Datenschutz

Der Schutz personenbezogener Daten ist uns ein wichtiges Anliegen. Deshalb verarbeiten wir die personenbezogen Daten unserer freiwilligen Mitarbeiter, Spender sowie Mitglieder in Übereinstimmung mit anwendbaren Rechtsvorschriften zum Schutz personenbezogener Daten und zur Datensicherheit.

In dieser Datenschutzrichtlinie wird beschrieben, welche Arten von personenbezogenen Daten wir erheben, wie diese Daten genutzt werden, an wen sie übermittelt werden und welche Wahlmöglichkeiten und Rechte betroffene Personen im Zusammenhang mit unserer Verarbeitung der Daten haben. Außerdem beschreiben wir, mit welchen Maßnahmen wir die Sicherheit der Daten gewährleisten und wie betroffene Personen Kontakt mit uns aufnehmen können, wenn sie Fragen zu unserer Datenschutzpraxis haben.

Diese Richtlinie regelt die datenschutzkonforme Informationsverarbeitung und die insoweit bei uns bestehenden Verantwortlichkeiten. Alle ehrenamtlichen Mitarbeiter sind zur Einhaltung dieser Richtlinie Verpflichtet.

Sie richtet sich an:

• Die Person oder Abteilungen, die über den Einsatz/die Bereitstellung eines Anwendungssystems entscheiden;
  
• Bzw. die Personen, die über die Nutzung des Systems für ihre Aufgaben entscheiden;

• Benutzer, d.h. diejenigen, die das zu Verfügung gestellte System für die Erledigung vereinsspezifischen Aufgaben nutzen (bei Speicherung personenbezogener Daten auf einem Arbeitsplatzrechner entscheidet der einzelne Benutzer ggf. auch über die im System erfolgende Verarbeitung und die dazu verwendeten Programme);
• Den internen Datenschutzbeauftragen, der ihre Umsetzung beratend und kontrollierend begleitet und die ihm speziell zugewiesenen Aufgaben wahrzunehmen hat.
  

Dabei gelten folgende Grundsätze:
Die DV-Hard- und Software sind für Organisationsaufgaben, und zwar für die jeweils vorgesehenen Zwecke, zu verwenden und gegen Verlust und Manipulation zu sichern. Eine Nutzung für private Zwecke bedarf der ausdrücklichen Genehmigung durch den Datenschutzbeauftragten.

Jeder ehrenamtliche Mitarbeiter ist in seinem Verantwortungsbereich für die Umsetzung der Richtlinie verantwortlich. Die Einhaltung muss von ihm regelmäßig kontrolliert werden.

Die für die Verarbeitungen der eingesetzten Systeme Verantwortlichen stellen sicher, dass ihre Mitarbeiter (Benutzer) über diese Richtlinie informiert werden; das gilt auch für ehrenamtliche Mitarbeiter und bloß temporär mitarbeitende. Der Datenschutzbeauftragte berät bei der Umsetzung der Richtlinie und prüft deren Einhaltung. Insoweit sind alle Adressaten der Richtlinie dem Datenschutzbeauftragen auskunftspflichtig.

2.1 Der Verein hat nach Maßgabe des Art. 37 DSGVO einen internen Datenschutzbeauftragen (im Nachfolgenden „DSB") und einen Abwesenheitsvertreter bestellt.

Die Kontaktdaten des Datenschutzbeauftragten lauten wie folgt:
Name: Anna Magdalena Zeller
Adresse: Hugo-Wolf-Gasse 10/8/32
Telefonnummer/E-Mail-Adresse: +43 677 61709980 / anna.zeller@starsforafrica.com

Die Kontaktdaten des Abwesenheitsvertreters lauten wie folgt:
Name: Emil Nigmatullin
Adresse: Schererstraße 33b
Telefonnummer/E-Mail-Adresse: +436601699980/ emil.nigmatullin@starsforafrica.com

Die DSB nimmt die ihm kraft Gesetz und aus dieser Richtlinie zugewiesenen Aufgaben bei weisungsfreier Anwendung seines Fachwissens wahr.

2.2. Die DSB unterrichtet und berät die Vereinsleitung sowie die Beschäftigten hinsichtlich ihrer Datenschutzpflichten. Ihm obliegen die Überwachung der Einhaltung der Datenschutzvorschriften sowie die Strategien des Verantwortlichen zum Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der freiwilligen Mitarbeiter.
Im Falle risikoreicher Datenverarbeitungen steht die DSB dem Verantwortlichen beratend bei der Abschätzung des Risikos zur Seite.

2.3. Die DSB berichtet unmittelbar dem Vorstand.

2.4. Die DSB wird frühzeitig in alle Datenschutzfragen eingebunden und wird sowohl vom Vorstand als auch den freiwilligen Mitarbeitern bei der Erfüllung der Aufgaben unterstützt.

2.5. Soweit es sich aufgrund organisatorischer Gegebenheiten als notwendig erweist, jedenfalls aber bei Verarbeitung von Daten außerhalb der Europäischen Union, ernennt der Vorstand im Einvernehmen mit dem DSB einen Datenschutzkoordinator.

Der Datenschutzkoordinator ist also insoweit ein dem DSB fachlich zugewiesener, freiwilliger Mitarbeiter zur Einhaltung der für den Verein geltenden Datenschutzvorschriften. Er informiert den DSB über vor Ort aufgetretene Datenschutzfragen. Er erhebt die Angaben über in seinem Zuständigkeitsbereich gesondert eingesetzte Verfahren und gibt die Meldung an den DSB weiter.

2.6. Der Verein hat ein Verzeichnis über die Verarbeitungsvorgänge zu führen. In jedem Fachbereich wird mindestens eine Person die Verantwortung übernehmen, die dafür notwendigen Informationen zu den Verfahren der jeweiligen Abteilung erstmalig zusammenzutragen und diese entsprechend den Anforderungen des Art. 30 DSGVO zu dokumentieren. Zu diesem Zwecke stellt die DSB den einzelnen Fachbereichen vorgefertigte Checklisten zur Verfügung. In weiterer Folge ist der Verantwortliche des Fachbereichs auskunftspflichtig bezüglich einer Änderung im Bereich der Datenverarbeitung seines jeweiligen Fachbereichs gegenüber der DSB. Bei Unklarheiten hinsichtlich der gesetzlich geforderten Dokumentation kann die DSB beratend hinzugezogen werden. Dem DSB ist eine Kopie des Verarbeitungsverzeichnisses zu übergeben.

Auf Anfrage stellt der Verein der Aufsichtsbehörde das Verzeichnis zur Verfügung. Im Einvernehmen mit dem Vorstand ist hierfür der DSSB zuständig und arbeitet mit der Aufsichtsbehörde zusammen.

2.7. Jeder Mitarbeiter kann sich unmittelbar mit Hinweisen, Anregungen und Beschwerden an den DSB wenden, wobei auf Wunsch absolute Vertraulichkeit bewahrt wird.

2.8. Die DSB berichtet jährlich in einem Tätigkeitsbericht dem Vorstand über stattgefundene Prüfungen, Beanstandungen und ggf. noch zu beseitigende Organisationsmängel.

3.1 Die Beschaffung von Hard- und Software erfolgt grundsätzlich auf Anforderung der über die Verarbeitungen entscheidenden Person/Abteilung durch die zentrale DV-Beschaffung. Bereits bei der Auswahl von Hard- und Software wird das Prinzip der Gewährleistung von Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen als ein tragendes Kriterium beachtet. Die Verfahrensanweisung „Checkliste zur Beachtung der Anforderungen an Privacy-by Design/Privacy-by-Default" ist maßgebend.

3.2. Falls mit der Beschaffung ein neues Verfahren der Verarbeitung personenbezogener Daten eingeführt werden soll, ist die DSB rechtzeitig vorab von der anfordernden Stelle zu informieren.

Die Beschaffung erfolgt erst nach Stellungnahme des DSB. Die DSB berät dahingehend, ob die Durchführung einer Datenschutz-Folgenabschätzung erforderlich ist. Die Durchführung einer Datenschutz-Folgenabschätzung richtet sich nach der Verfahrensanweisung „Risikominimierung durch Datenschutz-Folgenabschätzung".

3.3. Bei Verdacht des Diebstahls von Hard- und Software, des unbefugten Zugriffs auf personenbezogene Daten, von Sabotage etc. sind die DV-Abteilungen und der DSB unverzüglich zu informieren.

4.1. Jeder Mitarbeiter, der personenbezogenen Daten verarbeiten, ist auf einen vertraulichen Umgang mit personenbezogenen Daten und die Einhaltung dieser Richtlinie zu verpflichten.

4.2. Die Verpflichtung erfolgt unter Verwendung des hierzu vorgesehen Formulars und unter Aushändigung des von der DSB erstellten Merkblatts im Rahmen der Geheimhaltungsvereinbarung insgesamt oder bloß für bestimmte Bereiche durch die DSB.

4.3. Die DSB ist über die Verpflichtung von freiwilligen Mitarbeitern und deren Arbeitsplan zwecks von ihm vorzunehmender weiterer Schulungen und die Feststellung eventuellen Kontrollbedarf zu informieren.

4.4. Für in Abstimmung mit den jeweiligen Abteilungsleitungen angesetzte Schulungstermine sind die betroffenen freiwilligen Mitarbeiter freizustellen.

5.1. Über Verfahren, die die Verarbeitung von personenbezogenen Daten betreffen, führt die DSB ein Verzeichnis von Verarbeitungen gem. Art 30 DSGVO. Der für ein Verfahren jeweils Verantwortliche des Fachbereichs bzw. der zuständige Datenschutzkoordinator meldet die Verarbeitung zeitnah gemäß den vom DSB definierten Vorgaben. Gleiches gilt für Veränderungen (Change Request).

5.2. Unabhängig von dieser Meldung ist die DSB bei der Planung der Einführung neuer Verarbeitungen bzw. der Veränderung bestehender Verfahren über Zweck und Inhalt der Anwendung und die Erfüllung der Benachrichtigungspflicht zu informieren. Bei standardisierten Erhebungen (Fragebögen, Preisausschreiben, Eingabefeldern auf der Intern-Homepage etc.) ist der Erhebungsbogen etc. dem DSB zur Abstimmung vorzulegen.

5.3. Wenn die DSB feststellt, dass die beabsichtigte Verarbeitung einer Datenschutz-Folgenabschätzung unterliegt, teilt sie dies umgehend mit. Das Verfahren darf erst nach Zustimmung des DSB durchgeführt werden. Im Zweifel entscheidet die Geschäftsleitung.

5.4. Macht ein Betroffener von seinem Auskunftsrecht nach Art 15 DSGVO oder seinem Recht auf Richtigstellung oder Widerspruchsrecht nach Art 16 und Art 21 DSGVO Gebrauch, so erfolgt die zentrale Bearbeitung durch den DSB.

5.5. Die Auskunftsrechte von Mitarbeitern werden durch den Vorstand erfüllt. Es ist sicherzustellen, dass dem Betroffenen seine Daten auf Wunsch in einem strukturieren, gängigen und maschinenlesbaren Format zur Verfügung gestellt werden können. Welcher Standard diesen Anforderungen genügt, ist im Vorfeld einvernehmlich durch den DSB festzulegen.

6.1.Die Erhebung und Verarbeitung personenbezogener Daten im Verein darf nur im Rahmen des rechtlich Zulässigen erfolgen. Hierbei sind auch die besonderen Voraussetzungen für die Erhebung und Verarbeitung sensibler Daten gemäß Art. 10 Abs 1 DSGVO zu beachten. Grundsätzlich dürfen nur solche Informationen verarbeitet und genutzt werden, die zur statutengemäßen Aufgabenerfüllung erforderlich sind und mit dem Verarbeitungszweck in unmittelbarem Zusammenhang stehen oder sich auf andere Erlaubnistatbestände, die den Umgang mit personenbezogenen Daten im Verein legitimieren, stützen können.

6.2. Es wird sichergestellt, dass Betroffene keinen Entscheidungen, unterworfen werden, die ausschließlich auf einer automatisierten Verarbeitung beruhen und zugleich den Betroffenen gegenüber eine rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (bspw. Profiling).

6.3. Vor Einführung neuer Arten von Erhebungen ist die die Zulässigkeit bestimmende Zweckbestimmung der Daten durch den für die Anwendung Verantwortlichen schriftlich zu dokumentieren.

Grundsätzlich ist eine Zweckänderung nur dann zulässig, wenn die Verarbeitung mit denjenigen Zwecken vereinbar ist, für die die Daten ursprünglich erhoben worden sind. Die im Rahmen der Zweckänderung genutzten Abwägungskriterien sind einzeln zu prüfen.

Eine Änderung des Verarbeitungszwecks ist auch zulässig, wenn eine Einwilligung der betroffenen Person durch den Verantwortlichen eingeholt wird. Gleichzeitig hat der für die Verarbeitung Verantwortliche vor der Erhebung bzw. der Speicherung von Daten schriftlich festzulegen, ob und in welcher Art und Weise der gesetzlichen Benachrichtigungspflicht des Betroffenen zu genügen ist.

6.4. Falls andere Stellen Informationen über Betroffene anfordern, dürfen diese ohne Einwilligung des Betroffenen nur gegeben werden, wenn hierfür eine gesetzliche Verpflichtung oder ein die Weitergabe rechtfertigendes legitimes Interesse des Vereins besteht und die Identität des Anfragenenden zweifelfrei feststeht. Im Zweifel ist die DSB zu kontaktieren.

7.1. Die Speicherung von Daten erfolgt grundsätzlich auf den hierzu zur Verfügung gestellten Netzlaufwerken. Die Speicherung von Daten wird von dem DSB zentral verwaltet und verwahrt.

7.2. Soweit technisch bedingt ein anderer Speicherort erforderlich ist (z.B. Notebook, Desktop-PC), ist der jeweilige Benutzer für die Durchführung der Datensicherung selbst verantwortlich. Ist ein Netzzugang möglich (z.B. bei Notebook mit WLAN, Tablet), ist zumindest einmal wöchentlich der aktuelle Datenbestand auf das für den Benutzer reservierte Netzlaufwerk zu überspielen.

Die gewählten Datensicherungsmaßnahmen sind in dem Verfahrensverzeichnis zu dokumentieren.

7.3. Gesetzliche Aufbewahrungsfristen und Löschungstermine sind von dem über die Verarbeitung der Daten Entscheidenden in seiner Verantwortung zu beachten. Die DSB ist über die Einhaltung der Termine insbesondere im Hinblick auf die Löschung personenbezogener Daten in Sicherungskopieren zu informieren.

7.4. Bei der Weiter- oder Rückgabe nicht mehr benötigter IT-Komponenten ist der Benutzer verpflichtet, dafür zu sorgen, dass zuvor sämtliche Daten wirksam gelöscht wurden.

8.1. Sollen externe Dienstleister erstmals mit der Verarbeitung personenbezogener Daten bzw. einzelnen Verarbeitungsschritten (z.B. Erhebung, Löschung = Entsorgung) bzw. mit Tätigkeiten (z.B. Wartung, Reparatur) beauftragt werden, bei denen sie die Möglichkeit der Kenntnis personenbezogener Daten bekommen, so ist die DSB vor der Beauftragung unter Vorlage des den Anforderungen des Art 28 DSGVO genügenden Vertragsentwurfs einer Auftragsverarbeitervereinbarung und der Kriterien der erfolgten bzw. nachfolgend vorgesehenen Auftragskontrolle zu informieren.

8.2. Entsprechendes gilt, falls Stars for Africa entsprechende Tätigkeiten im Auftrag Dritter wahrnehmen will.

9.1. Für jedes Verfahren ist eine dokumentierte Schutzbedarfsfeststellung sowie eine Analyse bzgl. der für den Betroffenen möglichen Risiken zu erstellen. Diese richten sich nach der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie der Wahrscheinlichkeit des Eintritts einer solchen Gefahr.

9.2. Zur Wahrung der Verfügbarkeit, Vertraulichkeit und Integrität der Daten sowie der Belastbarkeit der Daten verarbeitenden Systeme ist ein allgemeines Sicherheitskonzept zu erstellen.