Datenschutz und DSGVO im Cannabisanbauverein

Datenschutz im Cannabisanbauverein: Ein Leitfaden

Im dynamischen Feld des Cannabisanbaus in Deutschland stellt der Datenschutz eine wesentliche Säule dar, insbesondere seitdem neue Gesetze den gemeinschaftlichen Anbau in Vereinen mit bis zu 500 Mitgliedern ermöglichen. Cananet, als Plattform und Netzwerk für Akteure der Cannabisbranche, nimmt diese Entwicklung zum Anlass, um einen spezialisierten Leitfaden zum Datenschutz im Bereich des Cannabisanbaus bereitzustellen.

Basiswissen: Der erste Schritt

Für Vereine, die sich dem gemeinschaftlichen Anbau von Cannabis widmen, ist es essentiell, ein grundlegendes Verständnis für Datenschutzanforderungen zu entwickeln. Der erste Schritt besteht darin, sich einen Überblick über alle Prozesse zu verschaffen, bei denen personenbezogene Daten verarbeitet werden – von der Mitgliederverwaltung über die Kommunikation bis hin zur Dokumentation des Anbauprozesses. Ein sorgfältig geführtes Verzeichnis der Verarbeitungstätigkeiten ist hierfür ein unerlässliches Instrument.

Die Zulässigkeit der Datenverarbeitung

Jeder Verein muss die rechtliche Grundlage für die Verarbeitung personenbezogener Daten prüfen und verstehen. Dies umfasst nicht nur die Einholung von Einwilligungen, sondern auch die Beachtung von Vertragsverpflichtungen, gesetzlichen Anforderungen und berechtigten Interessen. Besonders im Cannabisbereich ist die Sensibilität der Daten hoch, was eine transparente und offene Kommunikation mit den Mitgliedern über die Nutzung und den Schutz ihrer Daten erfordert.

Informationspflicht und Rechte der Mitglieder

Eine proaktive Informationspolitik schafft Vertrauen und Sicherheit. Mitglieder haben das Recht auf Auskunft, Berichtigung, Löschung ihrer Daten und können gegen bestimmte Arten der Verarbeitung Widerspruch einlegen. Cananet empfiehlt, diese Rechte klar zu kommunizieren und Verfahren für ihre Ausübung bereitzustellen.

Warum ist Datenschutz für Cannabisanbauvereine unerlässlich?

Grundprinzipien
Im Rahmen der Tätigkeiten von Cannabisanbauvereinen kommt es zwangsläufig zur Verarbeitung zahlreicher personenbezogener Daten. Dazu gehören Informationen wie der Name, das Geburtsdatum, das Geschlecht, die Wohnadresse, E-Mail-Adressen, Kontodetails, Fotos der Mitglieder oder deren Zugehörigkeit zu bestimmten Gruppen.

Solche Daten werden auf vielfältige Art und Weise verarbeitet: Mitglieder bekommen Einladungen zu Versammlungen und erhalten Newsletter, sie leisten Beitragszahlungen via Bankeinzug; und auf den Webseiten der Vereine werden Fotos von Aktivitäten präsentiert; darüber hinaus zeigen Dachorganisationen und Sponsoren Interesse an den Mitgliedsdaten.

Für Cannabisanbauvereine ist es verpflichtend, sich an die gesetzlichen Bestimmungen der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) zu halten.

Die Größe des Vereins, ob dieser gemeinnützig agiert, als eingetragener Verein oder als nicht rechtsfähige Einheit besteht, die Art der Verwaltung oder die Höhe der finanziellen Ressourcen spielen für die Anwendbarkeit der DSGVO keine Rolle. Datenschutz bedeutet weit mehr als nur den technischen Schutz von Daten. Er dient dem Schutz der Grundrechte der Individuen, deren Daten von den Vereinen verarbeitet werden. Folglich ist die Größe und die Organisationsform des Vereins von untergeordneter Bedeutung. Entscheidend im Datenschutz sind die potenziellen Risiken für die betroffenen Personen, die je nach spezifischer Aktivität des Vereins variieren können.

Rechtsgrundlagen für Anbauvereine

Jede Verarbeitung personenbezogener Daten in Cannabisanbauvereinen bedarf einer festen Rechtsgrundlage, wie es die Datenschutz-Grundverordnung (DSGVO) vorschreibt. Die gängigen Rechtsgrundlagen umfassen die Vertragsdurchführung, die Erfüllung des Vereinszwecks, das berechtigte Interesse oder eine gesetzliche Verpflichtung. Dieses Kapitel widmet sich der Klärung dieser Grundlagen im Kontext von Cannabisanbauvereinen.

Konkret benötigen Cannabisanbauvereine eine rechtliche Basis für jegliche Datenverarbeitung. Oftmals wird fälschlicherweise angenommen, dass ausschließlich eine Einwilligung die Datenverarbeitung legitimiert. Dies ist jedoch nicht der Fall.

Datenverarbeitungsvorgänge:

• Wenn Daten notwendig sind für die Begründung oder Durchführung eines Mitgliedsvertrags, z.B. Name, Anschrift, und Bankdaten zur Verwaltung der Mitgliedsbeiträge.
• Wenn die Datenverarbeitung zur Erfüllung des Vereinszwecks nötig ist. Dies kann Daten von Spendern, Sponsoren oder Vereinsmitgliedern betreffen, abhängig von den in der Satzung definierten Zielen des Vereins.
• Bei einem berechtigten Interesse des Vereins, beispielsweise zur Bestellung von Vereinskleidung oder zur Durchsetzung von Stadionverboten.
• Bei gesetzlichen Verpflichtungen, wie der Aufbewahrung von Rechnungen.

Sollten Mitglieder Einwände gegen die Datenverarbeitung haben, die im berechtigten Interesse des Vereins liegt, müssen diese individuelle Gründe vorbringen, die gegen eine Verarbeitung sprechen. In solchen Fällen kann es nötig werden, die Datenverarbeitung einzustellen.

Die Notwendigkeit einer Einwilligung ergibt sich, wenn keine der oben genannten Bedingungen zutrifft, insbesondere bei sensiblen Daten oder bei der Veröffentlichung von Fotos auf der Vereinswebseite.

Eine Einwilligung muss freiwillig, informiert und widerrufbar sein. Die betroffene Person muss über den Verarbeitungszweck sowie das Widerrufsrecht aufgeklärt werden. Blankoeinwilligungen sind nicht zulässig.

Obwohl die DSGVO keine Schriftform für die Einwilligung vorschreibt, empfiehlt es sich, diese schriftlich einzuholen, um den Nachweis der Einwilligung führen zu können.

Besonders sensible Daten dürfen nur mit ausdrücklicher Einwilligung oder bei Vorliegen einer gesetzlichen Erlaubnis verarbeitet werden.

Verzeichnis der Datenverarbeitungsvorgänge für Cannabisanbauvereine

Das Verzeichnis der Datenverarbeitungsvorgänge ist ein essentielles Instrument, um die Übersicht über sämtliche Datenverarbeitungsaktivitäten innerhalb eures Cannabisanbauvereins zu behalten. Es dient nicht nur der Erfüllung formaler Anforderungen, sondern erleichtert auch die schnelle Reaktion auf Anfragen von Betroffenen.

Was genau ist das? Dieses Verzeichnis beinhaltet eine detaillierte Auflistung aller Prozesse im Verein, bei denen personenbezogene Daten eine Rolle spielen.

BEISPIEL Ein typischer Vorgang ist die Registrierung neuer Mitglieder, bei der persönliche Informationen wie Name und Adresse erfasst werden. Diese Aktivität muss im Verzeichnis der Datenverarbeitungsvorgänge dokumentiert sein.

Warum ist die Erstellung dieses Verzeichnisses notwendig? Die DSGVO schreibt vor, dass Cannabisanbauvereine, als datenverarbeitende Stellen, ein solches Verzeichnis führen müssen, um die Einhaltung der Datenschutzbestimmungen zu gewährleisten.

Welche Informationen sind erforderlich? Das Verzeichnis muss Auskunft über den Verantwortlichen für die Datenverarbeitung geben und, falls vorhanden, über den Datenschutzbeauftragten. Es sollte präzise beschreiben, welche Daten von Mitgliedern, eventuell Mitarbeitern oder externen Personen verarbeitet werden, zu welchem Zweck diese Verarbeitung stattfindet und wer Zugriff auf die Daten hat.

Alle Prozesse des Vereins, die personenbezogene Daten betreffen – sei es die Mitgliederverwaltung, die Gehaltsabrechnung, der Betrieb der Vereinswebseite oder die Veröffentlichung von Bildern – müssen einzeln aufgelistet werden.

BEISPIEL Für die Verwaltung der Mitgliedsbeiträge muss der Verein die Bankdaten seiner Mitglieder speichern. Diese Informationssammlung ist für die Finanzverwaltung des Vereins unerlässlich. In bestimmten Fällen können die Daten an externe Dienstleister, wie Steuerberater, weitergegeben werden. Ebenfalls sind die gesetzlich vorgeschriebenen Aufbewahrungsfristen, wie die 10-jährige Frist für die Aufbewahrung von Rechnungsunterlagen, im Verzeichnis zu vermerken.

Datenschutzbeauftragte in Cannabisanbauvereinen

Cannabisanbauvereine könnten verpflichtet sein, einen Datenschutzbeauftragten (DSB) zu ernennen. Im Folgenden wird erläutert, welche Verantwortlichkeiten ein DSB trägt und ob diese Rolle vom Vereinsvorstand übernommen werden kann.

Aufgabenbereiche eines Datenschutzbeauftragten: Zu den Hauptaufgaben eines DSB zählen die Überwachung der Datenschutzpraktiken im Verein, die Beratung des Vorstands bezüglich der Einhaltung datenschutzrechtlicher Vorgaben und die Kooperation mit den Aufsichtsbehörden.

Es ist wichtig zu verstehen, dass der Datenschutzbeauftragte nicht die alleinige Verantwortung für den Datenschutz trägt. Auch nach der Ernennung eines DSB bleibt der Vereinsvorstand in der Pflicht, den Datenschutz innerhalb des Vereins zu gewährleisten.

Kann der Vereinsvorstand die Rolle des Datenschutzbeauftragten übernehmen? Nein, um Interessenkonflikte zu vermeiden, darf der Vorstand des Vereins nicht die Aufgaben des Datenschutzbeauftragten übernehmen.

Ist es erforderlich, dass Datenschutzbeauftragte Vereinsmitglieder oder -mitarbeiter sind? Nein, für die Position des Datenschutzbeauftragten können sowohl interne als auch externe Personen ernannt werden.

Aufgrund des benötigten Fachwissens im Bereich Datenschutz kann es oft sinnvoll sein, eine externe Fachkraft als DSB zu benennen.

Unter welchen Bedingungen muss ein Cannabisanbauverein einen DSB ernennen? Ein DSB muss ernannt werden, wenn der Verein dauerhaft mehr als 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt oder wenn umfangreich sensible Daten verarbeitet werden, wie es bei Gesundheitsinformationen der Fall sein kann.

Auch bei umfangreicher, regelmäßiger und systematischer Überwachung von Personen, etwa durch Videoüberwachung, sollte überprüft werden, ob die Ernennung eines DSB notwendig ist.

Wie finden Cannabisanbauvereine einen geeigneten externen Datenschutzbeauftragten? Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V. bietet Unterstützung bei der Suche nach qualifizierten externen Datenschutzbeauftragten.

Verantwortung für Datenschutz in Cannabisanbauvereinen

Das Datenschutzgesetz verlangt, dass jeder Cannabisanbauverein eine benannte Person (sei es eine natürliche oder juristische Person) hat, die gewährleistet, dass die Datenschutzvorschriften eingehalten werden.

Wer trägt die Verantwortung für Datenschutz in Ihrem Cannabisanbauverein? Der offizielle Vertreter Ihres Vereins ist im Sinne der DSGVO der Verantwortliche.

Nach § 26 des Bürgerlichen Gesetzbuchs (BGB) nimmt der Vorstand die Rolle des gesetzlichen Vertreters ein. Es ist daher die Pflicht des Vorstands, für die rechtmäßige Verarbeitung personenbezogener Daten im Verein Sorge zu tragen.

Obwohl der Vorstand Aufgaben des Datenschutzes delegieren kann, bleibt er in der rechtlichen Verantwortung für den Datenschutz im Verein.

Rechte der betroffenen Mitglieder

Datenschutz dient dem Schutz der persönlichen Informationen von Mitgliedern, Angestellten, Zulieferern und weiteren Personen innerhalb der Cannabisanbauvereine. Diese Personen genießen umfassende Rechte im Hinblick auf ihre Daten.

Welche Rechte haben die Mitglieder Ihres Cannabisanbauvereins bezüglich ihrer personenbezogenen Daten? Mitglieder haben bei der Verarbeitung ihrer Daten mehrere Rechte, darunter:

• Das Recht auf Auskunft über ihre gespeicherten Daten
• Das Recht auf Berichtigung unrichtiger Daten
• Das Recht auf Löschung ihrer Daten
• Das Recht auf Einschränkung der Verarbeitung
• Das Recht auf Widerspruch gegen die Datenverarbeitung
• Das Recht auf Übertragbarkeit der Daten

Zudem besteht das Recht, jederzeit eine gegebene Einwilligung zur Datenverarbeitung zu widerrufen sowie das Recht, Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen.

Es ist Aufgabe Ihres Vereins, die Mitglieder über diese Rechte umfassend zu informieren.

Informationspflichten 

Cannabisanbauvereine tragen die Verantwortung, ihre Mitglieder, Angestellten und Zulieferer über deren Rechte, wie das auf Löschung oder Widerruf, eingehend zu informieren.

Diese Verpflichtung ermöglicht es den Betroffenen, ihre Rechte wirksam auszuüben.

Wie sollten Cannabisanbauvereine ihre Mitglieder im Einklang mit der DSGVO informieren? Die DSGVO schreibt vor, dass Vereine klar und verständlich über die Rechte der Betroffenen informieren müssen. Dies umfasst Angaben darüber, welche personenbezogenen Daten verarbeitet werden, auf welcher rechtlichen Grundlage dies geschieht, zu welchem Zweck die Daten verarbeitet werden und wie lange sie gespeichert werden.

Neue Mitglieder sollten bei ihrer Aufnahme detailliert über die Datenverarbeitung aufgeklärt werden, wobei auf die Datenschutzerklärung der Vereinswebsite hingewiesen werden kann.

Die Bestätigung der Kenntnisnahme oder sogar eine Einwilligung in die Datenschutzbedingungen ist von den Betroffenen nicht zwingend erforderlich.

Was sollten die Datenschutzinformationen beinhalten? Die Datenschutzinformationen sollten gemäß Art. 13 und Art. 14 DSGVO folgende Punkte abdecken: Angaben zum Verantwortlichen der Datenverarbeitung, den Zweck der Verarbeitung, die Rechtsgrundlagen, Informationen zu Datenübermittlungen an Dritte sowie Hinweise auf die Rechte der Betroffenen. Weiterführende Informationen können erforderlich sein.

Es wird empfohlen, standardisierte Muster für die Datenschutzinformationen zu nutzen, die jedoch an die spezifischen Gegebenheiten Ihres Vereins anzupassen sind.

Ist eine Datenschutzerklärung auf der Vereinswebseite notwendig? Ja, Cannabisanbauvereine, die eine Webseite betreiben, müssen dort eine Datenschutzerklärung veröffentlichen. Diese Erklärung ist in der Regel umfassender als die Datenschutzinformationen für Mitglieder und hängt von den technischen Details der Webseite ab. Zusätzliche Informationen können erforderlich sein, wie die Datenverarbeitung im Rahmen der Webseitennutzung, der Einsatz von Cookies und Analysetools sowie der Umgang mit sozialen Medien.