Reuber, Die Besteuerung der Vereine, Datenschutzgrundver ... / II. Begriffsbestimmung

1. Personenbezogene Daten (Art. 4 Nr. 1 DSGVO)

Tz. 2

Stand: EL 110 – ET: 02/2019

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Es reicht somit aus, wenn die Informationen unter Zuhilfenahme weiterer verfügbarer Daten und technischer Mittel einer bestimmten Person zugeordnet werden können. In Betracht kommen hierfür Telefonnummern, Kfz-Kennzeichen, Kundennummern, IP-Adressen, Standortdaten. Erfasst sind daher z. B. Eigentums- oder Besitzverhältnisse, persönliche Interessen, Mitgliedschaften in Organisationen, Datum des Vereinsbeitritts, sportliche Leistungen, Platzierung bei einem Wettbewerb und dergleichen.

Nicht von der DSGVO geschützt werden Angaben über Verstorbene, wie etwa in einem Nachruf für ein verstorbenes Vereinsmitglied im Vereinsblatt oder die Nennung auf einer Liste der Verstorbenen (Erwägungsgrund 27).

Beachte!

Auch Fotos oder Videos stellen personenbezogene Daten der abgebildeten Personen dar, solange sie noch erkennbar und als eine bestimmte Person identifizierbar erfasst sind. Das gilt bereits, wenn der Rückschluss auf eine Person mit Rechercheaufwand möglich ist. Die Zuordnung kann insbesondere anhand einer Kennung wie einem Namen oder einer Telefonnummer (s. Art. 4 Nr. 1 DSGVO) erfolgen. Beispielsweise genügt zur Identifizierung eines Gesprächspartners eines Telefonats die Kenntnis der Telefonnummer. Werden von einem Entsorgungsunternehmen Angaben zu Mülltonnen erfasst, ist der in seinem Entsorgungsverhalten überprüfte Grundstückseigentümer über Grundbuchdaten ermittelbar, so dass Personenbeziehbarkeit besteht (vgl. Gola, DS-GVO, 2. Aufl. 2018, Art. 4 Rn. 5; OVG NW, Urt. vom 19.10.2017, 16 A 770/17).

Tz. 3

Stand: EL 110 – ET: 02/2019

Strengere Regeln bestehen für grundrechtssensible Bereiche. Art. 9 Abs. 1 DSGVO regelt in einem – (derzeit) abschließenden – Katalog besondere Kategorien von Daten, aus denen hervorgehen:

• die rassische und ethnische Herkunft; hierzu zählen ggf. auch Hautfarbe und regional begrenzte Sprache;
• die politische Meinung;
• die religiöse oder weltanschauliche Überzeugung;
• die Gewerkschaftszugehörigkeit;
• genetische Daten (s. Art. 4 Nr. 13 DSGVO);
• biometrische Daten zur eindeutigen Identifizierung natürlicher Personen (s. Art. 4 Nr. 14 DSGVO);
• Gesundheitsdaten (s. Art. 4 Nr. 15 DSGVO) oder
• Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

Beachte!

Nicht erfasst sind weiterhin Daten über das Alter und das Geschlecht (vgl. Gola, DS-GVO, 2. Aufl. 2018, Art. 9 Rn. 15). Daneben ist noch eine Kategorie berufsrechtlich relevanter Daten zu berücksichtigen, nämlich solche, die nach dem vorrangigen Berufsrecht besonderen Datenschutz genießen, z. B. durch Rechtsanwälte und Steuerberater.

Die Verarbeitung dieser besonderen Datenkategorien erfordert gesteigerte Rechtfertigungsgründe. Auch hier ist aber eine freiwillige Einwilligung möglich sowie die gesetzlich geregelte zweckbezogene Nutzung (s. Art. 9 Abs. 2 DSGVO).

2. Verarbeitung von Daten

Tz. 4

Stand: EL 110 – ET: 02/2019

Der Oberbegriff "Verarbeitung" wird sehr weit gefasst und meint jeden irgendwie gearteten Umgang mit Daten und umfasst automatisierte Verarbeitung wie nicht automatisierte Verarbeitung von Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden können.

In Betracht kommt jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung und die Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, die Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Es reicht eine Papier-Akte.

3. Verantwortlicher

Tz. 5

Stand: EL 110 – ET: 02/2019

Adressat ist derjenige, der allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (s. Art. 4 Nr. 7 DSGVO). Dies können natürliche und juristische Personen sein.

Verarbeitet ein Verein personenbezogene Daten seiner Mitglieder und sonstiger Personen, ist er Verantwortlicher. Unerheblich ist dabei, ob der Verein ins Vereinsregister eingetragen ist und damit eine eigene Rechtspersönlichkeit besitzt, oder ob es sich um einen nicht rechtsfähigen Verein handelt.

Dem Verein (Verband) sind seine unselbständigen Untergliederungen wie Abteilungen, Ortsvereine oder Ortsgruppen sowie seine Funktionsträger, Auftragnehmer (s. Rz. 6), und seine Mitarbeiter, soweit diese im Rahmen der Aufgabenerfüllung für den Verein tätig werden, zuzurechnen.

Die Vereinsmitglieder einerseits sowie die Dachverbände andererseits, in denen der Verein selbst Mitglied ist, sind dagegen als außerhalb des Vereins stehende Stellen anzusehen. Die vom Verein erhobenen Daten werden nur dann "gleichzeitig" Daten eines anderen Vereins, etwa eines Dachverbandes, wenn das Vereinsmitglied auch der anderen Vereinigung ausdrücklich mit einer eigenen Erklärung beitritt (s. Art. 26 DSGVO).

Kommt es zu datenschutzrechtli...