Datenschutz in Stiftungen und Vereinen

Stiftungen und Vereine verarbeiten regelmäßig personenbezogene Daten. Dazu gehören Kontaktdaten, Spendeninformationen, Förderanträge und Beschäftigtendaten. Je nach Tätigkeit kommen Angaben über Gesundheit, soziale Verhältnisse oder persönliche Notlagen hinzu.

Datenschutz ist deshalb keine reine IT-Aufgabe. Er betrifft Entscheidungen, Zuständigkeiten und tägliche Arbeitsabläufe. Die Verantwortung reicht von der ersten Erhebung bis zur sicheren Löschung.

Auch kleine Organisationen benötigen dafür nachvollziehbare Strukturen. Diese müssen zur Größe, Tätigkeit und Risikolage der Organisation passen.

Personenbezogene Daten dürfen nicht vorsorglich oder ohne konkretes Ziel gesammelt werden. Vor jeder Verarbeitung sollte feststehen, wofür die Angaben benötigt werden.

Ebenso wichtig ist die Rechtsgrundlage. Die Einwilligung ist nur eine von mehreren Möglichkeiten. Je nach Vorgang können beispielsweise ein Vertrag, eine rechtliche Verpflichtung oder ein berechtigtes Interesse maßgeblich sein.

Welche Grundlage trägt, muss für den jeweiligen Prozess geprüft werden. Eine pauschale Festlegung für sämtliche Datenverarbeitungen reicht nicht aus.

Betroffene Personen müssen außerdem verständlich informiert werden. Dazu gehören insbesondere:

• der Verantwortliche für die Datenverarbeitung,
• der Zweck der Verarbeitung,
• die jeweilige Rechtsgrundlage,
• vorgesehene Empfänger,
• die Speicherdauer oder ihre Kriterien,
• die Rechte der betroffenen Personen.

Diese Informationen müssen zum richtigen Zeitpunkt bereitgestellt werden. Sie gehören daher unmittelbar in die Gestaltung von Formularen, Förderverfahren und digitalen Angeboten.

Viele Datenbestände entstehen aus Gewohnheit. Formulare werden über Jahre fortgeführt. Alte Verteiler bleiben bestehen. Projektunterlagen werden vollständig archiviert, obwohl Teile davon nicht mehr benötigt werden.

Das erhöht den Verwaltungsaufwand und das Risiko eines unbefugten Zugriffs.

Stiftungen und Vereine sollten ihre Prozesse regelmäßig daraufhin prüfen:

• Welche Angaben sind für den jeweiligen Zweck erforderlich?
• Welche Felder können aus Formularen entfernt werden?
• Welche Daten werden nur aus Gewohnheit erhoben?
• Welche Unterlagen enthalten unnötige Kopien?
• Welche Verteiler sind nicht mehr aktuell?
• Welche Datenbestände können gelöscht oder anonymisiert werden?

Besondere Sorgfalt ist bei sensiblen Angaben erforderlich. Die Datenschutz-Grundverordnung stellt unter anderem Gesundheitsdaten, religiöse Überzeugungen und politische Meinungen unter erhöhten Schutz.

Solche Angaben sollten nur erhoben werden, wenn sie wirklich notwendig sind. Zusätzlich zur allgemeinen Rechtsgrundlage müssen die besonderen Voraussetzungen für ihre Verarbeitung vorliegen.

Gerade Förderanträge können mehr persönliche Informationen enthalten, als für die Entscheidung erforderlich sind. Deshalb sollte bereits das Antragsverfahren nach dem Grundsatz der Datenminimierung gestaltet werden.

Nicht jedes Vorstandsmitglied, jeder Ehrenamtliche oder jede beschäftigte Person benötigt Zugriff auf sämtliche Daten.

Berechtigungen sollten sich an den jeweiligen Aufgaben orientieren. Wer Spendenbescheinigungen erstellt, benötigt andere Informationen als eine Person, die Veranstaltungen organisiert. Ein Auswahlgremium braucht nur die Daten, die für seine Entscheidung erforderlich sind.

Ein geordnetes Berechtigungskonzept beantwortet insbesondere folgende Fragen:

• Wer darf welche Daten einsehen?
• Wer darf Angaben verändern oder exportieren?
• Wie werden Vertretungen geregelt?
• Wann werden Zugriffsrechte entzogen?
• Wer überprüft die Berechtigungen?
• Wie werden besonders sensible Daten geschützt?

Gemeinsam genutzte Privatkonten, offene E-Mail-Verteiler und frei zugängliche Tabellen sind organisatorische Schwachstellen. Gleiches gilt für ehemalige Organmitglieder oder Mitarbeitende, deren Zugänge nicht rechtzeitig gesperrt werden.

Technische Maßnahmen müssen zur Risikolage passen. Dazu können sichere Passwörter, Mehrfaktor-Authentifizierung, verschlüsselte Übertragung, regelmäßige Datensicherung und aktuelle Software gehören.

Technik allein genügt jedoch nicht. Verantwortliche Personen müssen wissen, wie sie mit Daten umgehen sollen. Dazu gehören klare Vorgaben und regelmäßige Unterweisungen.

Viele Organisationen nutzen externe Anbieter. Beispiele sind Cloudspeicher, Newsletter-Systeme, Buchhaltungsdienste und Förderplattformen.

Vor der Beauftragung muss geklärt werden, welche datenschutzrechtliche Rolle der Anbieter übernimmt. Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter. Je nach Gestaltung kann eine eigene oder gemeinsame Verantwortlichkeit bestehen.

Bei einer Auftragsverarbeitung benötigt die Organisation eine Vereinbarung nach Artikel 28 DSGVO. Darüber hinaus sollte sie prüfen:

• welche Daten verarbeitet werden,
• an welchen Orten die Verarbeitung erfolgt,
• welche Unterauftragnehmer eingesetzt werden,
• welche Sicherheitsmaßnahmen bestehen,
• wie Auskünfte und Löschungen unterstützt werden,
• was nach Vertragsende mit den Daten geschieht.

Auch mögliche Übermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums benötigen eine gesonderte Betrachtung.

Die Auswahl eines bekannten Anbieters ersetzt diese Prüfung nicht. Die Verantwortung für den eigenen Einsatz des Dienstes verbleibt bei der Organisation.

Datenschutz verlangt keine sofortige Löschung aller abgeschlossenen Vorgänge. Gesetzliche Aufbewahrungspflichten oder berechtigte Dokumentationsinteressen können eine weitere Speicherung erfordern.

Umgekehrt dürfen Daten nicht unbegrenzt aufbewahrt werden, nur weil Speicherplatz vorhanden ist.

Ein Löschkonzept sollte jede Datenkategorie mit drei Fragen verbinden:

1. Warum müssen die Daten aufbewahrt werden?
2. Wie lange besteht dieser Grund?
3. Wer prüft und veranlasst die Löschung?

Unterschiedliche Unterlagen können unterschiedlichen Fristen unterliegen. Förderakten, Spendenunterlagen, Beschäftigtendaten und Veranstaltungslisten dürfen daher nicht pauschal gleichbehandelt werden.

Auch Sicherungskopien, E-Mail-Postfächer und Papierarchive gehören in die Betrachtung. Dass Daten an mehreren Orten liegen, darf ihre Löschung nicht dauerhaft verhindern.

Ein praktikables Löschkonzept benennt Verantwortlichkeiten und feste Prüfzeitpunkte. So wird aus einer abstrakten Pflicht ein wiederholbarer Arbeitsablauf.

Ein Datenschutzvorfall kann viele Formen haben. Eine E-Mail geht an den falschen Empfänger. Ein Gerät wird verloren. Zugangsdaten werden bekannt. Unbefugte Personen erhalten Zugriff auf einen Ordner.

In solchen Situationen zählt eine schnelle und geordnete Reaktion.

Die Organisation sollte vorab festlegen:

• an wen ein möglicher Vorfall intern gemeldet wird,
• wer die erste Bewertung übernimmt,
• welche Informationen dokumentiert werden,
• wer über weitere Maßnahmen entscheidet,
• wie externe Fachleute erreichbar sind,
• wer mit der Aufsichtsbehörde und Betroffenen kommuniziert.

Eine Verletzung des Schutzes personenbezogener Daten muss grundsätzlich unverzüglich bewertet werden. Besteht voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen, kann eine Meldung an die zuständige Aufsichtsbehörde erforderlich sein. Die DSGVO sieht dafür grundsätzlich eine Frist von 72 Stunden nach Bekanntwerden vor.

Bei einem voraussichtlich hohen Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen erforderlich werden.

Ob eine Melde- oder Benachrichtigungspflicht besteht, hängt vom konkreten Vorfall ab. Die Bewertung sollte nachvollziehbar dokumentiert werden.

Datenschutz wird beherrschbar, wenn vier Grundlagen verlässlich organisiert sind:

1. Überblick
Die Organisation kennt Datenarten, Zwecke, Rechtsgrundlagen, Empfänger und Systeme.

2. Zugriff
Berechtigungen und technische Schutzmaßnahmen folgen den jeweiligen Aufgaben.

3. Aufbewahrung
Fristen, Löschung und Verantwortlichkeiten sind nachvollziehbar geregelt.

4. Reaktion
Für Auskunftsersuchen und Datenschutzvorfälle bestehen vorbereitete Abläufe.

Diese Grundlagen müssen regelmäßig überprüft werden. Neue Software, veränderte Förderverfahren oder personelle Wechsel können eine Anpassung erforderlich machen.

RHSM unterstützt Stiftungen und gemeinnützige Organisationen dabei, Datenschutz in klare Abläufe und Zuständigkeiten zu übersetzen.

Im Mittelpunkt stehen verständliche Prozesse, nachvollziehbare Verantwortlichkeiten und eine Dokumentation, die im Alltag funktioniert.

Die individuelle datenschutzrechtliche Bewertung und Beratung erfolgt mit Datenschutzbeauftragten oder entsprechend qualifizierten Rechtsfachleuten. Entscheidungen verbleiben bei den verantwortlichen Organen der jeweiligen Organisation.

Hinweis: Dieser Beitrag bietet allgemeine Orientierung. Er ersetzt keine individuelle datenschutzrechtliche oder anwaltliche Beratung.