Insbesondere: die Einwilligung
Durch die Coronazeit hat die Datenschutz-Grundverordnung und ihre praktische Anwendung im Verein einiges an Stellenwert und Brisanz verloren, die sie zunächst nach Inkrafttreten am 24. Mai 2016, Beginn der Geltungsdauer am 25. Mai 2018, auch für die Vereine zunächst gehabt hatte.
Die Datenschutz-Grundverordnung regelt den Umgang mit personenbezogenen Daten, also solcher natürlicher Personen, von Daten also, mit denen eine natürliche Person anhand bestimmter Merkmale und Kennungen diese – in der Verordnung „betroffene Person“ genannt, identifizieren lässt, Art. 4 Ziff. 1 DS-GVO.
Auch in Vereinen werden diese personenbezogenen Daten „verarbeitet“ (Art. 4 Ziff. 2 DS-GVO) und zwar mit oder ohne Hilfe automatisierter Verfahren: Das Erheben, Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung stellen solche Verarbeitungsvorgänge dar – also mit oder ohne Hilfe automatisierter Verfahren! Daher ist auch die Teilnehmerliste am Schwarzen Brett, die handschriftlich ausgefertigt ist, eine Verarbeitung, die der DS-GVO unterliegt, auch wenn sie auf Packpapier von Hand angefertigt worden ist.
Die Reichweite der DS-GVO lässt sich sehr gut am Wortlaut des Art. 4 DS-GVO ablesen. Dessen Lektüre wird empfohlen; die DS-GVO ist im Internet an allen Formen und Farben unschwer aufzufinden. In Art. 4 DS-GVO finden sich alle Definitionen von Personen, Funktionen und Maßnahmen, die mit der DS-GVO verbunden sind.
Ein Hinweis: Die DS-GVO wird im Anschluss an ihren Artikelbestand von sogenannten „Erwägungsgründen“ ergänzt; man mag diese „Erwägungsgründe“ als „Gesetzesmaterialien“ des Verordnungsgebers ansehen oder als „Selbstkommentierung“.
Wir wollen uns von Zeit zu Zeit mit einzelnen Aspekten und Regelungsbereichen der DS-GVO beschäftigen, so wie wir es seit dem Inkrafttreten der Verordnung getan haben.
Normen bei der Einwilligung in die DS-GVO
Heute soll die Einwilligung Gegenstand dieser Erörterung sein. Vor allem wegen ihrer enormen Bedeutung, die sie in der Praxis der Vereine im Umgang mit der DS-GVO hat.
Eine zentrale Norm der DS-GVO ist Art. 6 (Rechtmäßigkeit der Verarbeitung). Das heißt: Grundsätzlich ist die Verarbeitung personenbezogener Daten unzulässig. Es sei denn, dass eine der Bedingungen des Art. 6 (1) DS-GVO erfüllt ist.
Und an erster Stelle steht – als legalisierende Bedingung für die Verarbeitung – die Einwilligung in die Verarbeitung personenbezogener Daten durch die – im Gesetz so genannte – betroffene Person.
Was ist eine Einwilligung? Im Allgemeinen – vor allem im Zivilrecht – ist die Einwilligung nach § 183 Satz 1 BGB die vorherige Zustimmung zu einem Rechtsgeschäft.
Das Strafrecht sieht die Einwilligung als Rechtfertigungsgrund an. In zeitlicher Hinsicht unterscheidet sich die Einwilligung von der Genehmigung; die Einwilligung hat vor der rechtlichen Maßnahme zu erfolgen, während die Genehmigung ein Rechtsgeschäft oder eine Willenserklärung im Nachhinein durch Zustimmung legalisiert. Von großer Bedeutung ist, dass die Einwilligung freiwillig erfolgt. Ist sie dies nicht, ist sie unwirksam. Die Freiwilligkeit kann durch Täuschung, Drohung, Gewalt oder Irrtum ausgeschlossen sein.
Zentrale Norm für die Einwilligung als Rechtmäßigkeitsvoraussetzung für die Datenverarbeitung ist Art. 7 DS-GVO. Auch die Lektüre dieser Vorschrift lohnt sich unbedingt.
Es geht gleich damit los, dass der/die Verantwortliche (also der Datenschutzbeauftragte oder der/die im Vorstand für den Datenschutz Zuständige) nachweisen muss, dass der/die Betroffene in die Verarbeitung seiner/ihrer personenbezogenen Daten eingewilligt hat.
Schriftlichkeit wichtig
Die Beweisbarkeit der erteilten Einwilligung ist für den/die Datenverarbeitenden von grundlegender Bedeutung. Es ist deshalb wichtig, dass die Einwilligung in geeigneter Weise dokumentiert wird. Auch eine mündlich erklärte Einwilligung ist grundsätzlich wirksam, doch wird im Streitfall immer das Problem sein, dass die Einwilligung nicht bewiesen werden kann. Deshalb ist Schriftlichkeit wichtig. Das Ersuchen um Einwilligung muss in klarer und einfacher Sprache erfolgen, sodass unzweifelhaft erkennbar ist, dass der/die Betroffene einwilligen wollte.
Wie schon gesagt: Die Einwilligung muss freiwillig erfolgen. Es muss auch klar sein, dass der/die Betroffene einwilligen wollte, sich also seiner/ihrer erteilten Einwilligung bewusst war.
Bestes Beispiel einer wirksamen Einwilligung ist die Erklärung des/r Betroffenen im Rahmen des Aufnahmeantrages, beispielsweise in einem Beitrittsformular.
Es liegt auf der Hand, dass die Einwilligungserklärung in einem Beitrittsformular den meisten Raum einnehmen dürfte. Denn: Die Verwender des Beitrittsformulars müssen im Einzelnen aufführen, welche personenbezogenen Daten bei den Betroffenen erhoben werden. Nur zu diesen personenbezogenen Daten erteilen Betroffene ihre Einwilligung. Wenn in der weiteren Verarbeitung der personenbezogenen Daten die Verarbeitung weiterer, im Formular nicht genannter Daten erforderlich wird und erfolgen soll, müssen Betroffene dazu eine zusätzliche Einwilligungserklärung abgeben. Deshalb ist es sinnvoll, wenn sich der Verein bzw. der für den Datenschutz beauftragte Vorstand vorher genau überlegt, welche Daten er erheben und in die Einwilligungserklärung schreiben will, um sich später den bürokratischen Aufwand der Nachforderung von Einwilligungen für weitere personenbezogene Daten zu ersparen.
Rechte der Betroffenen aufführen
Das Beitrittsformular muss auch den Hinweis darauf enthalten, welche Rechte den Betroffenen zustehen, insbesondere das Recht auf Widerruf der Einwilligungserklärung, aber auch das Recht auf Löschung, Sperrung, Berichtigung und Übertragbarkeit der Daten. Darüber hinaus muss ein Hinweis auf das Recht zur Auskunft über die Datenverarbeitung enthalten sein.
Das Ganze kann dadurch vereinfacht werden, dass in der Beitrittserklärung einer auf der Homeopage veröffentlichten Erklärung zugestinnt wird.
Kinder und Jugendliche, die das 16. Lebensjahr noch nicht vollendet haben, benötigen zur Wirksamkeit ihrer Einwilligung zusätzlich die Einwilligung ihrer Sorgeberechtigten.
Ein Letztes
Es wird oft gefragt, wie man mit Mitgliedern zu verfahren hat, die schon viele Jahre vor Inkrafttreten der DS-GVO Mitglied des Vereins geworden sind, ohne eine Einwilligungserklärung zu unterzeichnen, oder aber, wenn die Einwilligung nicht den Anforderungen des DS-GVO entspricht.
Man kann auch auf das Einwilligungsverfahren oder die nachträgliche Einholung einer wirksamen Einwilligungserklärung verzichten. Denn: Art. 6 DS-GVO regelt in (1), b. und c., dass die Verarbeitung auch rechtmäßig ist, wenn sie zur Erfüllung des Mitgliedsvertrages zwischen dem Verein und dem Betroffenen erforderlich ist. Ebenso kann sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich sein, der der Verein gegenüber den Betroffenen unterliegt.
Schlanke Einwilligungserklärung empfohlen
Fazit und Empfehlung: Bei Neuaufnahmen in den Verein empfiehlt sich eine schlanke Einwilligungserklärung, die übrigens auch umfassen muss, dass der/die Betroffene die Verwendung von Lichtbildern seiner/ihrer Person in Veröffentlichungen oder auf der Homepage einwilligt. Auch hierbei handelt es sich nach inzwischen geklärter Rechtslage um Datenverarbeitung, die in eine Einwilligungserklärung einbezogen sein sollte.
Bei bereits bestehenden Mitgliedschaften dürfte sich eine konkludente Einwilligung schon aus der langjährigen Zugehörigkeit zum Verein in Kenntnis der praktizierten Datenverarbeitung herleiten, sodass eine nachträgliche Einholung von Einwilligungserklärungen nicht erforderlich erscheint.
Mir ist kein Fall der Beanstandung durch den Landesdatenschutzbeauftragten bekannt, bezogen auf eine Mitgliedschaft vor Inkrafttreten der DS-GVO ohne vorherige oder anschließende Einwilligungserklärung.
Rechtsanwalt Christian Heieck
Weiherstraße 6, 72213 Altensteig
Telefon: 07453 1677
Telefax: 07453 9554596
Email: kanzlei@rechtsanwalt-heieck.de
Dieser Beitrag gibt die Auffassung, Kenntnisse und Erfahrungen des Autors aus vielen Jahren Vereinsrechtpraxis wieder. Wir bitten dennoch um Verständnis, wenn im Hinblick auf die Vielfalt der individuellen Fallgestaltungen, die im Vereinsrecht vorkommen, eine Haftung für die gegebenen Auskünfte im Hinblick auf konkrete Einzelfälle nicht übernommen werden kann.