Das oberösterreichische Vereinshandbuch

weiters ist unter Umständen die Bestellung eines
Datenschutzbeauftragten, die Durchführung einer
Datenschutz-Folgenabschätzung und die Konsultierung
der Datenschutzbehörde zu beachten. Bei
Verarbeitung von sensiblen Daten empfiehlt es sich
jedenfalls, rechtskundigen Rat zu suchen, um hier
Fehler zu vermeiden.
2.4 Einen Überblick verschaffen
Voraussetzung für eine rechtliche Prüfung der im
Verein stattfindenden Datenverarbeitung ist, dass
zunächst ein Überblick über die Situation geschaffen
wird. Dies ist in der Praxis oft die größte Hürde.
Viele Vereine wissen gar nicht, über welche Daten sie
verfügen (Mitglieder, ehemalige Mitglieder, Förderer,
Ehrenmitglieder, Freunde des Vereins etc.) bzw. was
mit diesen Daten passiert. Erfolgt etwa eine Weitergabe
an den Dachverband, ein Newsletterversand,
werden Daten veröffentlicht oder einem Projektpartner
oder einem Unternehmen zugänglich gemacht?
All diese Umstände (welche Daten werden verarbeitet,
von wem, zu welchem Zweck, an wen werden
sie weitergegeben?) sind zunächst zu erheben und
darzustellen. Erst wenn diese „Datenverarbeitungen“
klar festgelegt sind, können diese auf Rechtmäßigkeit
nach dem oben erläuterten „Verbot-Ausnahme-Prinzip“
geprüft werden. Besteht keine gesetzliche Ausnahme,
sind Zustimmungen einzuholen.
Die genaue Erhebung der Datenverarbeitung ist
auch für die Erfüllung der Informationspflichten sowie
das s.g. „Verarbeitungsverzeichnis“ unbedingt
notwendig.
Im Verzeichnis werden sämtliche Datenverarbeitungen
durch den Verein kompakt dokumentiert.
Dies bedeutet nicht, dass jede einzelne datenbezogene
Handlung (also jedes einzelne Email an ein
Vereinsmitglied etc.) im Verarbeitungsverzeichnis
festgehalten wird. Vielmehr werden abstrakt die Prozesse
beschrieben, die im Verein ablaufen. Hier wird
jeder Prozess (zB Mitgliederverwaltung, Marketing
etc.) gesondert erfasst und die verwendeten Daten
sowie die Empfänger der Daten tabellarisch dokumentiert.
Das Verarbeitungsverzeichnis eines einfachen
Vereins kann wie folgt aussehen:
Zweck der Datenanwendung: Führung von Mitgliederverzeichnissen,
Evidenz der Mitglieds- und
Förderungsbeiträge, Verkehr mit Mitgliedern oder
Förderern von Körperschaften des öffentlichen und
privaten Rechts, insbesondere Vereinen, und Personengemeinschaften,
einschließlich automationsunterstützt
erstellter und archivierter Textdokumente
(wie z. B. Korrespondenz) in diesen Angelegenheiten.
Höchstdauer der zulässigen Datenaufbewahrung: Bis
zur Beendigung der Mitgliedschaft des Betroffenen
und Ablauf der für den Verantwortlichen geltenden
Verjährungs- und gesetzlichen Aufbewahrungsfristen;
ferner bis zur Beendigung von Rechtsstreitigkeiten,
bei denen die Daten als Beweis benötigt
werden.
Bei Förderern: Bis zum Ablauf des dritten Jahres nach
dem letzten Kontakt mit dem Verantwortlichen.
B
2.5 Verarbeitungsverzeichnis
Das Ergebnis der vereinsinternen Erhebung der Datenverarbeitungen
mündet in der Erstellung eines
s.g. „Verarbeitungsverzeichnisses“. Ein solches ist
nach der DSGVO von jedem Verein zwingend zu führen.
OBERÖSTERREICHISCHES VEREINSHANDBUCH 31