Datenschutz im Verein

Der Landesbeauftragte für den Datenschutz Niedersachsen
2.4 Erhebung von Personaldaten der Beschäftigten
Personenbezogene Daten der Beschäftigten eines Vereins i.S.v. § 3 Abs. 11 BDSG dürfen nach
§ 32 Abs.1 BDSG nur für Zwecke des Beschäftigungsverhältnissees erhoben, verarbeitet oder genutzt
werden, wenn dies für die Begründung des Beschäftigungsverhältnisses oder für dessen
Durchführung oder Beendigung erforderlich ist.
Diese Regelung betrifft Personen, welche in einem abhängigen hauptamtlichen Beschäftigungsverhältnis
stehen, z.B. Mitarbeiter der Vereinsgeschäftsstelle, ggfs. aber auch Trainer.
3. Speicherung personenbezogener Daten
Unabhängig davon, ob der Verein seine Daten auf Karteikarten oder automatisiert verarbeitet oder
dies im Rahmen einer Auftragsdatenverarbeitung durch Dritte vornehmen lässt, sind die Anforderungen
des BDSG zu beachten.
Bei der Beschäftigung eigenen Personals (z.B. in der Geschäftsstelle) ist darauf zu achten, dass
die Personaldaten strikt von den übrigen Daten (z.B. Mitgliedsdaten) getrennt werden.
Wichtig ist bei diesem Verarbeitungsschritt die Beachtung der technisch-organisatorischen Maßnahmen
zum Schutz der Daten (s.a. Ziff. 10).
Denn nach § 9 Satz 1 BDSG hat der Verein bei der Erhebung, Verarbeitung und Nutzung personenbezogener
Daten die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich
sind, um die Ausführung der Vorschriften des BDSG zu gewährleisten.
In der Anlage zu § 9 BDSG sind die einzelnen technischen und organisatorischen Vorgaben aufgeführt,
die für einen störungsfreien und sicheren Betrieb von EDV-Anlagen unerlässlich sind und die
der Verein somit auch im eigenen Interesse umsetzen sollte.
Dies betrifft Maßnahmen der Datensicherung, die den ordnungsgemäßen Ablauf der Datenverarbeitung
durch Schutz der Hard- und Software sowie der Daten vor Verlust, Beschädigung oder
Missbrauch sicherstellen sollen.
In der Praxis ist bei der Verarbeitung personenbezogener Daten besonders der Schutz der im
Computer gespeicherten Mitgliederdaten vor unbefugtem Zugriff relevant.
Hier greift die Zutrittskontrolle durch Verschließen des Raumes, in dem der Computer des Vereinsvorsitzenden
steht. Mit der Zugangskontrolle wird durch ein Passwort verhindert, dass Unbefugte
den Rechner nutzen. Bei gleichzeitiger Nutzung eines Computers durch mehrere Personen, z.B. im
Vereinsbüro wird über die Zugriffskontrolle gewährleistet, dass die hierzu Berechtigten nur auf die
ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können (z.B. abteilungsbezogene Trennung
der Daten). Mit der Weitergabekontrolle wird verhindert, dass personenbezogene Daten bei
der elektronischen Übertragung oder während ihres Transportes oder ihrer Speicherung auf Datenträger
unbefugt gelesen, kopiert, verändert oder entfernt werden können, weshalb z.B. Mitgliederlisten
nur verschlüsselt übersandt werden dürfen. Die Eingabekontrolle stellt sicher, dass nachträglich
überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungsanlagen
eingegeben, verändert oder entfernt worden sind (z.B. mittels Logfiles). Sie setzt
eine funktionierende Zugangskontrolle voraus. Mit der Verfügbarkeitskontrolle werden die Mitgliederdaten
gegen zufällige Zerstörung oder Verlust geschützt (z.B. durch Backups, aber auch mittels
Virenschutz). Das Trennungsgebot bewirkt, dass zu unterschiedlichen Zwecken erhobene Daten
auch nur getrennt verarbeitet werden dürfen, weshalb die Daten über die Kontoverbindungen der
Mitglieder strikt zu trennen vom übrigen Datenbestand, auch von Adresslisten.
Diese Maßnahmen sind auch dann geboten, wenn die Datenverarbeitung von Mitgliedern ehrenamtlich
zu Hause mit eigener EDV-Ausstattung erledigt wird.
Datenschutz im Verein S.13