Datenschutzrichtlinie der Grassroots Economics Foundation

Arbeitsübersetzung – noch nicht in Kraft. Diese deutsche Übersetzung wird vor der rechtlichen Genehmigung zur Prüfung bereitgestellt. Der englische Text ist der Ausgangstext und hat Vorrang, sofern das anwendbare Recht nichts anderes verlangt. Englischen Ausgangstext lesen.

1. Zweck

Die Grassroots Economics Foundation (GEF) achtet die Privatsphäre und versteht den Umgang mit personenbezogenen Daten als Verantwortung gegenüber den Menschen und Gemeinschaften, die an ihrer Arbeit beteiligt sind. Diese Richtlinie legt Mindeststandards für personenbezogene Daten fest, die über Systeme, Programme, Forschung, Bildung, Veranstaltungen, Partnerschaften und betriebliche Abläufe von GEF verarbeitet werden, einschließlich der Cosmo-Local Credit App (CLC App).

Diese Richtlinie berücksichtigt Kenias Data Protection Act, 2019, die anwendbaren Vorschriften und die aktuellen Leitlinien des Office of the Data Protection Commissioner. Je nach Tätigkeitsort von GEF oder Aufenthaltsort betroffener Personen können weitere Gesetze gelten.

Der Datenschutzhinweis für die CLC App enthält genauere Angaben zu App-Feldern, öffentlichen Ressourcen, der Empfängersuche und öffentlichen Blockchain-Aufzeichnungen. Die Nutzungsbedingungen regeln die Nutzung der App.

2. Geltungsbereich

Diese Richtlinie gilt für Treuhänder, Direktoren, Beschäftigte, Freiwillige, Praktikanten, Auftragnehmer, Berater, Forschende und andere Personen, die personenbezogene Daten für oder im Auftrag von GEF verarbeiten. Verträge und Partnerschaftsvereinbarungen müssen Dienstleistern und Partnern angemessene Datenschutzpflichten auferlegen.

Die Richtlinie erfasst personenbezogene Daten in digitalen, papiergebundenen, akustischen, visuellen, forschungsbezogenen, kommunikativen und anderen Aufzeichnungen. Sie gilt unabhängig davon, ob GEF als Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter handelt. Ein Projekt muss die Rolle von GEF und die Rollen anderer Parteien bestimmen, statt davon auszugehen, dass eine Richtlinie alle Beteiligten regelt.

3. Grundsätze

GEF verarbeitet personenbezogene Daten nach folgenden Grundsätzen:

1. Rechtmäßigkeit, Fairness und Transparenz. Soweit praktikabel und erforderlich, erhalten Personen vor oder bei der Datenerhebung verständliche Informationen über wesentliche Verarbeitungsvorgänge.
2. Zweckbindung. Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben und nicht ohne Rechtsgrundlage und angemessenen Hinweis unvereinbar weiterverwendet.
3. Datenminimierung. GEF erhebt und teilt nur, was für den angegebenen Zweck vernünftigerweise erforderlich ist.
4. Richtigkeit. Es werden angemessene Schritte unternommen, um wesentliche personenbezogene Daten richtig zu halten und irreführende Aufzeichnungen zu berichtigen.
5. Speicherbegrenzung. Identifizierbare Daten werden nur so lange aufbewahrt, wie es für ihren Zweck und die anwendbaren Pflichten vernünftigerweise erforderlich ist.
6. Integrität und Vertraulichkeit. Schutzmaßnahmen stehen im Verhältnis zu den Daten, Personen, Umständen und Risiken.
7. Rechenschaftspflicht. GEF dokumentiert wichtige Entscheidungen und kann nachweisen, wie diese Grundsätze angewendet werden.
8. Teilhabe und Würde. Datenpraktiken müssen die Handlungsfähigkeit, Sicherheit, Kultur und berechtigten Erwartungen betroffener Menschen und Gemeinschaften achten.

4. Rechenschaftspflicht und Zuständigkeiten

Die Leitungs- und Aufsichtsorgane von GEF müssen sicherstellen, dass Datenschutzrisiken angemessene Ressourcen und Aufsicht erhalten. Sie benennen verantwortliche Rollen für Datenschutzkoordination, Informationssicherheit, Aufzeichnungen, Forschungsgovernance, Kinderschutz, Reaktion auf Vorfälle und Anfragen betroffener Personen.

Die Zuständigkeit richtet sich nach der jeweiligen Arbeit und Entscheidungsbefugnis; sie wird nicht automatisch einer bestimmten Abteilung zugewiesen. Alle Personen, die für oder im Auftrag von GEF arbeiten, müssen:

• diese Richtlinie und die für ihre Rolle geltenden Verfahren befolgen;
• nur berechtigt und bei Bedarf auf personenbezogene Daten zugreifen;
• vermuteten Verlust, Missbrauch, Offenlegung oder Sicherheitsmängel unverzüglich melden;
• vorgeschriebene Schulungen absolvieren; und
• vor unklaren oder risikoreichen Verarbeitungen die verantwortliche Projekt- oder Datenschutzleitung fragen.

GEF führt angemessene Verzeichnisse über Verarbeitungssysteme, Zwecke, Datenkategorien, betroffene Personen, Rechtsgrundlagen, Empfänger, Übermittlungen, Aufbewahrung, Schutzmaßnahmen und verantwortliche Stellen.

5. Rechtsgrundlagen und Einwilligung

Jeder Verarbeitungsvorgang benötigt eine anwendbare Rechtsgrundlage, etwa Einwilligung, Vertragserfüllung, Erfüllung einer gesetzlichen Pflicht, Schutz lebenswichtiger Interessen, eine gesetzlich vorgesehene Aufgabe im öffentlichen Interesse oder ein berechtigtes Interesse, das nicht von den Rechten der betroffenen Personen überwogen wird.

Das verantwortliche Team dokumentiert die Rechtsgrundlage vor der Erhebung. Wird eine Einwilligung verwendet, muss sie informiert, spezifisch, soweit erforderlich freiwillig erteilt, nachweisbar und ebenso leicht zu widerrufen wie zu erteilen sein. Die Verweigerung oder der Widerruf einer Einwilligung darf keine zuvor nicht offengelegte Benachteiligung auslösen.

Einwilligung ist nicht die Standardantwort für jede Tätigkeit. GEF muss die Rechtsgrundlage verwenden, welche die Verarbeitung zutreffend beschreibt, und alle zusätzlichen Schutzmaßnahmen bereitstellen, die für sensible Daten, Kinder, besonders gefährdete Personen, Direktkommunikation, Forschung oder internationale Übermittlungen erforderlich sind.

6. Transparenz und Erhebung

Vor der Erhebung personenbezogener Daten stellt GEF einen Hinweis bereit, der zur Zielgruppe und zum Kontext passt. Dieser sollte, soweit zutreffend, erläutern:

• wer die Daten erhebt und wie diese Stelle erreichbar ist;
• welche Daten erhoben werden und ob sie erforderlich oder optional sind;
• weshalb sie verwendet werden und auf welcher Rechtsgrundlage;
• welche Folgen es hat, erforderliche Daten nicht bereitzustellen;
• wer sie erhält und ob sie international verarbeitet werden können;
• wie lange sie aufbewahrt werden oder wie die Aufbewahrungsdauer bestimmt wird;
• welche wesentlichen Sicherheits- und Vertraulichkeitsvorkehrungen bestehen;
• ob Informationen veröffentlicht oder auf eine öffentliche Blockchain geschrieben werden; und
• welche Rechte und Beschwerdewege die Person hat.

GEF erhebt Daten grundsätzlich direkt bei der betroffenen Person. Eine indirekte Erhebung benötigt eine Rechtsgrundlage, eine dokumentierte Quelle und einen angemessenen Hinweis, sofern keine gesetzliche Ausnahme gilt.

7. Sensible Daten und besonders gefährdete Personen

Daten können aufgrund ihres Inhalts, ihres Kontexts, ihrer Kombination oder der beteiligten Personen erhebliche Risiken verursachen. Dazu zählen Gesundheits-, biometrische, genetische, ethnische, religiöse, politische, sexuelle, finanzielle, genaue Standort-, Identitäts- und Kinderschutzinformationen sowie Daten, die eine Person Diskriminierung, Gewalt, Ausgrenzung, Überwachung, Ausbeutung oder Verlust aussetzen könnten.

GEF wendet bei höherem Risiko verstärkte Schutzmaßnahmen an. Dazu können gehören: weniger Daten erheben, Kennungen trennen, strengere Zugriffsbeschränkungen, Verschlüsselung, kürzere Aufbewahrung, sicherere Kontaktwege, sichere Übertragung, Prüfung vor Offenlegung, fachliche Beratung und eine dokumentierte Folgenabschätzung.

Teams müssen lokale Umstände berücksichtigen. Ein Name, die Zugehörigkeit zu einer Gemeinschaft, ein Kartenpunkt, eine Wallet-Adresse, ein Foto oder ein Transaktionsverlauf kann sensibel sein, selbst wenn das jeweilige Gesetz ihn nicht ausdrücklich als sensible Daten einstuft.

8. Kinder und Kinderschutz

Die Verarbeitung von Daten eines Kindes erfordert besondere Sorgfalt, eine anwendbare Rechtsgrundlage, altersgerechte Informationen und jede erforderliche Genehmigung durch Eltern oder Erziehungsberechtigte. Das Wohl des Kindes ist vorrangig zu berücksichtigen.

GEF minimiert Daten von Kindern, beschränkt den Zugriff, vermeidet unnötige genaue Standorte oder identifizierende Medien und prüft, ob eine Veröffentlichung oder digitale Kommunikation vorhersehbaren Schaden verursachen kann. Die Datenverarbeitung muss der Kinderschutzrichtlinie entsprechen.

Die CLC App darf nur von Erwachsenen genutzt werden. Diese Richtlinie schafft keinen Weg für die Registrierung eines Kindes in der App.

9. Datenschutz durch Technikgestaltung und Folgenabschätzung

Datenschutzanforderungen müssen bei der Gestaltung eines Projekts oder Systems berücksichtigt werden und dürfen nicht erst nach der Datenerhebung ergänzt werden. Vor dem Start müssen Teams Zweck, Datenfluss, Sichtbarkeit, Zugriff, Aufbewahrung, Löschung, Anbieter, Übermittlungen und Verfahren für Vorfälle festlegen.

GEF führt eine Datenschutz-Folgenabschätzung durch und dokumentiert sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko verursacht. Einschlägige Auslöser sind unter anderem groß angelegte oder systematische Überwachung, sensible Daten oder Daten von Kindern, genaue Standortdaten, neue Technologien, öffentliches Matching, automatisierte Bewertung, die Zusammenführung von Datensätzen oder unumkehrbare Veröffentlichung.

Ein ungelöstes hohes Risiko muss vor Verarbeitungsbeginn an die zuständige Leitung oder das zuständige Aufsichtsorgan und, soweit erforderlich, an die zuständige Behörde weitergeleitet werden.

10. Zugriff und Sicherheit

Der Zugriff auf personenbezogene Daten wird nach Rolle und Bedarf beschränkt. GEF wählt Schutzmaßnahmen, die zum System und Risiko passen. Dazu können gehören:

• starke Authentifizierung und kontrollierter administrativer Zugriff;
• Berechtigungen nach dem Prinzip der geringsten Rechte und Aufgabentrennung;
• sichere Übertragung und angemessener Schutz gespeicherter Daten;
• unterstützte Software, Aktualisierungen, Konfigurationsprüfungen und Schwachstellenmanagement;
• Protokollierung, Überwachung, Ratenbegrenzungen und Erkennung von Missbrauch;
• geschützte Sicherungskopien, getestete Wiederherstellung und Maßnahmen zur Dienstkontinuität;
• sichere Löschung oder Vernichtung nach Ende der Aufbewahrungsfrist; und
• vertragliche Vertraulichkeits- und Sicherheitspflichten für Personal und Anbieter.

Sicherheitskontrollen werden überprüft, wenn sich Systeme, Bedrohungen oder Risiken ändern. Öffentliche Blockchain-Aufzeichnungen erfordern andere Schutzmaßnahmen, weil bestätigte Aufzeichnungen in der Regel weder geändert noch gelöscht werden können.

11. Dienstleister, Partner und Übermittlungen

Bevor GEF einem Dienstleister Zugriff auf personenbezogene Daten gewährt, prüft GEF Zweck, Notwendigkeit, Sicherheit, Standort, Weitergabe, Löschung und die Fähigkeit, gesetzliche Pflichten zu unterstützen. Schriftliche Bedingungen müssen die erlaubte Verarbeitung, Vertraulichkeit, Sicherheit, Meldung von Vorfällen, Unterauftragsverarbeitung, Unterstützung, Rückgabe oder Löschung und, soweit erforderlich, Aufsicht regeln.

Eine Partnerschaft allein macht nicht jede Organisation zum Auftragsverarbeiter. Jede Vereinbarung muss bestimmen, ob die Parteien als eigenständig Verantwortliche, gemeinsam Verantwortliche oder als Verantwortlicher und Auftragsverarbeiter handeln, und den betroffenen Personen zutreffende Informationen über diese Rollen geben.

Ein internationaler Zugriff oder eine internationale Übermittlung benötigt eine anwendbare Rechtsgrundlage und geeignete Schutzmaßnahmen. Die zuständigen Teams dokumentieren Empfänger, Zielland, Zweck, Daten, Risiken und Schutzmaßnahmen. Öffentlich veröffentlichte Informationen und öffentliche Blockchain-Daten können weltweit abgerufen werden und erfordern vor der Veröffentlichung einen klaren Hinweis.

12. Forschung, Statistiken und offene Daten

GEF unterstützt verantwortliche Forschung und offenes Lernen. Offenheit bedeutet nicht, personenbezogene Daten standardmäßig zu veröffentlichen.

Bei Forschungs- und öffentlichen Datenvorhaben muss GEF:

• Fragestellung, öffentlichen Nutzen, Rechtsgrundlage und die mindestens erforderlichen Daten festlegen;
• soweit geeignet Aggregation, Anonymisierung, Pseudonymisierung, Stichproben oder kontrollierten Zugang verwenden;
• Risiken der Re-Identifizierung und von Schäden für Gruppen bewerten, einschließlich der Kombination mit öffentlichen Daten;
• vermeiden, de-identifizierte Daten als anonym darzustellen, wenn eine Re-Identifizierung vernünftigerweise möglich bleibt;
• Einwilligung, Ethikprüfung, Vereinbarung mit der Gemeinschaft oder eine andere rechtmäßige Befugnis dokumentieren, soweit erforderlich;
• für das Vorhaben geeignete Regeln für Zugang, Weiterverwendung, Quellenangabe, Aufbewahrung, Berichtigung und Widerruf festlegen; und
• Tabellen, Karten, Darstellungen, Bilder und kleine Gruppen vor der Veröffentlichung auf unbeabsichtigte Offenlegung prüfen.

Forschende und Empfänger dürfen weder versuchen, Personen wieder zu identifizieren, noch Daten verwenden, um eine Person oder Gemeinschaft zu schädigen, zu diskriminieren, auszubeuten oder gezielt anzugreifen. GEF kann eine Veröffentlichung beschränken, berichtigen, zurückziehen oder ablehnen, wenn das Risiko nicht ausreichend beherrscht wird.

13. Richtigkeit, Berichtigung und Herkunft

Teams unternehmen angemessene Schritte, um personenbezogene Daten für ihren Verwendungszweck richtig zu halten. Personen müssen wesentliche Fehler auf praktikable Weise melden können.

Berichtigungen sollten notwendige Herkunfts-, Prüfungs- oder Streitaufzeichnungen erhalten, ohne unrichtige Informationen weiterhin als aktuell darzustellen. Kann eine öffentliche Blockchain oder eine unabhängig kontrollierte Kopie nicht geändert werden, berichtigt GEF die von ihm kontrollierte Off-Chain-Aufzeichnung und erläutert gegebenenfalls die technische Einschränkung.

14. Aufbewahrung und Entsorgung

Jedes System und jede Tätigkeit benötigt eine Aufbewahrungsregel, die auf Zweck, gesetzlichen Pflichten, Verträgen, Risiko, Verjährungsfristen, Prüfungen, Forschungsintegrität und den Rechten betroffener Personen beruht. Eine feste Frist gilt nicht allein deshalb für jede Kategorie, weil ein Partner oder ein anderes Projekt sie verwendet.

Nach Ablauf der Aufbewahrung löscht, vernichtet, aggregiert, anonymisiert oder beschränkt GEF die Daten sicher. Die Löschung von Sicherungskopien kann einem dokumentierten Austauschzyklus folgen. Eine gesetzliche Aufbewahrungspflicht, eine Kinderschutzangelegenheit, Beschwerde, Untersuchung oder ein Archiv von öffentlichem Interesse kann eine begrenzte Aufbewahrung mit eingeschränktem Zugriff verlangen.

GEF kann weder öffentliche Blockchain-Aufzeichnungen noch Kopien löschen, die von unabhängigen Dritten kontrolliert werden.

15. Rechte betroffener Personen und Beschwerden

GEF stellt ein praktikables Verfahren bereit, mit dem Personen die ihnen nach anwendbarem Recht zustehenden Rechte ausüben können. Dazu gehören, soweit anwendbar, Information, Zugang, Berichtigung, Widerspruch, Einschränkung, Widerruf einer Einwilligung, Löschung und Datenübertragbarkeit.

Anfragen sollten an [email protected] gesendet werden. GEF kann Identität und Berechtigung der anfragenden Person prüfen und antwortet innerhalb der nach anwendbarem Recht vorgeschriebenen Frist. Kann eine Anfrage nicht vollständig erfüllt werden, erläutert GEF soweit zulässig den Grund und nennt einen verfügbaren Beschwerdeweg.

Personen können sich beim Office of the Data Protection Commissioner oder einer anderen zuständigen Behörde beschweren.

16. Datenschutzvorfälle

Alle Personen, die für oder im Auftrag von GEF arbeiten, müssen einen vermuteten Verlust, unberechtigten Zugriff, eine Offenlegung, Veränderung, Zerstörung oder missbräuchliche Verwendung personenbezogener Daten unverzüglich über den vorgesehenen Meldeweg oder an die zuständige Leitung melden.

GEF wird den Vorfall eindämmen und untersuchen, betroffene Personen schützen, geeignete Beweismittel sichern, das Risiko bewerten, Entscheidungen dokumentieren und betroffene Personen, Partner, Versicherer oder Behörden benachrichtigen, soweit dies erforderlich ist. Informationen über den Vorfall dürfen nur Personen erhalten, die sie für Reaktion, Rechenschaftspflicht oder Rechtsbefolgung benötigen.

17. Schulung, Prüfung und Durchsetzung

Personal erhält seiner Rolle entsprechende Informationen über Datenschutz und Sicherheit. Rollen mit höherem Risiko erhalten zusätzliche Schulungen. GEF überprüft regelmäßig Systeme, Zugriffe, Hinweise, Anbieter, Aufbewahrung, Vorfälle und die Einhaltung dieser Richtlinie.

Ein Verstoß gegen diese Richtlinie kann zu Zugriffsbeschränkungen, Abhilfemaßnahmen, vertraglichen Rechtsbehelfen, Disziplinarmaßnahmen, der Beendigung einer Vereinbarung, einer Meldung an eine Behörde oder anderen verhältnismäßigen Maßnahmen führen.

Niemand darf benachteiligt werden, weil er in gutem Glauben Datenschutz- oder Sicherheitsbedenken äußert.

18. Überprüfung und Kontakt

GEF überprüft diese Richtlinie mindestens jährlich sowie bei wesentlichen rechtlichen, betrieblichen oder technischen Änderungen. Aktualisierte Fassungen nennen ihr Veröffentlichungs- und Inkrafttretungsdatum.

Datenschutzfragen, Anträge zur Ausübung von Rechten oder Bedenken können gerichtet werden an:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenia
[email protected]