Stiftungen müssen nachjustieren

Noch nie war es so leicht wie heute, personenbezogene Daten zu speichern, zu verarbeiten und auszuwerten. Doch mit den Möglichkeiten der legalen Verwendung wachsen auch die Gefahren des Missbrauchs. Dem soll jetzt ein Riegel vorgeschoben werden: Ab dem 25. Mai 2018 gelten verschärfte Datenschutzanforderungen – auch für Stiftungen.

Nahezu jede Stiftung speichert und nutzt personenbezogene Daten ihrer Spender, Stipendiaten sowie ihrer haupt- und ehrenamtlichen Mitarbeiter. Als personenbezogene Daten gelten unter anderem Vor- und Nachname, postalische und E-Mail-Adresse sowie Festnetz- und Handynummer. Selbstverständlich gehört der Schutz dieser sensiblen Daten zu den gesetzlichen Pflichten, die auch von Stiftungen zu erfüllen sind. Demnächst werden die Vorschriften sogar verschärft. Denn ab dem 25. Mai 2018 gilt ein neues Datenschutzrecht. Nicht mehr viel Zeit also, sich auf den Stichtag vorzubereiten und die neuen gesetzlichen Anforderungen zu erfüllen. Was ändert sich? Was bleibt? Was müssen Stiftungen jetzt tun? Wir stellen dem Datenschutzbeauftragten des Bundesverbandes Deutscher Stiftungen Oliver Rohn die wichtigsten Fragen.

Stiftungswelt: Herr Rohn, ab dem 25. Mai 2018 sind die Regelungen der EU-Datenschutzgrundverordnung (DSGVO) und des neugefassten Bundesdatenschutzgesetzes (BDSG) anzuwenden. Das alte BDSG wird abgelöst. Was ändert sich für Stiftungen?

Oliver Rohn: Das neue Recht führt zunächst einmal dazu, dass der Datenschutz stärker ins Bewusstsein rückt. Auch Stiftungen, die beim Umgang mit den personenbezogenen Daten z.B. ihrer Spender oder ehrenamtlichen Mitarbeiter nicht unbedingt an das Thema Datenschutz gedacht haben, merken, dass sie ihre Praxis gegebenenfalls nachjustieren müssen. Für Aufmerksamkeit sorgen vor allem die hohen Bußgeldandrohungen bei Verstößen und das damit gesteigerte Haftungsrisiko für Stiftungsvorstände.

Müssen Stiftungen im Bereich Datenschutz jetzt alles anders machen?

In vielen Regelungen unterscheidet sich die DSGVO nicht wesentlich vom BDSG. So ist etwa nach wie vor eine Einwilligung des Dateninhabers oder eine gesetzliche Erlaubnis notwendig, um die Daten einer Person zu verarbeiten. In anderen Punkten gibt es gravierende Änderungen. Grundsätzlich gilt: Wer bisher alle Voraussetzungen des alten Datenschutzrechts eingehalten hat, verfügt bereits über ein gutes Datenschutzniveau. Dennoch müssen Anpassungen vorgenommen werden.

Was sind die wesentlichen Änderungen gegenüber dem alten BDSG?

Zu den wichtigsten Änderungen gehört die Ausweitung der Informationspflichten: Den Betroffenen muss bei der Erhebung ihrer Daten Auskunft darüber gegeben werden, wer was wann wie lange und zu welchem Zweck über sie weiß. Neu ist auch die Beweislastumkehr bei einem Verstoß: Bisher musste ein Betroffener vor Gericht nachweisen, dass die Stiftung für eine fehlerhafte Verarbeitung von Daten verantwortlich ist. Diese Pflicht liegt nun bei der Stiftung, die die Daten verarbeitet. Gestärkt wurden darüber hinaus die Rechte des Dateninhabers: Er kann jederzeit Auskunft über seine gespeicherten Daten sowie deren Löschung verlangen, wenn für die weitere Speicherung kein Grund mehr besteht. Die Stiftung muss daher in der Lage sein, die Rechte des Betroffenen zeitnah zu erfüllen.

Was sollten Stiftungen jetzt konkret tun?

Stiftungen sollten sich zunächst einen Überblick verschaffen, an welchen Stellen in ihrem Haus mit personenbezogenen Daten umgegangen wird und wie diese verarbeitet werden. Sie müssen diese Prozesse identifizieren und dokumentieren. Artikel 30 der DSGVO sieht vor, dass die Verantwortlichen ein sogenanntes Verarbeitungsverzeichnis erstellen müssen. In diesem Verzeichnis wird insbesondere festgehalten, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden. Das Verarbeitungsverzeichnis bietet eine gute Grundlage für ein sicheres Datenschutzmanagement.

Welche weiteren Schritte sind nötig, um die grundlegenden Anforderungen der DSGVO zu erfüllen?

Angepasst werden sollten die Datenschutzerklärungen, insbesondere mit Blick auf die neuen Informationspflichten gegenüber dem Dateninhaber. Bei der Überprüfung der Einwilligungserklärungen sollte darauf geachtet werden, dass der Dateninhaber ausdrücklich auf sein Widerrufsrecht hingewiesen wird. Sofern die Daten von Stiftungen durch andere Unternehmen verarbeitet werden, muss sichergestellt werden, dass ein Auftragsverarbeitungsvertrag (ADV) besteht. Sollte aus der Vergangenheit bereits ein ADV bestehen, ist er den neuen Vorgaben anzupassen.

Gibt es für gemeinnützige Stiftungen Ausnahmen oder Erleichterungen?

Das Gesetz betrifft alle natürlichen und juristischen Personen, die personenbezogene Daten ganz oder teilweise automatisiert oder mit Hilfe eines Dateisystems verarbeiten. Es gibt keine Unterscheidung nach verschiedenen juristischen Personen wie Stiftungen bzw. gemeinnützige Stiftungen. Das bedeutet, dass grundsätzlich alle Stiftungen die neuen Datenschutzbestimmungen in vollem Umfang einhalten müssen. Paragraf 38 BDSG (neu) regelt lediglich eine Erleichterung bei der Bestellpflicht eines Datenschutzbeauftragten. Dieser Pflicht müssen Unternehmen erst nachkommen, wenn sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Als ein Vorteil der Digitalisierung für Non-Profit-Organisationen wird gern angeführt, dass Daten gezielt gesammelt und vergleichsweise einfach ausgewertet werden können, um darauf aufbauend etwa eine Fundraising-Kampagne oder eine neue Förderstrategie zu entwickeln. Ist es damit nun vorbei? Fallen wir mit den neuen Datenschutzregelungen in quasi-analoge Zeiten zurück?

Nein, das sehe ich nicht so. Aber es gilt, dass bei jeder Planung etwa einer Fundraising-Kampagne von vornherein darauf geachtet wird, dass es für die Nutzung der Daten eine Rechtsgrundlage gibt. Wer also eine solche Kampagne plant, sollte dafür sorgen, dass es eine Einwilligung der Dateninhaber oder eine gesetzliche Erlaubnis für die Nutzung der Daten gibt. Das kann die Durchführung einer solchen Maßnahme aufwendiger, muss sie aber nicht unmöglich machen.

Wo können sich Stiftungen weitergehend über die neuen gesetzlichen Regelungen informieren?

Der Bundesverband Deutscher Stiftungen stellt viele Informationen in seinen verschiedenen Medien – etwa auf seiner Internetseite – bereit. Darüber hinaus können sich Stiftungsvorstände oder Geschäftsführer über den Besuch eines Seminars fortbilden.

Autor
Oliver Rohn

Rechtanwalt (Syndikusanwalt)
Justiziar
Telefon (030) 89 79 47-52

Alle Beiträge von Oliver Rohn

Stiftungswelt Frühling 2018

Update! Stiftungen im digitalen Zeitalter
Jetzt herunterladen
Aktuelle Beiträge
Kapital und Wirkung

Transparente Rendite

Der Vermögensverwalter Globalance Invest ermittelt für jedes Unternehmen in seinem Portfolio den ökologischen und sozialen Fußabdruck – denn besonders nachhaltige Investments sind nach Überzeugung der Verwalter auch mit Blick auf die Rendite attraktiv.

Mehr Infos
Globales Engagement

Die Menschen hinter dem großen Namen - Open Society Foundations neu in Berlin

Unsere Leiterin Internationales arbeitete vier Monate an einem gemeinsamen Projekt im neuen Berliner Büro der aus Ungarn vertriebenen Open Society Foundations. Einblicke in Arbeit und Leben der Menschen von Anke Pätsch.

Mehr Infos
Impuls

„Stiftungspolitik! Eine Frage für den Standort Deutschland“

Anfang des Jahres hielt Felix Oldenburg einen Vortrag auf einem Symposium der Possehl-Stiftung, der Universität zu Lübeck und des Stifterverbandes zum Thema Nachfolge und Stiftungen. Darin sprach er darüber, warum Stiftungen der große unterschätze Standortfaktor in Deutschland sind – und warum es höchste Zeit für eine aktive Stiftungspolitik ist. 

Mehr Infos
Stiftungs-News

Stiftungen und Digitalisierung: Das plant der Bundesverband

Die Digitalisierung verändert das Stiftungswesen, so weit, so gut. Damit unsere Mitglieder diesen Wandel mitgestalten und für ihre eigene Arbeit nutzen können, hat sich der Bundesverband Deutscher Stiftungen Gedanken gemacht. Wie genau wir Stiftungen unterstützen wollen, erzählt Pavel Richter, Leiter Digitalstrategie, im Interview mit StifterTV.

Mehr Infos
Mehr zum Thema
Stiftungsrecht

Was sind die aktuellen rechtlichen Herausforderungen für Stiftungen?

Ob Steuerrecht, Stiftungsrecht oder zu aktuellen Themen wie der Datenschutz-Grundverordnung (DSGVO), das Justiziariat des Bundesverbandes Deutscher Stiftungen berät zu allen für Stiftungen relevanten Themen.

Weiterlesen

Stiftungsrechtsreform aktuell: Bundesverband kämpft für besseres Stiftungsrecht

In den letzten Jahren sind die rechtlichen Rahmenbedingungen für die Arbeit von Stiftungen – auch durch den Einsatz des Bundesverbandes – stetig verbessert worden.

Weiterlesen
Stiftungsrecht

Abgabefrist für Steuererklärungen ab 2019 verlängert

Ab dem Veranlagungszeitraum 2018 gilt eine verlängerte Abgabefrist für Steuererklärungen zum 31. Juli. Gemeinnützigkeitserklärungen können daher ab 2019 bis zum 31. Juli abgegeben werden. Das Steuerformular für gemeinnützige Körperschaften gibt es jetzt bei Elster-Online.

Weiterlesen