RaceOffice und DSGVO

[ThBunte]

Moin zusammen,

ich weiss, es ist ein gräußliches Thema, aber wie sieht es mit der Thematik DSGVO und deren Umsetzung für Raceoffice.org aus?

Da kommt ja einiges auf Vereine im allgemeinen - und bei der Nutzung von Plattformen wie raceoffice.org auch auf diese zu. Eigentlich müssten wir als Vereine ja einen Vertrag zur Auftragsdatenverarbeitung mit raceoffice abschliessen?

[Guido Moritz]

Moin Thomas,

"gräußlich" trifft es noch nicht ganz. Ich beschäftige mich seit ein paar Wochen aus unterschiedlichen Perspektiven mit dem DSGVO und muss leider immer wieder feststellen, dass die Rechtsunsicherheit enorm ist. Teilweise stehen Aufbewahrungsfristen von Daten nach HGB oder BGB sowie in einzelnen Branchen sogar im krassen Widerspruch zu den Löschvorschriften des DSGVO. Ganz zu schweigen davon, dass es keine klare Definition gibt was eigentlich alles zu den personenbezogenen Daten gehört. Dazu kommt das es keine zentrale akkreditierte Stelle in Deutschland gibt um die Konformität zum DSGVO wirklich zu bestätigen. Datenschutz ist Ländersache und jedes Land legt das DSGVO aktuell (noch?) anders aus. Gut gemeint ist eben nicht immer gut gemacht.

Nichts desto trotz müssen wir uns natürlich am Ende rechtskonform verhalten. Ob überhaupt eine Auftragsdatenverarbeitung vorliegt und somit eine vertragliche Fixierung notwendig wird, ist schon lange ein Thema, auch schon vor dem DSGVO. Hier gibt es erhebliche Unterschiede in der Auslegung. Ein gutes Beispiel ist das selbst große Hosting Anbieter (hier ohne Nennung von Namen aber ich meine die wirklich großen) bis heute oft keine ADV-Verträge überhaupt anbieten. Obwohl es durchaus gute Gründe gibt das auch Hosting eine ADV bereits nach BDSG darstellt. Nun geht der Service von raceoffice.org deutlich über klassisches Hosting hinaus. Aber das tun andere Services auch und auch mit diesen anderen Plattformen wird ebenfalls keine ADV vertraglich fixiert. Oder anders herum: Mit wie vielen Plattformen/Services/Dienstleistern hat überhaupt jemand im ehrenamtlichen Umfeld eine ADV vereinbart, obwohl diese eindeutig schon vor DSGVO erforderlich ist? Ich vermute die Quote liegt nahe Null. Aus dieser Perspektive komme ich aktuell also zur Einschätzung das es keine wirklich neuen Anforderungen gibt.

Viel spannender ist die Notwendigkeit des Löschens bzw. „Recht auf Vergessen“ was eigentlich die ursprüngliche Intention des DSGVO war. Ziel waren ursprünglichen die Großen Webplattformen aka Datenkracken. Nun trifft es alle. Man darf Daten nur so lange aufbewahren bis der Verwendungszweck erfüllt ist. Allerdings ist im DSGVO die Auslegung für den Verwendungszweck der Daten deutlich weicher formuliert. Wenn ich also beispielsweise die Meldedaten einer Regatta des letzten Jahres verwende um für das kommende Jahr meine Segler wieder zum Event einzuladen war dies ohne vorherige Zustimmung der Segler vor dem DSGVO nicht möglich. Durch das DSGVO wird dieses kategorische Nein nun deutlich aufgeweicht. Ob es aber erlaubt ist, ist auch nicht klar. Ebenso wäre für uns fraglich wie lange Ergebnislisten eigentlich gespeichert und veröffentlich werden dürfen, immerhin enthält diese Namen und durch den Kontext ist zuordenbar wann welche Person wo war, nämlich auf der Regatta wo die Ergebnisliste entstand. Ist mit der Siegerehrung der Verwendungszweck erfüllt? Oder mit der Erstellung der DSV Jahresrangliste? Oder wann genau? All dies betrifft uns übrigens nicht nur bei der Verwendung von raceoffice.org sondern auch wenn ich alles zu Fuß mit Zettel und Stift rechne und auswerte, irgendwann muss ich den Zettel auch dann verbrennen.

Ich habe Fragen über Fragen zum DSGVO und bislang weder Berater noch Juristen noch öffentliche Behörden gefunden die mir diese eindeutig beantworten können.

Als Lösungsweg für alles zusammen sehe ich aktuell allerdings nicht wirklich vor mit jedem Verein eine ADV zu zeichnen. Durch die massive Rechtsunsicherheit scheint es mir darüber hinaus nahezu aussichtslos alle fachlichen Anforderungen des DSGVO vollumfänglich zu erfüllen. Was nicht klar definiert ist kann nicht klar erfüllt werden. Das war/ist aber bereits beim BDSG so. Daher ist nahezu jeder Anbieter von irgendwas inzwischen dazu übergegangen in den eigenen Datenschutzerklärungen bestimmte Abweichungen von der Rechtslage zu beschreiben und den Nutzer dies explizit via Opt-In bestätigen zu lassen. Wer einen Einzelverbindungsnachweiß bei seiner Handyrechnung bekommt weiß wovon ich rede bzw. hat wissentlich oder unwissentlich seine Datenschutzrechte abgetreten bzw. verzichtet explizit darauf.

Ich gehe also davon aus das gezielte Anpassungen der Datenschutzerklärung auf raceoffice.org alle Anforderungen des DSGVO erfüllt. Diese Datenschutzerklärungen müssen ja bereits vor DSGVO maximal verwirrend für den Nutzer gestaltet sein, jetzt legen wir alle eben noch eine Schippe drauf. Sollten sich für mich neue Erkenntnisse bzw. irgendeine Form der Rechtssicherheit ergeben kann sich dies aber natürlich noch ändern.

Viele Grüße,
Guido

[ThBunte]

Hallo Guido,

kein Widerspruch - muss mich auch aktuell mit dem Thema beruflich - aber auch als Vereins- und KV Vorstand beschäftigen.
Hast Du bei e-Recht24 Zugriff auf die Premiumlösung, denn nur dort ist der Datenschutzgenerator schon DSGVO konform? Wenn nicht kann ich da gerne mit meinem Agentur-Account behilflich sein.

Tschoe Thomas

[Guido Moritz]

Moin Thomas,

danke für das Angebot, da komme ich gerne drauf zurück! Magst du mich kurz direkt per Mail (info@raceoffice.org) kontaktieren?

Danke,
Guido