Mehr oder weniger "zwangsbestimmt" sei er Datenschutzbeauftragter geworden, sagt Manfred Kastlmeier und lacht grimmig. Eigentlich ist er zweiter Vorsitzender der Freisinger Sektion des Deutschen Alpenvereins (DAV), seit einigen Wochen bestimmt seine ehrenamtliche Arbeit aber die Umsetzung der neuen Datenschutz-Grundverordnung (DSGVO).
Um den Posten reißen sich derzeit wohl die wenigsten Vereinsmitglieder. Die DSGVO gilt als komplex, gleichzeitig drohen hohe Strafen, wenn sie nicht korrekt umgesetzt wird. Denn Datenschutz für die Bürger oder eben Vereinsmitglieder heißt für die Vereine: viel Papierarbeit. Außerdem müssen Mitarbeiter zur Verschwiegenheit verpflichtet, für den Umgang mit Daten sensibilisiert und die Mitglieder informiert werden. Kastlmeier als Datenschutzbeauftragter muss die Einhaltung der DSGVO im Blick haben.
Bereits seit vergangenen Freitag ist die neue Regel in Kraft, der Freisinger DAV arbeitet wie viele andere Vereine noch an der Umsetzung. Er hat rund 5000 Mitglieder. Entsprechend viele E-Mails gingen sukzessive raus, sagt Kastlmeier. Arbeit machen ihm und den Vereinskollegen jetzt vor allem die sogenannten Bestandsmitglieder. Sie müssten einzeln informiert werden, sagt er, im Gegensatz zu Neumitgliedern. Sie füllen einfach einen Neuantrag aus, der die Vorgaben der DSGVO berücksichtigt. Zudem reiche es nicht, die Bestandsmitglieder nur über den Datenschutz per E-Mail aufzuklären. Der Verein müsse auch nachweisen, dass sie tatsächlich informiert wurden. Also setzt er in dem Schreiben eine Frist: In ein paar Wochen muss man der Aufklärung widersprochen haben - sonst zählt Schweigen als Akzeptanz.
Zu den festen Mitgliedern kommen bei dem Freisinger Verein noch Besucher der Kletterhalle, laut Kastmeier etwa 30 000 bis 40 000 im Jahr. Somit verwaltet der DAV einen riesigen Datensatz.
Als der Hauptverein in München vor ein paar Monaten mit dem Hinweis auf die DSGVO auf die Freisinger Sektion zukam, habe man das noch nicht so ernst genommen, meint Kastlmeier, umso "kompakter" komme die Arbeit jetzt daher. Er fürchtet, dass die vielen Vorgaben künftig Aktive abschrecken könnten, einen Posten im Verein zu übernehmen. In Ingelheim sei ja schon ein Vereinsvorstand geschlossen zurückgetreten, weil man fürchtete, die DSGVO nicht regelkonform umzusetzen und Gesetzeskonflikte vermeiden wollte. "Die Sanktionen sind deutlich, man geht schon ein Risiko ein."
Fest stehe aber, versichert Kastlmeier, dass der Verein keine Daten verkaufe, etwa an Versicherungen. Und veröffentliche man Bilder etwa auf der Internetseite, hole man ohnehin schon vorher das Einverständnis der betroffenen Person ein.
Ob er als Datenschutzbeauftragter künftig mehr mit dem Löschen von Daten beschäftigt sein wird, weil Nutzer das einfordern können? Das müsse sich zeigen, sagt er. Er lässt sich jetzt erst einmal vom Hauptverein in München schulen. Aber immerhin bespiele der Verein keine Plattformen wie Instagram, sagt er. Sonst wäre alles noch komplizierter.