Das Recht auf Auskunft soll der betroffenen Person ermöglichen, zu prüfen, ob sie betreffende Daten richtig sind und ob sie in zulässiger Weise verarbeitet werden. Ebenso soll es der betroffenen Person ermöglichen, gegebenenfalls ihre Rechte nach der DS-GVO auszuüben.
Verantwortlichkeit des Vorstandes
Betroffene Personen haben gegenüber dem Verein das Recht, mit formlosem Antrag und ohne Angaben von Gründen Auskunft darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Verantwortlicher nach der DS-GVO ist normalerweise der Verein als juristische Person. Der Verein handelt durch seinen Vorstand, der den Verein nach außen vertritt. Die Verpflichtung zur Einhaltung des Datenschutzrechts liegt somit zunächst beim Vorstand. Er hat sicherzustellen, dass der Verein das Datenschutzrecht einhält. Für Schäden, die der Vorstand oder ein Mitglied des Vorstand, verursacht, haftet der Verein nach Maßgabe von § 31 BGB. Ebenso haftet der Vorstand gegenüber dem Verein, wenn sie ihre Pflichten nicht ordnungsgemäß erfüllen nach Maßgabe von § 31a BGB.
Der Vorstand hat nicht nur über die Art und Weise der Datenverarbeitung zu entscheiden. Er sollte auch festlegen, wie mit den Rechten betroffener Personen wie z.B. einem Auskunftsantrag verfahren wird. Die Vorstandsmitglieder müssen dies nicht selbst machen, sondern können auch ein Mitglied mit der Aufgabe betrauen. Der Vorstand ist nicht nur verantwortlich für die Einhaltung geltender Gesetze, sondern er hat auch die Organisationshoheit. Sicherzustellen hat er, dass die gesetzlichen Vorgaben für die Rechte betroffener Personen eingehalten werden.
Um einen Auskunftsantrag zu bearbeiten, muss zunächst dem Verein bzw. dessen Vorstand bekannt sein, an welchen Stellen im Verein überhaupt personenbezogene Daten gespeichert sind und wen er hierzu befragen kann. Eine nicht immer vorhandene Selbstverständlichkeit. Daher empfiehlt sich ein Verzeichnis von Verarbeitungstätigkeiten. Auch wenn keine gesetzliche Pflicht für die Führung besteht, ist es eine Hilfe, um die Rechte der Betroffenen zu erfüllen. Außerdem soll der Vorstand festlegen, wer ausschließlich für die Bearbeitung von Auskunftsanträgen und für die Kommunikation mit der betroffenen Person verantwortlich ist. Grundsätzlich ist es nicht verkehrt, einmal eine „Trockenübung“ für den Fall der Fälle zu machen. Hin und wieder kommt dabei noch die ein oder andere „Schattenverarbeitung“ zu Tage, die nicht eigenverantwortlichen bekannt ist.
Richtlinie zur Bearbeitung von Auskunftsanträgen
Auskunftsanträge müssen fast ausnahmslos beantwortet werden. Die Rechtsprechung sieht nur wenige Ausnahmen vor. Sinnvoll ist die schriftliche Fixierung des Umgangs mit Auskunftsanträgen an den Verein. Haben betroffene Personen einen Antrag auf Auskunft gestellt, so haben Sie eine Bestätigung zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so haben Sie ein Recht auf Auskunft über diese personenbezogenen Daten und weitere Informationen. Als Verarbeitung ist immer auch die Speicherung zu verstehen. Insbesondere E-Mail Postfächer, die zur Speicherung verwendet werden, können Kopfzerbrechen bereiten.
Die betroffene Person hat vom Verein daher eine Bestätigung zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden oder aber eine negative Auskunft, wenn keine Daten zu ihrer Person verarbeitet oder personenbezogene Daten unumkehrbar anonymisiert sind.
Der Verein muss der betroffenen Person die Informationen über die auf Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Antragseingang zur Verfügung zu stellen. Eine Fristverlängerung um weitere 2 Monate ist unter Umständen möglich.
Die Übermittlung dieser Informationen an die betroffene Person kann je nach Sachverhalt schriftlich, elektronisch oder – auf Wunsch der betroffenen Person – auch mündlich erfolgen. Wird der Auskunftsantrag elektronisch gestellt, ist die Auskunft in einem gängigen elektronischen Format zur Verfügung zu stellen. Je nach Kommunikationsweg und Sensibilität der Daten ist gegebenenfalls auch eine verschlüsselte Übersendung erforderlich.
Auf Verlangen stellt der Verein zudem kostenfrei zumindest eine Kopie der Daten zur Verfügung.
Wird der Verein auf den Antrag der betroffenen Person hin nicht tätig, so unterrichtet er diese ohne Verzögerung, spätestens aber innerhalb eines Monats nach Eingang des Antrags über die Gründe hierfür und über die Möglichkeit, bei einer Aufsichtsbehörde Beschwerde oder einen gerichtlichen Rechtsbehelf einzulegen.
Fazit
Der Vorstand eines Vereins tut gut daran, im Vorfeld eine Richtlinie zur Beantwortung von Auskunftsanträgen zu erstellen. Letztendlich haftet der Vorstand, wenn die Rechte betroffener Personen nicht ordnungsgemäß bearbeitet werden. Sollten Sie Fragen zur Haftung des Vorstandes oder die Verarbeitung von Mitgliederdaten haben, berate ich Sie gern: Tel: +49 234 29831858
RA Christof Kolyvas
Datenschutz für Unternehmen, Selbständige und Vereine
Mail: anwalt@kolyvas.legal
