Zwischenzeitlich hat sich der Vorsitzende des Rechtsausschusses des DJB, Joachim Bechtold, in Abstimmung mit der Datenschutzbeauftragten des DJB per Rundmail zur Frage der datenschutzrechtlichen Grundlagen des digitalen Judopasses geäußert. Die Stellungnahme ist online abrufbar unter:
https://assets.judobund.de/uploads/000/ ... 1701358712
Das kann nun jeder nachlesen. Ich möchte an dieser Stelle nur kurz Zusammenhänge herstellen und das ein oder andere näher erläutern.
Die Passordnung des DJB (
https://www.judobund.de/fileadmin/_horu ... chluss.pdf) ist für alle Landesverbände und für alle Vereine, die den Landesverbänden angeschlossen sind, verbindlich. Danach ist für jedes Vereinsmitglied, das Judo betreibt, ein DJB-Mitgliedsausweis auszustellen (§1 Ziffer 3). Dieser Mitgliedsausweis kann durch ein elektronisches Verfahren ausgestellt werden (§1 Ziffer 3). Für die Ausstellung von Mitgliedsausweisen ist grundsätzlich der DJB zuständig (§4 Ziffer 1, Satz 1). (Nur) Bei manueller Ausstellung sind die Landesverbände zuständig (Satz 2).
Eine Übermittlung bestimmter Daten (aufgeführt in §2) zur Ausstellung des Mitgliedsausweises ist also durch die gültige Passordnung geregelt. Da der DJB für die Ausstellung und "Gültigmachung" der Mitgliedsausweise zuständig ist (§1 Ziffer 4), muss der DJB die hierfür erforderlichen Daten verarbeiten.
Aus datenschutzrechtlicher Sicht ist die Verarbeitung personenbezogener Daten nach Artikel 6 DSGVO (
https://dsgvo-gesetz.de/art-6-dsgvo/) nur zulässig, wenn einer von sechs Fällen zutrifft. Neben der Einwilligung der Betroffenen (lit a) kommt hier vor allem Buchstabe b) in Betracht, den auch Joachim Bechtold anführt:
b) "die Verarbeitung ist (Anm.: zulässig für) für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen";
Es geht hier um ein vertragsähnliches Verhältnis, das aus dem Mitgliedsvertrag zwischen Verein und Mitgliedern hervorgeht. Die Vereine haben den (judotreibenden) Mitgliedern gegenüber die Verpflichtung eine Partizipation im Rahmen der Landesverbände und des DJB sicherzustelllen und auch für eine Sportversicherung zu sorgen. Exkurs: Aus den Satzungen der Landesverbände, die die Mitgliedsvereine vollumfänglich anerkennen und einhalten müssen, geht hervor, dass sie keine Judogruppen außerhalb des Landesverbands betreiben dürfen. Auch dürfte in den meisten Vereinssatzung die Mitgliedschaft im jeweiligen Landesverband verankert sein, sodass die Rechtsgrundlagen bis hinunter zum Einzelmitglied gelten. Das alles ist nicht neu, sondern "schon immer" Verbandsrecht.
In der Passordnung ist in §3 Ziffern 3 und 4 ebenfalls geregelt, wer für welche Eintragungen - zu denen auch Bestätigungen gehören - zuständig ist. Dies sind laufende Verarbeitungstätigkeiten der Vereine, Landesverbände und des DJB. Jede der drei Ebenen verarbeitet also Daten im Rahmen der Beteiligung von Judoka an Aktivitäten im (verbandsorganisierten) Judo. Aus diesem Grund sind Vereine, Landesverbände und DJB gemeinsam Verantwortliche nach Artikel 26 DSGVO (
https://dsgvo-gesetz.de/art-26-dsgvo/). Zum Umsetzung müssen die gemeinsam Verantwortlichen eine Vereinbarung treffen. Sie "
muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln". Daher muss eine JointController-Vereinbarung getroffen und bekannt gemacht werden. Genau das ist ja passiert.
Wie man in Anbetracht der für Sachkundige recht schnell ermittelbaren Sachlage folgendes Fazit ziehen kann
6) Fazit
Die Satzungen des DJB und des NWJV geben es nicht her, dass dort Mitgliederdaten von natürlichen Personen gespeichert werden. In der vorgesehenen Form wäre das unzulässig.
DJB und NWJV bringen hier Vereinsvertreter durch eine kurze Vorlaufzeit von nur sechs Wochen zum Jahresende in Zugzwang und drängen diese (zumindest fallweise) zu unerlaubten Handlungen.
Nach unserer Einschätzung kann die Einführung eines digitalen Judopasses aktuell nur bei Vorlage des individuellen Einverständnisses der betroffenen Mitglieder geschehen - analog zur Vergabe nationaler Lizenzen und zur Abgabe von Anti-Doping-Erklärungen.
Die vorgesehene Meldung gesammelter Mitgliederdaten ohne rechtliche Grundlage von Vereinen über die Landesverbände an den DJB kann im Falle einer Klage zu hohen Bußgeldern führen und fallweise sogar eine Straftat darstellen.
ist mir ehrlich gesagt nicht verständlich, zumal es als "Sichtweise des NWJV" verbreitet wurde. Aber der NWJV hat für kommende Woche eine Stellungnahme angekündigt (
https://www.nwjv.de/nc/aktuelle-meldung ... -01012024/).
So wie sich die Situation für mich darstellt, besteht die Problematik darin, dass der DJB von der Opposition der LV (oder einiger LV) hinsichtlich des Joint-Controller-Modells überrascht wurde, bzw. versäumt hat, im Voraus einen Konsens mit den LV herzustellen. Hierbei habe ich nebenbei bemerkt vollstes Verständnis für die LV. Die angestrebte Regelung hätte eine gemeinsame Haftung von DJB, LV und Vereinen vorgesehen; dass die LV nicht bereit sind, für Datenschutzpannen des DJB zu haften, die man selbst gar nicht verschuldet hat, ist natürlich nachvollziehbar.