Für das Veröffentlichen der Datenschutzerklärung gibt es einige Vorgaben, die beachtet werden müssen. (Wir orientieren dabei an Urteilen, die im Hinblick auf die Impressumspflicht ergangen sind, und wenden diese analog an.) Das gilt sowohl für Webseiten als auch für Social-Media-Präsenzen. 

Entscheidend sind drei Punkte:

Ständig verfügbar: ist einfach. Es heißt genau das.

Unmittelbar erreichbar: Hier orientieren wir uns an der Rechtsprechung des OLG München, wonach das Impressum schnell auffindbar sein muss und daher auf jeder Seite gut sichtbar, bzw. verlinkt sein sollte. Laut einer Entscheidung des BGH reicht es aus, wenn das Impressum mit zwei Klicks erreichbar ist (https://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&nr=37635&pos=0&anz=1)

Leicht erkennbar: Der Link zum „Impressum“, bzw. „Datenschutzerklärung“ muss mit „Impressum“, bzw. „Datenschutzerklärung“ benannt werden. Nur „Info“ zu schreiben, reicht nicht. Besonders relevant ist das, wenn wir die Datenschutzerklärung nicht an Ort und Stelle haben, sondern auf die Datenschutzerklärung auf unseren Webseiten verlinken. (Das hat den Vorteil, sie nur an einer Stelle aktuell halten zu müssen...). In diesem Fall muss man den Link z.B. mit „Hier geht’s zur Datenschutzerklärung“ einleiten, es reicht aber auch, wenn man einen „sprechenden Link“ hat, der das Wort enthält, also z.B. www.gemeindename.de/datenschutzerklaerung.

Leicht erkennbar bedeutet auch, dass klar sein muss, wofür die Datenschutzerklärung gilt. Das ist ebenfalls dann relevant, wenn man die Datenschutzerklärung verlinkt. Wenn z.B. eine Gemeinde für ein bestimmtes Projekt eine eigene Webseite oder einen eigenen Instagram-Account erstellt und dort auf die Datenschutzerklärung der Gemeinde verlinkt wird, ist in der Datenschutzerklärung der Gemeinde erstmal nicht ersichtlich, dass sie auch für das andere Projekt gilt. Daher müssen in der Datenschutzerklärung alle Webseiten, Social-Media-Accounts etc. angegeben werden, für die sie gilt. Also z.B. „Diese Datenschutzerklärung gilt auch für www.projektname.de". Ein Beispiel für die praktische Umsetzung findet ihr auf www.gjw.de/datenschutz 

Was bei der Erstellung eines Gemeindeverzeichnisses zu beachten ist, wird unter dem Punkt „Einwilligung“ beschrieben.

Der BEFG hat einen Rahmenvertrag mit dem Anbieter der Gemeinde-App Communi abgeschlossen. Um die Vorgaben der Datenschutzordnung des BEFG (DSO-BUND) einzuhalten und somit ein angemessenes Niveau an Datensicherheit zu erreichen, sind Gemeinden des Bundes verpflichtet, die in dieser Checkliste aufgeführten Punkte umsetzen. Dies gilt für bestehende sowie neue Apps. Die Maßnahmen lassen sich in etwa einer Stunde umsetzen. 

1. Verifizierte Nutzer

Communi lässt sich durch die Gemeinde so einrichten, dass neue Nutzer erst dann alle Möglichkeiten der App nutzen können, nachdem sie vom Admin der Gemeinde-App als Freund oder Mitglied der Gemeinde identifiziert und dann als berechtigter Nutzer verifiziert (freigeschaltet) wurden. Diese neue Funktion ist aus technischen Gründen standardmäßig deaktiviert, muss jedoch aktiviert werden, um die Sicherheit für die User zu gewährleisten und die App in Einklang mit den datenschutzrechtlichen Vorgaben nutzen zu können. Hintergrund: Wenn neue Nutzer nicht verifiziert werden, könnten Unbefugte – im schlimmsten Falle mit krimineller Motivation – einen Account anlegen und auf persönliche Daten der App-Nutzer zugreifen. Solche Zugriffe könnten nachts und somit zunächst unbemerkt erfolgen.

Nach der Aktivierung der Funktion „Verifizierte Nutzer“ ist unter „Sichtbarkeit Profildetails“ durch den Admin „Nur verifizierte Nutzende“ als Standard festzulegen. Eine Schritt-für-Schritt-Anleitung für Admins stellt Communi hier als YouTube-Video bereit. Die Einrichtung dieser Funktion dauert etwa 15 Minuten. Danach sind die Nutzerinnen und Nutzer der App mit diesem YouTube Video „Verifizierung für User“ über die neue Funktion zu informieren. 

2. Datenschutzerklärung

Anbieter von Online-Diensten sind verpflichtet, eine mit maximal zwei Klicks erreichbare Datenschutzerklärung zur Verfügung zu stellen. Technisch ist dies in der Communi-App nur möglich, indem ein eigener Menüpunkt mit dem Namen „Datenschutzerklärung“ angelegt wird. Der BEFG stellt für die Datenschutzerklärung ein Muster bereit, das hier als RTF-Dokument heruntergeladen werden kann. Die gelb markierten Felder sind durch die Gemeinde auszufüllen. Der fertige Text kann dann unter dem neuen Menüpunkt veröffentlicht werden. Eine Anleitung, wie die Datenschutzerklärung in der Communi-App eingerichtet werden kann, ist in diesem PDF-Dokument nachzulesen. Die Umsetzung dieses Punktes dauert etwa 30 Minuten. 

3. Nutzer unter 16 Jahren

Jugendliche, die das 16. Lebensjahr noch nicht vollendet haben, dürfen Apps wie Communi grundsätzlich nur dann nutzen, wenn ein schriftliches Einverständnis der Erziehungsberechtigten vorliegt. Deshalb erlauben die Nutzungsbedingungen von Communi, die standardmäßig in jeder Gemeinde-App einzusehen sind, eine Nutzung nur für mindestens 16-Jährige. Wir raten Gemeinden dringend davon ab, davon abzuweichen. Zwar wäre dies grundsätzlich möglich – allerdings nur mit hohem Aufwand und rechtlichen Risiken. Gemeinden wären verpflichtet, ein Konzept vorzulegen, mit dem sie rechtssicher nachweisen können, dass ausschließlich Nutzer verifiziert werden, die das 16. Lebensjahr vollendet haben. 

4. Verfahrensverzeichnis 

Gemeinden sind verpflichtet, ein Verzeichnis der Verarbeitungstätigkeiten zu führen (§20 DSO-BUND). In dieses Verfahrensverzeichnis ist auch die Nutzung der Communi-App einzutragen. Hinweise zum Verfahrensverzeichnis und eine Vorlage stellen wir auf befg.de zur Verfügung. Das Eintragen der App in das Verzeichnis dauert etwa 15 Minuten.

Downloads

Vorlage: Datenschutzerklärung für die Communi-App
Anleitung: Datenschutzerklärung in die Communi-App einfügen

Auch bei Zoom muss auf die DSO-Bund-konforme Nutzung geachtet werden. Die wichtigsten Punkte dafür:

Informieren:
Über die Datenverarbeitung von Zoom muss aufgeklärt werden. Das geschieht „zweistufig“. Zum einen über die Datenschutzerklärung. Wenn wir Zoom einsetzen, muss ein entsprechender Abschnitt in der Datenschutzerklärung ergänzt werden. (Eine Vorlage dafür gibt es hier.)

Zum anderen darüber, dass im Kontext der Zoom-Veranstaltung explizit auf diese Datenschutzerklärung (bzw. gerne auch den genauen Abschnitt) hingewiesen wird. Zum Beispiel in der E-Mail, mit der der Zoomlink verschickt wird, oder auf Webseite auf der der Zoomlink steht. Dann wissen die Teilnehmenden direkt, wo sie nachlesen können, was mit ihren Daten passiert. 

Bei Zoom gibt es die Möglichkeit, einen individuellen Textbaustein in die automatisch generierten „Einladungen“ zu integrieren. ( --> Persönlicher Bereich --> Einstellungen --> Sonstiges  --> Einladungs-E-Mail. Dort kann dann folgender Text eingetragen werden: Unsere Datenschutzerklärung ist einzusehen unter [HIER DIE URL DER  DATENSCHUTZERKLÄRUNG EINTRAGEN]

Wenn man den Zoomlink auf einer (internen) Webseite veröffentlicht, muss die URL einfach händisch ergänzt werden.

Außerdem bietet Zoom die Möglichkeit, direkt vor Betreten eines Zoomraumes nochmal ein Popup-Fenster einzublenden, das bestätigt werden muss, bevor man teilnehmen kann. ( --> Adminbereich --> Kontoeinstellungen --> Meeting --> In Meeting (Erweitert) --> Rechtehinweis aufrufen, wenn sie ein Meeting beginnen oder einem beitreten. Hier könnt Ihr Folgendes einstellen:

• Für interne und externe Teilnehmende anzeigen
• Den gleichen Haftungsausschluss für interne und externe Teilnehmende anzeigen (JA)
• Frequenz: Jedes Mal
• Sprache: Deutsch

Dann auf „Weiter“ klicken und den Hinweis eintragen. Z.B.:

Datenschutzhinweis
Mit der Teilnahme am Meeting erkläre ich mich mit der Datenschutzerklärung von [verantwortliche Stelle] (insb. Abs [Hier den Absatz angeben]), einzusehen unter [HIER DIE URL DER DATENSCHUTZERKLÄRUNG ANGEBEN], einverstanden.
Ich bestätige außerdem, dass ich über 16 Jahre alt bin bzw. der [verantwortliche Stelle] eine Einverständniserklärung des Trägers der elterlichen Sorge (Erziehungsberechtigte) für diese Zoom-Veranstaltung vorgelegt habe.

Elternerklärung:
Wenn Teilnehmende unter 16 Jahren an der Zoom-Veranstaltung teilnehmen sollen, wird von ihnen eine Elternerklärung benötigt, dass sie an dem spezifischen Online-Meeting teilnehmen dürfen. Eine Vorlage dafür gibt es hier. (Das ergibt sich nicht aus dem Schreiben vom 14. Mail 2020, sondern aus §6 Abs. 4,5 der DSO-BUND). Momentan ist die Lösung dafür noch etwas umständlich: Die Elternerklärung wird im Zuge der Anmeldung zum Download zur Verfügung gestellt, von den Teilnehmenden ausgedruckt, von deren Erziehungsberechtigten unterschrieben, abfotografiert und an den Veranstalter gemailt. Erst dann dürfen der Person unter 16 Jahren die Zugangsdaten für die Zoom-Veranstaltung mitgeteilt werden.

AV-Vertrag:
Ihr müsst mit Zoom einen AV-Vertrag abschließen. Das ist „automatisch“ der Fall, wenn ihr euer Zoom-Konto nach dem 8. April 2020 eingerichtet und dabei die Nutzungsbedingungen akzeptiert habt. (Näheres dazu im Schreiben des Datenschutzbeauftragten vom 14. Mai 2020).

Kontoinhaber:
Nutzt keine privaten Zoomkonten. Der Inhaber des Zoom-Accounts muss die verantwortliche Stelle oder eine andere Stelle des Bundes sein.

Stand: 27.09.2023

Conceptboard ist ein Tool zur Online-Zusammenarbeit (wie Miro oder Mural), das DSO-Bund-konform genutzt werden kann. Conceptboard lässt sich so einstellen, dass die Daten der Nutzer ausschließlich auf Servern in der EU verarbeitet werden.

Wenn Ihr Conceptboard nutzt, müsst Ihr natürlich auch über die Verarbeitung von personenbezogenen Daten durch Conceptboard aufklären. Das könnt Ihr wie gewohnt über Eure Datenschutzerklärung tun, auf die ihr dann verweist. 

Die Formulierung in der Datenschutzerklärung könnte dann so lauten:

Für Visualisierungszwecke, z.B. von Online-Meetings, nutzen wir Conceptboard. Conceptboard ist ein Angebot der Conceptboard Cloud Service GmbH, Mansfelder Str. 56, 06108 Halle (Saale).

Um sich an einem Board zu beteiligen, ist keine Registrierung nötig. Bei der Nutzung können folgende personenbezogene Daten erfasst werden:

• die Adresse und Name der abgerufenen Webseiten und Dateien
• Datum und Uhrzeit des Abrufs
• übertragene Datenmengen
• Meldung über erfolgreichen Abruf
• Browsertyp nebst Version
• das Betriebssystem des Nutzers
• Referrer URL (die zuvor besuchte Seite)
• IP-Adressen
• der anfragende Provider.

Die Datenverarbeitung bei Conceptboard erfolgt zur Erbringung der vertraglichen Leistung, zu Serviceleistungen und zur Bereitstellung eines sicheren und nutzerfreundlichen Onlineangebots. Die Rechtsgrundlage für die Verarbeitung ist das berechtigte Interesse nach Art. 6 Abs. 1 S. 1 lit. f. DSGVO. Die Löschfrist beträgt 28 Tage.

Darüber hinaus werden die Daten gespeichert, die von den Nutzern auf dem Board eingegeben und hochgeladen werden. Diese Daten werden gelöscht, wenn der „Besitzer“ des Boards das Board löscht.

Es besteht auch die Möglichkeit, ein Nutzerkonto einzurichten. Im Rahmen der Registrierung werden den Nutzern die erforderlichen Pflichtangaben mitgeteilt und zu Zwecken der Bereitstellung des Nutzerkontos auf Grundlage vertraglicher Pflichterfüllung verarbeitet. Zu den verarbeiteten Daten gehören insbesondere die Login-Informationen (Name, Passwort sowie eine E-Mail-Adresse).

Wenn Nutzer ihr Nutzerkonto gekündigt haben, werden deren Daten im Hinblick auf das Nutzerkonto, vorbehaltlich einer gesetzlichen Aufbewahrungspflicht, gelöscht. Gegebenenfalls können Inhaltsdaten im Rahmen der Nutzerzusammenarbeit hiervon ausgenommen sein. Dies richtet sich nach dem „Besitzer“ der Boards, auf denen der Nutzer sich beteiligt hat: Beiträge, die z. B. auf einem „fremden“ Board verfasst wurden, werden dann weiterhin als von einem „gelöschten Nutzer“ angezeigt.

Für seine Online-Dienste und Webhosting nutzt Conceptboard folgende Dienstleister:

• SiteGround Spain S.L., Calle de Prim 19, 28004 Madrid, Spanien
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855; Luxembourg

Die vollständige Datenschutzerklärung von Conceptboard ist nachzulesen unter  https://conceptboard.com/de/privacy

Stand: 27.09.2023

Da uns das häufig verwendete Tool Doodle aus Datenschutzgründen nicht erlaubt ist, haben verantwortliche Stellen des BEFG (das sind zum Beispiel alle Gemeinden und GJWs) die Möglichkeit, das Umfragetool des AK Internet zu nutzen, um gemeinsame Termine zu finden. Ihr findet es unter https://umfrage.ak-internet.de

Wenn Ihr es nutzt, ergänzt einfach folgenden Text an entsprechender Stelle in Eure Datenschutzerklärung: 

„Umfragen“ vom AK Internet

Wir nutzen das Umfragetool des AK Internet des BEFG für Abstimmungen, insbesondere für das Finden von Terminen. Das Tool wird auf Webservern des BEFG in Deutschland betrieben. 

Eine Abstimmung wird von einer Person („einladende Person“) erstellt. Die einladende Person gibt anderen Personen über die Bekanntgabe eines Links die Möglichkeit, sich an der Abstimmung zu beteiligen und je nach Einstellung ggf. auch den jeweils aktuellen Stand abzurufen. 

Der Link wird zum Schutz gegen eine unbefugte Kenntnisnahme als URL mit zufälliger Zahlen- und Zeichenkombination generiert. Der Zugriff auf eine Abstimmung kann zusätzlich über ein Passwort geschützt werden. Das Passwort wird verschlüsselt gespeichert und kann über die Benutzeroberfläche der einladenden Person jederzeit geändert werden. 

Folgende Daten werden durch das Tool erfasst:

• Name der einladenden Person
• E-Mail-Adresse der einladenden Person
• Name oder Pseudonym der teilnehmenden Personen (freiwillige Angabe)
• Eingaben der teilnehmenden Personen

Die erstellten Umfragen werden samt allen zu dieser Umfrage erfassten Daten 90 Tage nach dem letzten Voting automatisch archiviert und nach weiteren 14 Tagen gelöscht. 

Stand: 27.09.2023

Wenn Ihr datenschutzrelevante Tools wie z.B. Zoom benutzt, müssen Teilnehmenden unter 16 Jahren vorher eine ausgefüllte und unterschriebene Elternerklärung vorlegen, bzw. ein Foto davon schicken (vgl. DSO-Bund §6 Abs. 5 und 6).

Vorlage: Einwilligung der Träger der elterlichen Sorge für Teilnehmer unter 16 Jahre

Diesen Workflow müsst Ihr immer dann „vorhalten“, wenn Ihr Zoom-Veranstaltungen macht, die sich auch an unter 16-Jährige richten. 

Stand:27.09.2023

Wenn Ehrenamtliche Zugang zu personenbezogenen Daten haben, müssen sie sich auf das Datengeheimnis verpflichten. Zugang zu personenbezogenen Daten kann z.B. bedeutet, dass sie auf Jugendfreizeiten Teilnehmendenlisten einsehen können, dass sie an Eurer Internetseite, Euren Social-Media-Accounts oder Eurer Adressdatenbank arbeiten oder dass sie Fotos und Videos auf Veranstaltungen machen.

Die Vorlage enthält neben der Verpflichtungserklärung auch ein Merkblatt, das den Ehrenamtlichen ausführlich erklärt, was das alles bedeutet und warum es nötig ist. 

Merkblatt und Verpflichtungserklärung für Ehrenamtliche in Gemeinden (Blanco-Vorlage)

Wie können wir personenbezogene Daten von Teilnehmenden einer Gemeindegruppe verarbeiten, um Teilnehmendenlisten zu erstellen oder Fotos zu veröffentlichen?

Zunächst ein paar allgemeine Hinweise zu dem Thema:

• Wenn Ihr Daten von „Gemeindekindern“ verarbeitet, bietet es sich an, die Verarbeitung von deren Daten einmal grundsätzlich über eine Einwilligung zu regeln. Dann muss das nicht jedes Mal neu gemacht werden, wenn die Person in eine neue Gemeindegruppe kommt. Hier gibt es eine entsprechende Vorlage für eine Datenschutzeinwilligung.
  
  
• Wenn die betroffenen Personen unter 16 Jahre alt sind, muss auch eine Einwilligung von einem Träger oder einer Trägerin der elterlichen Sorge eingeholt werden. (Im Folgenden nennen wir diese Personen der Einfachheit halber „Erziehungsberechtigte“, auch wenn das juristisch nicht ganz korrekt ist.)

Grundsätzlich ist die Verarbeitung von personenbezogenen Daten ganz einfach geregelt:

Ihr dürft keine personenbezogenen Daten verarbeiten, außer es ist erlaubt.  Wenn Ihr personenbezogenen Daten verarbeiten dürft, müsst Ihr die betroffenen Personen vor der Verarbeitung über diese aufklären. (s. „Grundlegende Prinzipien“)

Mit dieser Regelung soll verhindert werden, dass wahllos personenbezogene Daten gesammelt, gespeichert oder auf sonstige Art verarbeitet werden. Alle, die personenbezogene Daten verarbeiten, sollen gut begründen, warum sie das dürfen.

Wenn Ihr bestimmte Daten für Eure Gemeindegruppe verarbeiten möchtet, stehen Eure Chancen gar nicht so schlecht, dass Ihr das dürft.

Der bekannteste Grund, aus dem Ihr personenbezogene Daten verarbeiten dürft, ist sicherlich die Einwilligung (§5 Abs. 2 lit. b, DSO Bund). Wenn Ihr die betroffene Person vorher fragt, ob sie mit der Verarbeitung ihrer Daten einverstanden ist, dürft Ihr die Daten in der Art und Weise, die Ihr erfragt habt, verarbeiten. (Außer Ihr bittet um die Einwilligung in eine offensichtlich illegale Form der Verarbeitung, die wird dann auch durch die Einwilligung nicht legal.)

Eine Einwilligung ist deshalb angenehm, weil sie große Sicherheit bietet. Allerdings ist sie auch mit hohem Aufwand verbunden, denn die Einwilligung muss eingeholt und dokumentiert werden.

Daher lohnt sich ein Blick auf die anderen Punkte, aus denen eine Verarbeitung von personenbezogenen Daten erlaubt sein kann.

Zum Beispiel ist die Verarbeitung von personenbezogenen Daten erlaubt, wenn es zur Erfüllung der Aufgaben der verantwortlichen Stelle nötig ist (§5 Abs. 2 lit. c, DSO Bund; eine verantwortliche Stelle ist zum Beispiel eine Gemeinde). Gemeindeunterricht durchzuführen oder eine Jugendgruppe anzubieten, ist eindeutig eine Aufgabe einer Gemeinde. Und um diese Aufgaben durchführen zu können, ist es zum Beispiel nötig, mit den Teilnehmenden kommunizieren zu können. Um eine Liste mit Kontaktdaten der Teilnehmenden zu erstellen und sie mit Infos zu ihrer Gemeindegruppe zu kontaktieren, dafür braucht Ihr also vielleicht gar keine Einwilligung.

Ein weiterer Punkt ist die Vertragserfüllung (§5 Abs. 2 lit. d, DSO Bund). Wenn Personen sich zu einem bestimmten Angebot wie zum Beispiel dem Gemeindeunterricht anmelden, ist es ebenfalls nötig, mit ihnen zu kommunizieren, um den „Vertrag“ (= Durchführung des Gemeindeunterrichts) erfüllen zu können. Auch in diesem Fall könnt Ihr z.B. eine Kontaktliste erstellen und die Personen kontaktieren.

In diesen Fällen müsst Ihr natürlich trotzdem die betroffenen Personen über die Datenverarbeitung und ihre Rechte informieren. Wenn Ihr die Daten von den Teilnehmenden „erhebt“, könnt Ihr z.B. folgenden Text unterschreiben lassen (bei unter 16-Jährigen auch vom Träger der elterlichen Sorge):

Wir verarbeiten Deine Kontaktdaten, um Dich über relevanten Informationen zur GRUPPENNAME informieren zu können. Rechtsgrundlage der Verarbeitung ist die Erfüllung unserer Aufgaben als GEMEINDENAME gemäß §5 Abs. 2 lit. c, DSO-BUND.
(bzw. ggf. Rechtsgrundlage der Verarbeitung ist die Vertragserfüllung gemäß §5 Abs. 2 lit. d, DSO Bund.)

Wir löschen Deine Kontaktdaten von der Teilnehmendenliste, innerhalb von ZEITRAUM nachdem Du GRUPPENNAME verlässt.

Mehr Informationen z.B. zu Deinen Rechten auf Auskunft über, Berichtigung und Löschung von Deinen Daten, findest Du in unserer Datenschutzerklärung auf URL. Auf Wunsch händigen wir sie Dir auch in gedruckter Form aus.

Hinweise dazu

• Die Verarbeitung müsst Ihr in eurem Verfahrensverzeichnis dokumentieren.
  
  
• Macht Euch in jedem Fall Gedanken, wie Ihr die Löschung der Daten umsetzen wollt. Wenn es eine Gruppe ist, aus der die TN zu einem bestimmten Zeitpunkt ausscheiden, z.B. Gemeindeunterricht, ist das einfach. Da kann man die Personen dann von der TN-Liste entfernen. Wenn es eine „offene“ Gruppe ist, wie z.B. eine Jugendgruppe, zu der sich niemand anmelden muss, könnte man z.B. sagen, dass die Gruppenleitung einmal im halben Jahr die TN durchgeht und guckt, wer noch „dazugehört“.
  
  
• Wenn jemand von der TN-Liste gestrichen wird, heißt das nicht automatisch, dass die Gemeinde alle Daten von der Person löschen muss. Wenn es sich um „Gemeindekinder“ handelt, ist es sinnvoll, die Verarbeitung von personenbezogenen Daten einmal „allgemein“ zu regeln, damit es nicht für jede Gruppe neu geregelt werden muss. Hier für könnt Ihr diese Vorlage verwenden. 
  
  
• Außerdem solltet Ihr klären, wer Zugang zu der TN-Liste hat. Ist das neben dem Mitarbeitendenteam z.B. noch das Gemeindebüro, falls dort auch Listen für das Archiv geführt werden? Welche Daten werden dort ggf. behalten, ohne dass das Mitarbeitendenteam einer Gruppe das weiß? Diese Fragen müssten geklärt werden und dann ggf. die Information angepasst werden bzw. ggf. auch eine Einwilligung eingeholt werden.)

Etwas anders liegt es, wenn Ihr die personenbezogenen Daten der Teilnehmenden weitergeben möchtet, also z.B. eine Teilnehmendenliste an alle Gruppenmitglieder verteilen möchtet. Die Weitergabe der Daten ist nämlich meistens nicht für die Erfüllung der Aufgaben oder die Vertragserfüllung nötig und von §5 Abs. 2 lit. c oder d nicht gedeckt. In diesem Fall solltet Ihr eine Einwilligung einholen, bei Personen unter 16 auch von den Erziehungsberechtigten. (Macht Euch vorher Gedanken, welche Daten wirklich auf diese Teilnehmendenliste müssen. Allergien oder Essgewohnheiten gehören nicht auf so eine Liste.) 

Ihr könnt dann einfach folgenden Text zum Ankreuzen ergänzen:

Ich bin damit einverstanden, dass mein Name und meine Telefonnummer (WENN NÖTIG ERGÄNZEN) auf einer TEILNEHMENDENLISTE in elektronischer Form an die anderen Teilnehmenden von GRUPPENNAME weitergegeben werden.

Hinweis dazu

Es geht hier um Kontaktdaten, die Ihr „offiziell“ als Veranstalter an die Teilnehmenden weitergebt. Welche Daten die Teilnehmenden freiwillig unter sich austauschen, darum müsst Ihr Euch nicht sorgen. – Mit ein bisschen Kreativität lassen sich mit diesem Wissen manche Probleme vielleicht schon lösen. Wenn Ihr z.B. das Gefühl habt, Eure Gruppe vernetzt sich auch so gut untereinander, warum dann noch die offizielle TN-Liste an die Teilnehmenden verteilen? – Habt dann aber auf jeden Fall auch die Außenseiter im Blick ...

Ähnlich geht Ihr vor, wenn Ihr innerhalb Eurer „Gruppenstunden“ Fotos macht. (Es geht wieder nur um Fotos, die von Mitarbeitenden „offiziell“ gemacht werden, bzw. um Fotos, die den Mitarbeitenden von Teilnehmenden zur Verfügung gestellt werden und die veröffentlicht oder im „Gemeindearchiv“ gespeichert werden sollen.)

Fotos zu machen und zu speichern ist schon eine Verarbeitung von personenbezogenen Daten, wenn Personen auf den Fotos erkennbar sind. Hier ist es am sichersten, mit einer Einwilligung zu arbeiten.

Bei dieser Einwilligung müssen die betroffenen Personen darüber informiert werden, in welchem Rahmen Bilder von ihnen veröffentlicht werden. Unterscheiden sollte man hier zwischen dem Veröffentlichen der Fotos in einer Art und Weise, dass die Gemeinde alle Rechte daran behält, und in einer Art und Weise, dass einer dritten Partei Nutzungsrechte an den Bildern (oder sogar Videos) eingeräumt werden. Das ist z.B. bei allen sozialen Medien der Fall.

Um die Einwilligung zur Veröffentlichung von Fotos einzuholen könnt Ihr z.B. folgenden Textbaustein ergänzen. (Die Punkte müssen einzeln ankreuzbar sein!). Bei Personen unter 16 muss die Einwilligung von einem Erziehungsberechtigten vorliegen. 

• Ich bin damit einverstanden, dass bei GRUPPENNAME Fotos von mir gemacht werden.

Ich bin ferner damit einverstanden, dass Fotos von mir für folgende Zwecke verarbeitet werden (Zutreffendes bitte ankreuzen):

• Zeigen bei „gemeindeinternen“ Veranstaltungen (z.B. Gottesdienste oder Gruppenstunden)
• Veröffentlichen auf der Internetseite der GEMEINDE- UND/ODER GRUPPENNAME (URLS EINTRAGEN).
• Veröffentlichen auf den Social-Media-Kanälen von GEMEINDE- UND/ODER GRUPPENNAME (URLS EINTRAGEN).
• Weitergabe an die anderen Teilnehmenden von GRUPPENNAME in elektronischer Form.
• Speichern für Archivzwecke der Gemeinde

Hinweis dazu

Diese Punkte müssen getrennt bleiben, damit die Einwilligung für jeden Punkt gesondert gegeben bzw. nicht gegeben werden kann.

Tipp für die praktische Umsetzung

Ihr könnt das Informations- und Einwilligungsblatt online zur Verfügung stellen, sodass es sich die Teilnehmenden zu Hause ausdrucken und unterschreiben (bzw. unterschreiben lassen) können und Euch dann ein Foto davon per Mail zuschicken. 

Eine Vorlage mit den o.g. Formulierungen, um über die Datenverarbeitung zu informieren und die Einwilligung einzuholen, gibt es hier >>>

Bitte vor der Verwendung Euren eigenen Gemeinde- und Gruppenname einfügen und ggf. die nicht zutreffenden Punkte löschen. 

Die Anleitung wie ihr in Gemeindegruppen fotografieren und die Fotos verwenden könnt, im Abschnitt  ”Datenverarbeitung in Jugendgruppen, im Gemeindeunterricht etc.” unter dem Punkt „Fotos machen”.

Wenn Ihr als Gemeinde Freizeiten (oder andere Veranstaltungen) anbietet, werden bei der Anmeldung dazu oft eine Reihe personenbezogener Daten von den Teilnehmenden erfasst. Auch hier gilt, dass Ihr für die Verarbeitung der Daten eine Rechtsgrundlage braucht und über Art und Umfang der Verarbeitung aufklären müsst. 

Auf Freizeiten werden oft Fotos und Videos gemacht. Wenn darauf Personen erkennbar sind und Ihr die Fotos verwenden möchtet, ist es wichtig, von den betroffenen Personen die Einwilligung für den jeweiligen Verwendungszweck einzuholen. 

In dieser Vorlage findet Ihr einen Entwurf für ein Anmeldeformular, in dem die Einwilligung zur Datenverarbeitung für die Freizeitdurchführung erteilt wird und auch die Einwilligung für verschiedene Verwendungen von Bildmaterial abgefragt wird. Darüber hinaus ist darin auch ein Entwurf für einen entsprechenden Abschnitt in der Datenschutzerklärung Eurer Gemeinde enthalten, der über die Datenverarbeitung im Zuge der Anmeldung zu Veranstaltungen aufklärt. Diesen müsst ihr anpassen und an entsprechender Stelle in Eure Datenschutzerklärung einfügen. Den Link zur Datenschutzerklärung fügt Ihr dann wiederum an der vorgesehenen Stelle in das Anmeldeformular ein. 

Die rot hervorgehobenen Stellen müsst Ihr anpassen/ergänzen/beachten...

Denkt daran, das Verfahren „Anmeldung zu Gemeindefreizeiten“ (o. Ä.) mit in Euer Verzeichnis der Verarbeitungstätigkeiten aufzunehmen. 

Vorlage: Anmeldung zu einer Gemeindefreizeit mittels ausgedrucktem Formular

Stand: 01.03.2023

Als die DSGVO 2016 in Kraft trat, gab es für Kirchen eine „Ausnahme“: Wenn sie zum Zeitpunkt des Inkrafttretens der DSGVO umfassende Regeln zum den Schutz natürlicher Personen bei der Verarbeitung von Daten anwandten, so durften diese Regeln weiter angewandt werden, sofern sie mit der DSGVO in Einklang gebracht wurden. 

Von dieser Möglichkeit hat der BEFG Gebrauch gemacht und seine bestehenden Vorschriften in Form der DSO-BUND an die DSGVO angepasst. 

Vorteil der eigenen DSO-BUND ist unter anderem, dass wir z.B. eine eigene „Aufsichtsbehörde“ haben (Datenschutzrat) dürfen, die von unserem Bundesbeauftragten für Datenschutz geleitet wird. Weitere Aufgabe des Bundesbeauftragten für Datenschutz ist es, die Stellen des Bundes (das sind z.B. Gemeinden) über maßgebliche Entwicklungen des Datenschutzes zu sensibilisieren, zu informieren und zu beraten.

Das ist der eigentliche große Vorteil, den wir haben: Unser Datenschutzbeauftragter kennt sich mit den Arbeitsweisen und besonderen Herausforderungen von Gemeinden aus und kann sie gezielt beraten, damit sie Lösungen finden, die mit der DSO-BUND im Einklang stehen.

Die DSO-BUND verpflichtet uns, betroffene Personen darüber aufzuklären (§10 Abs 2, DSO Bund), wann, wie, wo, warum wir von wem Daten verarbeiten und welche Rechte die betroffenen Personen haben, etc. Das tun wir in der Regel über eine Datenschutzerklärung. Was genau da drinstehen muss, richtet sich nach dem, was wir tatsächlich an personenbezogenen Daten verarbeiten. Die Datenschutzerklärung muss entsprechend auf dem Laufenden gehalten werden. Für viele Punkte gibt es Vorlagen.

Die Datenschutzerklärung muss klar sein und darf nicht verwirren. Das bedeutet unter Anderem, dass sie nur solche Punkte abdecken darf, die auch tatsächlich zutreffen. Die Vorlage darf also nicht einfach "blind" übernommen werden, sondern es muss geprüft werden, ob die entsprechenden Dienste z.B. Google Maps oder Newsletter tatsächlich genutzt werden. Die Abschnitte in der Vorlage zu Diensten, die nicht genutzt werden, müssen in Eurer Datenschutzerklärung gelöscht werden. 

Auf der Seite des BEFG (www.befg.de/datenschutz) gibt es eine Musterdatenschutzerklärung. (Checkt am besten auf der Webseite, ob inzwischen eine neuere Version als die hier verlinkte vorhanden ist.)

Ausgehend von der Vorlage können verantwortliche Stellen des BEFG ihre eigene Datenschutzerklärung bauen, indem die Namen und Daten in der Vorlage angepasst werden. Außerdem müssen nicht zutreffende Punkte entfernt werden. Über Datenverarbeitung, die über die Vorlage hinausgeht, muss natürlich auch aufgeklärt werden. Für diese Fälle ist jeweils ein entsprechender Abschnitt hinzuzufügen. 

Die Datenschutzerklärung kann sich ändern, weil der BEFG auf der Bundesratstagung Änderungen an der Datenschutzordnung beschließt, weil aktuelle Rechtsprechung eine Anpassung erfordert oder weil Ihr ein neues Angebot macht, bei dem personenbezogene Daten verarbeitet werden und das dementsprechend mit in die Datenschutzerklärung aufgenommen werden muss. Oder es ändert sich einfach nur eine verantwortliche Person oder Ansprechperson bei Euch.

Eigentlich wäre es leichter, Datenschutzsachen zentral zu regeln, so dass z.B. alle Gemeinden auf dieselbe Datenschutzerklärung verweisen könnten.

In der DSO-BUND (und auch in der DSGVO, der wir entsprechen müssen) gibt es die sogenannte „verantwortliche Stelle“. Eine verantwortliche Stelle im Sinne der DSO-Bund ist „eine Stelle des Bundes, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Und das sind die einzelnen Gemeinden, etc. (Z.B. entscheidet Ihr, dass Ihr Fotos auf Euer Webseite veröffentlicht, Teilnehmerliste erstellt und an Freizeitleitende weitergebt oder wer Zugang zu Eurer Datenbank hat, etc.). Jede verantwortliche Stelle muss über die Datenverarbeitung aufklären, die sie verantwortet. 

Daher müssen alle Gemeinden eine eigene Datenschutzerklärung haben, in der dann die Namen der entsprechenden Verantwortlichen stehen, und die für die Angebote der entsprechenden verantwortlichen Stelle gilt. 

In §5 Abs.1 des Telemediengesetztes steht, dass das Impressum 

• leicht erkennbar,
• unmittelbar erreichbar und
• ständig verfügbar sein muss.

Es gibt inzwischen viele Urteile, was das genau in der Praxis bedeutet.

Für die Datenschutzerklärung liegen solche Urteile noch nicht vor. Die Literatur geht momentan davon aus, dass die richterlichen Vorgaben zum Impressum auch für die Datenschutzerklärung gelten. 

Praktisch wendet man also die Regeln, die für das Impressum gelten, auch für die Datenschutzerklärung an.

Wenn bei einer größeren Online-Veranstaltung mehr als ein Zoom-Account benötigt wird, zum Beispiel weil gleichzeitig mehrere Online-Workshops stattfinden sollen, wird oft eine befreundete Gemeinde angefragt, ob man sich ihren Zoom-Account "ausleihen" kann. 

Dies bringt das Problem mit sich, dass Personen die an Eurer Veranstaltung teilnehmen und die Eurer Datenschutzerklärung zugestimmt haben, nicht davon ausgehen können und auch nicht damit rechnen müssen, dass an dieser Veranstaltung „Dritte“ beteiligt sind, die auch Daten verarbeiten. 

Ihr müsst also sicherstellen, dass die Personen darüber informiert sind und auch den Datenschutzbestimmungen der „Dritten“ (also der Gemeinden, die Euch mit dem Zoom-Account aushelfen) zustimmen.

Das klingt kompliziert, ist im Grunde aber schnell und einfach erledigt. Zwei Dinge sind erforderlich:

1. Ergänzt in der Infomail (oder auf der Webseite), mit der Ihr den Teilnehmenden den Zoomlink oder sonstige Zugangsdaten zu Eurer Veranstaltung zukommen lasst, den Hinweis, von welchen „Dritten“ noch Zoom-Accounts verwendet werden. Weist außerdem darauf hin, dass die Datenschutzerklärung des jeweiligen „Dritten“ in einem Popup-Fenster vor Betreten des Zoomraums verlinkt ist und bestätigt werden muss.--> Dadurch stellt ihr sicher, dass die Teilnehmenden über einen Sachverhalt informiert werden, mit dem sie nicht unbedingt rechnen können.

Beispiel für die Formulierung:
„Für [hier eintragen: Z.B. die Workshops im Rahmen von EVENTNAME] nutzen wir Zoom-Accounts der Gemeinde X. Die Datenschutzerklärung der jeweiligen Gemeinde ist in dem Popup-Fenster vor Betreten des Zoom-Raums verlinkt und muss vor der Teilnahme durch Klicken bestätigt werden.“

2. Ihr müsst sicherstellen, dass bei dem Zoom-Account der beteiligten „Dritten“ das Popup-Fenster mit der verlinkten Datenschutzerklärung aktiviert und korrekt eingestellt ist und darin auch der Umgang mit Zoom geregelt ist. (Eine Anleitung dazu gibt es hier.)

--> Dadurch haben die Teilnehmer die Möglichkeit, sich über die Datenschutzregelungen der „Dritten“ zu informieren und ihnen zuzustimmen, bevor sie den Zoomraum betreten.

(Stand: 09.10.2023)

Wenn wir für unsere Arbeit Tools einsetzen, bei denen personenbezogene Daten verarbeitet werden, müssen wir die Nutzer vorher darüber aufklären, welche Daten wie verarbeitet werden. Ein Beispiel ist z.B. die Nutzung von Zoom.

In der Regel klären wir darüber in der Datenschutzerklärung auf. Das ist meistens sinnvoll, weil wir sehr einfach darauf verweisen können. Z.B. kann der Link zur Datenschutzerklärung mit dem Zoomlink verschickt werden. (Im konkreten Beispiel Zoom kann inzwischen sogar vor Betreten des Raums noch ein Popup vorgeschaltet werden, in dem man bestätigen muss, dass man mit der Datenschutzerklärung einverstanden ist.)

Wenn sich die Datenschutzerklärung ändert, müssen wir das laut DSO-BUND sechs Wochen vorher bekanntgeben, also die Änderungen auf der Seite mit der Datenschutzerklärung ankündigen.

In der Praxis kann es vorkommen, dass wir z.B. externe Referentinnen und Referenten zu Gast haben, die ein Tool einsetzen möchten, das nicht in unserer Datenschutzerklärung enthalten ist, sie es uns aber weniger als sechs Wochen vor der "Veranstaltung" mitteilen, sodass wir keine Möglichkeit mehr haben, das rechtzeitig in die Datenschutzerklärung aufzunehmen.

Die Nutzung des Tools ist damit aber nicht grundsätzlich ausgeschlossen. Natürlich muss zunächst geprüft werden, ob das Tool DS-BUND konform genutzt werden kann. Wenn ja, kann es benutzt werden, es muss aber über die Datenverarbeitung durch dieses Tool aufgeklärt werden. – Dies muss nicht zwangsläufig durch die Datenschutzerklärung geschehen. In diesem Fall kann die Aufklärung auch direkt vor der Nutzung erfolgen und dokumentiert werden. (Achtung bei unter 16-Jährigen wg. Einverständniserklärung) 

Es empfiehlt sich, bei der Anfrage an externe Referenten rechtzeitig abzufragen, ob und welche Tools sie nutzen wollen, damit noch genug Zeit für die Datenschutzprüfung bleibt.

Falls es einen solchen Fall bei Euch gibt, ist es sinnvoll, im Vorfeld zu dokumentieren, wie die Aufklärung über die Datenverarbeitung durch das Tool erfolgt. Falls eine Anfrage vom Datenschutzrat kommt, ist es immer hilfreich, wenn der sieht, dass solche Fälle in dem Veranstaltungskonzept mit bedacht und die Mitarbeiter entsprechend informiert wurden.

Ja. Auch/Gerade die Daten von Gemeindemitgliedern und -freunden werden geschützt und nicht einfach so verarbeitet. (Eine Verarbeitung ist z.B. auch das Erstellen eines Gemeindeverzeichnisses.)

Die Verarbeitung darf nur geschehen, wenn es einen rechtmäßigen Grund für die Verarbeitung gibt*. Ein solcher Grund kann z.B. die Erfüllung kirchlicher Aufgaben sein (§5, Abs 2 lit. c, DSO-BUND). Daten könnten aber auch verarbeitet werden, wenn das zur Förderung des Gemeindezwecks erforderlich ist und keine Anhaltspunkte vorliegen, dass die betroffene Person ein schutzwürdiges Interesse hat, das das Interesse der Verarbeitung überwiegt (§5 Abs. 2 lit. g,h, DSO-BUND).

Darüber hinaus dürfen personenbezogene Daten nur verarbeitet werden, wenn die betroffene Person ihr Einverständnis dazu gegeben hat (§5 Abs. 2 lit. b, DSO-BUND). Um das im Gemeindealltag praktikabel zu gestalten, empfiehlt es sich, von allen Gemeindemitgliedern und -freunden einmalig eine Einverständniserklärung ausfüllen zu lassen, bzw. bei unter 16-Jährigen von deren Trägern der elterlichen Sorge (gemäß §6 Abs. 5, 6, DSO-BUND). 

Hier findet Ihr eine Vorlage dafür. Wenn Ihr die Vorlage verwendet, sollten unbedingt die Hinweise in aus diesem Dokument beachtet werden!

* Die genaue Definition, wann eine Verarbeitung von personenbezogenen Daten zulässig ist, kann in §5 Abs. 2 DSO-BUND nachgelesen werden.