Was können wir für Sie tun?

Von der Datenschutzangst und der Datenschutzausrede

Das Ende der Umsetzungsfrist für die Datenschutz-Grundverordnung (DSGVO) Ende Mai 2018 sorgte in vielen Unternehmen für eine Art Torschlusspanik in Sachen Datenschutz und IT-Sicherheit. Die allgemeine Verunsicherung legte sich nur langsam: Das Stichwort Datenschutz-Grundverordnung scheint bei vielen Verantwortlichen in Unternehmen auch Jahre später noch immer einen diffusen Eindruck von Defiziten und Gefahr zu bewirken.

Auf der Grundlage der geltenden Datenschutzgesetze können mehr als 99% aller Prozesse in Unternehmen und Behörden geregelt werden.

Für Panik besteht jedoch kein Anlass. Entgegen anderslautenden Gerüchten stehen nicht alle Verantwortlichen, die die Anforderungen der DSGVO in ihren Unternehmen immer noch nicht umgesetzt haben, mit einem Bein im Gefängnis. Ebenso wenig geht der Mittelstand an hohen Bußgeldern für Datenschutzverstöße zugrunde – oder an den Kosten für die externen Datenschutzbeauftragten, um die Bußgelder zu vermeiden.

Nicht-Entscheidungen werden in Unternehmen und Behören regelmäßig mit Datenschutz gerechtfertigt.

Andererseits sollte sich niemand zurücklehnen und die Themen Datenschutz-Grundverordnung und IT-Sicherheit als Themen betrachten, die wie so viele andere Hypes schon wieder vergehen werden. Nicht-Handeln ist keine Option, Datenschutz als Ausrede auch nicht.

Vergessen Sie für einen Moment die Gesetze. Die Absicherung Ihrer IT-Infrastruktur bedeutet nicht weniger als die Grundlage für Ihren wirtschaftlichen Erfolg.

Als langjährig erfahrene Datenschutzberater und externe Datenschutzbeauftragte leiten wir Sie durch Vorschriften und Prozesse und unterstützen Sie beim Aufbau einer guten Datenschutzorganisation und eines IT-Sicherheitsmanagementsystems. Sofern gewünscht, können Sie uns auch als externe IT-Sicherheitsbeauftragte bestellen.

Es geht um Entscheidungen. Wir helfen Ihnen dabei.

Kontaktieren Sie uns gerne persönlich.

Die Corona App

Es ist schon viel über die sogenannte Corona App geschrieben worden. Ein anderer Ausdruck ist Kontakte-Tracing App – im Kern geht es um eine technische Lösung für den Wunsch, möglichst schnell möglichst viele Covid-19 Infizierte zu identifizieren und deren Kontaktpersonen vor Ansteckung zu schützen. Die Meinungen über die Nützlichkeit der App gehen teilweise weit auseinander. Sie reichen - grob zusammengefasst - von

„zu glauben, man könne das Problem technisch lösen ist naiv technikgläubig und bringt unser aller Grundrechte in Gefahr“

bis zu

„sofort machen, und keine Rücksicht auf Datenschutz“.

Ich verlinke hier zwei von zahlreichen Artikeln, die ich mir im Zusammenhang mit der Diskussion gespeichert habe. Zum Thema Rechtsgrundlage gibt es hier einen Artikel von Malte Engeler, dessen Einschätzung ich teile. Mit dem aktuellen Stand der Entwicklung der App beschäftigt sich dieser Beitrag von Fabian A. Scherschel bei heise.de.

Datenschutz-Verletzungen

Zu Zeiten des alten Bundesdatenschutzgesetzes (BDSG) mussten nur Datenschutz-Verletzungen gemeldet werden, bei denen Gesundheitsdaten, Bank- und Kreditkartendaten oder Informationen aus Strafverfahren betroffen waren. Vorfälle, die solche Daten beinhalteten, waren an die Datenschutz-Aufsichtsbehörden zu melden, nicht jedoch den betroffenen Personen.

Die Meldepflichten im Fall von Datenschutz-Verletzungen sind mit der Datenschutz-Grundverordnung (DSGVO) deutlich ausgeweitet worden. Gemeldet werden müssen nunmehr alle Verletzungen des Schutzes personenbezogener Daten und zwar an die Aufsichtsbehörde als auch an die betroffenen Personen.

Art. 33 und 34 DSGVO

Die DSGVO bindet die Pflicht zu melden an die Voraussetzung, dass durch die Schutzverletzung für die betroffenen Personen ein „Risiko“ bzw. ein „hohes Risiko“ besteht (Art. 33 und 34 DSGVO). Auch dies ist neu - es geht nicht um den Schutz des Unternehmens vor Rufschaden oder ähnlichen Folgen, sondern die Person steht im Fokus. Die Person, um deren Daten es sich handelt.

Vorgehen bei Datenschutz-Verletzungen

Im Fall einer Datenschutz-Verletzung im Unternehmen ist es wichtig, zügig und überlegt die nötigen Schritte einzuleiten. Das nachfolgende Beispiel zeigt einen Vorfall aus unserer Beratung, anhand dessen wir den Ablauf im Fall einer einer Datenschutz-Verletzung darstellen wollen. Hintergrund des Vorfalls war der unüberlegte Einsatz einer Software für die Projektorganisation.

Was war passiert?

Die Personalabteilung der Firma Wegner ** wollte für eine bessere Organisation ihrer internen Abläufe die Software "Trello" einsetzen. Trello ist ein Tool für das Projektmanagement in Teams. Es ist eine Cloud Lösung und wird in den USA gehostet. Mehrere Mitarbeiter von Wegner registrieren sich für die kostenlose Version.

Am 19. März fand ich um kurz vor 9 Uhr eine E-Mail eines Hans Nielsen von der Firma MediaX, der mir schrieb, bei meinem Auftraggeber Wegner habe es eine Datenschutz-Verletzung gegeben.

"Gestern wurde ich <Hans Nielsen, MediaX> durch Herrn Burmester der Wegner AG auf ein nicht öffentliches Trello Board ... ungefragt eingeladen (18.03.2019, 18:07) und auf diesem hinzugefügt (18.03.2019, 18:07; Maileingang 18:09). Diese Einladung erfolgte ohne vorherige Kontaktaufnahme oder meine Zustimmung. Neben meinen Namen enthält dieses Board diverse personenbezogene Daten anderer Personen. So sind hier Vor- und Nachnamen ersichtlich aber auch Verläufe zu deren Bewerbungsprozess wie Status der Bewerbung, Anmerkungen zu Reisebereitschaft und allgemein zu diesem Bewerber".

Es folgte die nicht öffentliche URL des Boards und mehrere Screenshots der Mail, sowie die Information, dass er Herrn Burmester informiert und dieser den Zugriff am 19.03.2019 um 09:58 Uhr wieder unterbunden habe.

Ich setzte mich mit dem in der Mail genannten Herrn Burmester in Verbindung, um Details der Sache zu erfahren. Herr Burmester war nicht zu erreichen. Ein Anruf in der IT ergab die Auskunft: „Wir kennen dieses Tool nicht und haben den Einsatz nicht freigegeben“.

Es droht Ungemach

Ich schrieb eine EILT! DATENSCHUTZ! Mail an den Geschäftsführer und wies ihn darauf hin, dass diese Datenschutz-Verletzung nach meiner vorläufigen Einschätzung an die Datenschutz-Aufsichtsbehörde gemeldet werden muss. Damit lief auch die Frist; nach Art. 33 Abs. 1 DSGVO muss eine Datenschutz-Verletzung innerhalb von 72 Stunden „nach Kenntnis des Vorfalls“ an die Aufsichtsbehörde gemeldet werden.

In unserem Fall hieß das: Kenntnis des Vorfalls bei der Datenschutzbeauftragten etwa zeitgleich mit der Kenntnis im Unternehmen am 19.03.2019 um 09:30 Uhr. Die 72 Stunden Frist nach Art. 33 Abs. 1 DSGVO endete am Freitag, 22.03.2019, 09:30 Uhr.

Betroffene Personen

Es waren ungefähr ein Dutzend Personen betroffen, die sich bei der Firma Wegner beworben hatten. Es waren keine Geburtsdaten, keine Adressen, keine Details aus Lebensläufen öffentlich geworden, aber die Angabe über den Status des Bewerbungsverfahrens („Gespräch hat stattgefunden“, "passt von Qualifikation her nicht“) und Angaben zum Hintergrund („kommt aus Consulting“, „viel SAP Erfahrung“).

Wie konnte das passieren?

Trello speichert offenbar alle Namen und Mailadressen von Personen, die irgendwann mal damit gearbeitet haben – wenn auch nur probehalber und vorübergehend. Wenn man mit der Funktion „hinzufügen mittels Einladung“ einen Namen eingibt, gleicht das System den Namen mit den schon auf Vorrat gespeicherten ab. Dann schickt es ohne weitere Nachfrage eine Einladung raus. Dementsprechend landete nach Eingabe des Namens des „Hans Nielsen“ von der Firma Wegner die Einladung bei Hans Nielsen von der Firma MediaX. Dieser zweite Hans Nielsen war im Gegensatz zu dem ersten offenbar schon einmal bei Trello registriert.

Die nächsten Maßnahmen

Der Geschäftsführer rief mich am späteren Abend zurück und ich empfahl ihm mehrere Maßnahmen:

Darüberhinaus empfahl ich:

Ich sah keine Verpflichtung nach Art. 34 DSGVO, die betroffenen Personen zu informieren. Die Daten waren nur für eine Person und auch nur über einen relativ kurzen Zeitraum einsehbar. Hinzu kam, dass es sich „nur“ um den Namen und den Status des Bewerbungsverfahrens handelte.

Fazit

Bei allem, was hier im Vorfeld schiefgelaufen war, wurde immerhin richtig und angemessen reagiert, als der Schaden entstanden war. Die Meldung an die Aufsichtsbehörde wurde gemacht und ich warte nunmehr auf eine Reaktion von dort.

Damit eine richtige und angemessene Reaktion nicht dem Zufall überlassen bleibt, bietet es sich an, unternehmensinterne Prozesse und Verantwortlichkeiten für den Fall einer Datenschutz-Verletzung festzulegen und bei den Verantwortlichen bekannt zu machen.

** alle Namen wurden erfunden. Es handelt sich nicht um die tatsächlichen Namen der Beteiligten.

Datenschutz im Versicherungswesen (3)

Mit dem Ablauf der Umsetzungsfrist für die Datenschutz-Grundverordnung (DSGVO) Ende Mai 2018 wurden zahlreiche Rechtsverhältnisse als Auftragsdatenverarbeitung nach Art. 28 DSGVO eingeordnet. Nachfolgend wollen wir anhand von Beispielen aus dem Versicherungswesen einen Überblick über die Auftragsdatenverarbeitung geben und insbesondere aufzeigen, wann _keine_ Auftragsdatenverarbeitung vorliegt.

Was ist eine Auftragsverarbeitung?

Bei einer Auftragsverarbeitung verarbeitet ein Dienstleister (Auftragsverarbeiter bzw. Auftragnehmer) personenbezogene Daten für ein Unternehmen (Verantwortlicher bzw. Auftraggeber). Der Dienstleiser ist weisungsabhängig – er muss also die Anweisungen des Auftraggebers in Bezug auf die Daten befolgend und darf die Daten, die er zur Verfügung gestellt bekommen hat, nicht für eigene Zwecke verwenden. In der Regel ist die Möglichkeit des Auftragnehmers, auf die personenbezogenen Daten des Auftraggebers zuzugreifen, auch nur eine „Nebenfolge“ der eigentlichen Dienstleistung. Die eigentliche Dienstleistung wäre auch ohne Zugriff auf die personenbezogenen Daten möglich.

Praxisbeispiel Auftragsdatenverarbeitung

Beispiel: ein IT-Dienstleister wird mit der Wartung eines Servers beauftragt und dem Einspielen von Updates. Die Dienstleistung „warten Sie unseren Server und spielen Sie alle nötigen Updates rechtzeitig auf“ wäre theoretisch auf ohne Zugriff auf die Personendaten auf dem Server zu erledigen. Da die Trennung aber technisch unmöglich (oder äußerst aufwändig) wäre, geht man hier von einer Auftragsdatenverarbeitung aus.

Die Entscheidung über den Zweck der Datenverarbeitung trifft allein das auftraggebende Unternehmen. Die Entscheidung über die technisch-organisatorischen Fragen der Verarbeitung wird (und darf) jedoch auf den Auftragsverarbeiter delegiert.

Typische Fälle einer Auftragsverarbeitung sind externe Lohn- oder Gehaltsabrechnung oder die Nutzung von Cloud-Diensten.

Wann liegt keine Auftragsverarbeitung vor?

Alle eigenständig handelnden Berufsgruppen wie z.B. Steuerberater, Wirtschaftsprüfer und Rechtsanwälte, Bankinstitute für Überweisungen oder die Post für ihre Dienstleistungen sind keine Auftragsverarbeiter / Auftragnehmer. Sie sind eigenständig Verantwortliche. Um die Ergebnisse von weiter unten vorweg zu nehmen: zu den eigenständig handelnden Berufsgruppen zählen auch die Versicherungen und Versicherungsmakler.

Vertrag über Auftragsverarbeitung (Art. 28 DSGVO)

Eine Auftragsverarbeitung nach Art. 28 DSGVO braucht einen eigenen Vertrag, in dem die Pflichten des Dienstleisters in Bezug auf den Umgang mit den ihm überlassenen Daten geregelt sind. In der Praxis wird so ein Vertrag oftmals als lästiges bürokratisches Beiwerk betrachtet - das ist er aber nicht. Er ist die Grundlage für die Aufteilung der Verantwortlichkeit bei Verstößen gegen Datenschutzvorschriften und entsprechend auch für die Verteilung der Haftung.

Praxisbeispiel 1

Eine Wohnungseigentümergemeinschaft (WEG) wird von einer Verwaltungs-GmbH vertreten. Der entsprechende Vertrag berechtigt die Verwaltungs-GmbH u.a. zur „Betreuung der abgeschlossenen Versicherungsverträge, Kündigung bestehender Verträge“. Ein Versicherungsmakler ist Vertragspartner der Verwalter-GmbH (in Bezug auf Versicherungsverträge). Ist die versicherungsrechtliche Betreuung der Verträge durch die Verwalter-GmbH eine AVV nach Art. 28 Abs. 3 DSGVO, mit der WEG, vertreten durch die Verwalter-GmbH als Auftraggeber, und dem Versicherungsmakler als Auftragnehmer?

Gegenstand des Vertrags zwischen Verwaltungs-GmbH und Versicherungsmakler sind die „Betreuung der abgeschlossenen Versicherungsverträge, Kündigung bestehender Verträge“ und noch weitere Aktivitäten, die aber alle als Teil der Ausführung des Maklermandats anzusehen sind. Der Versicherungsmakler ist gegenüber der WEG nicht weisungsgebunden. Er entscheidet bei der Durchführung aller für die Vertragsdurchführung erforderlichen Aktivitäten eigenständig über die Art und Weise der Durchführung.

Dies schließt die Annahme eines Verhältnisses von Auftragsdatenverarbeitung mit dem Makler und der WEG / dem Verwalter als Auftraggeber aus.

Praxisbeispiel 2

Dieselbe Einschätzung – keine Auftragsdatenverarbeitung - gilt für einen (Landes-) Verband der Immobilienverwalter, der eine Mitgliederliste mit Namen und Kontaktdaten seiner Mitglieder, die im Maklervertrag eingeschlossenen sind, an den Versicherungsmakler übermittelt. Die Übermittlung geschieht einmal jährlich zum Abgleich von Veränderungen und anlassbezogen im Schadenfall. Die Übermittlung der Mitgliederliste begründet noch keine Auftragsdatenverarbeitung, sondern ist als Teil der Vertragserfüllung des Maklervertrages erforderlich. Der Makler entscheidet unabhängig von Vorgaben des Verbandes, wann er die Liste mit welchen Inhalten übermittelt.

Weitere Praxisbeispiele

Auch in den nachfolgenden Fällen liegt keine Auftragsdatenverarbeitung (ADV) vor:

 

Zur Frage der Eigenschaft der Versicherungsmakler als Auftragsverarbeiter nach Art. 28 DSGVO siehe auch: Dr. Volkan Güngör „Sind Versicherungsmakler Auftragsverarbeiter nach Art. 28 DSGVO?“ in: Zeitschrift für Versicherungswesen 03/2019, der die hier dargelegte Interpretation stützt.

 

 

Speicherung von Adressdaten

Zwischen 1997 und 2001 war ich eine Legislaturperiode lang Abgeordnete der Hamburgischen Bürgerschaft.

Jetzt, 20 Jahre später, bekam ich vor ein paar Wochen ein Schreiben der Bürgerschaftskanzlei. Die Bürgerschaftskanzlei ist die Rathausverwaltung - so könnte man sie informell nennen - die Servicestelle für die Abgeordneten und Öffentlichkeit. Von dort schrieb mir jetzt der Leiter des Stabsbereichs Protokoll, Projekte und Veranstaltungen:

„Auch von Ihnen haben wir Daten gespeichert. Allerdings dürfen und möchten wir diese Speicherung nur aufrechterhalten, wenn Sie ihr zustimmen. Gleichzeitig ist es unser Wunsch, die vorgehaltenen Daten aktuell zu halten“.

Einwilligung in die Speicherung von Kontaktdaten

Man würde sich freuen, wenn ich das beiliegende Datenblatt durchsehen, ggfls. korrigieren und zurückschicken würde. Falls ich das nicht innerhalb von 6 Wochen tun würde, würde man davon ausgehen, dass ich die Löschung meiner Daten wünsche. Falls ich die Einwilligung unterschreiben würde, würde man meine Daten u.a. für die Einladung zu Veranstaltungen oder für die Zusendung von Unterlagen verwenden.

Ich fand dies in zweierlei Hinsicht einen bemerkenswerten Vorgang. Zum einen deshalb, weil ich auf diesem Wege erfuhr, dass mein Name und meine Anschrift nach all der Zeit immer noch in der Bürgerschaftskanzlei gespeichert sind. (Laut des Datenblatts waren es tatsächlich nur Namen und Anschrift, nicht mal das Geburtsdatum, eine E-Mail-Adresse oder eine Angabe zu meiner damaligen Funktion).

Art. 6 Abs. 1 lit f) DSGVO, berechtigtes Interesse?

Der Gedanke, der sich gleich daran anschloss, war: hätten sie das nicht über Art. 6 Abs. 1 lit f) DSGVO ohne Einwilligung lösen können?

Nach Art. 6 Abs. 1 lit f) findet in solchen Fällen eine Interessenabwägung statt. Abgewogen wird das Interesse des Verantwortlichen – hier der Bürgerschaftskanzlei – meine Daten weiterhin zu nutzen, gegen mein möglicherweise entgegenstehendes „schutzwürdiges Interesse“. Das berechtigte Interesse der Bürgerschaftskanzlei liegt auf der Hand. Aber gibt es ein schutzwürdiges Interesse meinerseits, dass mein Name und meine Anschrift dort nicht weiter gespeichert und genutzt werden?

Ich befürworte eine überlegte und, soweit vertretbar, eine großzügige Interpretation dieser Vorschrift, um die Aufwände durch Einwilligungserklärungen möglichst klein zu halten.

So war ich denn auch geneigt zu sagen,

„meine schutzwürdigen Interessen sind nicht beeinträchtigt, wenn mein Name und meine Anschrift dort noch stehen und gelegentlich genutzt werden. Das sind ohnehin öffentliche Daten“.

Andererseits - nach 20 Jahren noch?

Da dieses Schreiben sicherlich nicht nur an ehemalige Abgeordnete, sondern auch noch an eine Reihe anderer betroffener Personen ging (Presseleute, Mitarbeiterinnen und Mitarbeiter von Abgeordneten …), von denen mehr Informationen als über mich gespeichert sind, hätte ich die Frage der weiteren Speicherung im Ergebnis aus rein praktischen Erwägungen allerdings genauso gelöst wie es die Bürgerschaftskanzlei getan hat. Eine Differenzierung zwischen „diese Speicherung und Nutzung ist auf der Grundlage von Art. 6 Abs. 1 lit f) DSGVO wegen der Art der Daten und der Kürze der Zeit weiter gerechtfertigt“ und „diese braucht eine Einwilligung“ wäre vermutlich nicht praktikabel gewesen.

Die Alternative wäre nur gewesen, aus den alten Datenbeständen diejenigen Datensätze zu löschen, die zu alt waren um ohne Einwilligung weiter gespeichert zu bleiben, und den Rest auf der Grundlage des Art. 6 Abs. 1 lit f) DSGVO zu behalten. Für die hätte sich dann aber zwangsläufig auch irgendwann die Frage nach der Löschfrist bzw. des Einholens einer Einwilligung gestellt.

DSGVO hat Aufräumen in Gang gesetzt

Es zeigt sich an diesem Beispiel einmal mehr, dass die DSGVO an vielen Stellen ein Nachdenken über die Erlaubnis zum Speichern und Nutzen von Datenbeständen in Gang gesetzt hat, ein Aufräumen und Prüfen. Auch nach der alten Rechtslage hätte sich die Bürgerschaftskanzlei Gedanken über die Erlaubnis der Speicherung meiner Daten machen müssen, und zwar nicht erst nach 20 Jahren. Dass sie es jetzt tut, ist ein Verdienst der DSGVO. Richtig und durchdacht angewendet, können die so viel gescholtenen Vorschriften tatsächlich eine größere Transparenz und Kontrolle über unsere Daten bewirken.

#FridaysForFuture

Liebe Leute von #FridaysForFuture,

ich hörte, dass es bei euch Diskussionen um den Datenschutz bei #FridaysForFuture gibt. Hier sind ein paar Hinweise, wie ihr mit den persönlichen Daten von Aktivist*innen richtig umgeht.

Welche Informationen dürft ihr speichern?

Alle, die ihr braucht, um Menschen für die Demonstrationen zu vernetzen. Das werden die Namen und die Telefonnummern sein. Möglicherweise auch Angaben zu besonderen Aufgaben, die jemand übernimmt: Sanitätsdienste, Ordnerdienste, Ansprechpersonen für die Presse. Wenn bei Planungstreffen übers Wochenende Minderjährige dabei sind, ist für Notfälle auch die Telefonnummer eines Sorgeberechtigten erforderlich.

Um das Alter festzustellen, fragt bitte auf keinen Fall das volle Geburtsdatum ab. Hier reicht die Frage minderjährig ja oder nein.

Müsst ihr die Postanschrift abfragen? Zum Beispiel für den Fall, dass bei einem Planungstreffen etwas schief geht, was dann Geld kostet?

Nein. Wenn ihr übers Wochenende einen Raum für ein Planungstreffen mietet, gibt es einen (oder mehrere) Verantwortliche, die gegenüber dem Vermieter des Raums dafür bürgen, dass der Raum so zurückgegeben wird, wie ihr ihn bekommen habt. Das reicht. Nur für den Fall, dass jemand zuviel trinkt, gegen die Wand kotzt und die Wand neu gestrichen werden muss … müsst ihr nicht die Postadressen und Geburtsdaten aller Teilnehmenden einsammeln, um dann im Fall der Fälle eine Identifizierung zu ermöglichen.

Wie lange dürft ihr die Daten speichern?

So lange wie es weitere Demonstrationen gibt. Wenn jemand sagt, dass sie oder er aus den entsprechenden Verteilern gestrichen werden möchte, müsst ihr sie allerdings sofort löschen.

Wo dürft ihr die Daten speichern?

Am besten auf Servern innerhalb Deutschlands und verschlüsselt. Wenn ihr die Daten auf eigenen Laptops speichert, solltet ihr die Festplatten verschlüsseln. Sichere Passwörter bestehen übrigens aus mindestens 12 Zeichen und einer Mischung aus großen und kleinen Buchstaben, Zahlen und Sonderzeichen.

Ist die Nutzung von WhatsApp o.k.?

Nein. WhatsApp gehört zu Facebook und Facebook handelt mit Daten. Auch mit euren. Wenn es ganz dumm kommt, sind eure Daten die Grundlage für die Manipulation von Wahlen und Abstimmungen. Datenschutzfreundliche Alternativen sind z.B. Signal oder Threema. Telegram ist wegen mangelnder Transparenz und einiger Voreinstellungen, die datenschutzproblematisch sind, ebenfalls keine gute Alternative.

Was ist ansonsten wichtig?

Wichtig ist, dass ihr die Daten nur zum Zweck der Organisation der Demos benutzt. Es ist nicht erlaubt sie beispielsweise an politische Gruppen oder Parteien weiterzugeben, damit diese neue Mitglieder werben können.

Update 08. April 2019

Wer darf auf die Daten der Aktivist*innen Zugriff nehmen? Oder anders gefragt, darf die Landesgruppe Hamburg die Daten aus Hessen einsehen?

Das Datenschutzrecht verlangt auch eine Abschottung von personenbezogenen Daten innerhalb einer Organistion. Nicht immer und zwingend, aber die Regel ist: Zugriff auf personenbezogene Daten dürfen auch innerhalb einer Organisation immer nur diejenigen haben, die den Zugriff für ihre Arbeit brauchen. Wenn also die Hamburg-Sektion Daten aus Hessen braucht, damit bestimmte Aufgaben erledigt werden können, kann der Zugriff problemlos freigegeben werden.

Speicherung bei Google.

Google ist praktisch, aber hier gilt dasselbe, wie ich oben zu Facebook anmerkte (mit Ausnahme der Manipulation von Wahlen. Das ist eine Spezialität von Facebook). Ich suche noch nach einer brauchbaren Alternative und ergänze dann hier noch eine Empfehlung.

Müsst ihr bei der Verarbeitung von Daten Minderjähriger etwas Besonderes beachten?

Nein - da ihr nur Kontaktdaten zu Zwecken der Organisation speichert und nutzt. Anders wäre es nur, wenn Ihr für eine Datenverarbeitung eine Einwilligung braucht.

Update 18. April 2019

Welche Daten dürfen wir erfragen, wenn auf unserer Webseite eine Petition unterschrieben werden kann?

Name und E-Mail Adresse. Die E-Mail-Adresse darf nicht veröffentlicht werden. Wenn der Name veröffentlicht wird, müssen diejenigen, die unterschreiben, dem zustimmen.

Wir wüssten gerne, wie alt die Leute sind, die unsere Petitionen unterschreiben, und woher sie kommen. Dürfen wir das über die Webseiten auch erfragen?

Ja, aber das muss eine freiwillige Angabe sein. Die Unterschrift unter die Petition darf nicht an die Angabe von Alter und Wohnort gekoppelt sein. Am besten fragt ihr nach der Altersgruppe (15-20 Jahre, 20-30 usw.) und nach der Postleitzahl und kennzeichnet das als freiwillige Angabe.

Müssen wir die Daten zu den Petitionen wieder löschen?

Die Daten müsst ihr löschen, sobald die Petition nicht mehr aktuell ist.

Informationspflicht nach Art. 13 DSGVO

Sobald die Funktion mit den Petitionen online geht, solltet ihr auf den Webseiten in der Datenschutzerklärung die Angaben aufnehmen, über die nach Art. 13 DSGVO bei der ersten Erhebung von Daten informiert werden muss.

Welche Fragen gibt es noch?

Meldet euch gerne.

Herzliche Grüße,

Bettina Kähler