dass sie die in diesem Leitfaden aufgeführten Datenschutzbestimmungen gelesen haben und einhalten. Sie erklären ausdrücklich, dass sie alle LBV-Daten nur im Auftrag des LBV verwenden, dass sie keine LBV-Daten unbefugt an Dritte weitergeben und dass sie alle LBV-Daten bei Beendigung eines Arbeitsverhältnisses beim LBV bzw. bei Beendigung des Ehrenamtes im LBV (sofern die Daten nicht an Nachfolger übergeben wurden oder eine Aufbewahrungspflicht besteht) sofort löschen.

Persönliche Erklärung zur Einhaltung des Datenschutzes

Name / Vorname _________________________________________________________

...