Die Anbauvereinigungen sind nach dem Cannabis-Gesetz verpflichtet, verschiedenste Daten zu ihren Mitgliedern zu dokumentieren. Darunter fallen nicht nur Namen, Geburtsdaten und Adressen, sondern auch Informationen zum Cannabisbezug.

So müssen Datum, Menge und THC-Gehalt dokumentiert und für fünf Jahre aufbewahrt werden.

Um diese Daten zu verwalten, sprießen jetzt natürlich die Dienstleisterangebote wie Pilze aus dem Boden und einer der Anbieter, der Software hierfür entwickelt ist eben Canguard.

Dabei ist aufgefallen, dass Canguarg bei seiner Software ungesicherte Schnittstellen eingesetzt hat, über die Dritte die Daten der Vereine und deren Mitglieder einsehen und verändern konnten.

Typisch ist das nicht unbedingt, allerdings sollten Entwickler von Software stets darauf achten dem Stand der Technik entsprechende Sicherheitsmaßnahmen einzusetzen, um solche Vorfälle möglichst zu vermeiden. Auch sollten sich Anbauvereinigungen, die mit dem Gedanken spielen eine solche Software einzusetzen, vorher die Software so weit wie möglich in diesen Punkten prüfen.

Zudem muss man sagen, dass das Datenleck an sich schon gravierend genug ist, der eigentliche Missstand ist aber, dass der Vorfall scheinbar nach Kenntnisnahme nicht durch das Unternehmen an die zuständige Aufsichtsbehörde gemeldet wurde, sondern diese erst durch das Tätigwerden der Presse davon erfuhr.

Pflichten von Anbauvereinigungen ergeben sich zunächst aus dem Cannabis-Gesetz selbst, davon umfasst sind Pflichten, die auf den Kinder- und Jugendschutz sowie Suchtprävention abstellen.

Datenschutzrechtlich treffen diese Vereine, dieselben Pflichten wie alle anderen Unternehmen auch, da die rechtlichen Vorgaben hier keine Unterschiede machen.

Entsprechend müssen alle bei den Vereinigungen beschäftigten Personen für das Thema Datenschutz, z. B. durch Schulungen sensibilisiert und formell auf die Vertraulichkeit der Daten verpflichtet werden.

Weitere Punkte sind zum Beispiel die Pflicht, die Mitglieder detailliert darüber aufzuklären, welche Daten von Ihnen wie verarbeitet werden, wer diese möglicherweise in die Hände bekommt und wie lange diese gespeichert werden, oder auch deren rechtlich einwandfreie Einwilligungen einzuholen.

Ansonsten müssen datenschutzrechtlich konkrete Festlegungen getroffen und festgehalten werden, was die Verarbeitung, Dokumentation und später dann auch Löschung der anfallenden Daten angeht, weil das Cannabis-Gesetz selbst zum Beispiel die Vereinigungen schon dazu verpflichtet, nicht nur Namen, und Adressen ihrer Mitglieder für fünf Jahre zu speichern, sondern auch Details zum Cannabisbezug, was zumindest gesellschaftlich in weiten Teilen wohl hochsensibel sein dürfte.

Demnach sollten Vereinigungen unbedingt sicherstellen, dass die Speicherfristen in Bezug auf diese Daten eingehalten, die Daten nach deren Ablauf dann aber auch tatsächlich gelöscht werden.

Insgesamt steht hier außerdem die Frage im Raum, ob die Erhebung solcher Daten nicht an sich bereits ein hohes Risiko für die Mitglieder des Vereins darstellt, so dass bereits aufgrund rechtlicher Vorgaben ein Datenschutzbeauftragter gegenüber der Aufsichtsbehörde benannt werden muss.

Kifferclubs, wie Sie sie nennen, können durchaus geeignete Datenhüter sein, wenn den Betreibern solcher Vereinigungen bewusst ist, wie sensibel die Daten mit denen sie da umgehen eigentlich sind und welche Folgen drohen können.

Denn wenn man die Regelungen des Cannabis-Gesetzes mal auf den regelmäßigen Kneipengang überträgt, dürfte vielen eigentlich erst klar werden, welche Detailinformationen dokumentiert werden müssen.

So würde beispielsweise genau erfasst werden, wann und welche Art von Getränken mit welchem Alkoholgehalt jemand in seiner Stammkneipe zu sich genommen hat. 

Man muss sich einmal vorstellen, was es für einen Aufschrei gäbe, wenn eine solche Pflicht plötzlich für jede Bar eingeführt werden würde.