Personenbezogene Daten müssen auf Basis von nur einer der sechs in der DSGVO vorgesehenen Rechtsgrundlagen verarbeitet werden: die Einwilligung, die Erfüllung eines Vertrags, eine rechtliche Verpflichtung, die Bewahrung lebenswichtiger Interessen, eine Aufgabe die im öffentlichen Interesse liegt oder das berechtigte Interesse.
Gesetzestexte können in speziellen Bereichen Datenverarbeitungen durch einen Verein vorschreiben, die seine Aktivitäten beeinflussen können (Arbeitsgesetzbuch, das abgeänderte Gesetz vom 21. April 1928 über Vereine und Stiftungen ohne Erwerbszwecke, Vorschriften im Steuer - und Sozialbereich, im Rahmen der Dopingbekämpfung, usw.). Der Anti-Dopingkodex der nationalen Anti-Doping-Agentur, der die Regeln und Prinzipien des internationalen Anti-Dopingkodexes umsetzt, sieht zum Beispiel vor, dass genannte Agentur nach einer Anti-Doping-Untersuchung verschiedene Daten publizieren muss. Hierbei handelt es sich unter anderem um den Namen des Sportlers oder einer dritten Person, die einen Verstoß begangen hat.
Generell kommen aber nur drei Grundlagen in Frage, um die Verarbeitungen durch einen Verein zu legitimieren:
1. Die Einwilligung der betroffenen Person
Vorsicht: Die Einwilligung muss auf der freien Entscheidung der Person beruhen und diese muss zuvor über die auf Seite 11 aufgeführten Informationen verfügen. Bei verschiedenen anzukreuzenden Kästchen muss die Person die Möglichkeit haben, einer Verarbeitung zuzustimmen (z.B.: Erhalt der Newsletter) und eine andere abzulehnen (z.B.: Weitergabe der Daten zu Marketingzwecken). Bereits angekreuzte Kästchen sind verboten.
Untenstehend finden Sie einige Beispiele, bei denen die Zustimmung der betroffenen Personen als notwendig und angemessen anzusehen ist:
- Veröffentlichung auf einer Internetseite der privaten Kontaktdaten der Mitglieder des Vorstandes;
- Veröffentlichung in einem Informationsblatt der Geburtsdaten der Neugeborenen der Mitglieder, sowie ihre Hochzeitsdaten;
- Eintragung in eine Newsletter-Liste;
- Übermittlung der Kontaktdaten der Lizenzinhaber eines Sportvereins an ein Kleidergeschäft;
- Übermittlung der Kontaktdaten der in einer Selbsthilfegruppe eingeschriebenen Personen an einen anderen Verein;
- Veröffentlichung der Namen der externen Sponsoren (physische Personen) eines Vereins, sowie des Betrages der Spende;
- Einrichtung einer „What’s App“ Gruppe durch einen Trainer, um mit den Spielern und ihren Eltern in Kontakt zu bleiben, vorausgesetzt er bietet eine Alternative im Falle einer Weigerung an.
Aufgepasst: Bei Minderjährigen ist die Zustimmung der gesetzlichen Vertreter erforderlich. Hat ein Minderjähriger ein urteilsfähiges Alter erreicht („âge de raison“), das sich nach der aktuellen Rechtsprechung zwischen 12 und 14 Jahren befindet, so müssen sowohl das Kind, als auch die Eltern ihre Zustimmung geben, damit der Wille des Kindes berücksichtigt wird.
Die Einwilligung muss nicht in Schriftform erfolgen, sondern kann auch aus einer sonstigen eindeutigen bestätigenden Handlung hervorgehen, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
Durch die Zahlung der Beiträge für eine Mitgliedskarte stimmt eine Person zum Beispiel zu, auf der Mitgliedsliste des betroffenen Vereins zu stehen und jedes Jahr eine Anfrage zur Erneuerung seiner Mitgliedschaft zu erhalten. Nichtdestotrotz wird aus Beweismittelzwecken (gegenüber Ihren Mitgliedern und im Falle einer Untersuchung durch die CNPD) empfohlen zu dokumentieren, auf welche Art und Weise die Einwilligung erfolgt ist. Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person stellen aber keine Einwilligung dar.
2. Erfüllung eines Vertrags
Die Verarbeitung ist erforderlich für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist. Um zum Beispiel den Arbeitsvertrag eines Arbeitnehmers zu erfüllen, muss der Arbeitgeber verschiedene Daten erfassen. Prinzipiell handelt es sich hierbei um Namen, Vornamen, Adresse, Geburtsdatum, Sozialversicherungsnummer und Kontonummer. In diesem Fall ist die Einwilligung des Arbeitnehmers nicht die treffende Rechtgrundlage für die Verarbeitung.
Hinzu kommt, dass die Zugehörigkeit zu einem Verein in verschiedenen Fällen und abhängig von der Vereinssatzung, sowie den Vereinsaktivitäten (die angebotenen Dienstleitungen) als Vertragsverhältnis zwischen den Mitgliedern und dem Verein anzusehen ist. Die Verarbeitung der personenbezogenen Daten der Mitglieder darf aber nicht über das hinausgehen, was notwendig ist um diesen Vertrag zu erfüllen (prinzipiell nur den Namen, Vornamen, Adresse, Geburtsdatum und Kontonummer).
3. Berechtigten Interessen
Die Verarbeitung ist zur Wahrung der berechtigten Interessen des Vereins erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Nachfolgend einige Beispiele:
- Veröffentlich auf der Internetseite eines Sportsvereines einer Liste mit den Namen, Vornamen und Geburtsjahren der Spieler;
- Versand einer Liste mit den Namen der Spender und die Höhe ihrer jeweiligen Beiträge an die Hinterbliebenen einer verstorbenen Person;
- Veröffentlichung auf der Internetseite der Namen, Vornamen und professionellen E-Mail-Adressen der Mitglieder des Vorstandes;
- Vorübergehende Veröffentlichung der Namen, Vornamen und Geburtsjahren der Spieler, die für einen Wettkampf selektioniert worden sind, sowie die Resultate;
- Übermittlung der Daten der Spieler an den Veranstalter eines Turniers;
- Übermittlung der Daten der Spieler an einen Sportsverband um eine Lizenz zu erhalten.
Aufgepasst! Die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person, sowie der Grundsatz der Datenminimierung sind zu beachten. Erheben und verarbeiten Sie nur Daten, die auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind. Zum Beispiel: Sofern Sie nicht über die Zustimmung der Personen verfügen, würde die Veröffentlichung auf der Internetseite eines Sportsvereins des genauen Geburtsdatums und der Nationalität der Spieler, sowie der Privatadressen der Mitglieder des Vorstandes das notwendige Maß überschreiten und einen Eingriff in die Privatsphäre der betroffenen Personen darstellen.
Aufgepasst! Ein Verein darf Daten nicht in einer mit den ursprünglichen Zwecken nicht zu vereinbarenden Weise weiterverarbeiten. So dürfen Daten der Mitglieder nicht an ein Kleidergeschäft übermittelt werden, damit dieses ihnen Werbung zukommen lassen kann, außer die Mitglieder haben dieser Weiterverarbeitung zugestimmt.
Verarbeitung besonderer Kategorien von personenbezogenen Daten („sensible Daten“)
Eine erhöhte Wachsamkeit ist notwendig bei der Verarbeitung von sensiblen Daten (z.B. die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung). Grundsätzlich ist die Verarbeitung sensibler Daten untersagt, außer eine der zehn in der DSGVO vorgesehenen Bedingungen ist erfüllt, wie zum Beispiel:
- die ausdrückliche Einwilligung der betroffenen Personen;
- eine arbeitsrechtliche Verpflichtung;
- die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden;
- offensichtlich öffentlich gemachte Daten;
- …
Das Recht am eigenen Bild
Das Recht am eigenen Bild bedeutet, dass jede Person das Exklusivrecht an seinem eigenen Bild und seiner Nutzung besitzt und sich einer nicht autorisierten Verbreitung widersetzen kann. Auch wenn es in Luxemburg keinen speziellen Gesetzestext über das Recht am eigenen Bild gibt, so hat die Rechtsprechung dies jedoch klar vorgesehen. In der Tat basieren sich die meisten Gerichtsentscheidungen auf Artikel 1 des Gesetzes vom 11. August 1982 über den Schutz des Privatlebens, welcher vorsieht, dass jeder das Recht auf Achtung seines Privatlebens hat (« chacun a droit au respect de sa vie privée ».).
Prinzipiell kann ein Foto nur aufgenommen und veröffentlicht werden, wenn die betroffene Person seine vorherige Zustimmung dafür erteilt hat. Für die Aufnahme und Veröffentlichung von Fotos von Minderjährigen ist die Zustimmung der gesetzlichen Vertreter erforderlich und hat der Minderjährige ein urteilsfähiges Alter erreicht, so muss auch er seine Zustimmung geben. Die CNPD empfiehlt Vereinen, die im Zuge ihrer Aktivitäten Fotos von Minderjährigen aufnehmen und publizieren, den gesetzlichen Vertreter jährlich eine Einwilligungserklärung vorzulegen und gegebenenfalls auch den Minderjährigen. Diese Erklärung sollte klar definieren, für welche Zwecke Fotos aufgenommen und wie sie veröffentlicht werden können (Internet, Intranet, Zeitschrift eines Vereins, soziale Medien, usw.). Die Möglichkeit muss bestehen, die Veröffentlichung mittels bestimmter Medien zu akzeptieren oder abzulehnen.
Die Einwilligung zur Aufnahme eines Fotos kann auch durch eine eindeutige bestätigende Handlung erfolgen, zum Beispiel in dem man auf einer Jahresabschlussfeier eines Vereins für ein Foto posiert, das von einem Mitglied des Vereins aufgenommen wird. Nimmt ein Mitglied an einer Informationsveranstaltung über ein bestimmtes Thema teil und wird durch ein Schild an der Eingangstür darauf hingewiesen, dass Fotos aufgenommen und auf der Internetseite des Vereins veröffentlicht werden, so hat dieses Mitglied durch seine Teilnahme an der Veranstaltung seine Zustimmung erteilt. Es ist aber wichtig zu erwähnen, dass eine Person das Recht hat seine Einwilligung jederzeit zu widerrufen indem sie den Fotografen bittet, seine Fotos auf dem Fotoapparat zu löschen oder sie von einer bestimmten Internetseite zu entfernen im Falle einer Publikation.
Wie beinahe jedes Recht kennt das Recht am eigenen Bild auch Ausnahmen, zum Beispiel, wenn das Recht der freien Meinungsäußerung überwiegt, welches die Redefreiheit sowie die Freiheit Informationen zu empfangen und weiterzugeben beinhaltet (zum Beispiel die Darstellung einer bestimmten Vereinsaktivität auf seiner Internetseite oder die Veröffentlichung eines Presseartikels über eine Veranstaltung eines Vereins). Organisiert ein Verein eine öffentliche Veranstaltung, so können Fotos aufgenommen und über verschiedene Medien veröffentlicht werden, ohne Zustimmung der betroffenen Personen. Sollte jemand sich der Veröffentlichung widersetzen, so sollte der Verein versuchen, diese Widersetzung zu respektieren in dem er zum Beispiel ein individuelles Foto entfernt oder die betroffene Person unkenntlich macht.
In jedem Fall muss das Recht auf Information der betroffenen Personen respektiert werden, wie nachfolgend beschrieben.
Sie können in diesem Kontext unseren speziellen Leitfaden betreffend das Recht am eigenen Bild auf unserer Internetseite konsultieren.