Bauen Sie die Datenbank selbst auf
Sie dürfen Menschen um Daten bitten und diese anschließend zu dem Zweck nutzen, dem zugestimmt wurde. Sie können also auf Veranstaltungen, an Infoständen, bei Seminaranmeldungen oder in Newslettern Adressen und E-Mail-Adressen sammeln, müssen aber darauf achten, auf den Formularen die Einwilligung zur Nutzung für Informations- und Werbezwecke Ihrer Organisation einzuholen.
Sie dürfen für die Daten auch eine Gegenleistung bieten. So hat das OLG Frankfurt im Juni 2019 das sogenannte "Kopplungsverbot" gekippt.
Voraussetzungen für die Speicherung und Nutzung personenbezogener Daten:
Dokumentation der Einwilligung (Double-Opt-In bei E-Mail-Adressen)
Ordentliche Information gem. Externer Link: Art. 13 DS-GVO bei der Erhebung der Daten
Einwilligung muss klar und verständlich formuliert sein
Unbedingtes Widerrufsrecht des Betroffenen
Das geht: Um Adressen bitten (auch gegen Leistung) und sie dann für die Kontaktaufnahme nutzen.
Das geht nicht: Ungefragt (heimlich) Adressen sammeln, nicht über die spätere Nutzung informieren oder die Nutzung im Nachhinein abändern, nicht über das Widerrufsrecht der Datennutzung zu informieren.
Beachten Sie Unterschiede einzelner Kommunikationskanäle
Neben der Datenschutzgrundverordnung, die alle Daten und Kanäle gleichermaßen betrifft, und die immer eingehalten werden muss, kommt bei der Durchführung von Telefon- und E-Mail-Werbung noch die E-Privacy-Richtlinie bzw. deren Umsetzung in Deutschland, das Externer Link: Gesetz gegen unlauteren Wettbewerb (UWG) §7 hinzu.
Postalisch dürfen Sie Personen auch ungefragt Spendenwerbung zuschicken, nachdem Sie eine Interessensabwägung vollzogen haben. Dabei steht Ihr berechtigtes Interesse (Spenden sammeln für einen guten Zweck) dem schutzwürdigen Interessen der Betroffenen gegenüber (Externer Link: DS-GVO Art. 6 Abs. 1). Sie müssen diese beiden gegeneinander abwägen und zu dem Schluss kommen, dass die schutzwürdigen Interessen den eigenen Interessen gegenüber nicht überwiegen. In der Praxis wird man im Normalfall die Belästigung durch einen Brief, den die Empfänger/-innen problemlos wegschmeißen können, als geringer einstufen als den Verzicht auf den Spendenaufruf. Voraussetzung ist jedoch, dass die Person der Kontaktaufnahme nicht zuvor widersprochen hat.
Natürlich kann man auch eine ungefragt erhaltene E-Mail löschen, doch die E-Privacy-Richtlinie verbietet Anrufe und E-Mails zu Werbezwecke an Personen, die dieser Art von Kontaktaufnahme zuvor nicht eingewilligt haben. Eine Ausnahme findet sich jedoch im UWG § 7: Hat eine Person zuvor eine Spende getätigt, darf sie auch zukünftig per E-Mail wieder um Spenden gebeten werden. Wiederum vorausgesetzt, dass die Person dem nicht aktiv widersprochen hat und bei jedem Kontakt auf die Widerspruchsmöglichkeit hingewiesen wird.
Das geht: Mit legal erworbenen/gesammelten Adressen ungefragt um Spenden bitten – per Post
Das geht nicht: Ungefragte Telefon- und E-Mail-Werbung. Ausnahme: Es hat zuvor ein Kauf oder eine Spende stattgefunden. Dann dürfen Sie erneut für ähnliche Dienstleistungen werben – bis aktiv widersprochen wird.
Dokumentieren Sie alles gut
Der Gesetzgeber möchte, dass ein fairer Umgang herrscht zwischen den Personen, die ihre Daten geben und den Organisationen, die sie nutzen. Er möchte, dass sich Letztere über den Umgang mit den Daten, die Notwendigkeit der Verarbeitung und den technischen Schutz (Zugriff durch Dritte) Gedanken gemacht haben. Diese "Gedanken" dokumentieren Sie vor allem in drei Schriftstücken:
Verarbeitungsverzeichnis (oder auch: Verzeichnis der Verarbeitungs-Tätigkeiten, kurz VVT): Dokumentiert grundsätzlich alle Prozesse, die mit der Verarbeitung personenbezogener Daten in Bezug stehen.
Getroffene technische und organisatorische Maßnahmen (TOM): Die TOM beschreiben, welche Sicherheitsvorkehrungen Sie treffen, um die Daten vor unrechtmäßigen Gebrauch zu schützen (z.B. Schlüsselregelung, Anti-Viren-Software, Passwörter).
Richtlinie für Mitarbeiterinnen und Mitarbeiter: Wie wird Datenschutz in der Organisation gelebt und durchgeführt? Was sind die Pflichten des Einzelnen? Die Richtlinie sollte jährlich geprüft, ggf. aktualisiert und allen Haupt- und Ehrenamtlichen zur Verfügung gestellt werden, die in Kontakt mit personenbezogenen Daten kommen.
Je größer die Organisation, desto umfangreicher die Dokumentation. Doch auch hier lohnt sich die Mühe: Einmal aufgesetzt, müssen die Schriftstücke nur in regelmäßigen Abständen überprüft und aktualisiert werden.
Das geht: Sich endlich mal hinsetzen und die Muster aus dem Internet ausfüllen.
Das geht nicht: Es weiter vor sich herschieben.
Wenn Sie Adressen an Dritte geben
Manchmal müssen Sie die Ihnen überlassenen Daten an Dritte übergeben, weil diese Aufgaben in Ihrem Namen ausführen. Dies ist z. B. der Fall, wenn ein Lettershop für Sie Spendenbriefe druckt und versendet. Dafür braucht er die Adressdaten. Diese Weitergabe an Dritte steht dem eigentlichen Ausschluss ("Ihre Daten werden nicht an Dritte weitergegeben") nicht entgegen und Sie müssen keine explizite Einwilligung dafür einholen. Denn der Dritte nutzt die Adressen nicht für sich, sondern handelt in Ihrem Auftrag (sog. Externer Link: Auftragsdatenverarbeitung). Die Adressen gehören weiterhin Ihnen und Sie sind für sie verantwortlich. Um das zu regeln, müssen Sie mit allen Dienstleistern, denen Sie personenbezogene Daten zur Verfügung stellen, einen Auftragsverarbeitungsvertrag (AV-Vertrag) abschließen.
Das geht: Dritten auf Weisung und mit definiertem Zweck den Auftrag erteilen (inkl. AVV), die eigenen Daten zu verarbeiten.
Das geht nicht: Einfach mal die Exceldatei mit Adressen an andere versenden und sie machen lassen…
