Die neuen Regelungen gelten nicht nur für „Unternehmen“ (Art. 4 Nr. 18 DS-GVO), sondern für alle natürlichen und juristischen Personen – auch für Vereine. Vieles, was bereits jetzt geltendes Recht ist und Gültigkeit hat, bleibt auch in der neuen Datenschutz-Grundverordnung erhalten.

Einiges vereinfacht sich sogar. So muss grundsätzlich keine Erlaubnis zum Erheben, Verarbeiten und Nutzen der Daten geben, wenn Daten im Rahmen einer vertraglichen Beziehung erhoben werden müssen. Bei Vereinen ist diese vertragliche Beziehung die Mitgliedschaft. Die für die Mitgliederverwaltung erforderlichen Daten dürfen also in jeden Fall verwendet werden.

Dennoch ist es ratsam, sich mit den neuen Vorgaben der Datenschutz-Grundverordnung vertraut zu machen, und gegebenenfalls Anpassungen und Änderungen vornehmen. Speziell was das Thema Datenschutz im Verein angeht, muss "das Rad nicht neu erfunden werden" da es bereits viele hilfreiche Übersichten und Abhandlungen zu diesem Thema gibt.

Welche Daten müssen geschützt werden? Wann wird eine Erlaubnis gebraucht? Wer ist zuständigt? Und viele weitere Fragen beantwortet vereinsknowhow.de in ihrem Infobrief vom 10.01.2018. Siehe Anlage.

Aus unserer Sicht sehr übersichtlich und verständlich ist das Heft "Erste Hilfe zur Datenschutz- Grundverordnung für Unternehmen und Vereine". Herausgeber ist das Bayerische Landesamt für Datenschutzaufsicht; erschienen ist es im C.H. Beck Verlag, ISBN 978-3-406-71662-1. Das Heft kostet 5,50 EUR.

Wer sich weitergehend mit dem Thema beschäftigen möchte, kann dies über eine Handreichung (siehe Anlage) des Landesbeauftragten für den Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI). Knapp über 30 Seiten umfasst diese Handlungshilfe zum Thema Datenschutz in der Vereinsarbeit. Kurz und verständlich werden die wichtigsten Punkte angesprochen:

• Rechtsgrundlagen
• Erhebung personenbezogener Daten durch den Verein
• Speicherung und Nutzung von personenbezogen Daten, wobei hier zwischen Mitgliedern und den Daten Dritter unterschieden wird
• Verarbeitung und insbesondere die Übermittlung von Daten. Hier spielen auch Veröffentlichungen im Internet und Weitergabe an die Presse eine Rolle.
• Recht auf Löschung
• Organisatorisches, wozu zum Beispiel das Verzeichnis der Verarbeitungstätigkeiten gehört

Der Landesfeuerwehrverband Bayern hat mittlerweile von einem Fachanwalt Musterformulierungen für das Aufnahmeformular, für eine Einwilligungserklärung und - wer dies möchte - für eine entsprechende Formulierung in der Vereinssatzung erstellen lassen, die wir Ihnen beigefügen. Die Formulierungen können auf den jeweiligen örtlichen Bedarf angepasst werden.

Es müssen jetzt aber sicherlich keine außerordentlichen Mitgliederversammlungen einberufen werden, um die Vereinssatzung zu ändern. Sollte aber bei der nächsten Hauptversammlung sowieso eine Satzungsänderung geplant sein, kann man die entsprechende Passage natürlich mit einfügen. Ansonsten bietet es sich z.B. an, die Einwilligungserklärungen bei der nächsten Hauptversammlung von den anwesenden Mitgliedern unterzeichnen zu lassen – wenn man eine schriftliche Einwilligungserklärung haben möchte.

Neu ist in der Datenschutz-Grundverordnung der Begriff „Verarbeitungsverzeichnis“ in Art. 30 DSGVO. Diese Vorschrift verlangt, dass jeder, der über die Verarbeitung von personenbezogenen Daten entscheidet, dokumentieren muss, in welchem Zusammenhang und zu welchem Zweck mit personenbezogenen Daten gearbeitet wird.

Hier werden die Feuerwehrvereine tatsächlich nicht um hinkommen, in diesem Verarbeitungsverzeichnis sämtliche Prozesse, die im Zusammenhang mit der Verarbeitung von personenbezogenen Daten bestehen, aufzuführen und zu beschreiben.

Entsprechende Muster für Verarbeitungstätigkeiten hat uns der LFV Rheinland-Pfalz zur Weiterleitung an die Feuerwehren überlassen. Dafür an dieser Stelle noch ein herzlicher Dank an den LFV Rheinland-Pfalz und im Besonderen an Landesgeschäftsführer Michel Klein.

Wir werden in nächster Zeit fortlaufend über die neue Datenschutz-Grundverordnung in einzelnen Bereichen, die für die Feuerwehrvereine von Bedeutung sein können, im Newsletter bzw. in unserer Verbandszeitschrift "Florian kommen" informieren. Wir weisen in diesem Zusammenhang darauf hin, dass wir uns auf die Auswirkungen der DSGVO auf die Feuerwehrvereine konzentrieren werden. Für die Feuerwehr als gemeindliche Einrichtung ist es Aufgabe der Kommune bzw. des Datenschutzbeauftragten der Kommune, hier die rechtlichen Vorgaben zu beachten und umzusetzen.

An dieser Stelle noch ein weiterer Hinweis zum Datenschutzbeauftragten. Viele Feuerwehren/Feuerwehrvereine haben hier nachgefragt, weil bei Ihnen angeblich wenigstens zehn Personen (Kommandanten, die Vorsitzenden, Gerätewarte, Atemschutzgerätewarte, Jugendwarte, Schriftführer, Kassier usw.) Daten verarbeiten. Bei derartigen Anfragen wird jedoch regelmäßig übersehen, dass auch im Datenschutzrecht – wie in allen anderen Rechtsgebieten – streng zwischen der Feuerwehr als gemeindlicher Einrichtung (öffentlich-rechtlich) und dem Feuerwehrverein (zivilrechtlich) zu trennen ist. Und in beiden "Institutionen" werden jeweils für sich genommen in den seltensten Fällen mehr als zehn Personen mit der Datenverarbeitung beschäftigt sein. Zudem ist weitere Voraussetzung für die Notwendigkeit eines Datenschutzbeauftragten, dass die Datenverarbeitung die Kerntätigkeit des Vereins bildet. Uns ist aber bislang kein Fall bekannt, bei dem die Verarbeitung personenbezogener Daten den primären Geschäftszweck eines Feuerwehrvereins darstellt.

Nachtrag zum Umgang mit Fotos und deren Veröffentlichung

Die DS-GVO enthält keine ausdrücklichen Regelungen für den Umgang mit Fotos von Personen. Sie geht davon aus, dass ihre allgemeinen Regelungen für personenbezogene Daten ausreichen um solche Fälle zu lösen.

Ob das wirklich funktionieren kann, wird im Augenblick noch von Fachleuten diskutiert. Darum muss sich der Fotograf eines Vereins jedoch zunächst einmal nicht kümmern. Er kann auch künftig von der umfangreichen Rechtsprechung ausgehen, die es schon gibt.

Nach § 22 KUG (Kunsturhebergesetz) dürfen Bildnisse nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden. Die Einwilligung gilt im Zweifel als erteilt, wenn der Abgebildete dafür, dass er sich abbilden lässt, eine Entlohnung erhielt.

§ 23 KUG regelt ergänzend, dass

1. Bildnisse aus dem Bereich der Zeitgeschichte,
2. Bilder, auf denen Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen,
3. Bilder von Versammlungen, Aufzügen und ähnlichen Vorgängen, an denen die dargestellten Personen teilgenommen haben,
4. Bildnisse, die nicht auf Bestellung angefertigt sind, sofern die Verbreitung oder Schaustellung einem höheren Interesse der Kunst dient,

ohne die nach § 22 KUG erforderliche Einwilligung verbreitet und zur Schau gestellt werden dürfen.

Die Grundstruktur dieser Regelungen ist also sehr klar:

• Als Grundregel gilt: Es ist eine Einwilligung der abgebildeten Person erforderlich.
• Von dieser Grundregel gibt es einige Ausnahmen. (s. § 23 KUG)

„Einwilligung“ heißt dabei: Die Zustimmung muss vorher eingeholt werden. Sollte das versäumt worden sein, kann man den Betreffenden natürlich auch noch nachträglich fragen und er kann auch noch nachträglich zustimmen. Das ändert aber nichts daran, dass zunächst eine Rechtsverletzung erfolgt ist.

Oft kann man lesen, Fotos mit mehr als fünf Personen könne man frei verwenden. Das ist ein bloßes Gerücht ohne rechtlichen Wert! Eine solche Regelung gibt es nicht. Allein aus der Zahl der Personen auf einem Foto lässt sich rechtlich nichts ableiten.

Besondere rechtliche Regeln zum Thema „Fotos im Internet“ für Vereine gibt es nicht. Anwendbar sind die allgemeinen Regeln des KUG. Häufig kommen hier die Ausnahme gemäß § 23 KGU ins Spiel. Eine Einwilligung ist dann nicht erforderlich. Dies betrifft oft Bilder von Vereinsveranstaltungen. Das gilt auch dann, wenn einzelne Teilnehmer persönlich zu erkennen sind. Wesentlich ist jedoch, dass die dargestellten Personen gerade als Teilnehmer der betreffenden Veranstaltung abgebildet werden. Der Bezug zur Veranstaltung muss als klar zu erkennen sein. Das ist nicht mehr der Fall, wenn gezielt nur ein einzelner Teilnehmer fotografiert worden ist. Dann ist eine Einwilligung nötig.

Beispiel Tag der offenen Tür:

Ein Foto zeigt eine Vorführung der Freiwilligen Feuerwehr und mehrere begeisterte Zuschauer darunter auch Kinder.

Das Foto darf ohne Einwilligung verbreitet werden. Dies lässt sich damit begründen, dass es sich um eine öffentliche Veranstaltung handelt, die sich bewusst an die Zuschauer wendet. (§ 23 Abs. 1 Nr. 3 KUG)

Unzulässig dagegen wäre das „Heranzoomen“ einzelner Personen aus der Menge. Dazu wäre die Einwilligung der Person erforderlich.

Beispiel Politikerbesuch:

Eine Feuerwehr erhält Besuch vom Staatssekretär. Er führt Gespräch mit dem Vorstand und dabei entstehen fokussierte Bilder.

Hierzu ist keine Einwilligung der abgebildeten Personen erforderlich. Der Staatssekretär ist eine Person der Zeitgeschichte und die sonstigen abgebildeten Personen sind neben ihm eine Art „Beiwerk“. (§ 23 Abs. 1 Nr. 1 KUG)

Hinweis zu Einsatzfotos:

Einsatzfotos dürfen – selbstverständlich ohne Abbildung des Geschädigten – aufgenommen und veröffentlicht werden. Es sollt auch auf das schwärzen von Nummernschildern etc. geachtet werden. Die Veröffentlichung lässt sich damit begründen, dass es sich um ein Ereignis des öffentlichen Interesses handelt. (§ 23 Abs. 1 Nr. 3 KUG)

Selbstverständlich gibt es auch bei Bildern von Veranstaltungen Grenzen. Sie sind dann erreicht, wenn ein berechtigtes Interesse der abgebildeten Person erreicht wird (§ 23 Abs. 2 KUG). Darum unser Tipp: Wenn Ihnen Ihr Bauchgefühl sagt, dass etwas nicht gut ist, ist es meistens auch nicht gut!

Generalle Ratschläge für Einwilligungen

Soweit eine Einwilligung erforderlich ist, ist folgendes zu beachten:

• Eine vorbeugende allgemeine Einwilligung macht keinen Sinn. Denkbar ist jedoch eine Regelung, die auf konkrete Situationen bezogen ist, in der Satzung oder der Beitrittserklärung zum Verein.
• Dringend zu raten ist deshalb, mit schriftlichen Einwilligungen zu arbeiten. Mündliche Einwilligung kann man nur schwer nachweisen.
• Allgemeine Fotohinweise bei Veranstaltungen ersetzen keine individuelle Einwilligung. Trotzdem haben Sie sich bewährt und reduzieren das Potential für Ärger.
• Wenn es um Fotos von Minderjährigen geht, ist eine bei mehreren Sorgeberechtigten die Einwilligung von allen Sorgeberechtigten erforderlich.

Für weiteren Fragen verweisen wir auf das Heft „Erste Hilfe zur DS-GVO“, das wir bereits oben erwähnt haben und auf einen Beitrag des Bundes Innenministeriums: https://www.bmi.bund.de/SharedDocs/faqs/DE/themen/it-digitalpolitik/datenschutz/16-datenschutzgrundvo-fotografien.html.

Nachtrag zu Fanpages bei Facebook

Wer bei Facebook eine Fanpage betreibt, ist für die Verarbeitung von personenbezogenen Daten mitverantwortlich, entschied der EuGH. Doch gilt das auch für den Feuerwehrberich? Unter https://www.lfv-bayern.de/aktuelles/mitgefangen-mitgehangen/ haben wir einen Fachbeitrag dazu veröffentlicht.

Dem Vorabentscheidungsverfahren am EuGH lag ein Verwaltungsrechtsstreit zwischen der Wirtschaftsakademie Schleswig-Holstein GmbH und dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) zugrunde. Die klagende Akademie bewirbt Bildungsangebote auf eine Facebook-Fanpage. Gegen eine datenschutzrechtliche Anordnung des beklagten ULD setzte sich die Einrichtung bis zum Bundesverwaltungsgericht (BverwG) zu Wehr, das dem EuGH u.a. die Frage vorlegte, ob die Akademie als Fanpage-Betreiberin verantwortliche Stelle sein kann. Dies hat der EuGH nun bejaht (Urteil vom 05.06.2018; Az C-210/16).

Der Landesfeuerwehrverband Bayern sieht in dem Urteil des EUGH jedoch keinen Grund, nach der Datenschutz-Grundverordnung wieder in eine neue Panik zu verfallen.

Feststeht zunächst nur: Es gibt eine Mitverantwortung in Sachen Datenschutz bei den Betreibern der Facebookseite. Inwieweit diese Verantwortung zum Tragen kommt, führt der EuGH allerdings nicht weiter aus.

Zwar hat das EuGH entschieden, dass Fanpage-Betreiber für die Datenverarbeitung mit verantwortlich sind, jedoch geht das nur ermessensgerecht. Aktuell haben Fanpage-Betreiber weder Einwirkungs- noch Kontrollrechte über die Daten, die Facebook über die Fanpages sammelt noch können sie darauf Einfluss nehmen, was damit passiert.

Der konkrete Fall (IHK Schleswig-Holstein gegen ULD) geht erst einmal zurück an das Bundesverwaltungsgericht in Leipzig. Dort muss nun inhaltlich geklärt werden, ob in dem vorliegenden Fall tatsächlich gegen Datenschutzverordnungen verstoßen wurde. Das EuGH-Urteil setzt hierfür lediglich einen Rahmen. Wann das Bundesverwaltungsgericht entscheidet, steht noch nicht fest.

Sollte das BVerwG einen Verstoß bejahen, wären in der Folge erst einmal Facebook und andere Onlinedienste im Zugzwang. Sie müssen abwägen, ob es sich lohnt europäische Kunden zu verlieren oder sich den Forderungen der Europäischen Datenschützer zu fügen.

Was den Feuerwehrbereich angeht, kann aus unserer Sicht alles so bleiben, wie bisher. Denn die Entscheidung des EUGH hat keine Auswirkungen auf die Nutzung von Sozialen Netzwerken für private Zwecke. Nur wer Fanpages zu geschäftlichen Zwecken einrichtet kann datenschutzrechtlich in die Mitverantwortung geraten.

Eine geschäftliche Handlung ist gemäß § 2 Abs. 1 Nr. 1 UWG jedes Verhalten einer Person zugunsten des eigenen oder eines fremden Unternehmens vor, bei oder nach einem Geschäftsabschluss, das mit der Förderung des Absatzes oder des Bezugs von Waren oder Dienstleistungen oder mit dem Abschluss oder der Durchführung eines Vertrags über Waren oder Dienstleistungen objektiv zusammenhängt.

Feuerwehren bzw. Feuerwehrvereine, die über ihre Aufgaben und ihre Arbeit informieren, erfüllen diese Voraussetzung nicht.