Protokoll

BuFaTa SoSe18
Anwesend: Marika (TU Braunschweig), Dennis (RWTH), Dominik + Alex + Chris (KIT), Franz (TU Dresden), Lars + Maximilian (HTW Dresden), Andre (Uni Siegen), Jessi (HS Weingarten), Jonathan (Uni Ulm), Irina (RWTH), Maximilian (TU Chemnitz), Andreas (Uni Siegen), Lukas (TUM), Julian (TUM), Georg (HS München), Robert (e.V.), Manuel (HS Weingarten), Tim + Andreas + Julia (HTW Berlin), Tim (HFU), Jan (RWTH), Chris (FH Dortmund), Léon Geide (TU Ilmenau), Maximilian (OTH Regensburg) Leitung des AK: Robert (BuFaTa eV)
Protokoll: alle

Zu Beginn Diskussion über Vorgehensweise. Was will der AK eigentlich machen? Austausch über Datenutzung. Entwicklung für das Anwerben von Daten soll durchgeführt werden.

• fast alle Fachschaften verarbeiten Daten und sind betroffen
  • Teilnehmerlisten für Veranstaltungen
  • Mailverteiler / E-Mail-Infrastruktur
  • Facebook Seite
  • Twitter / Instagram?
  • Foren
  • Website
• viele haben noch keinen Plan, was sie tun müssen

• Erwartungen und Fragen sammeln und zusammen mit denen, die sich zumindest etwas auskennen, das Gesetz durcharbeiten
• kleine Gruppen bilden, die jeweils aus einem Kapitel die wichtigsten Sachen raussuchen? → nein
• Infoblätter und Leitfäden raussuchen
  • diese sind zwar gut, betreffen aber eher Unternehmen und weniger uns
  • Vorschlag, mit diesen ein Grundwissen zu bekommen und danach auf die Spezialitäten einer Fachschaft eingehen

• Datenschutzbeauftragte:
  • Bei Teilkörperschaften? Datenschutzbeauftragte der Uni
  • Vereine brauchen eventuell einen eigenen Datenschutzbeauftragten
    • nur wenn mehr als 10 Personen die Daten verarbeiten
  • kann man einen gemeinsamen für alle Studierendenvertretungen eines Landes haben?
• Wunsch: Reader mit den wichtigsten Infos ausarbeiten
• Wer kontrolliert eigentlich wen?
• Zusammenfassung der Regeln, bestenfalls ohne Wertung und ohne Angstmache

• hohe Bußgelder, diese betreffen auch öffentliche Einrichtungen bis zu 20 Mio. oder 4% des intern. Jahresumsatzes (jenachdem was höher ist)
• https://dsgvo-gesetz.de/
• Zusammenfassungen:
  • Heft "Erste Hilfe zur Datenschutz-Grundverordnung für Unternehmen und Vereine" (5,50€)
  • Infoseite der Kanzlei Wilde Beuger Solmecke (Kanzlei mit IT Ausrichtung) → Sehr gute Zusammenfassung evtl. YouTube-Videos dazu sehenswert!
  • https://www.bitkom.org/Themen/Datenschutz-Sicherheit/DSGVO.html
  • https://www.aachen.ihk.de/blob/acihk24/recht/downloads/3936132/9994e2e6b081b3152af1d7dec7e42468/datenschutzgrundverordnung_merkblatt-data.pdf
  • Übersichtsseite zur DSGVO von der KIF
  • Onlinetool zur Selbsteinschätzung (von Bayerisches Landesamt für Datenschutzaufsicht)
  • Leitfaden der EU-Kommission
    • Lesefassung
  • Reader von datenschutz.org
  • Artikel zur EU-DSGVO auf Golem.de (für Admins)
  • https://www.bfdi.bund.de/SharedDocs/Publikationen/Infobroschueren/INFO6.pdf?__blob=publicationFile&v=44
  • C't Praxistipps
  • C't Literatur- und Linksammlung zur DSGVO
  • Kurzes PDF mit Übersicht
  • Guide für kleine Vereine / Unternehmen
  • Zusammenfassung der rheinischen Post
  • Arten von Daten / Begriffserklärung
    • Schnellübersicht über Arten von Personenbezogenen Daten
    • Datenschutz Lexikon
    • Datenschutz Begriffe
    • DSGVO Kapitel 1, Artikel 4 "Begriffsbestimmung"

Quelle: https://www.datenschutz-wiki.de/Hauptseite

• Anonymisieren: Daten, welche die Zuordnung zu einer Person ermöglichen werden entfernt. Die geheime Wahl ist ein Beispiel für eine vollständig anonymisierte Umfrage.
• Auskunftsrecht: Nach §34 BDSG-alt oder Artikel 15 DSGVO kann eine Person die Herausgabe aller ihrer Daten fordern.
• Besondere Arten von Daten: Es gibt Daten die als besonders Schützenswert gelten. Für diese gelten schärfere Regulierungen.
  • Gesundheitsdaten & Sexualität
  • Noten
  • Anschrift, wenn Vollzugsanstalt oder psychatrische Einrichtung
  • „Ich bin durchgefallen“
  • Politische & Religiöse Einstellung
  • Rassische und ethnische Herkunft
• Datengeheimnis: Gesetz, welches das unbefugte Nutzen personenbezogener Daten verhindert.
• Einwilligung: Vor der Nutzung von personenbezogenen Daten muss der Nutzer schriftlich einwilligen. Hierbei muss das Formular gewissen Standards folgen.
• Erforderlichkeit: Die Erhebung / Nutzung / Verarbeitung ist nur dann erforderlich wenn der Zweck der Erhebung ohne das entsprechnde Datum / die Daten nicht mehr erfüllbar ist.
• Informationelle Selbstbestimmung: Das Recht auf informationelle Selbstbestimmung ist im bundesdeutschen Recht das Recht des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen.
• Informationsfreiheitsgesetz (IFG): Nützlich um Behörden zur herausgabe von Daten zu bewegen, hängt aber vom Landesrecht ab. An sich ist die DSGVO höher, aber man wird sich wohl wehren und das gerichtlich klären müssen
• Löschen: Das Löschen ist im Gesetz als „Unkenntlichmachen von Daten“ definiert.
  • Für jedes Medium steht im Gesetz (s. Link) ein oder mehrere Verfahren zum Löschen
• Auftragsdatenverarbeitungsvertrag: Wenn man Daten erhebt, diese jedoch extern Verarbeiten lässt, benötigt man einen solchen Vertrag. Ein Beispiel hierfür wäre Umfragen mit einem externen Tool.

Quelle: https://dsgvoinfo.de/fuer-wen-gilt-die-dsgvo/

• Wer kann zur Einhaltung angehalten werden?
  • Grundsätzlich jeden: sowohl Vereine, Privatpersonen, Unternehmen, etc.
• Auf welche Daten bezieht sich der Datenschutz?
  • personenbezogene Daten die in einem Dateisystem verarbeitet werden
• Wie müssen die Daten verarbeitet werden?
  • Speichern, Erstellen, etc. ist alles ein „Verarbeiten“ von Daten, egal ob digital oder handschriftlich

• Verbot mit Erlaubnisvorbehalt → Erstmal ist jegliche Nutzung, Erhebung und Verarbeitung der Daten VERBOTEN.
• Rechtmäßigkeit - Rechtmäßiger Erhalt der Daten
• Transparenz - Der Verarbeitungsprozess ist ersichtlich.
• Zweckbindung - Daten können nachträglich nicht für weitere Zwecke als ursprünglich gedacht genutzt werden
• Datenminimierung (Datenvermeidung / Datensparsamkeit) - Nur UNBEDINGT notwendige Daten erheben.
• Richtigkeit - man muss das Recht einräumen Daten berichtigen zu können
• Speicherbegrenzung - Daten dürfen nur so lange gespeichert werden wie nötig
• Integrität und Vertraulichkeit → aktuelle(!!!) Software und Systeme (Stand der Technik), → Risikobewertung muss dokumentiert sein
• Rechenschaftspflicht → Prozesse vorhanden, Zurgriff auf Daten nur wenn unmittelbar notwendig
• Meldepflicht bei Diebstahl der Daten (selbst bei verschlüsselten Daten)

• KEINE Social Plugins
• Cookies
• Hosting (intern, über Uni oder extern)
• Logging
• Bilder, s.u.

• man bekommt Daten von der Universität, das muss abgeklärt sein
• hängt von der Struktur ab (Teilkörperschaft vs. Verein)

• Logging auf webservern
• Jede IP-Adresse ist ein „personenbeziehbares“ Datum
• Erlaubt, solange in Datenschutzordnung der Website erwähnt
• Einwilligung nicht möglich bevor nicht mindestens ein HTTP(S) Request empfangen wurde
• Informationen müssen bei Bedarf dem Nutzer gegeben werden! (IP, OS, Größe der gesendeten Daten, …)

• Hinweis wie gewohnt wird für den Anfang reichen
• Rechtssicher wäre, ein Tor zu schalten und vor der Einwilligung kein Cookie zu setzen

• Du müsstest vorher beschreiben können, wer die Daten verarbeitet (die Einzelpersonen sind nicht nötig), was mit den Daten passiert und wie lange sie gespeichert werden
  • ist nicht realisierbar

• Privacy by Default
• Privacy by Design
• 2-stufiges Anmeldeverfahren
• Widerrufsrecht (muss so einfach (einfache Sprache) wie die Erteilung der Einwilligung sein)
• kann die Mitgliederliste eingesehen werden? Von wem?
• keine Personen unter 16 Jahren

• Information über Verwendung
• Wir müssen verhindern, dass jemand Daten eines Dritten über unsere Liste verbreitet
• Du kannst als Betreiber das Löschen der eigenen Daten nicht gewährleisten

• generell gilt: Externe Anbieter sind für die Daten, die ihnen anvertraut werden, verantwortlich, nicht die FSRe
• wir sollten unsere Studis nicht dazu zwingen, datenschutzrechtlich bedenkliche Dienste zu nutzen
  • darunter Whatsapp, Facebook, aber auch Microsoft Windows und Office

• Löschen geht nicht wirklich (da die Änderungshistorie bestehen bleibt)

• Wenn man Daten an dritte zur Verarbeitung gibt
• Vertrag über die Verarbeitung der Daten (Form, Umfang, Dauer)
• Information und Mustervertrag

• Digitale Bilder auf denen Gesichter erkennbar sind, erfordern immer die informierte Einwilligung des Abgebildeten
  • Ganz so extrem ist es wohl nicht: http://www.rechtzweinull.de/archives/2558-mein-erster-dgsvo-rant-zu-viele-mythen-und-gefaehrliches-halbwissen-zum-neuen-europaeischen-datenschutzrecht.html – MYTHOS 3
  • erste Stellungnahme des Hamburgischen Beauftragten für Datenschutz und Informationssicherheit (hier im Bezug auf Gruppenfotos): https://www.filmverband-suedwest.de/wp-content/uploads/2018/05/Vermerk_DSGVO.pdf
• Betroffen: Gruppenbilder, Aufnahmen auf einer Seminarfahrt, Erstsemestereinführung, Fotogalierie einer Party,…
• Besonders kritisch sind im Internet veröffentlichte Aufnahmen
• → Details: https://www.ipcl-rieck.com/allgemein/wissen-zur-dsgvo-7-tipps-fuer-fotografen.html

• Die DSGVO setzt das bewährte KUG außer Kraft, außer für (Das stimmt so nicht unbedingt: http://www.rechtzweinull.de/archives/2558-mein-erster-dgsvo-rant-zu-viele-mythen-und-gefaehrliches-halbwissen-zum-neuen-europaeischen-datenschutzrecht.html – MYTHOS 3)
  • Beschäftigte bei den klassischen Medien Rundfunk und Presse, (hauptberuflich angestellte Fotojournalisten)
  • reine Analog- Fotografie,
  • reine private Aufnahmen im engen persönlichen und Familien-Kreis, soweit nicht im Internet veröffentlicht werden,
  • Aufnahmen von Verstorbenen.

7 Tipps für die digitale Fotobranche:

1. In die Kamera lächeln ist keine Einwilligung!
2. Ist mind. eine lebende Person auf dem Foto erkennbar, wird eine Einwilligung oder Ausnahme des Art. 6 DSGVO benötigt! Ausnahmen:
   • Aufnahmen sind für Erfüllung oder Anbahnung eines Vertragsverhältnisses mit den Abgebildeten erforderlich oder
   • Aufnahmen sind zur Erfüllung einer rechtlichen Verpflichtung erforderlich oder
   • Aufnahmen sind erforderlich, um lebenswichtige Interessen zu schützen oder
   • Aufnahmen sind für die Wahrung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt oder
   • Aufnahmen sind zur Wahrung berechtigter Interessen erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der Abgebildeten überwiegen, insbesondere, wenn es sich um ein Kind handelt.
3. Alle Abgebildeten müssen BEI ANFERTIGUNG der Aufnahmen vollumfassend über die mit den Fotos beabsichtigten Nutzungen aufgeklärt werden!
4. Deshalb: Lasst eure Model Releases überarbeiten! Die alten werden der DSGVO nicht mehr gerecht!
5. Alle Einwilligungen und Aufklärungen schriftlich dauerhaft dokumentieren!
6. Bei Widerruf einer Einwilligung muss das betroffene Bildmaterial unverzüglich gelöscht und diese Löschung beweissicher dokumentiert werden! Betroffene haben umfangreiche Auskunftsrechte!
7. Abschließend bleibt Fotografinnen & Fotografen zu raten, Fotos mit Personen in Zukunft soweit möglich im Rahmen einer der o. g. Ausnahmen anzufertigen, also so, dass keine Einwilligung erforderlich ist. Eine Einwilligung birgt das Risiko, dass sie jederzeit widerrufen werden kann. Liegt jedoch eine der oben genannten Ausnahmen vor, ist die Verwertbarkeit der Aufnahme nicht mehr dem möglicherweise wankelmütigen Willen des Abgebildeten ausgesetzt.

• Insbesondere rechtlich umfangreichere Auseinandersetzungen mit dem Thema aber auch weitere Tipps sind z. B. hier zu finden:
  • https://www.fotorecht-seiler.eu/dsgvo-fotobusiness/
  • http://www.cr-online.de/blog/2018/03/09/das-ende-der-freien-veroeffentlichung-von-personenbildnissen-fuer-die-meisten-von-uns/
  • https://natur-photocamp.de/dsgvo-fuer-fotografen/
  • https://www.datenschutz-bayern.de/datenschutzreform2018/einwilligung.pdf

• erweitert
• Risikoabschätzungen erforderlich
• Bei Verfahrensänderungen der Datenverarbeitung Neueinschätzung der Risiken vorgeschrieben
• Datenschutzbeauftragter ist reine Kontrollinstanz die keine Einverständniserklärungen anpassen darf, da sie sich dann selbst kontrollieren müsste

• bis zu 20 Mio.€ oder 4% des Vorjahresumsatzes (bei großen Konzernen)
• im Wesentlichen betrifft es gewerbliche Datennutzung
• Abmahnwelle wird von den Medien erwartet

• Abmahnbar nur mit gültiger (zustellfähiger) Anschrift in der EU
• Auflagen und Bußgelder skalieren nicht passend für kleine Firmen / Vereine
• Auslegung des Bußgeldkatalogs durch Gerichte noch unklar

• Mails von Studierenden korrekt Löschen (nicht zu lange Archivieren)
• Mail Accounts vor Einsicht fremder Personen schützen (Shouldersurfing)
• Studierende evtl. darauf Hinweisen keine Matrikelnummer und Notenspiegel zu schicken
• Fachschaftler über die Neuerungen aufklären
• Link zu Datenschutz der Fachschaft in Email Signatur hinzufügen und auf Homepage ergänzen

• Datenschutzerklärung Homepage
• Logging von IP Adressen anoynimisieren
• Vertrag zur Auftragsverarbeitung mit hostender Fachschaft
• Datenhaltung dokumentieren
  • Was wird, wie lange, gespeichert
  • wie Daten löschen?

• Musterdatenschutzerklärung Word- /ODT-Vorlage
• Musterformular zur Anfrage der Datenselbstauskunft bei Unternehmen / Vereinen
• Auftragsdatenverarbeitungsvertrag

• Selbst wenn wir keine genaue Ahnung haben, etwas machen ist besser als gar nix machen
• TODO bis zur nächsten Tagung:
  • Fachpersonal einladen auf nächste BuFaTa zum DSGVO AK
  • Einen Monat vor der Tagung Fragen von den Fachschaften sammeln, damit man konkrete Themen vorbereiten und ansprechen kann
• Tätigkeit nach Panama verschieben!

Beginn: 13:45 Uhr
Ende: 16:43 Uhr
Der AK sollte auf weiteren Tagungen besprochen werden und dazu einen Experten einladen.