5. Datenschutz im Verein

Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
5. Datenschutz im Verein
Jeder Mensch soll das Recht haben, grundsätzlich selbst über die
Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen
(Recht auf informelle Selbstbestimmung).
Abb. 1: Präsentation "Datenschutz im Verein", von Günther Sreball, Folie 3
Den bei der Datenverarbeitung beschäftigten Personen ist untersagt,
personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder
zu nutzen. Diese Personen sind bei der Aufnahme ihrer Tätigkeit auf
Seite 42 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
das Datengeheimnis zu verpflichten. Das Datengeheimnis besteht
auch nach Beendigung ihrer Tätigkeit fort.
Die Verpflichtung auf das Datengeheimnis (§ 5 BDSG) beinhaltet
-
keine unbefugte Weitergabe von Informationen an Dritte,
-
Verschwiegenheit bezüglich aller im Rahmen der Tätigkeit
zur Kenntnis gelangten Informationen und Angelegenheiten
des Unternehmens/ Vereins sowie
-
die Beachtung des Datengeheimnisses.
Verantwortung
Verantwortliche
Stelle
ist
jede
Person
oder
Stelle,
die
personenbezogene Daten für sich selbst erhebt, verarbeitet oder
nutzt oder dies durch andere im Auftrag vornehmen lässt.
Verarbeitung
Werden personenbezogene Daten beim Betroffenen erhoben, so ist
er, sofern er nicht bereits auf andere Weise Kenntnis erlangt hat,
von der verantwortlichen Stelle über
-
die Identität der verantwortlichen Stelle,
-
die Zweckbestimmungen der Erhebung,
-
Verarbeitung oder Nutzung und
Seite 43 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
-
die Kategorien von Empfängern nur, soweit der Betroffene
nach
den
Umständen
des
Einzelfalles
nicht
mit
der
Übermittlung an diese rechnen muss,
zu unterrichten.
Einwilligung
Die Einwilligung ist nur wirksam, wenn sie auf der freien
Entscheidung des Betroffenen beruht sie bedarf der Schriftform.
hervorheben im Kontext
Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist dann notwendig, wenn bei der
Datenverarbeitung
als
Mittel
für
die
Erfüllung
eigener
Geschäftszwecke entweder
-
bei
automatisierten
Verfahren
mehr
als
9
Personen
beschäftigt sind, soweit diese
-
oder bei nicht automatisiert Verfahren mindestens 20
beschäftigte Mitarbeiter mit personenbezogenen Daten in
Berührung kommen.
Der
Datenschutzbeauftragte
muss
in
erster
Linie
über
die
erforderliche Fachkunde sowie Zuverlässigkeit verfügen. Es wird
hierbei eine schriftliche Bestellung erfordert, aus der hervorgeht,
dass der Datenschutzbeauftragte dem Leiter direkt unterstellt ist,
Seite 44 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
dabei weisungsfrei ist und ihm durch seine Tätigkeit keine
Benachteiligung entsteht.
Bei Musikvereinen wird in der Regel kein Datenschutzbeauftragter
zwingend notwendig, trotzdem sollte eine Person als EDVBeauftragter gewählt oder mit vergleichbaren Aufgaben betraut
werden.
Rechtsgrundlagen für die Vereinsarbeit
Im Bereich des Datenschutzrechtes finden die §§ 1 bis 11, 27 bis
38a, 43, 42a und 44 BDSG Anwendung. Dabei ist bereits allein die
Aussage, Mitglied eines Vereins zu sein, eine Aussage zu einer
Person. Die Mitgliedschaft in einem bestimmten Verein kann bereits
von Bedeutung sein. Zu den weiteren personenbezogenen Daten
gehören z.B. Eintrittsdatum, Status der Mitgliedschaft (aktiv/passiv),
Familienstand, Mitgliedsbeitrag, Bankverbindung, Sportart, geleistete
Arbeitsstunden, Spielberechtigung, Gewichtsklassen, Kursteilnahme,
ehrenamtliche
Tätigkeiten
wie
z.B. Kassenwart,
Schriftführer,
Sonntagsdienst etc.
Der
Verein
ist
die
verantwortliche
Stelle
im
Sinne
des
§ 3 Abs. 7 BDSG. Der Vorstand - grundsätzlich der 1. Vorsitzende ist
für
die
Einhaltung
der
Vorschriften
zum
Datenschutz
Seite 45 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
verantwortlich. (Auch, wenn ein hauptamtlicher Geschäftsführer
bestellt wurde.)
Die
Datenverarbeitung
erforderlich.
Die
ist
zur
Mitgliedschaft
rechtsgeschäftlichen
Erfüllung
der
entspricht
Schuldverhältnis,
Vereinszwecke
zwar
nicht
wird
einem
aber
als
rechtsgeschäftsähnliches Schuldverhältnis eingeordnet. Bereits bei
der Erhebung sind die Zwecke für die die Daten verarbeitet oder
genutzt werden sollen, konkret festzulegen. Dazu gehört auch die
Bekanntgabe einer zukünftigen Verarbeitungsabsicht.
Vereine sind häufig zu Verbänden, Landes- und Bundesverbänden
zusammengeschlossen. Die Weitergabe von Mitgliederdaten vom
Verein an einen Kreisverband ist eine Datenübermittlung (§ 3 Abs. 4
BDSG) Ist eine solche Übermittlung nicht in der Satzung oder in der
Beitrittserklärung
ausdrücklich
enthalten,
kann
ein
Erlaubnistatbestand fehlen. Bei der Datenweitergabe sind zumindest
auch die Kategorien der Empfänger anzugeben.
Die
Herausgabe
der
Mitgliederdaten
ist
bei
persönlicher
Verbundenheit oder wenn die Pflege des persönlichen Kontakts
einen wichtigen Bestandteil darstellt (§ 28 Abs. 1 S. 1 Nr. 1 BDSG)
zulässig.
In
jedem
Falle
ist,
je
nach
Vereinszweck,
das
schutzwürdige Interesse des Betroffenen mit dem berechtigten
Seite 46 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Interesse des Vereins abzuwägen. Ansonsten bleibt die Änderung
der Satzung oder das schriftliche Einverständnis des Betroffenen als
weitere Möglichkeit.
Sponsoren
und
Unterstützung
Versicherungen
als
Mitgliederdaten.
Der
verlangen
Gegenleistung
Vereinszweck
die
häufig
für
Bekanntgabe
enthält
aber
nicht
ihre
von
die
Datenverarbeitung für andere Stellen. Der Verein sollte immer
zugunsten der Persönlichkeitsrechte seiner Mitglieder entscheiden
und nur mit Hilfe einer Einwilligung Daten seiner Mitglieder an
andere Einrichtungen weitergeben.
Ebenso ist bei Veröffentlichungen im Internet zu überlegen, welche
Daten dort der Öffentlichkeit zur Verfügung gestellt werden sollen.
Eine nachträgliche Löschung kann nicht mehr sichergestellt werden,
da nicht nachvollziehbar ist, wer Kenntnis von den Daten nimmt.
Daher muss vorher unbedingt die Einwilligung des Betroffenen
eingeholt werden.
Werbung ist in Form von Werbebriefen an Mitglieder oder an
gemietete Adressen (in Listenform § 28 Abs. 3 Nr. 3) erlaubt. Für
die Werbung per Telefon oder E-Mail
muss eine schriftliche
Einwilligung (oder ein doppeltes Opt-In-Verfahren, z.B. Anmeldung
zum Newsletter sowie Nutzung eines persönlichen Links zur
Bestätigung) vorliegen. Sofern hierbei ein Dienstleister beauftragt
Seite 47 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
wird, handelt es sich um eine Auftragsdatenverarbeitung (§ 11
BDSG), für die gesonderte Anforderungen gelten.
5.1 Datenerhebung nach Einwilligung
Dieses und das folgende Unterkapitel sollen ein Gefühl dafür
vermitteln, welche Daten von Mitgliedern erhoben werden dürfen
oder müssen und welche die Betroffenen nur freiwillig angeben
brauchen. Es kann dabei keine allgemeingültige Aussage getroffen
werden.
Die Mitgliedschaft in einem Verein ist als vertragsähnliches
Vertrauensverhältnis im Sinne des § 28 Abs. 1 Satz 1 Nr. 1 BDSG
anzusehen, dessen Rahmen und Inhalt im Wesentlichen durch die
Vereinssatzung vorgegeben wird. Mitgliederdaten dürfen demnach
im Rahmen der Vereinsmitgliedschaft erhoben, verarbeitet oder
genutzt werden. Dabei ist maßgeblich auf den in der Satzung
festgelegten
Vereinszweck
abzustellen.
Auf
Grundlage
des
Vereinszwecks dürfen nicht nur Mitgliederdaten erhoben, verarbeitet
oder genutzt werden, die für die Vereinsmitgliedschaft unbedingt
"erforderlich" sind (wie etwa vollständiger Name, Anschrift und ggf.
Bankverbindung des Mitglieds), sondern darüber hinaus auch
sonstige Mitgliederdaten, die "im Rahmen" des Vereinszwecks
liegen, d.h. die geeignet sind, diesen zu fördern. (wie etwa
Telefonnummer,
E-Mail-Adresse,
Funktion(en)
im
Verein,
Seite 48 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Geburtsdatum,
Eintrittsdatum).
Darüber
hinaus
dürfen
Mitgliederdaten, bei denen kein ausreichender Sachzusammenhang
mit dem Vereinszweck besteht dann erhoben, verarbeitet oder
genutzt
werden,
wenn
dies
zur
Wahrung
der
berechtigten
Interessen des Vereins erforderlich ist und kein Grund zu der
Annahme
besteht,
dass
der
Betroffene
ein
überwiegendes
schutzwürdiges Interesse am Ausschluss der Verarbeitung oder
Nutzung hat (§ 28 Abs. 1 Satz 1 Nr. 2 BDSG). Dabei sind die
Interessen des Vereins und die schutzwürdigen Belange des
Betroffenen pauschal gegeneinander abzuwägen. Bei (zumeist
kleineren) Vereinen, in denen sich die Mitglieder persönlich mit
einander verbunden fühlen, könnte nach einer solchen Abwägung
z.B. die Bekanntgabe von Informationen aus dem aus dem
persönlichen Lebensbereich der Mitglieder (z.B. Eheschließungen,
Geburt von Kindern oder Konfirmation/ Kommunion/ Jugendweihe,
Abschlüsse) im Verein bekannt gemacht und zelebriert werden.
Wendet sich ein Vereinsmitglied gegen die Erhebung, Verarbeitung
und Nutzung nützlicher, aber nicht notwendiger personenbezogener
Daten, dann hat deshalb die Erhebung, Verarbeitung und Nutzung
dieser personenbezogenen Daten grundsätzlich zu unterbleiben
Exkurs - Einsichtsfähigkeit: Ein Kind kann in die Erhebung,
Verarbeitung oder Nutzung seiner personenbezogenen Daten
einwilligen, wenn es in der Lage ist, die Konsequenzen zu übersehen
Seite 49 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
und sich deshalb auch verbindlich dazu zu äußern. Eine starre
Altersgrenze,
ab
der
die
Einsichtsfähigkeit
eines
Kindes
angenommen werden kann, gibt es nicht. Maßgeblich ist vielmehr
der jeweilige Verwendungszusammenhang der Daten. Ist die
Einsichtsfähigkeit eines Kindes zu verneinen, ist die Verarbeitung
personenbezogener Daten nur mit Einwilligung der gesetzlichen
Vertreter zulässig.
Werden personenbezogene Daten während des Beitritts eines
Mitglieds in den Verein erhoben, die daraufhin unter Einsatz von
Datenverarbeitungsanlagen (EDV) verarbeitet und genutzt werden
sollen, muss der Betroffene ausreichend klar über die konkreten
Zwecke der Datenverarbeitung oder -nutzung informiert werden.
(vgl. § 4 Abs. 3 BDSG) Die gängige Form dafür ist die
Datenschutzunterrichtung, welche Bestandteil der Vereinssatzung
sein kann oder dem Beitrittsantrag beigefügt wird. Der Betroffene
muss explizit in die Datenerhebung, -verarbeitung und -nutzung mit
seiner Unterschrift einwilligen (§ 4 Abs. 1 und § 4a Abs. 1 Satz 3
BDSG).
Da
diese
Einwilligung
dann
zusammen
mit
der
Beitrittserklärung erteilt wird, ist sie im äußeren Erscheinungsbild
der Erklärung besonders hervorzuheben (§ 4a Abs. 1 Satz 4 BDSG).
Nach § 126 a BGB ist die Einwilligung auch in elektronischer Form
zugelassen,
jedoch
nur
verbunden
mit
einer
qualifizierten
elektronischen Signatur.
Seite 50 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Ein Muster einer Datenschutzunterrichtung ist im Anhang zu finden.
Verfahrensverzeichnis
Nach § 4e BDSG muss jeder Verein, der personenbezogene Daten
speichert, den Umgang mit diesen Daten dokumentieren. Für diese
Dokumentation hat sich die Bezeichnung "Verfahrensverzeichnis"
eingebürgert. Es unterscheidet sich inhaltlich wenig von der
Datenschutzunterrichtung gemäß § 4 Abs. 3 BDSG. Laut Gesetz
beinhaltet das Verfahrensverzeichnis zusätzlich Regelfristen für die
Löschung der Daten sowie eine abstrakte Beschreibung ergriffener
technisch-organisatorischen Schutzmaßnahmen. Konkret beinhaltet
es folgende Angaben:
-
Vereinsname
-
gesetzliche Vertreter (Vorstandsmitglieder)
-
Vereinsanschrift (ggf. Vorstandsvorsitzender)
-
Zweck der Datenerhebung, -verarbeitung oder -nutzung
-
betroffene Personengruppen und Datenkategorien
-
Empfänger
der
Daten
(z.B.
Verbände)
und
weitere
zugriffsberechtigte Personen
-
Löschfristen
-
abstrakte
Beschreibung
ergriffener
technisch-
organisatorischen Schutzmaßnahmen
Seite 51 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Eine Form ist nicht vorgeschrieben.
5.2 Schutz von Mitgliederdaten
Die Speicherung oder Verarbeitung von Mitgliederdaten unter
Zuhilfenahme von Informations- und Telekommunikationssystemen
(IT-Systeme) birgt verschiedenen Gefahren, die direkt die Daten
und/oder das zugrunde liegende IT-System, seine Komponenten
oder seine Anwendungen betreffen. Nach dem Gesetz sind
geeignete technische und organisatorische Sicherheitsmaßnahmen
vorzusehen (§ 9 BDSG), um zu verhindern, dass die Mitgliederdaten
(absichtlich oder unabsichtlich) verfälscht werden, nicht autorisierte
Dritte hiervon Kenntnis erlangen oder auf Grund unzureichender
Datensicherung
verloren
gehen.
(Auch
Schutzziele
der
Informationssicherheit genannt.)
Sicherheitsmaßnahmen sind auch dann erforderlich, wenn die
Datenverarbeitung von Mitgliedern zu Hause mit eigener ITAusstattung erledigt wird.
Für die Feststellung geeigneter Maßnahmen billigt der Gesetzgeber
den Grundsatz der Verhältnismäßigkeit zu (§ 9 Satz 2 BDSG). Die
Abwägung erfolgt anhand des Schutzbedarfes (abgeleitet aus
§ 1 Abs. 1 BDSG) und dem Aufwand des Schutzes.
Seite 52 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Der konkrete Schutzbedarf wird maßgeblich beeinflusst durch:
-
den Charakter der Daten (d.h. dessen Sensibilität),
-
den Grad der Gefährdung der Daten und
-
die zugriffsberechtigten Personen.
Anhand
ihrer
Persönlichkeitsrelevanz
(Sensibilität)
gehören
personenbezogenen Daten entweder zur
-
Sozialsphäre (z.B. Berufsstand),
-
Privatsphäre (z.B. Geburtsdatum) oder
-
Intimsphäre (z.B. Religionszugehörigkeit) des Betroffenen.
Die Daten aus der Intimsphäre sind besonders sensibel und dem
höchsten Gefährdungsgrad zugeordnet. Für viele Musikvereine wird
die Erhebung solcher Daten allerdings nicht notwendig und sollte
gut überlegt sein, da dies einen sehr hohen Schutzbedarf begründen
würde und die Schutzmaßnahmen entsprechend stark sein müssten.
Der
Vereinsvorstand
darf
die
Mitgliederdaten
automatisiert
verarbeiten, um den Vereinszweck zu erfüllen. Betraut dieser (unter
Voraussetzung der Zulässigkeit nach § 4 Absatz 1 BDSG) weitere
Personen
mit
der
Datenverarbeitung
(z.B.
Organisation
von
Vereinsfahrten), dürfen nur die Daten verarbeitet werden, die zur
Erfüllung des Verwendungszweckes unbedingt notwendig sind (§ 3a
BDSG). Ein höherer Schutzbedarf rechtfertigt sich auch dann, je
Seite 53 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
mehr Personen eine Zugriffsberechtigung auf die Daten haben und
ob diese selbst Mitglied des Vereins sind.
Die Einschätzung des konkreten Schutzbedarfes der jeweiligen
Daten hängt sehr von dem Vereinszweck und der Struktur des
Vereins aber auch vom Einzelfall der Datenverarbeitung ab. Der
konkrete
Schutzaufwand
wird
bei
der
Abwägung
der
Verhältnismäßigkeit einer geeigneten Sicherungsmaßnahme auch
berücksichtigt. Dieser wird u.a. beeinflusst durch:
-
den Bekanntheitsgrad der Gefährdung,
-
die Verfügbarkeit technischer Schutzmechanismen,
-
die Zumutbarkeit des Einsatzes und
-
die
wirtschaftliche
Zumutbarkeit
(nur
die
zusätzlichen
Kosten)
Diese Einflussfaktoren können objektiver betrachtet werden, da
diese weniger vom Verein selbst abhängig sind als mehr von der
technischen Entwicklung und Verbreitung. Im Folgenden werden
einige Maßnahmen zum Schutz von elektronisch gespeicherten oder
übermittelten Mitgliederdaten vorgestellt, die in den meisten Fällen
mit geringem Aufwand umgesetzt und so als geeignet angenommen
werden können.
Seite 54 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Bitte beachten Sie, dass es sich hierbei um Empfehlungen handelt,
die
weder
Garantie
für
ausreichenden
Schutz
bietet
noch
abschließend sein kann. Es soll vor allem eine Sensibilisierung
bezüglich dieser Thematik erreicht werden und ein Bewusstsein
dafür geschaffen werden, dass IT-Sicherheit kein Selbstzweck ist,
sondern bei unzureichender Handhabung zu Vertrauensverlust und
Regressforderungen führen kann.
Datenspeicherung und/oder -verarbeitung
Computersysteme,
deren
Komponenten
oder
installierten
Anwendungen sind drei typischen Gefahrenklassen ausgesetzt,
welche die Nutzbarkeit, Integrität oder Vertraulichkeit der damit
gespeicherten oder verarbeiteten Daten beeinträchtigen können:
-
technische Störungen,
-
fehlerhafte Bedienungen oder
-
böswillige Angriffe
Damit die Daten dann verfügbar sind, wenn sie gebraucht werden,
dürfen sie nicht verloren gehen oder unbrauchbar werden. Ein
Defekt des Festplattenlaufwerks ist unter normalen Bedingungen
unausweichlich und tritt durchschnittlich nach sechs Jahren ein. Der
größten
Gefahr
sind
Daten
jedoch
durch
menschliche
Fehlbedienungen ausgesetzt, wie etwa dem versehentlichen (und
vielleicht auch unbemerkten) Löschen oder Verändern.
Seite 55 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Die Maßnahme zur Sicherstellung der Nutzbarkeit von Dateien ist die
Datensicherung (engl.: Backup). Dieser Vorgang soll gewährleisten,
dass durch einen redundanten Datenbestand die Datenverarbeitung
kurzfristig
wiederaufgenommen
werden
kann,
wenn
der
Originaldatenbestand verloren geht.
Werden Mitgliederdaten auf einem Computersystem gespeichert,
liegen diese meist in Form von Dateien auf dem Festplattenlaufwerk.
Dabei ist es nicht entscheidend, ob diese Dateien bewusst
eigenhändig angelegt wurden (z.B. eine Excel-Datei) oder eine
spezielle Software zur Vereinsverwaltung dies getan hat (z.B. eine
Datenbankdatei).
Können die Dateien durch eine weit verbreitete Anwendung (z.B.
Microsoft Office) oder durch eine in vielen Betriebssystemen bereits
integrierte Anwendung (z.B. LibreOffice in Linux Distributionen)
weiter verarbeitet werden, genügt es, diese auf einen redundante
Datenspeicher zu kopieren. Dabei müssen organisatorische oder
technische/automatisierte Maßnahmen ergriffen werden, damit die
Kopien stets aktuell sind. Als redundanter Datenspeicher kann z.B.
ein externes Festplattenlaufwerk eingesetzt werden. Eine spezielle
Software (z.B. „Allway Sync“, „TrayBackup“) bietet Funktionen zur
Optimierung und Automatisierung des Sicherungsvorganges (z.B.
Seite 56 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
nur geänderte Dateien zu kopieren). Sobald der Sicherungsvorgang
abgeschlossen ist, kann die externe Festplatte ausgeschaltet und
sicher abgelegt werden. Ein USB-Stick erfüllt diese Aufgabe ebenso
gut. Die regelmäßige Durchführung muss bei dieser Lösung selbst
organisiert werden (Wer?, Was?, Wann?).
Ist eine Vereinsverwaltungssoftware in Verwendung, sollte geprüft
werden, ob diese einen Export der Datenbestände erlaubt. Falls ja,
sollte dieser regelmäßig durchgeführt und die erzeugten Dateien
gesichert werden. Können diese Dateien nur in Verwendung mit der
zugehörigen
Software
verarbeitet
werden,
sollte
auch
eine
Sicherungskopie der Programminstallationsroutine und (falls nötig)
des Lizenzschlüssels erfolgen.
Der redundante Datenspeicher sollte regelmäßig dahingehend
überprüft
werden,
ob
die
erzeugten
Datensicherungen
zur
Wiederherstellung verlorener Daten auch genutzt werden können. Er
sollte nicht regulärer Bestandteil des Computersystems sein, auf
dem sich auch der Originaldatenbestand befindet, da dieser
andernfalls auch von dessen Gefahren (z.B. Virenbefall, technische
Störung, versehentliches Löschen) bedroht sein kann. Im besten Fall
werden
räumlich
Originaldatenspeicher
getrennt
physikalischen
und
aufbewahrt,
Risiken
(z.B.
wo
redundanter
sie
nicht
Kurzschluss,
Datenspeicher
den
gleichen
Wassereinbruch)
Seite 57 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
ausgeliefert sind. Der Aufbewahrungsort muss die klimatischen
Bedingungen für eine längerfristige Aufbewahrung gewährleisten.
Zum Schutz vor nichtautorisiertem Zugriff auf den redundanten
Datenbestand müssen zusätzliche Vorkehrungen getroffen werden,
etwa die Lagerung in einem abschließbaren Schrank oder der
Verschlüsselung der Daten. Ein ausreichend schneller Zugriff auf den
redundanten Datenspeicher muss jedoch im Bedarfsfall garantiert
sein.
Vertraulichkeit durch Datenverschlüsselung
Um zu verhindern, dass nichtautorisierte Personen vertrauliche
Daten einsehen oder verändern können, wird auch der Einsatz von
kryptographischer
Verschlüsselungsmethoden
empfohlen.
Dabei
werden die Informationen so verändert, dass ein Verlust der
Vertraulichkeit zum einen durch Angriffe und zum anderen durch
Nachlässigkeit (etwa der Verlust eines Speichersticks) verhindert
wird. Grundsätzlich sind diejenigen Personen autorisiert, die im
Vorstand des Vereins tätig sind bzw. die Erhebung, Verarbeitung
oder Nutzung von Mitgliederdaten in dessen Auftrag vornehmen. Auf
einem gemeinsam genutzten Computersystem können so Daten für
die Mitbenutzer unlesbar gemacht werden oder für Personen, die
sich
unberechtigt
Zugang
zum
Computersystem
oder
zum
Speichermedium verschaffen konnten, eine zusätzliche Hürde
geschaffen werden.
Seite 58 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Basis
eines
modernen
Verschlüsselungsverfahrens
sind
schlüsselbasierte Ver- und Entschlüsselungsverfahren: Wer den
Schlüssel bzw. das Passwort kennt, kann auf die Daten zugreifen.
Wie sich geeignete Passwörter zusammen setzen, beschreibt das
Bundesamt
für
Sicherheit
in
der
Informationstechnik
(BSI).
Gleichzeitig müssen Schlüssel und Passwörter sicher verwahrt
werden. Ein verlorener oder (vorübergehend) nicht zugänglicher
Schlüssel kann die geschützten Daten unbrauchbar machen. Eine
Sicherheitskopie des Schlüssels sollte auf einem Datenträger
angefertigt werden, der möglichst räumlich getrennt vom Original
unter Verschluss gehalten wird. So wird gewährleistet, dass trotz
des Verlustes eines Schlüssels oder Passwortes noch auf die Daten
zugegriffen werden kann. Auch das plötzliche Ausscheiden oder
zeitweise Krankheit des Mitgliedes, das Daten verschlüsselt hat,
sollte in Betracht gezogen werden.
Bei
der
Wahl
eines
Verschlüsselungssoftware
Verschlüsselungsverfahrens
spielt
Vertrauen
eine
oder
einer
große
Rolle.
Schließlich muss man sich im Klaren darüber sein, dass für kein
heute in der Praxis eingesetztes Verschlüsselungsverfahren oder
dessen korrekte Implementierung eine absolute Sicherheitsgarantie
gibt. Aufgrund des ständigen Fortschritts in der Computertechnik,
Durchbrüche
in
der
Lösung
grundlegender
mathematischer
Seite 59 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Probleme oder Fortschritte in der Kryptoanalyse können die
eingesetzten Verschlüsselungsverfahren im Laufe der Zeit schwach
werden.
Besonders bei Laptops und mobilen Datenspeichern ist es aber
wichtig, die fehlende physikalische Zugangs- und Zutrittskontrolle
auszugleichen, so dass darauf gespeicherte sensible Daten vor dem
unbefugten Zugriff geschützt werden können. Der Verlust oder
Diebstahl eines Speichersticks darf nicht zu einem Verlust der
Vertraulichkeit dieser Daten führen. Die Verschlüsselung einzelner
Dateien kann auch auf dem Computersystem eine sinnvolle Lösung
sein.
Absicherung des Computersystems
Schadprogramme sind Programme, die ohne Einwilligung und
Wissen des Benutzers auf dessen Computersystem schädliche
Funktionen ausführen. Meist sind sie dabei getarnt und werden
heimlich ausgeführt. Unter Schadprogrammen werden neben den
klassischen Computer-Viren auch Trojanische Pferde, ComputerWürmer und weitere Schaden verursachende Software verstanden.
Eine Infizierung mit Schadsoftware geschieht häufig durch die
Nutzung des Internets (z.B. der Besuch einer manipulierten
Internetseite oder dem Öffnen eines unbekannten E-Mail-Anhangs)
oder dem Anschluss externer Geräte (z.B. USB-Speichersticks, MP3-
Seite 60 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Player oder Mobiltelefonen). Einmal von bzw. mit ihnen infiziert
können die Programme etwa Passwörter ausspionieren, Dateien
löschen
oder
manipulieren,
andere
Sicherheitsmechanismen
aushebeln oder den Benutzer aus dem System aussperren. Sie
gefährden alle Schutzziele der Informationssicherheit und stellen so
eine besonders hohe Gefahr dar.
Damit dem Eindringen von Schadprogrammen vorbeugt werden
kann bzw. eine Infizierung so früh wie möglich erkannt und behoben
werden kann, sollten Schutzprogramme installiert, eingesetzt (d.h.
regelmäßige Suchdurchläufe) und ständig aktualisiert werden. Hilfe
bei der Auswahl des passenden Schutzprogramms (es gibt sowohl
kostenlose
als
auch
kostenpflichtige
Programme)
können
entsprechende Artikel in Fachzeitschriften bieten.
Häufig werden auch Fehler in Software-Produkten bekannt, die dazu
führen
können,
dass
die
Sicherheit
oder
Stabilität
der
Computersysteme, auf denen diese installiert sind, beeinträchtigt
wird. Diese Schwachstellen müssen so schnell wie möglich behoben
werden. Die Hersteller von Betriebssystemen oder SoftwareProdukten veröffentlichen in der Regel sogenannte Patches oder
Updates, die auf dem jeweiligen Computersystem installiert werden
müssen,
um
die
Fehler
zu
beheben.
Jedoch
nicht
alle
Aktualisierungen verbessern die Sicherheit oder Stabilität des
Seite 61 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Computersystems. Manche erweitern den Funktionsumfang und
könnten so (weitere) Fehler in die Software einbringen. Dennoch
wird empfohlen, automatische Updatefunktionen zu aktivieren,
sofern diese vorhanden sind.
Eine Personal Firewall ist eine auf dem Computersystem installierte
Software, welche den Datenverkehr zwischen dem angeschlossenen
Netzwerk und dem Computersystem kontrolliert. Sie kann dazu
eingesetzt werden, eine fein abgestufte Zugriffskontrolle für einzelne
Dienste zu realisieren und unerwünschten eingehenden oder
ausgehenden Datenverkehr zu verhindern. So können auch Angriffe
automatisch
abgewehrt
werden,
die
die
Nutzbarkeit
des
Computersystems gefährden könnten. Viele Router haben bereits
diesen Sicherheitsmechanismus integriert und schützen so das
eigene Netzwerk. Eine zusätzliche Firewall auf dem Computersystem
kann die Sicherheit steigern, weil sie den Benutzer alarmiert, wenn
ein Schadprogramm versucht Daten ins Internet zu übertragen. Der
Einsatz einer Personal Firewall bietet sich daher insbesondere bei
einem Internetzugang an.
Mit
Administratorrechten
können
Schadprogramme
größeren
Schaden anrichten. Sicherer wird ein Computersystem daher dann,
wenn für alle Nutzer unterschiedliche Benutzerkonten mit nur genau
den Berechtigungen, die der jeweilige Nutzer für seine Arbeit
Seite 62 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
braucht, eingerichtet sind. Außerdem muss sichergestellt werden,
dass nur autorisierte Personen das Computersystem benutzen und
auf die darauf befindlichen Daten zugreifen können.
Datenspeicherung in der „cloud“
Werden IT-Systeme nicht mehr selbst betrieben, sondern bei einem
Anbieter als Dienst gemietet (z.B. Serverplatz bei ComMusic), der
meist geografisch fern angesiedelt ist, befinden sich die darauf
gespeicherten Daten in der (metaphorischen) Wolke (engl.: cloud).
Der Zugriff auf die entfernten Systeme erfolgt über das Internet,
also ortsungebunden von dem eigenen Computersystem. Die
Anbieter verarbeiten die Daten auf oft weltweit verteilten Servern
bzw. Serverfarmen. Cloud-Dienste (z.B. Dropbox, Wuala, Trend
Micro Safesync) sind zurzeit nur schwer mit den Vorgaben des
deutschen Datenschutzes vereinbar, da die verantwortliche Stelle
(also
der
Vereinsvorstand)
seiner
datenschutzrechtlichen
Verantwortung durch diese Form der Auslagerung außerhalb seines
Einflussbereiches
nicht
mehr
gerecht
werden
kann.
Eine
rechtskonforme Nutzung von Cloud-Diensten ist nach allgemeiner
Auffassung generell unzulässig, wenn außerhalb der Europäischen
Union personenbezogene Daten verarbeitet werden. Dies ist in 90%
der Fälle der Fall. In vielen diesen Staaten könnten nationale
Sicherheits- und Strafverfolgungsbehörden, Geheimdienste oder
Finanzbehörden legal auf die Daten zugreifen. Aber auch bei
Seite 63 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
innereuropäischen Angeboten werden die organisatorischen und
technischen Sicherheitsmaßnahmen nicht hinreichend transparent
gemacht. Hier besteht jedoch in Zukunft das Potenzial, dass CloudComputing
durch
technische
und
juristische
Lösungen
datenschutzkonform wird.
kryptographisch geschützte E-Mail-Kommunikation
Im World Wide Web kommunizieren das eigene Computersystem
und die entsprechenden Gegenstellen miteinander. Von jedem, der
Zugang auf die dazwischenliegenden Netzwerke hat, kann diese
Kommunikation
mitgelesen
oder
sogar
unbemerkt
verändert
werden, wenn sie nicht kryptographisch gesichert ist (Ähnlich wie
der Postbote eine Postkarte lesen kann). Bei der Übertragung
können
sehr
viele
IT-Systeme
beteiligt
sein.
Der
genaue
Übertragungsweg kann nicht vorhergesagt werden, da er von der
Auslastung der einzelnen Teilnetze abhängt.
Der Transport-Layer-Security - Standard (TLS) wurde verabschiedet,
um Daten nahezu unbemerkt abhörsicher zwischen IT-Systemen zu
übertragen. TLS hat sich als Sicherheitsstandard im Internet
durchgesetzt
und
ist
besser
bekannt
unter
der
Vorgängerbezeichnung Secure Sockets Layer (SSL).
Seite 64 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Das E-Mail-Programm selbst ist eine lokal-installierte Software, mit
dem E-Mails empfangen, gelesen, geschrieben und versendet
werden können. POP3, SMTP und IMAP sind dabei die StandardÜbertragungsprotokolle, um mit den entfernten Mailservern zu
kommunizieren. Damit diese nicht unverschlüsselt abläuft, lässt sich
jedes dieser Protokolle mit TLS kombinieren. Dazu sind meist nur
kleine Anpassungen in den Konteneinstellungen des Programms
notwendig, da fast alle aktuellen Mailserver-Systeme den Standard
implementiert haben. Es ist dringend zu empfehlen, TLS im E-MailProgramm zuzuschalten, wenn die Gegenstelle dies zur sicheren
Übertragung anbietet. Ohne weiteres Zutun kann nach diesem
Konfigurationsschritt ein großer Sicherheitsgewinn erzielt werden.
Unabhängig davon verschlüsselt TLS lediglich den Transport
zwischen zwei IT-Systemen, was es Angreifern während der
Übertragung
erschwert,
dessen
Inhalt
abzuhören
oder
zu
manipulieren. Eine E-Mail wird an den Mailserver des Providers
übergeben, der mit der Weiterleitung bis hin zu Zustellung in das
Postfach des Empfängers beauftragt wird. Aber auch TLS kann nicht
verhindern, dass der Betreiber des Mailservers den Inhalt einer EMail
einsehen
kann.
Nutzungsbedingungen
Google
Mail
beispielsweise
räumt
explizit
sich
das
in
den
Recht
ein,
sämtliche E-Mails automatisiert zu durchsuchen. So verliert der
Seite 65 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Absender
einer
E-Mail
die
Kontrolle
über
gesendete
personenbezogene Daten.
Ein weiteres Problem ist, dass in der Praxis E-Mail-Programme
häufig so konfiguriert werden, dass jede Person mit Zugang zum
Computersystem auch ohne weitere Authentifizierung auf die EMails im E-Mail-Programm zugreifen kann. Bei gemeinsam genutzten
Computersystemen im privaten Umfeld ohne unterschiedliche
Benutzerkonten kann das zum Verlust der Vertraulichkeit etwa von
per E-Mail übermittelten Mitgliederdaten werden.
Die Übertragung von sensiblen Daten per E-Mail sollte zusätzlich
kryptographisch geschützt sein, damit auch wirklich nur die
berechtigten Personen dessen Inhalt verarbeiten und nutzen
können. Die Expertenlösungen für sichere E-Mail-Kryptographie sind
PGP oder S/MIME. Sie setzen von den Beteiligten Fachwissen und im
Vorfeld ausgetauschte Schlüssel bzw. Zertifikate voraus. Durch die
Inkompatibilität der Verfahren müssen sich Sender und Empfänger
über einen Standard einigen. Wirklich praktikabel sind diese derzeit
in den wenigsten Fällen, weshalb diese nicht weiter erläutert werden
sollen.
Eine einfache, benutzerfreundliche Variante, um über die Mailserver
eines Providers zuzugreifen, ist der sogenannte Webmail-Dienst.
Seite 66 von 103
Datenschutz und Urheberrecht
Zusammenfassung der Ergebnisse vom 10. November 2012
Kapitel 5. Datenschutz im Verein
Dazu gehören etwa die Angebote von Web.de, GoogleMail oder
GMX.de. Diese webbasierten Dienste erlauben den Zugriff auf das
digitale Postfach unabhängig vom Ort und Provider und bedingen
zur Benutzung nur einen Browser.
Es sollte möglich sein, über eine verschlüsselte Verbindung
(TLS/SSL) auf das Benutzerkonto zuzugreifen, da andernfalls
Zugangsdaten und vertrauliche E-Mail-Kommunikation abgehört
werden
können.
verschlüsselte
In
Webmail-Diensten
Verbindung
daran,
dass
erkennen
die
Sie
Adresse
eine
im
Browserfenster mit "https" beginnt.
Passwortschutz:
Generell gelten für Passwörter die allgemeinen Empfehlungen des
BSI, also lang genug (mindestens 8 Zeichen) und kompliziert genug
(Zahlen, Buchstaben und Sonderzeichen). Für jede Passwortsperre
sollte ein verschiedenes Passwort verwendet werden. Das Passwort
selbst sollte regelmäßig gewechselt werden. Es darf nicht auf dem
Computersystem abgespeichert oder in dessen unmittelbarer Nähe
aufbewahrt werden.
Seite 67 von 103