Personenbezogene Daten in einer Abstimmung
Die offensichtlichsten personenbezogenen Daten in einer Abstimmung sind die Teilnehmerliste: die Liste der teilnahmeberechtigten Wählenden, meist mit Namen und Kontaktdaten. Der Stimmzettel selbst sollte gar keine personenbezogenen Daten sein, weil er in einem gut gestalteten System geheim ist und sich keiner Person zuordnen lässt.
Rechtsgrundlage und Datensparsamkeit
Du brauchst eine Rechtsgrundlage, um die Teilnehmerliste zu verarbeiten - oft das berechtigte Interesse, deine Abstimmungen durchzuführen, oder eine rechtliche bzw. gesetzliche Pflicht. Datensparsamkeit ist zentral: Erfasse nur, was du brauchst, um die Teilnahmeberechtigung zu prüfen und Wählende zu kontaktieren, und nichts darüber hinaus.
Geheimhaltung, Aufbewahrung und Löschung
Die Geheimhaltung von Stimmzetteln passt gut zur DSGVO: Wenn niemand einen Stimmzettel einer Wählerin oder einem Wähler zuordnen kann, existieren die sensibelsten Daten einfach nicht. Lege fest, wie lange du die Teilnehmerliste und das Nachweispaket aufbewahrst, und lösche personenbezogene Daten, wenn du sie nicht mehr brauchst.
Auftragsverarbeiter, Hosting und Transparenz
Wenn eine Plattform Daten in deinem Auftrag verarbeitet, ist sie ein Auftragsverarbeiter und du solltest eine entsprechende Vereinbarung haben. Hosting in der EU und klare Dokumentation erleichtern die Einhaltung der Vorschriften, und Wählende sollten klar erfahren, wie ihre Daten verwendet werden.