„Die EU-Datenschutzregeln werden zur Mammutaufgabe“ so und ähnlich lauten die Schlagzeilen rund um die mit Wirkung zum 25. Mai 2018 in Kraft tretenden Änderungen des Datenschutzrechts. Das Informationsangebot hierzu scheint unübersichtlich, die Fülle der Beratungsangebote „erschlagend“. Mit diesem Beitrag und den dazugehörigen Anlagen möchten wir Ihnen, den Golfclubs und Anlagenbetreibern, einen Überblick über wichtige Änderungen des Datenschutzrechts und zugleich konkrete Handlungsempfehlungen zur Umsetzung auf Ihrer Golfanlage vor Ort geben, wie beispielsweise „Die nächsten 12 Schritte auf dem Weg zur EU-Datenschutzgrundverordnung“. Nehmen Sie sich daher bitte die Zeit und setzen Sie sich mit insoweit auch für den Betrieb Ihrer Golfanlage wichtigen Änderungen auseinander.
Hintergrund der Neuregelung
Mit dem Ziel, ein europaweit gleichwertiges Schutzniveau für Betroffene bei Verarbeitung ihrer personenbezogenen Daten zu schaffen, haben sich die EU-Mitgliedsstaaten bereits im Jahr 2016 auf eine Vereinheitlichung des Datenschutzrechts verständigt. Ergebnis dessen ist die sogenannte EUDatenschutz-Grundverordnung (DS-GVO), eine in allen Mitgliedstaaten und damit auch für Golfvereine und Betreiber von Golfanlagen in Deutschland (unabhängig von der Unternehmensgröße!) verbindliche, ab dem 25. Mai 2018 unmittelbar geltende Verordnung. Die Verordnung löst in ihrer Bedeutung das Bundesdatenschutzgesetz (BDSG) als zentrales Regelwerk zum Datenschutz ab. Das BDSG tritt am 25. Mai 2018 dennoch nicht außer Kraft sondern bleibt in stark veränderter Form bestehen. Bedeutung kommt ihm allerdings nur noch an den Stellen zu, in denen der europäische Verordnungsgeber den Mitgliedsstaaten ein Abweichen von den Regelungen der DS-GVO zugebilligt hat. Für den Anwender bedeutet dies, dass der Blick zunächst in die DS-GVO und erst danach und nur für den Fall, dass ein von den Regelungen der DS-GVO abweichender Gestaltungsspielraum eröffnet ist, in das BDSG zu richten ist. Die Neuregelung des Datenschutzrechtes enthält eine Vielzahl mehr oder weniger weitreichender Änderungen, deren vollständige Darstellung an dieser Stelle bereits aus Gründen der Übersichtlichkeit nicht möglich ist. Anspruch ist es vielmehr, Ihnen im Kontext zu den aktuell geltenden Regelungen einen praktischen Weg zur Umsetzung wichtiger, hier erläuterter Änderungen bis zum Inkrafttreten der neuen Rechtslage am 25. Mai 2018 aufzuzeigen.
Vorbemerkung
Das Inkrafttreten der DS-GVO und die damit einhergehenden Aufgaben werden auf Ihrer Golfanlage in jedem Fall den Einsatz personeller Ressourcen erfordern. In welchem Umfang dies der Fall sein wird, bestimmt sich im Wesentlichen danach, ob den bereits geltenden Regelungen des BDSG entsprochen wird. Wer die insoweit bestehenden Verpflichtungen erfüllt hat, wird deutlich weniger Aufwand betreiben müssen.
Bestellung Datenschutzbeauftragter
Zu Beginn einer inhaltlichen Auseinandersetzung mit den Neuerungen der DS-GVO rückt eine Frage in den Vordergrund, die auch heute schon auf Golfanlagen bewegt: die der Notwendigkeit eines Datenschutzbeauftragen. Derzeit ist die Bestellung eines Datenschutzbeauftragten erforderlich, wenn personenbezogene Daten automatisiert verarbeitet werden und hiermit in der Regel mehr als neun Personen (Arbeitnehmer und/oder Ehrenamtliche) ständig, d. h. nicht nur einmalig sondern wiederkehrend, wenn auch in größeren zeitlichen Abständen, mit der Verarbeitung personenbezogener Daten beschäftigt sind. Insofern ändert sich für Golfanlagen in der Regel nichts, d. h. wer bisher einen Datenschutzbeauftragten zu bestellen hatte, wird hierzu auch zukünftig verpflichtet sein. Aber auch wenn kein Datenschutzbeauftragter zu bestellen sein sollte, entbindet dies nicht von der Pflicht, die Regeln des Datenschutzrechts einzuhalten und sich mit den Neuerungen des DS-GVO auseinanderzusetzen! Der Datenschutzbeauftragte ist auf Grundlage seiner beruflichen Qualifikation, insbesondere auf Grund seines Fachwissens auf den Gebieten des Datenschutzrechts und der Datenschutzpraxis zu benennen. Er kann Mitarbeiter des Golfclubs (nicht aber zugleich gesetzlicher Vertreter) oder aber externer Dienstleister sein. Mit Inkrafttreten der DS-DGVO erfährt die Stellung des Datenschutzbeauftragten einen Wandel: Kam dem Datenschutzbeauftragten bisher die Rolle eines Beraters zu, der auf die Einhaltung der Vorschriften über den Datenschutz hinwirken soll, trifft ihn zukünftig eine echte Überwachungspflicht (Art. 39 DS-GVO). Damit einher geht ein höheres Haftungsrisiko bei der Verletzung geltender Datenschutzrechtsstandards. Bei der Suche nach einem geeigneten externen Datenschutzbeauftragten bietet der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. auf seiner Homepage unter folgendem Link Unterstützung: www.bvdnet.de/datenschutzbeauftragten-finden
Prüfen aller Prozesse
Ist die Frage des Datenschutzbeauftragen geklärt, gilt es im Weiteren – sinnvollerweise unter Einbeziehung des Datenschutzbeauftragen/Dienstleisters – alle Prozesse, in denen auf Ihrer Golfanlage personenbezogene Daten verarbeitet werden darauf hin zu überprüfen, ob sie den Vorgaben der DS-GVO entsprechen und falls nicht, notwendige Änderungen bzw. Anpassungen vorzunehmen.
Wichtig: Voraussetzung für eine konforme Umsetzung der DS-GVO ist die Erfassung aller im Golfclub verarbeiteten personenbezogenen Daten!
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen oder mehreren besonderen Merkmalen identifiziert werden kann.
Personenbezogene Daten sind danach nicht nur verschriftliche Informationen, etwa die in der Clubverwaltungssoftware erfassten Namen und Adressen der Mitglieder. Vielmehr können hierzu bspw. auch Bilder gehören, die auf der eigenen Clubhomepage veröffentlicht werden. Allein die Einbindung eines Fotos von Turnierteilnehmern in bspw. den Internet(Facebook)-Auftritt des Golfclubs ohne namentliche Nennung der Abgebildeten stellt nicht notwendig einen Personenbezug in diesem Sinne her (anders aber, wenn sich durch eine andere Bildinformation oder Angabe im Kontext, etwa eine Datumsangabe oder die Bezeichnung des Wettspiels, ein Bezug zu den abgebildeten Personen herstellen lässt!). In jedem Fall sind in diesem Beispiel aber auch unabhängig vom Datenschutzrecht die allgemeinen Persönlichkeitsrechte der Abgebildeten zu berücksichtigen, die regelmäßig eine Einwilligung in die Veröffentlichung erfordern.
Dokumentation
Nehmen Sie sich Ihre Dokumentation zu den Datenverarbeitungen in Ihrem Golfclub, insbesondere das Verfahrensverzeichnis, zur Hand. Im sogenannten Verfahrensverzeichnis sind bereits nach aktuell geltender Rechtslage die Verarbeitungen personenbezogener Daten auf der Golfanlage zu dokumentieren. Das Verfahrensverzeichnis entspricht im Wesentlichen dem von der DS-GVO nunmehr geforderten Verarbeitungsverzeichnis. Das Verfahrensverzeichnis sollte auf Aktualität geprüft und an die unten im Einzelnen dargestellten Erfordernisse des Verarbeitungsverzeichnisses angepasst werden. Eine Muster-Vorlage für ein Verarbeitungsverzeichnis mit 4 beispielhaften Verarbeitungstätigkeiten finden Sie im Downloadbereich.
Neben einer Überprüfung dieser Dokumentationen sind die
- rechtlichen (z. B. gelten Einwilligungen der Teilnehmer eines Schnupperkurses in die Zusendung von Folgeangeboten, etwa zu PE-Kursen, auch nach Inkrafttreten der DS-GVO fort?),
- sowie die organisatorischen und technischen (z. B. Schutz der Mitgliederdaten vor unberechtigtem Zugriff durch Dritte, etwa durch Einrichten eines gesonderten Passwortschutzes für jeden Nutzer im Zusammenhang mit dem Zugriff auf die Clubverwaltungssoftware)
Rahmenbedingungen zu prüfen und gegebenenfalls anzupassen. Auf eine Reihe in diesem Zusammenhang relevanter Fragen wird ebenfalls im beigefügten Merkblatt näher eingegangen. Im Rahmen des zu organisierenden Prozesses – zu einzelnen Schritten siehe auch das beigefügte Dokument „Die nächsten 12 Schritte“ (Anlage 2) – kann es sich mit Blick auf die angesprochene Vielzahl der gerade für Laien nur schwer überschaubaren Änderungen empfehlen – zumindest für einen Übergangszeitraum bis eine Konsolidierung eingetreten ist – einen externen Datenschutzbeauftragten zu bestellen oder zumindest einen externen Dienstleister zur Beratung hinzuzuziehen. Letzteres insbesondere dann, wenn keine Pflicht zur Bestellung eines Datenschutzbeauftragten besteht.
Tipp: Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hält einen Fragebogen zur Umsetzung der DS-GVO vor, der als Anforderungskatalog verstanden werden kann. Es empfiehlt sich, diesen im Anhang herunterzuladen und abzuarbeiten.
