Datenschutzkonzept

1. Einleitung und Geltungsbereich

Der Elevate Cannabis Club Remstal e.V. (nachfolgend „Verein") nimmt den Schutz personenbezogener Daten seiner Mitglieder, Beschäftigten, Bewerber und Partner sehr ernst. Dieses Datenschutzkonzept beschreibt die organisatorischen und technischen Maßnahmen, mit denen der Verein die Anforderungen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie der bereichsspezifischen Vorgaben – insbesondere des Konsumcannabisgesetzes (KCanG) – umsetzt.

Es gilt für alle automatisierten und nicht automatisierten Verarbeitungen personenbezogener Daten im Verein und ist für alle Vorstandsmitglieder, Beschäftigten und Beauftragten verbindlich.

2. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Verein als juristische Person:

•     Name: Elevate Cannabis Club Remstal e.V., vertreten durch den Vorstand

•     Anschrift: Fabrikstraße 28, 73650 Winterbach

•     E-Mail: info@elevate-cannabis-club.de

3. Datenschutz-Organisation und Verantwortlichkeiten

Die Gesamtverantwortung für die Einhaltung des Datenschutzes liegt beim Vorstand. Der Vorstand legt Zugriffsberechtigungen fest, stellt den Abschluss erforderlicher Verträge sicher und sorgt für die Umsetzung dieses Konzepts.

•     Zugriff auf personenbezogene Daten erhalten ausschließlich Personen, die diese zur Aufgabenerfüllung benötigen (Need-to-know-Prinzip).

•     Alle mit der Datenverarbeitung betrauten Personen werden auf die Vertraulichkeit und den Datenschutz verpflichtet (Art. 29, Art. 32 Abs. 4 DSGVO).

4. Zwecke der Datenverarbeitung

•     Begründung, Verwaltung und Beendigung der Mitgliedschaft (Aufnahme, Beitrags- und Kommunikationsverwaltung)

•     Organisation von Vereinsaktivitäten, Mitgliederversammlungen und Veranstaltungen

•     Anbau von Cannabis sowie Abgabe/Weitergabe an Mitglieder im Rahmen des KCanG

•     Erfüllung der gesetzlichen Dokumentations-, Melde- und Nachweispflichten nach dem KCanG

•     Jugend- und Gesundheitsschutz sowie Prävention

•     Gewährleistung der Sicherheit der Betriebsstätten (u. a. Zutrittskontrolle, ggf. Videoüberwachung – siehe Ziffer 15)

•     Erfüllung steuer- und handelsrechtlicher Pflichten

Eine Verarbeitung zu anderen als den genannten Zwecken erfolgt nur, soweit sie mit dem ursprünglichen Zweck vereinbar ist oder eine gesonderte Rechtsgrundlage besteht (Zweckbindung, Art. 5 Abs. 1 lit. b DSGVO).

5. Kategorien personenbezogener Daten

•     Mitglieds- und Stammdaten: Name, Anschrift, Geburtsdatum, Mitgliedsnummer

•     Kommunikationsdaten: E-Mail-Adresse, Telefonnummer

•     Identitäts- und Nachweisdaten: Ausweisdaten bzw. Altersnachweis, Wohnsitznachweis

•     Finanzdaten: Bankverbindung (bei erteiltem SEPA-Mandat), Beitrags- und Zahlungsdaten

•     Abgabe- und Bezugsdaten nach KCanG: Abgabemengen und -zeitpunkte, Chargen-/Bezugsdaten, Abgabevermerke

•     Teilnahme- und Organisationsdaten: Protokolle von Mitgliederversammlungen, Teilnahmevermerke

•     Bilddaten: ggf. Videoaufnahmen der überwachten Bereiche

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Mitgliedschaft in einer Cannabis-Anbauvereinigung sowie die Abgabe- und Bezugsdaten lassen Rückschlüsse auf den Cannabiskonsum der betroffenen Person zu. Diese Daten können daher als Gesundheitsdaten bzw. besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO einzuordnen sein und werden entsprechend besonders geschützt (siehe Ziffern 6 und 10).

6. Rechtsgrundlagen der Datenverarbeitung

•     Art. 6 Abs. 1 lit. b DSGVO – Verarbeitung zur Begründung und Durchführung der Mitgliedschaft (Vertrag)

•     Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Pflichten, insbesondere der Dokumentations- und Nachweispflichten nach dem KCanG sowie steuer- und handelsrechtlicher Pflichten

•     Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, z. B. für den Newsletter oder freiwillige Angaben

•     Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen, z. B. zur Gewährleistung der Sicherheit der Betriebsstätten

•     Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) sowie ergänzend § 22 BDSG – für die Verarbeitung der in Ziffer 5 genannten besonderen Kategorien personenbezogener Daten

7. Empfänger und Auftragsverarbeitung

Personenbezogene Daten werden nur an Dritte weitergegeben, soweit dies zur Erfüllung des Vereinszwecks erforderlich ist, eine gesetzliche Verpflichtung besteht oder eine Einwilligung vorliegt.

Soweit externe Dienstleister im Auftrag des Vereins personenbezogene Daten verarbeiten, geschieht dies auf Grundlage von Verträgen über Auftragsverarbeitung nach Art. 28 DSGVO. Eingesetzt werden insbesondere:

·         Cannanas – Mitglieder- und Clubverwaltung: Der Verein nutzt die cloudbasierte Vereinssoftware Cannanas zur Verwaltung der Mitgliederdaten sowie zur Dokumentation von Anbau, Chargen und Abgabe/Weitergabe nach dem KCanG. Dabei werden insbesondere Mitglieds-, Abgabe- und Bezugsdaten verarbeitet, die auch besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO umfassen können. Einsen und Nullen UG (haftungsbeschränkt) Mintropstraße 5, 40215 Düsseldorf, Deutschland.

·         GetResponse S.A. – Newsletter-Versand: Für den Versand des Newsletters nutzt der Verein den Dienst der GetResponse S.A., Grunwaldzka 413, 80-309 Gdańsk, Polen. Verarbeitet wird die E-Mail-Adresse der eingetragenen Empfänger. Der Anbieter hat seinen Sitz in der EU (Polen).

Darüber hinaus werden Dienstleister Website-Hosting (Squarespace Ireland Ltd.) und Steuerberatung eingesetzt. Mit allen Auftragsverarbeitern werden Verträge nach Art. 28 DSGVO geschlossen; bei Übermittlungen in Drittländer werden geeignete Garantien nach Kapitel V DSGVO sichergestellt.

8. Datenübermittlung an Behörden nach dem KCanG

Der Verein ist gesetzlich verpflichtet, den zuständigen Aufsichts- und Kontrollbehörden im gesetzlich vorgesehenen Umfang Auskünfte zu erteilen und Einsicht in die nach dem KCanG zu führende Dokumentation zu gewähren. Diese Übermittlung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO (i. V. m. Art. 9 Abs. 2, soweit besondere Kategorien betroffen sind).

9. Speicherung und Löschung von Daten

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Der Verein führt hierzu ein Löschkonzept.

•     Mitglieds- und Stammdaten: für die Dauer der Mitgliedschaft; anschließend Löschung, soweit keine Aufbewahrungspflichten entgegenstehen.

•     Finanz- und Buchhaltungsdaten: nach Maßgabe der steuer- und handelsrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB).

•     Abgabe-/Bezugsdaten und sonstige KCanG-Dokumentation: für die nach dem KCanG vorgeschriebene Dauer.

•     Auf Einwilligung beruhende Daten: bis zum Widerruf der Einwilligung.

•     Videoaufnahmen: kurzfristige, zweckgebundene Speicherung mit anschließender automatischer Löschung.

10. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Verein trifft unter Berücksichtigung des Stands der Technik, der Umsetzungskosten und der besonderen Schutzbedürftigkeit der Daten (insbesondere Art.-9-Daten) angemessene Maßnahmen:

Vertraulichkeit

•     Zutrittskontrolle zu Betriebs- und Anbaustätten (u. a. Sicherungsmaßnahmen nach den KCanG-Sicherheitsanforderungen)

•     Zugangskontrolle: passwortgeschützte Systeme, individuelle Benutzerkonten, Mehr-Faktor-Authentifizierung soweit möglich

•     Zugriffskontrolle: rollenbasierte Berechtigungen nach dem Need-to-know-Prinzip

•     Trennungskontrolle: getrennte Verarbeitung nach Zwecken

Integrität

•     Verschlüsselung bei Speicherung und Übertragung sensibler Daten

•     Weitergabe- und Eingabekontrolle: Protokollierung von Zugriffen und Änderungen

Verfügbarkeit und Belastbarkeit

•     Regelmäßige, gesicherte Datensicherungen (Backups) und deren Wiederherstellbarkeit

•     Schutz vor Verlust, Zerstörung und unbefugtem Zugriff

Verfahren zur regelmäßigen Überprüfung

•     Regelmäßige Überprüfung und Aktualisierung der Maßnahmen (Datenschutz-Management)

•     Kontrolle der Auftragsverarbeiter

•     Datenschutzschulungen der beteiligten Personen

11. Rechte der betroffenen Personen

Betroffene Personen haben nach der DSGVO folgende Rechte, die der Verein unverzüglich, spätestens innerhalb eines Monats, bearbeitet:

•     Auskunft (Art. 15 DSGVO)

•     Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)

•     Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen

•     Einschränkung der Verarbeitung (Art. 18 DSGVO)

•     Datenübertragbarkeit (Art. 20 DSGVO)

•     Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

•     Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

•     Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Postfach 10 29 32, 70025 Stuttgart, poststelle@lfdi.bwl.de.

12. Einwilligungen

•     Einwilligungen werden vor der Verarbeitung eingeholt, transparent formuliert und nachweisbar dokumentiert (Art. 7 DSGVO).

•     Bei besonderen Kategorien personenbezogener Daten wird eine ausdrückliche Einwilligung eingeholt (Art. 9 Abs. 2 lit. a DSGVO).

•     Betroffene können ihre Einwilligung jederzeit ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

13. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Der Verein führt ein Verzeichnis der Verarbeitungstätigkeiten. Es dokumentiert je Verarbeitung insbesondere Zwecke, Datenkategorien, Kategorien betroffener Personen und Empfänger, Löschfristen sowie die technischen und organisatorischen Maßnahmen und wird bei Änderungen aktualisiert.

14. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen zur Folge haben – etwa die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder eine Videoüberwachung – prüft der Verein die Erforderlichkeit einer Datenschutz-Folgenabschätzung und führt diese bei Bedarf durch.

15. Videoüberwachung

Der Verein betreibt an der Anbaustätte und an der Abgabestelle eine Videoüberwachung. Zweck ist die Gewährleistung der Sicherheit, der Schutz vor Diebstahl, Einbruch, Sabotage und unbefugtem Zutritt sowie die Überwachung der Anlage und der Pflanzen. Die Videoüberwachung dient zugleich der Erfüllung der Sicherungsanforderungen an Anbauvereinigungen nach dem KCanG.

Rechtsgrundlage ist das berechtigte Interesse des Vereins am Schutz seines Eigentums, der Betriebssicherheit und der ihm anvertrauten Bestände (Art. 6 Abs. 1 lit. f DSGVO); soweit die Überwachung zur Erfüllung gesetzlicher Sicherungsvorgaben erforderlich ist, stützt sie sich zusätzlich auf Art. 6 Abs. 1 lit. c DSGVO. Für öffentlich zugängliche Bereiche werden ergänzend die Vorgaben des § 4 BDSG beachtet.

Die Überwachung beschränkt sich auf die sicherheitsrelevanten Bereiche (insbesondere Anbau-, Lager- und Abgabebereiche sowie Zugänge). Bereiche, in denen betroffene Personen ein besonderes Maß an Privatsphäre erwarten dürfen (z. B. Sozial- und Sanitärräume), werden nicht erfasst. Eine Tonaufzeichnung erfolgt nicht.

Auf die Videoüberwachung wird vor dem Betreten der überwachten Bereiche durch deutlich sichtbare Hinweisschilder aufmerksam gemacht, die die nach Art. 13 DSGVO erforderlichen Informationen (Verantwortlicher, Zwecke, Rechtsgrundlage, Speicherdauer und weiterführende Informationsquelle) enthalten.

Der Zugriff auf die Aufnahmen ist auf berechtigte Personen beschränkt und wird protokolliert. Die Aufnahmen werden ausschließlich zweckgebunden verwendet und nach [PRÜFEN: Speicherdauer einsetzen, üblich 48–72 Stunden; längere Speicherung nur bei konkretem Anlass] automatisch gelöscht. Eine Weitergabe erfolgt nur bei konkretem Anlass an die zuständigen Behörden bzw. Strafverfolgungsbehörden.

Da eine Videoüberwachung ein erhöhtes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringen kann, prüft der Verein die Erforderlichkeit einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO (siehe Ziffer 14).

 16. Datenschutzbeauftragter

Der Verein prüft und dokumentiert, ob die Pflicht zur Bestellung eines Datenschutzbeauftragten besteht. Maßgeblich sind insbesondere:

•     § 38 Abs. 1 BDSG – Bestellpflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind;

•     Art. 37 Abs. 1 DSGVO – Bestellpflicht u. a. bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten als Kerntätigkeit.

Aufgrund der Verarbeitung von Daten mit Bezug zum Cannabiskonsum ist die Bestellpflicht sorgfältig zu bewerten. Das Ergebnis der Bewertung wird dokumentiert; bei bestehender Pflicht wird ein Datenschutzbeauftragter benannt und der Aufsichtsbehörde gemeldet.

17. Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO)

•     Datenschutzverletzungen werden intern in einem Verzeichnis dokumentiert.

•     Verletzungen mit Risiko für die Rechte und Freiheiten betroffener Personen werden der zuständigen Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, gemeldet (Art. 33 DSGVO).

•     Bei voraussichtlich hohem Risiko werden zusätzlich die betroffenen Personen unverzüglich benachrichtigt (Art. 34 DSGVO).

18. Schulung und Verpflichtung

•     Alle mit personenbezogenen Daten befassten Personen werden auf Vertraulichkeit verpflichtet und regelmäßig geschult.

•     Neue Beteiligte werden vor Aufnahme ihrer Tätigkeit eingewiesen.

19. Überprüfung und Schlussbestimmungen

Dieses Datenschutzkonzept wird regelmäßig, mindestens jährlich, sowie bei wesentlichen Änderungen der Verarbeitung oder der Rechtslage überprüft und bei Bedarf aktualisiert.

Stand: 27.07.2026