Dear Rotarians,

Attached to this email are sample resources to assist your club and district in complying with the requirements of the General Data Protection Regulation (GDPR).  These resources are:

1. Records of Processing Activities (English)

2. Transfer Impact Assessment (English and German)

3. Notice of Consent (English and German)

4. Privacy notice to be incorporated in your district’s privacy notice (English and German)

5. Standard Contractual Clauses template (English with German available on the website)

6. Rotary’s Technical and Organizational Measures (English)

We are also including an instruction page to further assist you in completing these documents.

Some points to note:

• These forms and advice are current as of today and are subject to change.

• These resources are samples only and we continue to recommend that you consult with local legal counsel as to these and any other types of requirements that may be needed.

• It is up to the individual clubs and districts whether they wish to participate in Rotary Youth Exchange and other Rotary youth programs and activities.  It is not mandatory for clubs and districts to participate in any youth program or activity and it is not required that you use these documents.

Thank you again for your commitment to Rotary’s youth protection policies and to Rotary’s youth programs. Please feel free to distribute these documents as needed.

Maureen

Maureen Ninneman

Deputy General Counsel

Tel 1.847.866.3045

rotary.org 

ROTARY INTERNATIONAL | One Rotary Center | 1560 Sherman Ave. | Evanston, IL 60201 USA

 

Sinn und Zweck der Regelungen für den internationalen Datentransfer ist die Gewährleistung eines umfassenden Schutzes des Grundrechts auf Datenschutz (Artikel 8 der EU-Grundrechtecharta): Der innerhalb der Europäischen Union und des Europäischen Wirtschaftsraums gewährleistete hohe Datenschutzstandard soll nicht dadurch ausgehöhlt werden, dass personenbezogene Daten ohne angemessene Schutzvorkehrungen in Drittländer übermittelt werden können.

Für einen Drittstaatstransfer müssen zunächst die allgemeinen Regelungen der Datenschutz-Grundverordnung eingehalten sein (Artikel 44 Datenschutz-Grundverordnung). Insbesondere muss eine Rechtsgrundlage für die Datenübermittlung in der Datenschutz-Grundverordnung oder im nationalen Datenschutzrecht bestehen.

Zusätzlich muss für eine Datenübermittlung in ein Drittland eine der nachstehenden Bedingungen erfüllt sein:

• Vorliegen eines Angemessenheitsbeschlusses der Europäischen Kommission nach Artikel 45 Datenschutz-Grundverordnung. Beschlüsse der Europäischen Kommission über ein angemessenes Schutzniveau liegen zum Beispiel für Argentinien, die Schweiz, Kanada, Neuseeland, Uruguay, Japan und Südkorea vor.

• Vorliegen geeigneter Garantien (Artikel 46 Datenschutz-Grundverordnung), insbesondere in Form von

  • verbindlichen internen Datenschutzvorschriften (Binding Corporate Rules),

  • Standarddatenschutzklauseln oder

  • genehmigten Verhaltensregeln oder eines genehmigten Zertifizierungsmechanismus.

• Vorliegen einer Ausnahme nach Artikel 49 Datenschutz-Grundverordnung, insbesondere:

  • bei Vorliegen einer ausdrücklichen Einwilligung der betroffenen Person,

  • zum Schutz lebenswichtiger Interessen der betroffenen Person,

  • bei Erforderlichkeit zur Vertragserfüllung,

  • aus wichtigen Gründen eines öffentlichen Interesses,

  • zur Verfolgung von Rechtsansprüchen oder

  • zur Wahrung zwingender berechtigter Interessen des Verantwortlichen.

Die  SCCs bieten verschiedene Möglichkeiten , sowohl gegenüber dem Datenexporteur als auch gegenüber dem Datenimporteur  Rechtsmittel einzulegen . Insbesondere können Sie, auch wenn Sie keine Partei der SCCs sind, als Drittbegünstigte diejenigen Klauseln durchsetzen, die  spezifische Schutzbestimmungen für die Verwendung Ihrer Daten enthalten   (siehe Klausel 3 der SCCs).

Erstens haben Sie die Möglichkeit, eine Beschwerde direkt beim Datenimporteur einzureichen  , der eine spezielle Kontaktstelle für die Bearbeitung von Beschwerden benannt haben sollte (siehe Klausel 11(a) der SCCs). Wenn der Datenimporteur die Möglichkeit bietet, eine Beschwerde bei einer  unabhängigen Streitbeilegungsstelle einzureichen , können Sie sich auch an diese Stelle wenden.

Zweitens haben Sie die Möglichkeit, bei der Datenschutzbehörde des
EWR-Landes, in dem Sie ansässig sind, Beschwerde einzulegen  . Sie können eine solche Beschwerde direkt gegen den Datenimporteur einlegen
, wenn Sie der Ansicht sind, dass dieser gegen die SCCs verstoßen hat (siehe Klausel 11(c) der SCCs) oder
gegen den Datenexporteur, wenn Sie der Ansicht sind, dass er Ihre Daten unrechtmäßig verarbeitet hat (siehe Artikel 77 der DSGVO).

Drittens können Sie  gerichtlich  gegen die Parteien der SCCs vorgehen, um beispielsweise
Unterlassungsansprüche oder Schadensersatz zu erwirken. Insbesondere haften die Parteien der SCCs
für alle materiellen oder immateriellen Schäden, die Ihnen durch die Verletzung der Bestimmungen der
SCCs entstehen, die Schutzmaßnahmen für den Umgang mit Ihren Daten vorsehen oder bestimmte Rechte gewährleisten (siehe Klausel 12 der SCCs). Solche Klagen können vor dem zuständigen Gericht des EWR-Landes (wie
durch nationales Recht bestimmt) erhoben werden, in dem Sie leben, oder vor den Gerichten im EWR, die von den Parteien der SCCs benannt wurden
(siehe Klausel 18(b) und (c) der SCCs).

Besondere Regeln gelten, wenn Ihre Daten von einem Dienstleister im EWR  übermittelt wurden  , der im Auftrag eines Nicht-EWR-Unternehmens handelt . In diesem Fall haben Sie die Möglichkeit, eine Beschwerde direkt beim Datenimporteur (d. h. dem Verantwortlichen außerhalb des EWR) oder, sofern vorhanden, bei einer unabhängigen Streitbeilegungsstelle einzureichen
(siehe Modul 4, Ziffer 11). Sie können sich auch an den Datenexporteur im EWR wenden, der
bei der Bearbeitung Ihres Anliegens mit dem Datenimporteur zusammenarbeiten muss (siehe Modul 4, Ziffer 10). Darüber
hinaus können Sie  vor Gericht gegen die Parteien Klage erheben  , um eine einstweilige Verfügung zu erwirken oder Schadensersatz zu fordern (siehe Modul 4, Ziffer 18, zusammen mit Ziffer 3). Solche Klagen können vor den Gerichten erhoben werden, die von den Parteien der SCCs benannt wurden.

Abschließend ist anzumerken, dass die oben genannten Möglichkeiten, Rechtsbehelfe zu erlangen, nur
diejenigen betreffen, die im Rahmen der SCCs selbst zur Verfügung stehen.  Dies berührt nicht die Möglichkeit für
Einzelpersonen, auf Grundlage der DSGVO Rechtsbehelfe gegen den Datenexporteur zu erlangen . Insbesondere haben Einzelpersonen immer das Recht, bei einer nationalen Datenschutzbehörde Beschwerde einzulegen (Artikel 77 der DSGVO) und einen gerichtlichen Rechtsbehelf einzulegen (Artikel 79 der DSGVO), was den Umgang des Datenexporteurs mit ihren Daten betrifft.