Source: https://onfoxx.de/dsgvo-fuer-webseitenbetreiber/
Timestamp: 2018-10-19 11:57:33+00:00

Document:
DSGVO für Webseitenbetreiber: viel Hype um nichts? » onfoxx
Die “Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG”, kurz DSGVO, bereitet vielen europäischen Einzelunternehmern, Freiberuflern, Unternehmen und Vereinen Kopfzerbrechen. Denn was die Verbraucher freut, ist des Unternehmers leid - oder doch nicht?
DSGVO: alles Wichtige für Betreiber von Webseiten
In Kraft getreten ist die Datenschutzgrundverordnung bereits am 24. Mai 2016. Nach einer Frist von zwei Jahren, die seitens der EU gewährt wurde und nun abläuft, ist das neue Gesetz ab dem 25. Mai 2018 auch tatsächlich anzuwenden. Die Verunsicherung ist groß, aber ändert sich – vor allem für Deutsche Selbstständige, Unternehmen und Vereine – überhaupt so viel?
Datenschutzgrundverordnung: eine Zusammenfassung
Bisher galten innerhalb der Europäischen Union unterschiedliche Datenschutzstandards. Mit der DSGVO will man diesen Flickenteppich nun durch ein einheitliches Modell ersetzen. Das Gesetz gilt übrigens nicht nur für in Europa ansässige Unternehmen, sondern auch für alle Firmen, die von außerhalb der EU auf personenbezogene Nutzerdaten von EU- und Nicht-EU-Bürgern über EU-Server zugreifen.
Wie verschiedene Onlineportale unter Berufung auf eine Stellungnahme von Facebook berichteten, hat der Social-Media-Gigant aus diesem Grund 1,5 Milliarden Nutzerdaten von Irland auf US-amerikanische Server verschoben. So stellt Facebook sicher, dass die neuen Regularien lediglich auf Daten von EU-Bürgern angewendet werden müssen, nicht aber auf die Daten der restlichen 70 % der Facebook User, die keinen Wohnsitz in der EU haben.
Zum einen will man seitens der EU für einheitliche Bedingungen sorgen, zum anderen sollen auch in Ländern, in denen bereits stramme Datenschutzgesetze galten (so z. B. in Deutschland), die Regeln noch ein wenig verschärft werden. Grundziel der EU-DSGVO ist es, Bürgern mehr Selbstbestimmung zu ermöglichen, in dem die Informationspflicht über die Verwendung personenbezogener Daten seitens der Unternehmen und Selbstständigen zunimmt. Außerdem wird die Rechtsprechung mit der neuen Verordnung an moderne, also digitale, Datenverarbeitungsmethoden angepasst.
Allerdings zählen auch Informationen über die ethnische und kulturelle Herkunft einer Person, die politische, religiöse und philosophische Gesinnung sowie potentiell ziehbare Rückschlüsse auf die Gesundheit und die sexuelle Orientierung zu den personenbezogenen Daten, die unter dem DSGVO (und früheren deutschen Datenschutzgesetzen, die durch die DSGVO übertrumpft werden) Relevanz besitzen. Vor allem in Internetforen, aber auch bei simplen Kommentarfunktionen auf Webseiten ist hier also Vorsicht geboten.
Was ändert sich (für deutsche Unternehmen und Selbstständige)?
Auch wenn viele im Web versuchen, Panik zu verbreiten, muss ganz deutlich gesagt werden, dass sich für deutsche Unternehmen mit der Einführung der DSGVO nicht so viel ändert, das Panik angebracht wäre. Denn hierzulande kümmerte man sich auch vor Einführung des neuen EU-Gesetzes mit dem Telemediengesetz (TMG) und dem Bundesdatenschutzgesetz (BDSG) bereits gebührend um den Schutz von User- bzw. Kundendaten.
Einzig und allein die Strafen, die bei Missachtung der Datenschutzverordnung verhängt werden, fallen nun empfindlicher aus und werden möglicherweise auch flächendeckender erhoben. Außerdem wurde bei der neuen EU-Verordnung die Beweislast umgekehrt. Soll heißen: Art. 5 Abs. 2 DSGVO bestimmt, dass der Verantwortliche für die in Art. 5 Abs. 1 DSGVO genannten Pflichten (die Grundsätze der DSGVO) verantwortlich ist und selbst Nachweis erbringen muss, diese Pflichten auch einzuhalten.
Zu den Grundsätzen der DSGVO gehören:
An manchen Stellen müssen Webseitenbetreiber also durchaus nachbessern.
DSGVO: einige Schwerpunkte für Webseitenbetreiber im Überblick
Schauen wir uns die wichtigsten Punkte mal etwas genauer an – vor allem jene Aspekte, die für Webseitenbetreiber interessant sind und bei denen unter Umständen nachgebessert werden muss.
Im Zuge der EU-Datenschutzgrundverordnung wird auch die Verschlüsselung von Webseiten in den Fokus gerückt. Zwar gab es bereits im Paragraph 13 des Telemediengesetzes dazu einen Hinweis, doch Abmahnungen bei fehlender SSL-Verschlüsselung mussten Webseitenbetreiber bisher (in den meisten Fällen) nicht fürchten. Lediglich bei Kontaktformularen ohne SSL-Verschlüsselung kam es im Jahr 2015 zu einer Reihe von Abmahnungen bei Onlineshops.
Mit Einführung des DSGVO sollte man diesen Punkt also mindestens für Kontaktformulare, besser jedoch für die gesamte Webseite umsetzen. Auch wenn es in der Praxis Einzelfallentscheidungen sein werden und man nicht pauschal von einer Pflicht zur SSL-Verschlüsselung für die gesamte Website sprechen kann, ist sicher eben sicher.
Tipp: Die SSL-Verschlüsselung ist ein Rankingfaktor. Google rankt bevorzugt Webseiten, die hier bereits nachgebessert haben. Auch Browser weisen Webseiten mitunter als unsichere Webseite aus, wenn die SSL-Verschlüsselung fehlt. Für eine etwaig positive Wirkung auf Webseitenbesucher ist es also in keinem Fall von Vorteil, auf eine SSL-Verschlüsselung zu verzichten.
“Muss ich jetzt einen Auftragsverarbeitungsvertrag mit meinem Hoster abschließen?”, lautet eine oft gestellte Frage im Zusammenhang mit dem DSGVO. Die Antwort: Ja, möglicherweise schon. Wenn euer Hosting Anbieter personenbezogene Daten verarbeitet, solltet ihr einen solchen Vertrag in jedem Fall abschließen. Die meiste Hoster bieten in ihren Benutzerbereichen kostenlose Vorlagen. Auch wenn die gesetzlichen Bestimmungen teilweise Auslegungssache sind, schadet ein solcher Vertrag nicht – selbst dann, wenn man ihn im Einzelfall nicht immer braucht.
Bei Analyse-Diensten wie Google Analytics oder Matomo (ehemals Piwik) ist das Ganze etwas eindeutiger: Hier wäre ein Auftragsverarbeitungsvertrag längst Pflicht gewesen. Eine Vorlage dazu gemäß des deutschen Datenschutzrechts ist bereits seit gefühlten Ewigkeiten von Google erhältlich. Weil bisher keine einheitliche europäische Richtlinie dazu im Raum stand, regelt das ab sofort Art. 28 ff. der EU-DSGVO. Hier müsst ihr also in jedem Fall nachbessern, sofern ihr noch nicht tätig geworden seid.
Nachdem bei solchen Verträgen nach dem BDSG bisher die Schriftform gewahrt werden musste, bestimmt Art. 28 Abs. 9 DSGVO, dass ein solcher Vertrag auch digital geschlossen werden kann. Bei Google Analytics geht das beispielsweise ganz simpel: Einfach das Analytics Dashboard aufrufen, den Menüpunkt Verwaltung > Kontoeinstellungen aufrufen, sich den Zusatz der Datenverarbeitung anzeigen lassen (eventuell ausdrucken) und über den blauen Zustimmen Button bestätigen – fertig.
Wichtig: Ein Datenverarbeitungsvertrag reicht nicht aus. Zusätzlich müsst ihr in der Datenschutzerklärung eurer Webseite belehren, welche Drittparteien Zugriff auf benutzerbezogene Daten haben.
Ein solcher Datenverarbeitungsvertrag muss im Übrigen auch mit einer Agentur geschlossen werden, die in eurem Auftrag auf benutzerbezogene Daten zugreift. Beauftragt ihr zum Beispiel eine SEO-Agentur und gewährt dieser Zugriff auf euren Analytics Account, euren Webserver und Datenbanken, hat diese Agentur also Zugriff auf personenbezogene Daten. Auch hier reicht eine Belehrung in der Datenschutzerklärung nicht aus, sondern sollte im Optimalfall mit einem Auftragsverarbeitungsvertrag untermauert werden.
Tipp: Falls ihr in Eigenregie einen Datenverarbeitungsvertrag abschließen wollt bzw. müsst, könnt ihr in Art. 28 Abs. 3 EU-DSGVO nachlesen, welche Punkte unbedingt darin enthalten sein sollten.
Auch hier regelte das BDSG aus dem Jahre 1990 bereits vieles, was mit der Einführung des DSGV auch in anderen EU-Ländern verpflichtend wird. Im BDSG heißt es:
“Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind.”
Wer diesen Punkt ignoriert hat, verstößt also streng genommen bereits seit 1990 gegen geltendes Gesetz. Mit dem DSGVO wird dieser Sachverhalt hingegen noch ein wenig verschärft. Beschäftigt ihr mehr als neun Mitarbeiter, die Zugriff auf personenbezogenen Daten haben (wenn man genau hinsieht, gilt das für fast jeden Mitarbeiter), wird ein Datenschutzbeauftragter ab sofort zur Pflicht. Dabei ist es unerheblich, ob diese Mitarbeiter in Teilzeit, Vollzeit oder im Rahmen einer geringfügigen Beschäftigung bei euch tätig sind.
Das Thema Cookies wird von der EU-Verordnung gar nicht tangiert, sondern erst einmal verschoben. Bereits in der Vergangenheit haben sich Webseitenbetreiber durch die Cookie EU-Richtlinie unnötig verunsichern lassen.
Hintergrund: Eine EU-Richtlinie ist etwas anderes als eine EU-Verdordnung. Richtlinien, die seiten der Europäischen Union verordnet wurden, müssen im jeweiligen EU-Land auch umgesetzt werden. Weil dies bei der Cookie-Richtlinie nicht der Fall ist, kann man als Betreiber einer Website also getrost auf den EU-Cookie-Hinweis verzichten. Ein bisschen tricky wird es allerdings, falls ihr AdSense Anzeigen auf eurer Seite ausspielt.
Auswirkungen der DSGVO auf AdSense Publisher
Eines ist ganz sicher klar: das nichts klar ist! Während andere Auswirkungen der DSGVO auf Betreiber von Webseiten mehr oder weniger eindeutig sind, wird man beim Thema AdSense im Regen stehen gelassen. Bisher findet man hierzu noch keine aussagekräftigen Informationen – weder auf Rechtsratgeber-Seiten, noch bei Google selbst. Lediglich einen kleinen Blogpost hat Google dem Thema im März 2018 gewidmet. Frei übersetzt heißt es darin:
Im Mai tritt Europas neue Datenschutz-Grundverordnung (DSGVO) in Kraft. Google hat sich verpflichtet, die DSGVO einzuhalten und deshalb mit unseren Kunden und Partnern zusammengearbeitet, um sie über Richtlinien.Änderungen für unsere verschiedenen Produkte zu informieren.
Heute informieren wir Werbetreibende und Publisher-Partner über Änderungen unserer Anzeigenrichtlinien. Google fordert bereits (seit längerem) von Publishern und Werbetreibenden, die unsere Werbedienste, eine Zustimmung der Endnutzer zur Nutzung dieser Dienste einzuholen, wie es gemäß geltendem EU-Recht vorgeschrieben ist. Die DSGVO wird diese Anforderungen noch weiter spezifizieren.
Um dies zu erreichen, werden wir unsere Einwilligungsrichtlinien für die EU aktualisieren, sobald die DSGVO in Kraft tritt. Die überarbeitete Richtlinie wird verlangen, dass die Publisher zusätzliche Schritte unternehmen, um die Zustimmung ihrer Nutzer einzuholen.
Noch vor Mai werden wir eine Lösung zur Unterstützung von Publishern präsentieren, die nicht personalisierte Anzeigen schalten möchten. Außerdem arbeiten wir mit Branchenverbänden wie IAB Europe zusammen, um die vorgeschlagenen Lösungen für die Zustimmung von Publishern weiter zu erörtern.
Wir sind uns bewusst, dass unsere Kunden und Partner – sowohl europäische als auch internationale – im Rahmen der neuen Gesetze erhebliche Verpflichtungen auferlegt bekommen, so wie Google auch. Publisher und Werbetreibende können daher weitere Updates erwarten, je weiter wir uns dem Inkrafttreten der DSGVO nähern.
Zum Original: https://adwords.googleblog.com/2018/03/changes-to-our-ad-policies-to-comply-with-the-GDPR.html
AdSense und Datenschutz: was bisher galt
Bereits seit 2015 verlangt Google von Publishern, die AdSense zur Monetarisierung ihrer Webseite nutzen, dass diese ihre Nutzer informieren, wenn Google Daten erfasst, um beispielsweise personalisierte Anzeigen ausspielen zu können. Ob Google hier eine Information über die Cookie-Nutzung in der Datenschutzerklärung ausreicht oder eine ausdrückliche Einwilligung per Opt-In für notwendig hält, war bereits damals eine Streitfrage.
Was wir unabhängig von den Google Anforderungen wissen ist, dass eine EU-Richtlinie etwas grundlegend anderes ist als eine EU-Verordnung (siehe oben). Weil die Richtlinie in Deutschland aber bis heute nicht umgesetzt wird, war der Cookie-Hinweis von dieser Seite aus betrachtet mehr oder weniger unnötig. Nach deutschem Recht war und ist die Information über Cookies im Impressum bzw. der Datenschutzerklärung vollkommen ausreichend, da die neue EU-Verordnung hier erst einmal keine weiteren Maßnahmen vorsieht.
Durch die Forderungen von Google, den Cookie-Hinweis als Opt-In zu integrieren, würde der Suchmaschinen-Gigant also bereits seit 2015 (geht auf die EU-Richtlinie Richtlinie 2009/136/EG aus 2009 zurück) weiter gehen als die deutschen und die EU-Datenschutzbehörden es überhaupt fordern.
Unser Tipp: Integriert den Cookie-Hinweis als Single Opt-In in jedem Fall auf eurer Seite und informiert in eurer Datenschutzerklärung ausdrücklich darüber, dass Google Daten zur Platzierung personalisierter Anzeigen nutzt – nicht jedoch um Abmahnungen zu verhindern, sondern insbesondere für Google selbst. Denn insofern Google dies von euch fordert bzw. in Zukunft mit neuen Ankündigungen einen Opt-In noch ausdrücklicher verlangen sollte, seid ihr auf der sicheren Seite. Schließlich behält sich Google das Recht vor, Publisher auszuschließen, wenn gewisse Anforderungen nicht erfüllt sind.
Sofern ihr auf eurer Webseite weder ein Kontaktformular, noch eine Kommentarfunktion nutzt, seid ihr auf der sicheren Seite. Andernfalls solltet ihr (spätestens jetzt) die SSL-Verschlüsselung bei jeglicher Form der Datenübertragung aktivieren.
Muss ich eine separate Checkbox vor dem absenden des Kontaktformulars einsetzen?
Die explizite Einwilligung eurer User, dass ihr diese Daten verwenden dürft, müsst ihr euch – anders als in vielen anderen Artikeln zum Thema DSGVO beschrieben, NICHT einholen. Begründung: Sendet ein User ein Kommentar ab, gibt er seine Daten komplett freiwillig und ohne jeglich Aufforderung weiter.
Wichtig ist in diesem Zusammenhang die „Belehrung“ im Impressum/Datenschutzbelehrung darüber was exakt mit diesen Daten passiert. Aber bitte lasst euch nicht von Anwälten oder Agenturen „beschwatzen“ hier noch separat eine Erweiterung einzubauen.
Auf folgender Seite gibt es einen tollen Podcast von Rechtsanwalt Stephan Hansen – Oest der das Thema hier noch einmal ganz klar behandelt. Reinhören lohnt sich – denn das Thema wird hier auf eine sympatische und lockere Art behandelt.
>>> Hier geht es zum Podcast
Bereits jetzt war eine Datenschutzerklärung gemäß § 13 TMG im Impressum oder auf einer eigenen Unterseite (die von jeder einzelnen Unterseite aus erreichbar sein muss) Pflicht. Wenn ihr hier bereits gut aufgestellt seid, braucht ihr euch prinzipiell um nicht viel kümmern. Lediglich die…
…Belehrung über die Betroffenenrechte,
die Offenlegung aller Auftragsverarbeiter (dazu gehören auch Hoster)
sowie die Angabe der zuständigen Aufsichtsbehörde…
müssen jetzt ergänzt werden. Auch über die Speicherfristen der personenbezogenen Daten muss in der Datenschutzerklärung ab sofort informiert werden.
Tipp: Lasst euch von einem Fachanwalt beraten oder greift auf (teils kostenpflichtige) DSGVO konforme Datenschutzerklärungsgeneratoren zurück.
Empfindliche Bußgelder nach Einführung des DSGVO
Was sich mit der Einführung des DSGVO in jedem Fall ändert, ist die Höhe der Bußgelder bei Missachtung der Datenschutzpflichten. Der Gesetzestext spricht hier von bis zu 20.000.000 EUR oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, abhängig davon, welcher Betrag höher ist. Auch wenn nicht klar ist, ob eine Abmahnwelle droht, solltet ihr alle Anpassungen in jedem Fall so schnell wie möglich vornehmen.
Denn gemäß Art. 83 DSGVO steht es nicht mehr im Ermessen der Aufsichtsbehörden, ob ein Verstoß „bestraft“ wird. Anders gesagt: Wird ein Verstoß registriert, MUSS dieser bestraft werden. Lediglich über die Höhe des Bußgeldes, das “verhältnismäßig” zu sein hat, kann individuell bestimmt werden.
DSGVO Checkliste: was jetzt zu tun ist im Überblick
☑ Website & Kontaktformulare spätestens jetzt auf HTTPS umstellen
Dieser Punkt wäre für deutsche Webseitenbetreiber zwar bereits verpflichtend gewesen, sollte aber spätestens jetzt nachgeholt werden . Vor allem bei Kontaktformularen muss die Datenübertragung verschlüsselt werden.
☑ Auftragsverarbeitungverträge mit allen relevanten Dienstleistern schließen
Auch hier hättet ihr bereits handeln müssen. Wenn noch nicht geschehen, könnt ihr einen solchen Vertrag auch digital schließen. An dieser Stelle ist die DSGVO sogar eine Erleichterung für Betreiber von Webseiten.
☑ Überprüfung durchführen, ob ein Datenschutzbeauftragter notwendig ist
Die Zahl der Mitarbeiter mit Zugang zu personenbezogenen Daten, ab der ein Datenschutzbeauftragter nötig wird, verringert sich mit der DSGVO auf zehn Personen. Überprüft also, ob ihr an dieser Stelle tätig werden müsst.
☑ Datenschutzerklärung erweitern
Erweitert die Datenschutzerklärung auf eurer Website um die Belehrung über die Betroffenenrechte, legt alle Auftragsverarbeiter offen (auch Online-DIenstleister, mit denen ihr zusammenarbeitet) und vergesst die Angabe der zuständigen Aufsichtsbehörde nicht. Die Adressen findet ihr unter diesem Link.
Fazit: halb so wild, aber ganz schön nervig
Wer sich als normaler Webseitenbetreiber bereits jetzt an in Deutschland geltendes Recht gehalten hat, der braucht auch nach der Einführung des DSGVO keine Angst zu haben, existenzbedrohende Bußgelder zu riskieren. Sobald die vorhin genannten Aspekte bei der Datenschutzerklärung ergänzt werden und Auftragsverarbeitungsverträge geschlossen sind, könnt ihr euch wieder um die wirklich wichtigen Sachen kümmern.
Wir danken Rechtsanwalt Christoph Becker für die Beantwortung unserer Fragen zum Thema Datenschutz.
DSGVO Gesetzestext der EU zum Nachlesen
Telemediengesetz der Bundesrepublik Deutschland
Liste der Aufsichtsbehörden und Landesdatenschutzbeauftragten
Weil die DSGVO auch noch andere Bereiche betrifft, die möglicherweise nicht in diesem Artikel erwähnt werden, übernehmen wir keine Garantie für die Richtigkeit und Vollständigkeit unserer Aussagen! Bei unserer Darstellung handelt es sich lediglich um einen Auszug der Punkte, bei denen bei Betreibern von Webseiten höchstwahrscheinlich Handlungsbedarf besteht.
„Bei Analyse-Diensten wie Google AdSense oder Piwik ist … “ muss es nicht Analytics heißen statt Adsense?
Was ist mit Datenschutz und Adsense?
Was ist mit den IPs in den Logs beim Webhoster?
Hi Bernd, danke für die Info, sollte natürlich wirklich Analytics heißen und ist auch geändert. Bezüglich deiner anderen Anmerkungen haben wir das gleich mal in den Redaktionsplan aufgenommen und unser Artikel wird entsprechend erweitert.
Was ich nicht so ganz schnalle – Matomo kann man ja auch so einstellen, dass die Software keine von den oben beschreibenen personenbezogenen Daten speichert.
Damit ist man doch auch aus dem Schneider wenn man Matomo auch noch selbst hostet oder sehe ich das falsch?
Also ich denke grundsätzliche Themen bleiben auch hier bestehen, also IP Anonymisierung oder auch die korrekte Belehrung über die Erhebung und Speicherung der Daten.
Naja die IP wird anonymisiert gespeichert – sind also nicht mehr als personenbezogen zu betrachten weil keine Rückschlüsse auf die Person gezogen werden können. Die Information über die Erhebung mit Opt-Out ist ja zur Zeit noch irgendwie Streitpunkt weil das eher vom TMG anstatt des Datenschutzgesetzes abgedeckt wird – zumindest in .de weiß man wohl noch nicht welches Gesetz zuerst zieht.
Ich habe gestern gelesen das auch die grundsätzlichen WordPress Kommentare ein Problem sind weil hier wohl die IP gespeichert wird, also vom Kommentierenden. Wir sieht ihr das und was kann ich dagegen tun. Ich bin jetzt überhaupt kein WordPress Experte und kann gerade mal meine Artikel veröffentlichen.
@Werni, wie so vieles bei der DSGVO ist auch dies ein Thema bei dem es leider immer noch verschiedene Meinungen gibt. Im Gegensatz zur Checkbox Probelematik bei Kontaktformularen, tendieren wir hier eher dazu die IP zu anonymisieren. Jetzt mag natürlich wieder der ein oder andere sagen dass im Falle eines Mißbrauchs so auch der Kommentierende ermittelt werden kann – da aber in den meisten Fällen Kommentare eh manuell freigegeben werden gibt es eigentlich keinen wirklichen Grund die IP zu speichern. Eine Anleitung wie du dies tun kannst findet sich z.B. hier: https://www.kritzelblog.de/techniken-fuer-webentwicklung/wordpress-dsgvo-ip-adresse-kommentare-entfernen/ – Steffen Horstmann erklärt hier die Schritte sehr… Weiterlesen »
also ich habe jetzt bei uns auf der Seite einmal auf Grundlage des Blogs die IP`s gelöscht und lasse auch in Zukunft nix mehr speichern – danke für den Tipp.

References: Art. 5
 Art. 5
 Art. 28
 Art. 28
 Art. 28
 § 13
 Art. 83