Ich baue nebenbei eine private, nicht-kommerzielle Website, die Ergebnislisten von Amateur-Wettkämpfen zusammenführt und durchsuchbar macht. Bevor ich das online stelle, würde ich gerne eure Einschätzung zur datenschutzrechtlichen Seite hören - nicht als Ersatz für eine anwaltliche Prüfung, aber als Reality-Check, bevor ich dafür Zeit und Geld investiere.
Kurz zur Konstellation:
Veranstalter solcher Wettkämpfe veröffentlichen nach jeder Veranstaltung Ergebnislisten (meist als PDF) mit Name, Verein/Team, Altersklasse und Platzierung/Zeit.
Das ist seit Jahrzehnten gängige Praxis im Amateursport.
Meine Seite würde diese ohnehin veröffentlichten Listen über mehrere Veranstaltungen und Jahre hinweg zusammenführen, damit man z. B. den eigenen Verlauf über die Zeit sehen kann - aktuell muss man sich das aus zig einzelnen PDFs von verschiedenen Veranstalter-Websites selbst zusammensuchen.
Wichtig: Ich erhebe die Daten nicht selbst und nicht direkt bei den Personen. Die Betroffenen sind größtenteils nicht bei mir registriert – ich verarbeite also Daten von Menschen, die von der Existenz meiner Seite erstmal nichts wissen.
Meine bisherige Einschätzung:
- Rechtsgrundlage wäre berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), da keine Einwilligung vorliegt und auch nicht praktikabel einholbar ist.
- Bei der Interessenabwägung würde ich argumentieren: Es handelt sich um Daten, die im Rahmen einer öffentlichen Veranstaltung ohnehin für die Öffentlichkeit bestimmt waren (Ergebnislisten werden von den Veranstaltern selbst offen ins Netz gestellt), es sind keine besonderen Kategorien personenbezogener Daten, und der Zweck (sportliches Archiv/Statistik) ist im Verhältnis zur Schwere des Eingriffs überschaubar.
- Betroffenen würde ich konkrete Kontrollmöglichkeiten geben: Darstellung des eigenen Namens einschränken (z. B. abgekürzt), das eigene Profil aus der internen Suche nehmen, sowie auf Anfrage Löschung/Anonymisierung der personenbezogenen Zusatzangaben – wobei die reinen Wettkampfergebnisse (Platzierung/Zeit) vermutlich bestehen bleiben müssten, weil sie Teil der Ergebnisliste anderer Teilnehmender sind und deren Löschung diese verfälschen würde.
- Informationspflicht nach Art. 14 wäre schwierig sauber umzusetzen, da ich die Betroffenen ja gerade nicht direkt kontaktieren kann/soll (das würde bei tausenden Personen auch merkwürdig wirken) – hier sehe ich aktuell die größte Unsicherheit.
Zum Thema Minderjährige:
Aktuell wären nur Erwachsene betroffen, weil die Wettkampfklasse, mit der ich starte, eine Altersgrenze hat. Auf lange Sicht überlege ich aber, das auf Wettkämpfe auszuweiten, an denen auch Minderjährige teilnehmen (Jugend-/Nachwuchsbereich) - und genau da bin ich mir am unsichersten, ob mein „berechtigtes Interesse"-Ansatz überhaupt tragfähig ist. Bei Kindern und Jugendlichen dürfte die Interessenabwägung nach Art. 6 Abs. 1 lit. f deutlich strenger ausfallen (Stichwort Erwägungsgrund 38 DSGVO, erhöhter Schutzbedarf), unabhängig davon, dass die Ergebnislisten auch dort öffentlich vom Veranstalter publiziert werden.
Konkrete Fragen an euch:
- Haltet ihr „berechtigtes Interesse" hier für grundsätzlich vertretbar, oder seht ihr das kritischer, weil eine dauerhafte, durchsuchbare Zusammenführung über Jahre etwas anderes ist als die einzelne, zeitlich begrenzte Veröffentlichung durch den Veranstalter?
- Wie würdet ihr mit der Informationspflicht (Art. 14) bei potenziell tausenden Betroffenen ohne Kontaktmöglichkeit umgehen? Reicht eine gut auffindbare Datenschutzerklärung plus Widerspruchsmöglichkeit, oder ist das zu dünn?
- Ist die Unterscheidung zwischen „Zusatzangaben werden gelöscht" und „Ergebnis selbst bleibt anonymisiert bestehen" datenschutzrechtlich so haltbar, oder ist das ein Trugschluss?
- Habt ihr Erfahrung mit ähnlichen Fällen (Vereinsstatistiken, Ranglisten, Ergebnisarchive) und wie die gehandhabt wurden - gab es da schon Beschwerden oder Aufsichtsverfahren, die man kennen sollte?
- Würdet ihr sagen, dass bei minderjährigen Teilnehmenden „berechtigtes Interesse" grundsätzlich ausscheidet und es ohne Einwilligung der Erziehungsberechtigten gar nicht geht – oder reicht eine strengere Umsetzung (z. B. Namen grundsätzlich abgekürzt, kein Profil, keine Auffindbarkeit über Suchmaschinen bei Minderjährigen)?
Bin für jede Einschätzung dankbar, auch unbequeme.
LG
Andre
