Datenschutzordnung der NaturFreunde Bundesgruppe

Zusammenfassung

Die NaturFreunde Deutschlands e.V., die Naturfreundejugend und der mit dem Verband verbundene Verlag verarbeiten personenbezogene Daten so wenig wie möglich und ausschließlich zu Zwecken gemäß ihrer Satzung. Nicht mehr benötigte personenbezogene Daten werden gelöscht, sofern keine wichtigen Gründe für die Aufbewahrung (z.B. gesetzliche Vorschriften) vorliegen. Bei der Verarbeitung und dem Schutz personenbezogener Daten üben wir die gebotene Sorgfalt – durch technische Maßnahmen, aber auch durch Schulung und Verpflichtung von Mitarbeiter/innen und Verträge mit Auftragsdatenverarbeitern. Unsere unabhängige betriebliche Datenschutzbeauftragte unterstützt uns dabei. Unseren gesetzlichen Transparenzpflichten kommen wir in vollem Umfang nach.

1. Grundsätze

Diese Datenschutzordnung gilt für die NaturFreunde Deutschlands e.V., das Kinder- und Jugendwerk der Natur Freunde – Verein zur Förderung Naturfreundejugend Deutschlands e.V. (KJW) und den NaturFreunde Verlag Freizeit und Wandern GmbH (im Folgenden NaturFreunde genannt). Der Schutz personenbezogener Daten ist den NaturFreunden ein wichtiges Anliegen. Deshalb verarbeiten wir die personenbezogenen Daten unserer Mitglieder, der Besucher/innen der Webseite www.naturfreunde.de, unserer Kunden/innen, Lieferanten/innen, Mitarbeiter/innen sowie Partner/innen in Übereinstimmung mit den anwendbaren Rechtsvorschriften zum Schutz personenbezogener Daten und zur Datensicherheit. Wir erheben, verarbeiten und nutzen grundsätzlich nur so wenige Daten wie nötig. Unter keinen Umständen werden personenbezogene Daten zu Werbezwecken an Dritte vermietet oder verkauft.

In dieser Datenschutzordnung wird beschrieben, welche Arten von personenbezogenen Daten wir erheben, wie diese Daten genutzt werden, an wen sie übermittelt werden und welche Wahlmöglichkeiten und Rechte betroffene Personen im Zusammenhang mit unserer Verarbeitung der Daten haben. Außerdem beschreiben wir, mit welchen Maßnahmen wir die Sicherheit der Daten gewährleisten und wie betroffene Personen Kontakt mit uns aufnehmen können, wenn Sie Fragen zu unserer Datenschutzpraxis haben.

Diese Datenschutzordnung regelt die datenschutzkonforme Informationsverarbeitung und die insoweit bei den NaturFreunden bestehenden Verantwortlichkeiten. Alle Mitarbeiter/innen sind zur Einhaltung der Richtlinie verpflichtet.

Diese Datenschutzordnung richtet sich an

  • die Personen oder Abteilungen, die über den Einsatz/die Bereitstellung eines Anwendungssystems entscheiden (z.B. IT-Abteilung);
  • die Personen oder Abteilungen, die über die Nutzung des Systems für ihre Aufgaben entscheiden (z.B. die Fachabteilungen für Natursport, für das Häuserwerk, für Öffentlichkeitsarbeit, für die Mitgliederverwaltung und für die fachliche Arbeit an der Umsetzung der satzungsgemäßen Zwecke des Vereins);
  • die Benutzer/innen der Verbandseigenen Datenbank Natia sowie anderer informationstechnischer Systeme (z.B. zur Erstellung und Pflege der Verbandswebsite, für die Buchhaltung, etc.), die die zur Verfügung gestellten Systeme für die Erledigung ihrer betrieblichen Aufgaben nutzen,
  • die betriebliche Datenschutzbeauftragte (DSB), die ihre Umsetzung beratend und kontrollierend begleitet und die ihr speziell zugewiesene Aufgaben wahrzunehmen hat.

Dabei gelten folgende Grundsätze:

  • Die DV-Hard- und Software sind für betriebliche Aufgaben, und zwar für die jeweils vorgesehenen Zwecke, zu verwenden und gegen Verlust und Manipulation zu sichern. Eine Nutzung für private Zwecke bedarf der ausdrücklichen Genehmigung.
  • Jede/r Mitarbeiter/in ist in ihrem Verantwortungsbereich für die Umsetzung der Richtlinie verantwortlich. Die Einhaltung muss von ihm/ihr regelmäßig kontrolliert werden.
  • Die für die Verarbeitungen der eingesetzten Systeme Verantwortlichen stellen sicher, dass ihre Benutzer/innen über diese Richtlinie informiert werden; das gilt auch für temporär Beschäftigte.
  • Die Datenschutzbeauftragte berät bei der Umsetzung der Richtlinie und prüft deren Einhaltung. Insoweit sind alle Adressaten der Richtlinie der DSB auskunftspflichtig.

2. Der betriebliche Datenschutzbeauftragte

2.1    Die NaturFreunde haben nach Maßgabe des Artikels 37 DS-GVO einen betrieblichen Datenschutzbeauftragten (DSB) bestellt. Die Kontaktdaten des Datenschutzbeauftragten lauten:

Eberhard Häcker
Team Datenschutz
Sperlingweg 3
74906 Bad Rappenau
Deutschland
(07264) 96 09 81
datenschutz@naturfreunde.de
https://team-datenschutz.de

Der DSB nimmt die ihm kraft Gesetzes und aus dieser Datenschutzordnung zugewiesenen Aufgaben bei weisungsfreier Anwendung seines Fachwissens sowie seiner beruflichen Qualifikation wahr.

2.2    Der Datenschutzbeauftragte unterrichtet und berät Vorstand und Geschäftsführung sowie die Beschäftigten hinsichtlich ihrer Datenschutzpflichten. Ihm obliegt die Überwachung der Einhaltung der Datenschutzvorschriften sowie der Strategien des Verantwortlichen für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der Mitarbeiter.

Im Falle risikoreicher Datenverarbeitungen steht der DSB dem Verantwortlichen beratend bei der Abschätzung des Risikos zur Seite.

2.3    Der DSB berichtet unmittelbar dem Vorstand und der Geschäftsführung.

2.4    Der DSB wird frühzeitig in alle Datenschutzfragen eingebunden und wird sowohl von der Geschäftsführung als auch den Beschäftigten bei der Erfüllung seiner Aufgaben unterstützt.

2.5    Die Geschäftsstelle der NaturFreunde hat ein Verzeichnis über alle Verarbeitungsvorgänge zu führen. Der Geschäftsstellenleitung obliegt die Verantwortung, alle notwendigen Informationen zu den Verfahren in den fachlichen Abteilungen des Verbands zusammenzutragen und diese entsprechend den Anforderungen des Art. 30 DS-GVO zu dokumentieren. Bei Unklarheiten hinsichtlich der gesetzlich geforderten Informationen kann der Datenschutzbeauftragte beratend hinzugezogen werden. Dem Datenschutzbeauftragten ist eine Kopie des Verfahrensverzeichnisses zu übergeben.

Auf Anfrage stellen die NaturFreunde der Aufsichtsbehörde das Verzeichnis zur Verfügung. Im Einvernehmen mit der dem Vorstand ist hierfür der Datenschutzbeauftragte zuständig und arbeitet mit der Aufsichtsbehörde zusammen.

2.6    Jede/r Mitarbeiter/in kann sich unmittelbar mit Hinweisen, Anregungen oder Beschwerden an den DSB wenden, wobei auf Wunsch absolute Vertraulichkeit gewahrt wird.

2.7    Der DSB berichtet jährlich in einem Tätigkeitsbericht dem Vorstand und der Geschäftsführung über stattgefundene Prüfungen, Beanstandungen und ggf. noch zu beseitigende Organisationsmängel.

3. Beschaffung/Hard- und Software

3.1    Die Beschaffung von Hard- und Software erfolgt grundsätzlich auf Anforderung der über die Verarbeitungen entscheidenden Person/Abteilung durch die zentrale DV-Beschaffung. Bereits bei der Auswahl von Hard-und Software wird das Prinzip der Gewährleistung von Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen als ein tragendes Kriterium beachtet.

3.2    Falls mit der Beschaffung ein neues Verfahren der Verarbeitung personenbezogener Daten eingeführt werden soll, ist die Datenschutzbeauftragte rechtzeitig vorab von der anfordernden Stelle zu informieren (siehe hierzu Näheres in Ziff. 5.2). Die Beschaffung erfolgt erst nach Stellungnahme der DSB. Die DSB berät dahingehend, ob die Durchführung einer Datenschutz-Folgenabschätzung erforderlich ist.

3.3    Private Hard- und Software dürfen nicht zur Verarbeitung personenbezogener Daten Verwendung finden. Die dienstliche Nutzung privater Hard- und Software im heimischen und außerbetrieblichen Bereich (z.B. private Notebooks) bedarf der Genehmigung durch die IT-Abteilung im Einzelfall.

3.4    Die IT-Abteilung führt ein Verzeichnis der eingesetzten Hardware und der verwendeten Anwendungsprogramme. Die DSB kann auf das Verzeichnis jederzeit zugreifen.

3.5    Bei Verdacht des Diebstahls von Hard- und Software, des unbefugten Zugriffs auf personenbezogene Daten, von Sabotage etc. sind die DV-Abteilung und die DSB unverzüglich zu informieren. Näheres regelt die Verfahrensanweisung „Verhaltensmaßnahmen bei einer Datenpanne“.

4. Verpflichtung/Schulung der Mitarbeiter

4.1    Jede/r Mitarbeiter/in, die/der Umgang mit personenbezogenen Daten hat, ist zum Umgang mit personenbezogenen Daten zu schulen und auf einen vertraulichen Umgang mit personenbezogenen Daten und die Einhaltung dieser Richtlinie zu verpflichten.

4.2    Die Verpflichtung erfolgt unter Verwendung des hierzu vorgesehenen Formulars und unter Aushändigung des von der DSB erstellten Merkblatts durch die Geschäftsstellenleitung.

4.3    Mitarbeiter/innen, die besonderen Geheimhaltungsverpflichtungen (z.B. Fernmeldegeheimnis nach § 88 TKG) unterliegen, werden von den Vorgesetzen ergänzend schriftlich verpflichtet. Die jeweilige Verpflichtungserklärung ist zu den Personalakten zu nehmen.

4.4    Die DSB ist über die Verpflichtung von Mitarbeiter/innen und deren Arbeitsplatz zwecks von ihr vorzunehmenden weiteren Schulungen und die Feststellung evtl. Kontrollbedarfs zu informieren.

4.5    Für in Abstimmung mit den jeweiligen Vorgesetzten angesetzte Schulungstermine sind die betroffenen Mitarbeiter/innen freizustellen.

5. Transparenz der Datenverarbeitung

5.1    Über Verfahren, die den Umgang mit personenbezogenen Daten betreffen, führt die Datenschutzbeauftragte ein Verzeichnis von Verarbeitungen gem. Art. 30 DS-GVO. Der/die für ein Verfahren Verantwortliche meldet dieses zeitnah gemäß der vom DSB definierten Vorgaben. Gleiches gilt für Veränderungen (Change Request).

5.2    Unabhängig von dieser Meldung ist die DSB bei der Planung der Einführung neuer Verarbeitungen bzw. der Veränderung bestehender Verfahren über Zweck und Inhalt der Anwendung und die Erfüllung der Benachrichtigungspflicht zu informieren (vgl. Ziff. 6.3). Bei standardisierten Erhebungen (Fragebögen, Preisausschreiben, Eingabefelder auf der Internet-Homepage etc.) ist der Erhebungsbogen etc. der DSB zur Abstimmung vorzulegen. 5.3 Soweit die DSB feststellt, dass die beabsichtigte Verarbeitung einer Datenschutz-Folgenabschätzung unterliegt, teilt sie dies umgehend mit. Das Verfahren darf erst nach Zustimmung der DSB durchgeführt werden. Im Zweifel entscheidet die Geschäftsleitung.

5.3    Macht ein/e Betroffene/r von seinem/ihrem Auskunftsrecht nach Art. 15 DS-GVO oder seinem Korrektur- oder Widerspruchsrecht nach Art. 16 und Art. 21 DS-GVO Gebrauch, so erfolgt die zentrale Bearbeitung durch die Geschäftsstelle. Auskunfts- und Einsichtsrechte von Mitarbeiter/innen werden durch die Geschäftsstellenleitung erfüllt. Es ist sicherzustellen, dass den Betroffenen ihre Daten auf Wunsch in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung gestellt werden können. Welcher Standard diesen Anforderungen genügt, ist im Vorfeld einvernehmlich durch die DSB und die Geschäftsstellenleitung festzulegen.

6. Erhebung/Verarbeitung von personenbezogenen Daten

6.1    Die Erhebung und Verarbeitung personenbezogener Daten darf nur im Rahmen des rechtlich Zulässigen erfolgen. Hierbei sind auch die besonderen Voraussetzungen für die Erhebung und Verarbeitung sensibler Daten gemäß Art. 9 Abs. 1 DS-GVO zu beachten. Grundsätzlich dürfen nur solche Informationen verarbeitet und genutzt werden, die zur betrieblichen Aufgabenerfüllung erforderlich sind und in unmittelbarem Zusammenhang mit dem Verarbeitungszweck stehen

6.2    Es wird sichergestellt, dass Betroffene keiner Entscheidung unterworfen werden, die ausschließlich auf einer automatisierten Verarbeitung beruhen und zugleich den Betroffenen gegenüber eine rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (bspw. Profiling).

6.3    Vor Einführung neuer Arten von Erhebungen ist die die Zulässigkeit bestimmende Zweckbestimmung der Daten durch den für die Anwendung Verantwortlichen schriftlich zu dokumentieren. Grundsätzlich ist eine Zweckänderung nur dann zulässig, wenn die Verarbeitung mit denjenigen Zwecken vereinbar ist, für die die Daten ursprünglich erhoben worden sind. Die im Rahmen der Zweckänderung genutzten Abwägungs-Kriterien sind einzeln zu prüfen. Die Prüfung ist darüber hinaus auch zu einem ordnungsgemäßen Nachweis zu dokumentieren.

Eine Zweckänderung ist auch zulässig, wenn eine Einwilligung der betroffenen Person durch den Verantwortlichen eingeholt wird. Gleichzeitig hat der für die Verarbeitung Verantwortliche vor der Erhebung bzw. der Speicherung von Daten schriftlich festzulegen, ob und in welcher Art und Weise der gesetzlichen Benachrichtigungspflicht des Betroffenen zu genügen ist.

6.4    Falls andere Stellen Informationen über Betroffene anfordern, dürfen diese ohne Einwilligung des Betroffenen nur gegeben werden, wenn hierfür eine gesetzliche Verpflichtung oder ein die Weitergabe rechtfertigendes legitimes Interesse des Unternehmens besteht und die Identität des Anfragenden zweifelsfrei feststeht. Im Zweifel ist die DSB zu kontaktieren.

7. Datenhaltung/Versand/Löschung

7.1    Die Speicherung von Daten erfolgt grundsätzlich auf den hierzu zur Verfügung gestellten Netzlaufwerken. Eine Speicherung auf mobilen Datenträgern oder Cloudspeicher (z.B. Flashspeicher, Streamer-Bändern) bedarf der Genehmigung durch die IT-Abteilung und der Registrierung durch die den Träger einsetzende Abteilung/Benutzer. Bei Netzwerken ist die IT-Abteilung für die Sicherung der Daten verantwortlich, die auf dem Server gespeichert sind.

7.2    Soweit technisch bedingt ein anderer Speicherort erforderlich ist (z.B. Notebook, Desktop-PC) ist der jeweilige Benutzer für die Durchführung der Datensicherung selbst verantwortlich. Ist ein Netzzugang möglich (z.B. bei Notebook mit WLAN, Tablet), ist zumindest einmal wöchentlich der aktuelle Datenbestand auf das für den Benutzer reservierte Netzlaufwerk zu überspielen. Die gewählten Datensicherungsmaßnahmen sind in dem Verfahrensverzeichnis zu dokumentieren.

7.3    Gesetzliche Aufbewahrungsfristen und Löschungstermine sind von dem/der über die Verarbeitung der Daten Entscheidenden in seiner/ihrer Verantwortung zu beachten. Die IT-Abteilung ist über die Einhaltung der Termine insbesondere im Hinblick auf die Löschung personenbezogener Daten in Sicherungskopien zu informieren.

7.4    Bei der Weiter- oder Rückgabe nicht mehr benötigter IT-Komponenten ist der/die Benutzer/in verpflichtet, dafür zu sorgen, dass zuvor sämtliche Daten wirksam gelöscht wurden.

8. Externe Dienstleister/Auftragsverarbeitung/Wartung

8.1    Sollen externe Dienstleister erstmals mit der Verarbeitung personenbezogener Daten bzw. einzelnen Verarbeitungsschritten (z.B. Erhebung, Löschung = Entsorgung) bzw. mit Tätigkeiten (z.B. Wartung, Reparatur) beauftragt werden, bei denen sie die Möglichkeit der Kenntnis personenbezogener Daten bekommen, so ist die DSB vor der Beauftragung unter Vorlage des den Anforderungen des Art. 28 DS-GVO genügenden Vertragsentwurfs und der Kriterien der erfolgten bzw. nachfolgend vorgesehenen Auftragskontrolle zu informieren.

8.2    Entsprechendes gilt, falls die NaturFreunde entsprechende Tätigkeiten im Auftrag Dritter wahrnehmen wollen.

9. Sicherheit der Verarbeitung

9.1    Für jedes Verfahren ist eine dokumentierte Schutzbedarfsfeststellung sowie eine Analyse bzgl. der für die Betroffenen möglichen Risiken zu erstellen. Diese richten sich an der Art, dem Umfang, den Umständen und Zwecken der Verarbeitung sowie der Wahrscheinlichkeit des Eintritts einer solchen Gefahr aus.

9.2    Zur Wahrung der Verfügbarkeit, Vertraulichkeit und Integrität der Daten sowie der Belastbarkeit der Daten verarbeitenden Systeme ist ein allgemeines Sicherheitskonzept zu erstellen. Das Konzept orientiert sich an der zuvor erstellten Schutzbedarfsfeststellung und der Risikoanalyse. Dieses Konzept ist maßgeblich für alle weiteren Verfahren.

9.3    Neben dieser Datenschutzordnung bestehen ergänzende Regelungen, die insbesondere zur Realisierung der Datensicherungsgebote des Art. 32 DS-GVO zu treffende Maßnahmen betreffen. Hierzu gehören u.a.

  • Arbeitsanweisung zum datenschutzgerechten Versand von Datenträgern und zur Verschlüsselung von Daten
  • Arbeitsanweisung zum Passwortverfahren
  • Arbeitsanweisung zur Erteilung von Auskünften im Personalbereich
  • Arbeitsanweisung zur PC- und Laptop-Nutzung

Ferner ist die Verarbeitung von Personaldaten in einer Anzahl von Betriebsvereinbarungen näher festgelegt. Hierzu gehört insbesondere die Vereinbarung über die Nutzung von Telekommunikation (Telefon, E-Mail, Internet) bei den NaturFreunden Deutschlands.

10. Rechenschafts- und Dokumentationspflicht

Die Einhaltung der Vorgaben, die sich aus dieser Richtlinie ergeben, muss jederzeit nachweisbar sein („Accountability“). Eine Nachweisbarkeit hat insbesondere durch eine schlüssige und nachvollziehbare schriftliche Dokumentation hinsichtlich getroffener Maßnahmen und dazugehöriger Abwägungen zu erfolgen.

Stand 24.5.2018