Sist oppdatert: 30.05.2026
1. Hva gjelder denne erklæringen
Denne personvernerklæringen gir informasjon om hvordan vi i Oslo BDSM behandler personopplysninger om deg. Med personopplysninger mener vi informasjon som kan knyttes til fysiske personer.
Vi tar ditt personvern på alvor og behandler personopplysninger i samsvar med personopplysningsloven og personvernforordningen («GDPR»).
Oslo BDSM, ved styret, er behandlingsansvarlig for personopplysningene vi behandler om deg. Se punkt 7 for kontaktinformasjon.
2. Hvilke personopplysninger behandler vi om deg og hvorfor gjør vi det?
2.1. Generelt
Vi samler inn personopplysninger om deg til følgende formål:
2.1.a. Medlemsadministrasjon
Vi behandler dine opplysninger for å administrere ditt medlemskap i Oslo BDSM. Dette omfatter blant annet registrering i medlemsregisteret, kommunikasjon og informasjonsdeling, behandling og bokføring av medlemskontingent og utstedelse av digitalt medlemskort.
Vårt rettslige grunnlag for behandlingen av dine opplysninger er:
- Berettiget interesse i å følge opp medlemskapet ditt og gi deg mulighet til å delta i aktiviteter, jf. GDPR art. 6 nr. 1 bokstav f.
- Behandlingen er nødvendig for å oppfylle våre rettslige forpliktelser etter bokføringsloven, jf. GDPR art. 6 nr. 1 bokstav c.
- Samtykke, jf. GDPR art. 9 nr. 2 bokstav a, som unntak fra GDPR art. 9 nr. 1. Se punkt 2.2 om særlige kategorier personopplysninger.
Trekkes samtykket, kan vi ikke levere medlemskap, og det blir kansellert i tråd med medlemsavtalen.
Vi samler inn følgende personopplysninger om deg i forbindelse med medlemsadministrasjon:
- Fullt navn
- E-postadresse
- Fødselsdato
- Alias
- Hvis oppgitt; brukernavn på FetLife
- Medlemsnummer
Vi gjør det mulig å oppgi FetLife-kallenavn fordi mange medlemmer foretrekker å bruke det heller enn navnet sitt i ulike sammenhenger, og ønsker at vi skal kunne vite hvem de er basert på kallenavnet. Har et medlem gitt valgfritt samtykke til bekreftelse av medlemskap overfor andre foreninger, har vi mulighet til å bruke FetLife-kallenavnet istedenfor navn i tilfeller der det er tilstrekkelig og kan ivareta anonymiteten bedre.
Medlemsregisteret inneholder personopplysninger om:
- Nåværende medlemmer med et aktivt medlemskap hos Oslo BDSM.
- Tidligere medlemmer, i opp til seks måneder etter utløpt medlemskap.
Lagring etter utløpt medlemskap er nødvendig for å tillate fornyelser en viss periode uten at det tidligere medlemmet må søke medlemskap på nytt. Det gjør det også mulig for oss å identifisere kontingenter som kommer inn etter utløpt medlemskap. E-poster med påminnelse om fornyelse av medlemskap sendt til medlemmer informerer om lagringstiden, og at de kan be om å slettes tidligere.
Noen ganger blir vi dessverre nødt til å utestenge medlemmer eller andre personer på grunn av uakseptabel opptreden, og dermed ha identifiserende opplysninger i en generell liste over uønskede personer, for å hindre medlemskap og at vedkommende kan bli med på arrangementer og andre aktiviteter i regi av foreningen. Slik oppbevaring har hjemmel i GDPR art. 6 nr. 1 bokstav f (berettigede interesser), begrunnet vårt behov for å ivareta tryggheten i miljøet vårt. Registeret er ikke knyttet til medlemskap, BDSM-tilhørighet, seksuelle forhold, eller annet som gjør at oppføringene må anses som særlige kategorier personopplysninger. I tilfeller hvor en oppføring har grunn til å inneholde særlige kategorier personopplysninger, skal det alltid dokumenteres hvilket unntak etter GDPR art. 9 nr. 2 som er benyttet.
2.1.b. Arrangementspåmelding
Vi behandler personopplysninger om deg når du melder deg på et arrangement i regi av Oslo BDSM.
Vårt rettslige grunnlag for behandlingen av dine opplysninger er:
- Berettiget interesse i å kunne administrere arrangementet, kommunisere med deltakerne og sikre en forsvarlig gjennomføring, jf. GDPR art. 6 nr. 1 bokstav f.
- Behandlingen er nødvendig for å oppfylle våre rettslige forpliktelser etter bokføringsloven, jf. GDPR art. 6 nr. 1 bokstav c.
- Samtykke, jf. GDPR art. 9 nr. 2 bokstav a, som unntak fra GDPR art. 9 nr. 1. Se punkt 2.2 om særlige kategorier personopplysninger.
Trekkes samtykket, kan du ikke delta på arrangementet.
Vi samler inn følgende personopplysninger om deg når du melder deg på et arrangement:
- Fornavn
- Etternavnsbokstav
- E-postadresse
- Betalingsmåte
- Evt. opplysninger som kan være relevant for spesifikke arrangementer, f.eks. kallenavn, rolle, allergier (ved felles matservering)
Opplysninger om fullt navn vil komme frem i Vipps eller bank, hvor kun utvalgte verv med behov har tilgang.
2.1.c. Frivillighet (registrering, kontakt og administrasjon)
Vi behandler personopplysninger om deg dersom du er, eller ønsker å bli frivillig i Oslo BDSM. Formålet er å kunne koordinere frivillig innsats, planlegge vakter/oppgaver, følge opp frivillige og gi nødvendig informasjon i forbindelse med frivilligrollen.
Vårt rettslige grunnlag for behandlingen av dine opplysninger er:
- Berettiget interesse i å administrere og følge opp frivillige på en forsvarlig måte, jf. GDPR art. 6 nr. 1 bokstav f.
- Samtykke, jf. GDPR art. 9 nr. 2 bokstav a, som unntak fra GDPR art. 9 nr. 1. Se punkt 2.2 om særlige kategorier personopplysninger.
Trekkes samtykke, kan du ikke være frivillig.
Hvilke opplysninger vi behandler (typisk):
- Fornavn og første bokstav av etternavn
- E-postadresse
- Discord-kallenavn
- Frivilligroller/interesseområder, tilgjengelighet og relevant «frivilliginfo» (f.eks. kompetanse/kvalifikasjoner)
- Medlemsnummer
- Frivilligpoeng
- Betalingsinformasjon (kun ved utbetaling av utlegg eller vaskepenger)
2.1.d. Besvare henvendelser
Når du kontakter oss, behandler vi personopplysninger om deg for å kunne besvare og følge opp henvendelsen din.
Vårt rettslige grunnlag for behandlingen av dine opplysninger er:
- Berettiget interesse i å gi deg relevant informasjon og hjelpe deg med det du etterspør, jf. GDPR art. 6 nr. 1 bokstav f.
Vi samler inn følgende personopplysninger om deg i forbindelse med henvendelser:
- E-postadresse ved e-posthenvendelser, kallenavn ved henvendelser via FetLife/Discord.
- Eventuelle personopplysninger som kommer frem av kommunikasjonen.
2.1.e. Bruk av nettsiden vår
Nettsiden vår kan brukes uten innlogging eller registrering, og vi bruker ikke informasjonskapsler (cookies) eller analyseverktøy. Vi lagrer derfor ingen personopplysninger om besøkende via nettsiden.
2.1.f. Dele medlemsinformasjon med andre foreninger
I forbindelse med samarbeid med andre BDSM og/eller fetisjforeninger i Norge kan Oslo BDSM bekrefte om et medlem har gyldig medlemskap. Normalt begrenses dette til medlemsstatus, utløpsdato, og i noen tilfeller medlemsnummer og/eller kallenavn. Trengs det ytterligere opplysninger, slik som fullt navn eller e-post, vil medlemmet bes om eksplisitt samtykke først.
Vårt rettslige grunnlag hvis det trengs ytterligere opplysninger:
- Samtykke, jf. GDPR art. 6 nr. 1 bokstav a.
- Samtykke, jf. GDPR art. 9 nr. 2 bokstav a, som unntak fra GDPR art. 9 nr. 1. Se punkt 2.2 om særlige kategorier personopplysninger.
Uten samtykke kan det hende at samarbeidende foreninger ikke vil levere sitt tilbud til deg.
2.1.g. Varsler, bekymringsmeldinger og varslingssaker
Vi behandler personopplysninger om deg dersom vi mottar et varsel eller en bekymringsmelding som gjelder deg, eller dersom det opprettes en varslingssak.
Vårt rettslige grunnlag for behandlingen av dine opplysninger er:
- Berettiget interesse i å kunne motta, vurdere og følge opp slike saker på en forsvarlig måte, jf. GDPR art. 6 nr. 1 bokstav f.
- Fastsette, gjøre gjeldende eller forsvare rettskrav, jf. GDPR art. 9 nr. 2 bokstav f, som unntak fra GDPR art. 9 nr. 1. Se punkt 2.2 om særlige kategorier personopplysninger.
Vi kan behandle følgende personopplysninger om deg i slike saker:
- Navn, kallenavn, medlemsnummer eller andre identifiserende opplysninger
- Kontaktopplysninger
- Opplysninger som fremgår av klagen, tipset, varselet eller bekymringsmeldingen
- Opplysninger som fremkommer under vår vurdering og oppfølging av saken
- Beslutninger, begrunnelser og annen dokumentasjon knyttet til saken
Vi behandler ikke flere opplysninger enn nødvendig for formålet. Dersom vi mottar opplysninger som ikke er nødvendige, vil vi så langt mulig begrense videre bruk, redigere ned eller slette dem.
2.1.h. Deling av utestengelser med andre foreninger
Ved vedtak om utestengelse fra vår forening vil det gjøres en konkret vurdering om forholdet er av en slik karakter at utestengelsen skal deles med andre foreninger. I slike tilfeller vil det gjøres et eget vedtak, som dokumenterer vår interesseavveiing opp mot dine grunnleggende rettigheter.
Vårt rettslige grunnlag for behandlingen av dine opplysninger er:
- Berettiget interesse i å ivareta et trygt miljø, jf. GDPR art. 6 nr. 1 bokstav f.
En slik deling vil kun inneholde det nødvendige, typisk fullt navn, fødselsdato, e-post, lengde på utestengelse og en generell kategorisering av bruddet som førte til utestengelsen. Vi utelater informasjon om at du er medlem, deltaker på arrangement, kallenavn på FetLife og andre særlige kategorier personopplysninger.
I tilfeller hvor vi selv mottar informasjon om utestengelser fra andre foreninger, begrenser vi opplysningene vi oppbevarer til det som er nødvendig. Dette inkluderer ikke særlige kategorier personopplysninger, med mindre det foreligger et dokumentert unntak etter GDPR art. 9 nr. 2.
I noen tilfeller vil vi dele informasjon med andre foreninger i den grad det er nødvendig for å avverge overgrep eller vold, se GDPR artikkel 6 nr. 1 bokstav c, jf. avvergingsplikten i strl. § 196. Dette gjelder også særlige kategorier av personopplysninger og opplysninger om straffbare forhold, jf. GDPR artikkel 9 nr. 2 bokstav c (vitale interesser) og bokstav g (allmenne interesser).
2.2. Særlige kategorier personopplysninger
Under personvernforordningen («GDPR») artikkel 9 regnes opplysninger om seksuell legning eller seksuelle forhold som «særlige kategorier personopplysninger», og er i utgangspunktet forbudt å behandle uten et gyldig unntak etter GDPR art. 9 nr. 2. Selv om for eksempel et navn eller en e-post i seg selv ikke sier noe om seksuelle forhold, er konteksten det behandles i avgjørende. For å ta et konkret eksempel: Når navn og e-post ligger i et medlemsregister i en BDSM-forening, regnes de som særlige kategorier personopplysninger fordi medlemskap sier noe om BDSM-tilknytning, og dermed blir en opplysning om seksuelle forhold.
Vi tar derfor utgangspunkt i at det meste av personopplysninger vi behandler i Oslo BDSM må regnes som særlige kategorier personopplysninger, at de må behandles med særskilt varsomhet og med riktig unntak jf. GDPR art. 9 nr. 2. Der vi ber om samtykke til behandling eller deling av slike opplysninger, er det for å bruke eksplisitt samtykke etter GDPR art. 9 nr. 2 bokstav a som unntak fra forbud mot å behandle særlige kategorier personopplysninger.
Bruk av GDPR art. 9 nr. 2 bokstav f (rettskrav) ifbm. varsler, bekymringsmeldinger og varslingssaker kan gjelde både under den interne, utenrettslige behandlingen av saken og dersom saken senere blir gjenstand for klage, krav, rettslig prosess eller annen formell prøving. Fortalepunkt 52 spesifiserer unntaket også omfatter «utenrettslige prosesser», som da omfatter vår forenings system for varslingssaker og anker, hjemlet i våre vedtekter og retningslinjer. Datatilsynet omtaler bruk av GDPR art. 9 nr. 2 bokstav f i en sluttrapport fra sandkasseprosjekt som omhandler en tipstelefon.
Unntak for å behandle personopplysninger om straffbare forhold mv., følger av GDPR art. 9 nr. 2 bokstav c (vitale interesser) og bokstav g (allmenne interesser).
3. Hvem mottar dine personopplysninger?
Vi benytter eksterne leverandører til å utføre visse oppgaver for oss. Når disse leverandørene behandler personopplysninger på våre vegne, opptrer de som databehandlere. Disse databehandlerne behandler kun dine personopplysninger i samsvar med våre instruksjoner og til de formålene som er beskrevet i punkt 2.
I noen tilfeller kan personopplysninger bli overført til databehandlere utenfor Det europeiske økonomiske samarbeidsområdet (EØS). Slik overføring skjer alltid i tråd med gjeldende personvernlovgivning. Vi sørger for at opplysningene kun overføres til land som EU-kommisjonen har anerkjent som å ha et tilstrekkelig beskyttelsesnivå, eller til databehandlere som tilbyr nødvendige garantier for informasjonssikkerhet og personvern, for eksempel gjennom bruk av standard personvernbestemmelser (SCCs) vedtatt av EU-kommisjonen.
Vi deler for øvrig informasjon også med andre foreninger, for å gi deg mulighet til å delta på interessante arrangementer og få ulike tilbud.
Følgende virksomheter mottar informasjon fra oss:
| Navn på virksomhet | Aktiviteter/tjenester | Sendes til tredjestater (utenfor EU/EØS) |
|---|---|---|
| Google (Google Workspace: Gmail, Drive, Forms, Sheets, Apps Script) | E-post, dokumentlagring, skjema og lister (innmelding, frivilligregister, påmeldinger). | Ja (kan forekomme) |
| DNB | Banktjenester (inn- og utbetalinger, kontoutskrifter). | Nei |
| Vipps | Betalinger (transaksjoner, kvittering/oppgjør). | Nei (normalt) |
| Zettle (PayPal) | Kortterminal/betaling ved arrangementer (transaksjoner, kvittering/oppgjør). | Ja (kan forekomme) |
| Visma (eAccounting) | Regnskap, bilag, rapportering. | Nei (normalt) |
| DocuSign | Signering av taushetserklæringer (frivillige/verv). | Ja |
| Discord (se merknad under tabell) | Kommunikasjon i server/kanaler (innhold, kallenavn/ID). | Ja |
| FetLife (se merknad under tabell) | Kommunikasjon dersom dere bruker FetLife (meldinger/kallenavn/ID). | Ja |
| Samarbeidende BDSM-/fetisjforeninger (ved behov) | Ved utestengelse/ekskludering kan styret dele informasjon med samarbeidende foreninger, og kan bekrefte om et medlem har gyldig medlemskap. | Ja (kan forekomme, gitt plattformene som brukes) |
Merknad: Et vurderingskriterium for å regne noe som en identifiserende personopplysning under personvernforordningen («GDPR») er om en person kan identifiseres med «rimelige midler» (se fortalepunkt 26 for mer detaljer), derfor regner vi som hovedregel kallenavn som en personopplysning og lister derfor opp plattformer som Discord og FetLife. Disse brukes av nødvendighet, men siden de er selskaper hvor GDPR-etterlevelse er vanskelig å etterprøve, forsøker vi å begrense hva som behandles der til et absolutt minimum, f.eks. med retningslinjer og tekniske tiltak slik som å begrense foreningens profiler fra å motta private meldinger (siden de kan inneholde sensitive opplysninger).
4. Hvilke rettigheter har du?
Du kan når som helst kontakte oss om du ønsker å:
- Få innsyn i hvilke personopplysninger vi behandler om deg, eller be om en kopi av opplysningene.
- Få rettet, slettet eller begrenset behandlingen av personopplysningene dine.
- Protestere mot behandlingen.
- Utøve din rett til dataportabilitet, det vil si be om at opplysningene dine overføres til en annen behandlingsansvarlig.
Du kan utøve rettighetene dine ved å sende en e-post til personvern@oslobdsm.no. Dersom du mener at vi behandler personopplysningene dine i strid med regelverket, har du rett til å klage til Datatilsynet. Vi setter likevel pris på om du kontakter oss først, slik at vi får mulighet til å rette opp eventuelle misforståelser eller feil.
5. Tilgang, taushet og informasjonssikkerhet
Vi beskytter opplysningene dine med tekniske og organisatoriske tiltak som er tilpasset risikoen ved at medlemskap og deltakelse i Oslo BDSM kan være sensitivt for mange.
5.1. Hvem kan få tilgang internt
Tilgang til systemer og registre med personopplysninger gis etter «need-to-know», det betyr at kun personer med relevant verv, opplæring og behov for opplysningene får tilgang.
Eksempler på rolle med primæransvar for registre og/eller tilganger:
- Kartotekfører: Medlemsregisteret
- Frivilligansvarlig: Frivilligregisteret
- Arrangementsansvarlige: Påmeldingslister
- IT-ansvarlig: Foreningens IT-systemer, for drift og administrasjon av tilganger
- Varslingsutvalget: Opplysninger nødvendig for å behandle bekymringsmeldinger, varsler og varslingssaker innenfor sitt mandat
Personvernansvarlig har bred tilgang til foreningens systemer og registre i kraft av sitt mandat, for kontrollere at personopplysninger behandles forsvarlig og slettes i tråd med gjeldende rutiner og retningslinjer, bistå styret og andre tillitsverv i personvernspørsmål, og følge opp de registrertes rettigheter.
Vi gjennomgår tilganger minst hvert halvår, og alltid ved verveskifte, slik at personer som ikke lenger har behov for tilgang, ikke beholder tilgang lenger enn nødvendig.
5.2. Taushet og trygg deling internt
Alle som håndterer personopplysninger i kraft av verv skal skrive under på en taushetserklæring og følge interne instrukser for deling, lagring og bruk av sensitive opplysninger. For eksempel skal deltakerlister ikke kopieres, tas skjermbilder av eller oppbevares utenfor tilegnede adgangsbegrensede systemer.
5.3. Tekniske tiltak (eksempler)
Vi bruker løsninger med tilgangsstyring og påkrevde sikkerhetsfunksjoner, og vi forsøker å minimere lokal lagring annet enn for spesifikt godkjente tilfeller:
- Google Workspace med obligatorisk tofaktorautentisering og tilgangsstyring for e-post, dokumenter og registre slik som påmeldingslister og frivilligregister.
- Shared Drives på Drive i vår Google Workspace som inneholder personopplysninger har påskrudd begrensninger som hindrer nedlastinger og kopiering ved uhell.
- Medlemsregisteret lagres lokalt hos kartotekfører på et kryptert lagringsmedium. I helt spesielle tilfeller hvor kartotekfører er utilgjengelig og leder eller nestleder må ta ansvaret, eksisterer sikkerhetskopier på et eget begrenset område på vår Drive som kun kan åpnes av IT-ansvarlig, og filene er kryptert med et eget passord som ikke er lagret i digital form verken lokalt eller i skyen.
5.4. Avvik og hendelser
Hvis noe går galt, eller nesten går galt, har vi en enkel rutine for avvikshåndtering. Ved alvorlige hendelser vurderer vi om Datatilsynet og berørte personer skal varsles, i tråd med GDPR.
6. Lagring og sletting – Hvor lenge lagrer vi dine opplysninger?
Vi sletter dine personopplysninger når de ikke lenger er nødvendige for formålet de ble samlet inn for. Det innebærer at opplysningene kun lagres så lenge det er behov for dem, og deretter slettes i tråd med våre gjeldende rutiner.
| Område | Hva lagres (typisk) | Når sletter vi |
|---|---|---|
| Medlemsadministrasjon (medlemsregister) | Fullt navn, e-post, fødselsdato, medlemsnummer, alias, ev. FetLife-kallenavn, info om utløp/innbetaling | Sletting når medlemskapet har vært utløpt i 6 måneder (hovedregel). |
| Arrangementspåmelding | Fornavn, etternavnsbokstav, e-post, medlemsstatus/nummer, ev. relevante merknader | Slettes på slutten av semesteret etter at arrangementet fant sted (hovedregel). |
| Frivilligregister | Fornavn, etternavnsbokstav, e-post, Discord-kallenavn, frivilligroller, kvalifikasjoner, medlemsnummer. Frivilligpoeng føres i separat skjema med kun Discord-kallenavn og medlemsnummer tilgjengelig. | Gjennomgås minst årlig. Frivillige uten vakter siste 6 måneder regnes som inaktive og kontaktes før sletting. |
| E-post | E-postadresser, korrespondanse som kan inneholde personopplysninger. | Vi sletter når det ikke lenger er behov for oppbevaring. I tillegg har vi automatisk sletting av e-post eldre enn 3 år, med unntak for e-post som har arkiveringsverdige formål og spesifikt merkes for arkivering. |
| Regnskap og betaling | Bilag, oppgjør, transaksjonsdata (hos bank/betaling/regnskap). | Oppbevares i tråd med bokføringsregelverket. |
| Varsler, bekymringsmeldinger, varslingssaker | Identifiserende opplysninger, kontaktopplysninger, sakspapirer, vedtak. | Når en varslingssak er avsluttet, gjennomgår vi saken og sletter eller redigerer bort opplysninger som ikke lenger er nødvendige. Resterende opplysninger lagres som hovedregel i inntil fem år etter at saken er avsluttet. Videre oppbevaring utover fem år kan bare skje dersom særlige forhold gjør det nødvendig, og må besluttes særskilt med begrunnelse. Bekymringsmeldinger og varsler som ikke fører til varslingssak gjennomgås minst årlig, og det gjøres en konkret vurdering av om opplysningene skal slettes eller fortsatt oppbevares. |
7. Kontakt oss
Hvis du har spørsmål om denne personvernerklæringen, vår behandling av dine opplysninger eller hvordan du kan utøve dine rettigheter, vennligst kontakt personvern@oslobdsm.no. Dette er foreningens personvernkontakt. Henvendelser følges normalt opp av personvernansvarlig, men kontaktpunktet er organisert slik at hovedstyret også kan følge opp når det er nødvendig.
Kontaktinformasjonen til Oslo BDSM er:
Adresse: Breigata 10, 0187 Oslo
E-post: styret@oslobdsm.no
Organisasjonsnummer: Trykk her for å vise organisasjonsnummer