Die DSGVO im Förderwesen: Wie Förderer die personenbezogenen Daten von Antragstellern rechtskonform verarbeiten

Inwiefern gilt die DSGVO für Förderprogramme?

Die Datenschutz-Grundverordnung (DSGVO) findet immer dann Anwendung, wenn im Rahmen eines Förderprogramms personenbezogene Daten von Personen in der EU oder im EWR erhoben werden. Dies umfasst einen Großteil der in einem Antrag enthaltenen Angaben: Namen der Antragsteller, Kontaktdaten, Lebensläufe, finanzielle Informationen und mitunter auch Daten besonderer Kategorien, wie beispielsweise Angaben zur Gesundheit oder zu demografischen Merkmalen.

Der Geltungsbereich ist weitreichend. Ein Förderer, der personenbezogene Daten von Personen in der EU verarbeitet, unterliegt der DSGVO, unabhängig davon, wo der Förderer selbst ansässig ist; daher fallen internationale Förderer selten allein aufgrund ihres Hauptsitzes in einem anderen Land aus dem Geltungsbereich heraus.

‍

Welche Anforderungen stellt die DSGVO an einen Geldgeber?

Die Rechtsgrundlage bildet die rechtmäßige Grundlage für die Datenverarbeitung. Gemäß Artikel 6 muss ein Förderer eine gültige Rechtsgrundlage angeben können – in den meisten Fällen handelt es sich dabei um die Einwilligung des Antragstellers, eine vertragliche Notwendigkeit oder eine gesetzliche Verpflichtung – und sollte vor der Erhebung von Daten feststellen und dokumentieren, welche Rechtsgrundlage zutrifft, anstatt davon auszugehen, dass die Einwilligung für alle Fälle gilt.

Über die Rechtsgrundlage hinaus schreibt die DSGVO die Datenminimierung vor (d. h. die Erhebung nur der Daten, die tatsächlich erforderlich sind), Transparenz hinsichtlich der Verwendung der Daten, festgelegte Aufbewahrungsfristen sowie die Wahrung der Rechte der betroffenen Personen, einschließlich der Möglichkeit, personenbezogene Daten auf Antrag zu löschen.

‍

Inwiefern unterscheidet sich die DSGVO von der Sorgfaltspflicht?

Beide Begriffe werden leicht miteinander verwechselt, betreffen jedoch gegensätzliche Aspekte. Bei der DSGVO geht es um den Schutz des Antragstellers: darum, wie dessen personenbezogene Daten erhoben, gesichert und aufbewahrt werden. Bei der Sorgfaltsprüfung geht es um die Überprüfung des Antragstellers: Es muss sichergestellt werden, dass ein potenzieller Förderempfänger legitim und für eine Förderung geeignet ist.

Ein Programm benötigt beides, und diese beiden Aspekte können in gegensätzliche Richtungen wirken. Im Rahmen der Sorgfaltspflicht möchte man möglicherweise mehr Informationen über einen Antragsteller einholen, während die DSGVO darauf abzielt, nur die unbedingt notwendigen Daten zu erheben – genau diese Art von Spannungsverhältnis soll durch eine dokumentierte Datenrichtlinie aufgelöst werden.

‍

Einbindung der DSGVO-Konformität in eine Förderplattform

Die manuelle Abwicklung dieser Verpflichtungen ist anfällig für Fehler. Eine Softwareplattform für das Fördermittelmanagement integriert diese Funktionen: Rollenbasierte Zugriffsrechte legen fest, wer Antragstellerdaten einsehen darf, Aufbewahrungsvorschriften können automatisch durchgesetzt werden, und jede Aktion wird im Prüfpfad protokolliert, sodass die Einhaltung der Vorschriften eine Eigenschaft des Systems ist und nicht von der Disziplin einzelner Personen abhängt.