DSGVO (GDPR) für Timer

Disclaimer

Bei allen Aussagen ist zu beachten, dass diese ohne Gewähr nach bestem Gewissen getroffen werden. Dennoch wird kein Anspruch auf Vollständigkeit erhoben, die Formulierungen sind so gewählt, dass ein realistisches Verständnis zustande kommt, aber nicht zwingend jeder noch so seltene juristische Winkel ausgeleuchtet wird. Für rechtssichere Aussagen und entsprechende Haftung ist grundsätzlich ein Anwalt zu konsultieren, einzig dieser darf auch eine konkrete Rechtsberatung durchführen.

Dieses Dokument bezieht sich auf die in Deutschland vertretene Interpretation, inklusive besonderer Bestimmungen des BDSG-Neu. Die Auslegung sollte in der EU, sofern ausschließlich die DSGVO betroffen ist, identisch sein. 

Und schließlich: DON’T PANIC
Im Anwendungsbereich der DSGVO werden mit schöner Regelmäßigkeit Horror-Szenarien an die Wand gemalt, angebliche Verbote durchs Dorf getrieben und absurde Verfahren als zwingend dargestellt. 
Andererseits ist von mit der Materie vertrauten Personen bis hin zu Aufsichtsbehörden die Meinung  zu hören, dass mit einer Überlegung und Dokumentation, welche Daten warum und auf welcher Rechtsgrundlage verarbeitet werden, und wie diese geschützt werden, sowie entsprechenden Verträge, die mit allen Beteiligten abgeschlossen worden sind, man schon zu 95% sicher ist. Es geht den Aufsichtsbehörden bei der Durchsetzung auch nicht darum, mit Millionenstrafen Firmen zugrunde zu richten und die Staatskassen aufzubessern, sondern ein sinnvolles Datenschutzniveau herzustellen. 

1    BEGRIFFLICHKEITEN

• Teilnehmer: Natürliche Person, die an einer Veranstaltung teilnimmt und im Normalfall am Ende seine Zeit und/oder Platzierung erfahren möchte
• Veranstalter: Person  (Sportverein, Firma, …), die die Veranstaltung ausrichtet. Vertragspartner des Teilnehmers.
• Timer: Zeitnehmende Person(en) – entweder juristisch dem Veranstalter zuzuordnen oder vom Veranstalter getrennt beauftragte Person.

2    WER TRÄGT DIE VERANTWORTUNG?

Grundsätzlich ist der Veranstalter Ansprech- und Vertragspartner des Teilnehmers und somit als Verantwortlicher gemäß Art. 4 (7) DSGVO dafür zuständig, dass die Teilnehmerdaten entsprechend geschützt werden. Ähnlich wie die AGB fallen auch Datenschutz-, Einverständnis- und sonstige Erklärungen gegenüber den Teilnehmern in seinen Verantwortungsbereich.

Allerdings sind Auftragsverarbeiter mit in der Pflicht, für von ihnen verarbeitete Daten eine rechtliche Erlaubnis in Form eines Vertrages zur Verarbeitung von Daten im Auftrag (AVV) abgeschlossen zu haben.

3    (SCHNELLE) MAßNAHMENLISTE FÜR TIMER

Im Allgemeinen sollten sich die Vertragsverhältnisse rund um eine Veranstaltung in etwa wie folgt darstellen:

Die kursiven Elemente sind außerhalb des Fokusses dieses Dokuments und werden nicht weiter behandelt. Nach Beachtung der folgenden Aufzählung ist ein ruhiger Schlaf trotz DSGVO möglich:

3.1    ZU ERFÜLLENDE AUFGABEN

• Vereinbarung zur Auftragsverarbeitung mit race result abschließen
• Vereinbarung zur Auftragsverarbeitung mit allen Veranstaltern abschließen
• Datenschutzerklärung vom Veranstalter geben lassen und in den Anmeldungsprozess als separaten Punkt zur Kentnissnahme einbinden (gegebenenfalls dem Veranstalter eine Vorlage zukommen lassen). 
• Eigenes Verarbeitungsverzeichnis und TOMs (siehe 7.3, 7.4) erstellen
• Regelmäßig zu löschende Daten löschen und zu depublizierende Daten verbergen, insbesondere beim Übergang der kurzfristigen (5.1.2) zur langfristigen (5.1.3) Veröffentlichung

3.2    ZU BEACHTENDE FALLSTRICKE

• Sicherstellen, dass im Vertrag mit dem Veranstalter die zu erfassenden Daten genau beschrieben sind und von den Teilnehmern auch keine anderen Daten abgefragt werden (Bonus: Übereinstimmung mit der Datenschutzerklärung nachprüfen)
• Das Verarbeitungsverzeichnis hat einen Eintrag für jede Verarbeitung im Auftrag (eines Veranstalters) zu enthalten, hier ist eine genaue Zuordnung zwischen Events und Veranstaltern zu führen.
• Keine Zustimmung zur Datenschutzerklärung einholen, sondern nur auf deren Existenz hinweisen, sie ist kein Vertragsbestandteil! Sofern eine Einwilligung für eine einzelne Verarbeitungen notwendig ist, die Hinweise in 5.1.3 a) genau beachten.
• Wenn Anfragen zu gespeicherten Daten kommen, die Erläuterungen in 5.2 genau beachten!

3.3    FINGER WEG!

• Es muss darauf geachtet werden, dass keine Daten nach Art. 9 Abs. 1 DSGVO verarbeitet werden:
• Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
• Sämtliche Vereinbarungen mit den Teilnehmern haben vom Veranstalter zu kommen, alleine schon aus Haftungsgründen sollte hier keine Beratung durchgeführt werden. Das Zurverfügungstellen von noch auszufüllenden Vorlagen ist rechtlich unbedenklich.

4    VERTRAG / VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG (AVV)

Der Veranstalter darf die von ihm erhobenen personenbezogenen Daten in Form einer Auftragsverarbeitung  nur an Dritte weitergeben, wenn er sich davon überzeugt hat, dass der Datenschutz dort ebenfalls eingehalten wird. Dafür muss der Einsatz von Auftragsverarbeitern gegenüber den Teilnehmern nicht offengelegt werden, sie sind sozusagen „unsichtbare Dritte.“

4.1    ZWISCHEN VERANSTALTER UND TIMER

Wenn Timer und Veranstalter nicht eine Person sind, wird eine AVV benötigt.
Es ist empfehlenswert, als Timer hier einen Standardvertrag zur Hand zu haben, welcher mit allen eigenen Kunden („Veranstaltern“) abgeschlossen wird. So muss nicht für jeden Kunden ein eigener Vertrag überprüft werden, sondern nur einmal das Standardwerk, von dem dann bekannt ist, dass es den rechtlichen Anforderungen genügt. 
Im Falle von Urteilen oder Gesetzesänderungen muss nicht jeder Vertrag einzeln überprüft werden, ebenso können Beschreibungen im Vertrag an den eigenen Standardprozessen orientiert werden.  So ist zum Beispiel der Einsatz von Unterauftragsnehmern genehmigungspflichtig (Art. 28 (2) DSGVO), dementsprechend ist es sinnvoll, race result (und eventuell andere Dienstleister, zum Beispiel für Fotos) hier direkt mit aufzunehmen.

4.2    ZWISCHEN TIMER UND RACE RESULT

Wenn der Timer rein Offline arbeitet, also nicht die Dienste unter https://events.raceresult.com bzw. https://my.raceresult.com oder den Online-Storage nutzt, ist kein weiterer Schritt notwendig – in diesem Fall ist einzig die Hardware von uns im Einsatz, aber die Daten selber bleiben komplett beim Timer, womit auch keine Auftragsverarbeitung vorliegt.

Ansonsten ist zwischen dem als Timer und uns als Betreiber der Online-Dienste ein Vertrag zur Auftragsverarbeitung notwendig. Diesen gibt es unter dem Login auf https://events.raceresult.com zum Abschließen.

5    PFLICHTEN UND RECHTE GEGENÜBER DEM TEILNEHMER

5.1    ZWECK DER VERARBEITUNG, GEGEBENENFALLS EINWILLIGUNG

Das häufig kursierende Gerücht, dass alle Daten von den Teilnehmern auf „Zuruf“ jederzeit gelöscht werden können, ist in dieser Form nur zum Glück ein Gerücht. Tatsache ist, dass klar ein Zweck für die Verarbeitung festzulegen ist, welcher bei Erhebung dem Teilnehmer auch mitzuteilen ist. 

Art. 6 Abs 1 DSGVO beschreibt 6 Möglichkeiten:

1. Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
2. die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
3. die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt
4. […hier irrelevant…]
5. […hier irrelevant…]
6. die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

5.1.1    Speicherung (auch unveröffentlicht)

Im Falle des Teilnehmers besteht ein Vertrag über die Teilnahme an einer Sportveranstaltung und die Erfassung der Daten, weshalb hier erst einmal b) greift; ergänzend auch c) für Abrechnungsdaten (zum Beispiel §14b UStG zur Aufbewahrungspflicht von Rechnungen).

Die Daten sind dann zu löschen, wenn sie nicht mehr benötigt werden, dies ist im Allgemeinen frühestens dann der Fall, wenn sie nicht mehr zum Nachweis einer durchgeführten Dienstleistung der Zeitnahme (auch des Veranstalters gegenüber dem Teilnehmer) benötigt werden. Hier könnte man sich zum Beispiel an die regelmäßige Verjährungsfrist von drei Jahren nach  § 195 BGB halten.

5.1.2    Veröffentlichung (kurzfristig)

Es liegt im Wesen eines öffentlichen Wettkampfes, dass am Ende Resultate verglichen und hierfür auch veröffentlicht werden, so dass diese nach b) (Erfüllung von Vertragsleistungen) erfolgen kann.
Hierbei ist eine Veröffentlichung der Ergebnisse auf der Veranstaltung und Online für eine gewisse Zeit (vermutlich ist ein Zeitraum von 3-6 Monaten abgedeckt) rechtlich sicher, sofern diese vom Veranstalter gewünscht und auch gegenüber dem Teilnehmer in der Datenschutzerklärung so dargestellt worden ist. 

5.1.3    Veröffentlichung (längerfristig)

Eine längerfristige Veröffentlichung kann wahlweise auf zwei Erlaubnistatbestände gestützt werden, wobei die betroffene Person bei beiden eine Widerspruchsmöglichkeit hat, auf die sie auch hinzuweisen ist:

a.    Freiwillige Einwilligung
Die Ergebnisse können auf freiwilliger Basis entsprechend Art. 6 Abs. 1 a) noch weiter öffentlich erreichbar gelassen werden. Die hierfür erforderliche Einwilligung muss klar verständlich, getrennt von sonstigen Erklärungen, und auch wirklich freiwillig erfolgen; eine Teilnahme an der Veranstaltung darf nicht von dieser Zustimmung abhängig gemacht werden, ansonsten kann  die komplette Einwilligung als nichtig interpretiert werden.

b.    Berechtigte Interessen
Ein berechtigtes Interesse des Veranstalters zur weiteren Veröffentlichung nach Art. 6 Abs. 1 f) ist auch denkbar. Die hierfür notwendige Einzelfallabwägung muss, sofern dieser Erlaubnistatbestand in Anspruch genommen werden soll, jedoch selbst im Vorfeld durchzuführen und der Teilnehmer im Rahmen der „normalen“ Datenschutzerklärung aufzuklären. 

„Workaround Startnummern“
Es kam bereits die Frage auf, ob nicht durch eine (Weiter)Veröffentlichung der Zeiten ausschließlich mit Startnummern keine Zustimmung mehr notwendig sei, dafür müsste aber ausgeschlossen werden können, dass durch Dritte die Startnummer der Person zuordbar ist, was regelmäßig nicht der Fall ist.

Hierzu Art. 4 Abs. 1 DSGVO:

[…] als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, […] identifiziert werden kann, […]

5.1.4    Weitergabe

Sofern die Ergebnisse an Dritte, wie zum Beispiel den DLV zur Führung der Bestenlisten (https://www.leichtathletik.de/ergebnisse/bestenlisten/) weitergegeben werden sollen, ist die Genehmigung zur Weitergabe dieser Daten separat zu prüfen, zu dokumentieren und gegebenenfalls einzuholen. 

5.2    AUSKUNFTSRECHT

Der Teilnehmer hat das Recht, alle über ihn gespeicherten Daten zu erfahren (Art. 15 DSGVO). Auf dieses Recht muss er auch (im Rahmen der Datenschutzerklärung o.ä.) hingewiesen werden (Art. 13 DSGVO).

Allerdings muss hier für eine konforme Auskunft aufgepasst werden, ob Timer und Veranstalter dieselbe Person sind oder hier auch eine Beauftragung vorliegt:

5.2.1    Veranstalter ist Timer (Sportverein macht alles selber)

Es gibt nur eine Datenbasis beim Sportverein, der Teilnehmer ist über alle Daten zu informieren, er hat ein direktes Auskunftsrecht.

5.2.2    Timer führt Zeitnahme im Auftrag durch (Auftragsverarbeitung)

Wie unter „Vertrag / Vereinbarung zur Auftragsverarbeitung (AVV)“ bereits beschrieben, tritt der Timer in diesem Fall nicht unter eigenem Namen in Erscheinung; der Timer führt die Zeitmessung im Auftrag des Veranstalters durch, der Veranstalter ist Vertragspartner der Teilnehmer.
Daraus ergibt sich für den Timer die Pflicht, die Datenbestände für jeden Veranstalter getrennt zu betrachten. Eine Anfrage seitens der Teilnehmer ist ebenso ausschließlich über den Veranstalter als Vertragspartner des Teilnehmers zu stellen, der vom Timer die entsprechenden Daten zur Beantwortung der Frage zu erhalten hat.
Wenn der Timer also das „Dorfrennen Putzemuckel“ sowie den „Waldlauf Putzemuckel“ vom „Leichtathletikverband Putzemuckel“ durchführt, aber auch den „Spendenlauf Gründorf“ für das „DRK Gründorf“, hat der Teilnehmer seine Anfrage erst einmal an den „Leichtathletikverband Putzemuckel“ bzw. das „DRK Gründorf“ zu stellen. Wenn ein Teilnehmer bei beiden Veranstaltungen teilgenommen hat, darf ich als Timer trotzdem nur die Daten für das „Dorfrennen Putzemuckel“ und den „Waldlauf Putzemuckel“ an den „Leichtathletikverband Putzemuckel“ und die Daten für den „Spendenlauf Gründorf“ an das „DRK Gründorf“ als Anfrageantwort schicken; ansonsten liegt eine unerlaubte und bußgeldbewehrte Datenweitergabe vor. Hier ist also Vorsicht geboten und eine genaue Zuordnung notwendig!

5.3    WEITERE BETROFFENENRECHTE

Zur Einführung wird der Blogeintrag von Christian Quietzsch „Datenschutz-Grundverordnung – Betroffenenrechte“ zu diesem Thema empfohlen, da hier keine besonderen Betrachtungen für den Zeitnahmekomplex notwendig sind. Darüber hinaus sind diese auch in der Beispielhaften Datenschutzerklärung in Anhang 1 beschrieben.

6    DATENSCHUTZERKLÄRUNG

Im Anhang 1 findet sich eine beispielhafte Datenschutzerklärung. Auch auf die Gefahr einer Wiederholung hin: Für diese Erklärung ist der Veranstalter rechtlich zuständig und haftbar. Darüber hinaus ist darf gemäß Rechtsdienstleistungsgesetz eine Rechtsberatung nicht durch jedermann durchgeführt werden! Eine Formulierung auf eine konkrete Veranstaltung hin ist als Rechtsberatung zu bewerteten, deshalb wird empfohlen, nicht mehr als eine Vorlage zur Verfügung zu stellen.
Insbesondere sollte am Ende eine ganz klare Anweisung seitens des Veranstalters stehen, eine genau im Wortlaut bestimmte Version als Datenschutzerklärung einzusetzen, so dass klar erkennbar ist, dass diese in der finalen Version vom Veranstalter kam.

Eine Zustimmung (und Dokumentation dieser) zur Datenschutzerklärung ist nicht erforderlich, es besteht lediglich eine Informationspflicht. Sofern wirklich eine Checkbox gewünscht ist, sollte diese höchstens mit "die Datenschutzerklärung wurde zur Kentnis genommen" beschriftet werden. Mit einer Formulierung im Sinne von "Es gilt die Datenschutzerklärung" oder "Ich akzeptiere die Datenschutzerklärung" wird diese bei entsprechender Auslegung zu einem Vertragsbestandteil mit allen Problemen bei einer späteren Änderung oder Erweiterung.

Sofern eine Zustimmungspflichtige Verarbeitung vorliegt, ist die Genehmigung hierfür freiwillig einzuholen, dieses hat aber klar getrennt von der Datenschutzerklärung zu erfolgen. Dies sollte dann über eine Checkbox o.ä. erfolgen.

7    SONSTIGES

7.1    DATENSCHUTZBEAUFTRAGTER

§ 38 Abs. 1 BDSG (neu) legt fest, dass ein/e Datenschutzbeauftragte/r verpflichtend wird, „der Verantwortliche und der Auftragsverarbeiter […] in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.“
Zur Auslegung von ständig empfiehlt sich den Artikel Aufsichtsbehörden zur Pflicht zur Benennung von Datenschutzbeauftragten in Arztpraxen & Apotheken.

7.2    FOTOS

Derzeit (Mai 2018) geht eine Panikwelle um, dass für jede Person auf jedem Bild eine Einwilligung notwendig wäre. Hierbei kommt das BMI zu einer größtenteils anderen Einschätzung: Christian Solmecke: DSGVO und Fotografie – was gilt ab 25. Mai für Fotografen, Presse, TV und Private?

Das Anfertigen von Fotografien wird sich auch zukünftig auf eine – wie bislang schon – jederzeit widerrufbare Einwilligung oder alternative Erlaubnistatbestände wie die Ausübung berechtigter Interessen (Art. 6 Abs. 1 lit. f) DS-GVO) stützen können. Diese Erlaubnistatbestände (nach geltender Rechtslage Art. 7 der geltenden EU-Datenschutz-Richtlinie 95/46/EG i.V.m. den nationalen Umsetzungsgesetzen) decken seit vielen Jahren datenschutzrechtlich die Tätigkeit von Fotografen ab und werden in Art. 6 DS-GVO fortgeführt. Die Annahme, dass die DS-GVO dem Anfertigen von Fotografien entgegen stehe, ist daher unzutreffend.

Insgesamt ist die Rechtslage derzeit aber leider noch nicht eindeutig geklärt.

7.3    VERARBEITUNGSVERZEICHNIS

Ein Verarbeitungsverzeichnis (oder auch „Verzeichis von Verarbeitungstätigkeiten“) muss jede datenverarbeitende Instanz zur Hand haben und pflegen, hierzu wird die GDD-Praxishilfe DS-GVO V empfohlen. Eine schnell umzusetzende Lösung wird von Stephan Hansen-Oest unter Keine Zeit für ein Verarbeitungsverzeichnis nach DSGVO? Tipps für eine schnelle Notlösung in „dreckig“ vorgestellt.

7.4    TOMS 

Mehr oder minder direkt aus dem Verarbeitungsverzeichnis ergibt sich der „Wunsch“, eine Aufstellung „geeigneter technischer und organisatorischer Maßnahmen“ gemäß Art. 32 Abs. 1 DSGVO zu pflegen, aus welcher hervorgeht, wie das notwendige Schutzniveau konkret erreicht wird. Hierzu finden sich in den weiteführenden Quellen ebenfalls diverse Vorschläge und Artikel, so dass dieses Thema hier nicht weiter vertieft wird.

8    WEITERFÜHRENDE QUELLEN UND INFORMATIONEN

https://www.raceresult.com/fw/contact/dataprivacy.php
https://www.lda.bayern.de/de/datenschutz_eu.html
https://www.datenschutzzentrum.de/praxisreihe/, Heft 1 “Datenschutz bei Vereinen“
https://rechtsbelehrung.com/dsgvo-alles-zur-eu-datenschutzgrundverordnung-rechtsbelehrung-folge-54-jura-podcast/ und https://rechtsbelehrung.com/dsgvo-datenschutzerklaerung-faq-rechtsbelehrung-folge-55/
https://www.gdd.de/gdd-arbeitshilfen/praxishilfen-ds-gvo/praxishilfen-ds-gvo
https://www.datenschutz-guru.de/blog/
https://www.bitkom.org/Themen/Datenschutz-Sicherheit/Datenschutz/index.jsp
http://drschwenke.de/dsgvo/
https://www.baden-wuerttemberg.datenschutz.de/dokumente-der-datenschutzkonferenz/
https://www.uni-muenster.de/Jura.itm/hoeren/lehre/materialien/musterdatenschutzerklaerung