Anpassen der Webseite
Bereits gemacht:
ToDo:
- Anmeldung verschlüsselt verschicken (am besten Plain)
- Einwilligung, dass Newsletter für den Stadtrat verschickt werden dürfen
- Cookies auf der Webseite/im Liquid -> Opt-In (incl. Erklärung wofür diese benutzt werden?)
- Verfahrensverzeichnis zur Datenverarbeitung müssen wir neu anlegen
- Anmeldeformulare mit Datenschutzunterrichtung versehen
Unnötig:
- DSB -> erst ab einer Anzahl von 10 Leuten die mit der Datenverarbeitung zu tun haben notwendig
- Frage: wie viele Personen sind bei uns mit DV beschäftigt? Was ist DV genau?
Zu Klären:
- Speicherung von politischen Meinungen -> vorgehen
Mail am DSB Thüringen
Sehr geehrter Herr Haas, sehr geehrte Mitarbeiter*innen,
wir vom Demokratielabor e.V. möchten uns Ihnen vorstellen und klären, was wir bei unserem Projekt "Liquid Erfurt" aus der Sicht des Datenschutzes noch beachten und anpassen müssen. Vor allem vor dem Hintergrund der neuen Datenschutzverordnung der EU, die seit 25. Mai diesen Jahres ihre Anwendung findet.
Der Demokratielabor e.V. ist ein im Jahr 2013 unter dem Namen „Liquid Erfurt e.V.“ gegründeter Verein, der es sich zur Aufgabe gemacht hat, Beteiligungsplattformen im Internet anzubieten. Dabei bieten wir seit Juni 2014 eine Plattform für die Einwohner*innen der Stadt Erfurt an, in der sie zu Themen des Stadtrates abstimmen, und ihre Meinung sagen kundtun und Verbesserungsvorschläge machen können.
https://lqfb.liquid-erfurt.de/
Zur technischen Umsetzung Realisierung dieser Plattform setzen wir auf die Software „Liquid Feedback“, die wir in der Version 3.2.1 benutzen. Liquid Feedback ist ein Open-Source-Projekt der Public Software Group e.V., deren Webauftritt Sie hier finden: https://liquidfeedback.org/
Um die Datensicherheit und technische Integrität der Plattform zu gewährleisten, befolgen wir die üblichen IT-Sicherheitskonzepte (regelmäßige Updates, so wenig Zugriffsrechte wie nötig, automatische Backups, etc.).
Als Startseite zu unserer Plattform ist ein Blog mittels WordPress vorgeschaltet. Dort informieren wir die Nutzenden und Interessierte über Themen über die Plattform, Beteiligung sowie Aktuelles rund um die Kommunalpolitik in Erfurt. Auch veröffentlichen wir hier die Antworten zu Einwohneranfragen, die aus der Plattform entstanden sind. Es gilt dort folgende Datenschutzerklärung: https://www.liquid-erfurt.de/datenschutzerklaerung/
Auf der Plattform "Liquid Erfurt" werden bei den folgenden Vorgängen Daten verarbeitet:
Registrierung
Im Moment ist die Registrierung zur Klärung aller Datenschutzbelange ausgesetzt.
Um die Plattform nutzen zu können, müssen sich Interessierte registrieren. Zu diesem Zweck gibt eine die interessierte Person ihren Namen, Vornamen, Straße, Hausnummer, Postleitzahl, Wohnort und Geburtsdatum in ein Online-Formular auf der Website https://www.liquid-erfurt.de/ ein, welches verschlüsselt an die mit der Registrierung beauftragten Personen übermittelt wird.
Die Erhebung des Geburtsdatums erfolgt, um sicherzustellen, dass nur Personen ab 14 Jahren auf der Plattform mitwirken können. Das Mindestalter von 14 Jahren wurde in Anlehnung an das in dem Thüringer Gesetz über das Verfahren bei Einwohnerantrag, Bürgerbegehren und Bürgerentscheid (ThürEBBG) § 2 Abs. 2 genannte Mindestalter für Einwohneranträge gewählt. Bei Interessierten unter 16 Jahren verweigert das Formular die Übertragung der Daten und verweist auf den offline Registrierungsantrag in Papierform. Auf diesem ist die Unterschrift eines Erziehungsberechtigten erforderlich.
Die Wohnadresse wird verwendet, um zu verifizieren, dass die interessierte Person in Erfurt wohnt und damit berechtigt ist, auf der Plattform abzustimmen. Diese Verifizierung erfolgt durch postalische Zustellung eines Registrierungsschlüssels, der auf der Plattform eingegeben werden muss, um die Registrierung abzuschließen.
Nach Eingabe des Registrierungsschlüssels muss die Person eine E-Mailadresse, einen Anmelde- und einen Anzeigenamen sowie ein Passwort hinterlegen. Anmeldename und Passwort werden nur für den Login verwendet, während der Anzeigename bei Aktivität auf der Plattform anderen Nutzern angezeigt wird. Die E-Mail-Adresse wird für automatische Benachrichtigungen (wenn diese angefordert wurden), zum Zurücksetzen des Kennworts sowie für Benachrichtigungen über Neuigkeiten auf der Plattform (dasselbe wie autom. Benachrichtigungen?) verwendet. Diese Adresse wird nicht veröffentlicht. Nach Abschluss der Registrierung wird eine E-Mail mit einem Link zum Bestätigen der E-Mailadresse versendet. Auf der Plattform werden nur die Daten zu Name, Vorname sowie gegebenenfalls freiwillig eingestellte Profilinformationen und Nutzerfotos angezeigt. Die übrigen zur Registrierung erhobenen Daten werden auf elektronischen Medien (nicht online) gespeichert. Die Speicherung des Namens und der Adresse ist notwendig, um Mehrfachanmeldungen zu vermeiden und eventuelle Gesetzesverstöße der Nutzenden zu verfolgen. Diese Daten werden in einer verschlüsselten Virtuellen Maschine gespeichert, auf die nur die Personen Zugriff haben, die die Registrierungen bearbeiten.
Um sich registrieren zu können, müssen die Nutzungsbedingungen und die Datenschutzerklärung der Plattform akzeptiert werden.
https://wiki.demokratielabor.net/projekte:liquiderfurt:nutzung-liquid
https://wiki.demokratielabor.net/projekte:liquiderfurt:datenschutzerklaerung
Nutzung der Plattform
Da nicht der Eindruck einer nach den Wahlgrundsätzen nicht realisierbaren geheimen Online-Abstimmung entstehen soll, werden die Nutzenden gebeten, bürgerliche Namen zu verwenden. Die Verwendung eines frei wählbaren Synonyms ist möglich. Auf der Plattform können die Nutzenden über Stadtratsanträge diskutieren, abstimmen und eigene Alternativanträge, sogenannte Initiativen, einbringen. Für eingeloggte Nutzende ist ersichtlich, wer einen Diskussionsbeitrag verfasst, einen Alternativantrag gestellt und wer wie abgestimmt hat. Nicht angemeldete Personen sehen keine privaten Informationen der Teilnehmenden, sondern nur Abstimmungsergebnisse bzw. Diskussionsbeiträge.
Das System ermöglicht die Delegation der eigenen Stimme auf andere Nutzende. Der Erhalt von Delegationen ist jedoch grundsätzlich nur möglich, wenn ein bürgerlicher Name verwendet wird. Möchte ein*e Nutzer*in wieder ohne bürgerlichen Namen auftreten, so wird dies von der Administration ermöglicht. Dabei werden ggf. bestehende Delegationen deaktiviert.
Die Nutzenden der Plattform können über die Plattform Einwohneranfragen stellen einreichen, die der Verein stellvertretend an die Verwaltung stellt. Als Verfasser wird stellvertretend der Vorstand des Vereins genannt, wenn nicht explizit anders gewünscht.
Beendigung der Nutzung der Plattform
Wenn registrierte Nutzende Personen die Bürgerbeteiligungsplattform nicht mehr nutzen möchten, können sie ihr Konto deaktivieren lassen. Dabei werden all ihre personenbezogenen Daten entfernt, ihre Abstimmungsergebnisse und Kommentare jedoch werden in pseudonymisierter Form weiterhin angezeigt, um die Integrität und Nachvollziehbarkeit der Ergebnisse zu erhalten.
Dazu unsere Fragen an Sie als Datenschutzbeauftragten:
1. Ist unsere Vorgehensweise im Sinne der DSGVO und des BDSG korrekt oder müssen wir noch weitere Anpassungen vornehmen?
2. Benötigen wir eine*n bestellte*n Datenschutzbeauftragte*n, da wir Daten nach Art. 9 Abs 1 der DSGVO verarbeiten, obwohl weniger als 10 Menschen mit der Bearbeitung der Daten befasst sind?
3. Derzeit diskutieren die Mitglieder des Demokratielabor e.V. eine Verlegung des Vereinssitzes nach Berlin. Wenn der Verein seinen Sitz nach Berlin verlegt, aber immer noch die Plattform "Liquid Erfurt" für die Erfurter Einwohner*innen von Berlin aus anböte, ist wäre dann die Datenschutzbehörde für Thüringen dafür zuständig oder die für Berlin?
Wenn möglich, würden wir die Punkte gern in einem persönlichen Gespräch klären. Dies gilt ebenso für weitere Fragen Ihrerseits.
Zuletzt möchten wir Sie noch auf folgende Einschätzungen zu ähnlich gelagerten Fällen hinweisen:
Der Berliner Beauftragte für Datenschutz und Informationsfreiheit hat sich am 07. Januar 2011 zur Nutzung von Liquid Feedback bei der Piratenpartei geäußert (GeschZ: 521.5540.8). Die Brandenburger Beauftragte für Datenschutz und Informationsfreiheit befasste sich mit dem Einsatz von Liquid Feedback bei der Partei Glitzerkollektiv.de (leider kein GeschZ bekannt).
Wir verweisen außerdem auf die Einschätzung des Berliner Beauftragten für Datenschutz und Informationsfreiheit im Zusammenhang mit der Piratenpartei und Liquid Feedback vom 07. Januar 2011 (GeschZ: 521.5540.8) und die Einschätzung der Brandenburger Beauftragten für Datenschutz und Informationsfreiheit im Zusammenhang mit der Partei Glitzerkollektiv.de (leider kein GeschZ bekannt).
Mit freundlichen Grüßen
der Vorstand des Vereins Demokratielabor e.V.
CB, AG, TS, US