Source: http://schnellze.it/archives/2534-DSGVO-als-Homepagebetreiber-Datenschutzerklaerung,-Cookies,-Website-Anpassungen,-Newsletter,-Google-Ho-ster-Vertraege-usw..html
Timestamp: 2018-08-19 15:48:31+00:00

Document:
DSGVO als Homepagebetreiber: Datenschutzerklärung, Cookies, Website-Anpassungen, Newsletter, Google-/Ho ster-Verträge usw. - schnellze.it
neuere « DSGVO als... » ältere
Berthold mailte am 08.05.2018
DSGVO als Homepagebetreiber: Datenschutzerklärung, Cookies, Website-Anpassungen, Newsletter, Google-/Ho ster-Verträge usw.
Hier einige Notizen, die ich mir mache, während ich mich über die ab 25. Mai 2018 zwingend notwendige Datenschutzgrundverordnung (DSGVO) informiere. Es geht hier nicht um den Datenschutz in großen Firmen, sondern um kleine/mittlere/halbgroße Websites (nicht Shops). Beispiel: Manche Unternehmen haben/müssen haben einen Datenschutzbeauftragten, der muss explizit als Ansprechpartner in der Datenschutzerklärung genannt werden. Solche Fälle ignoriere ich hier.
Das, was hier steht, ist meine Interpretation der Fakten - ob das so völlig richtig und juristisch wasserdicht ist, weiß ich nicht.
Spätestens ab 25.05.2018 muss umgestellt sein; die Abmahnindustrie sitzt in den Startlöchern und wartet darauf, nicht entsprechend ausgerüstete Webseiten fett zu melken.
WELCHE HOMEPAGES SIND BETROFFEN
Quasi alle, außer solchen, die nur und vollständig privaten Zwecken dienen (Beispiel: Ich mache eine Homepage, auf die ich für meinen Onkel die Urlaubsfotos bereitstelle). Auch hier nur, wenn keine Werbung usw.
### SINN UND ZWECK DER DSGVO (für Homepage-Betreiber)
Nachdem ich zahlreiche Ressourcen durchgelesen habe, komme ich zu folgender Erkenntnis: Das Machwerk ist ein völlig abartiger Moloch, der sich jedoch auch wenige Grundsäulen herunterbrechen lässt - und letztlich ist das Ziel wohl, diesen Säulen zu genügen. Die Herausforderung besteht darin, nichts zu vergessen.
(1) Der User muss über die Rechtsgrundlagen informiert werden.
(z.B. muss DSGVO genannt werden - das halte ich für eine eher formal-bürokratische Angelegenheit)
(2) Der User muss darüber informiert werden, welche Daten man von ihm abgreift und was damit passiert.
(Das macht ja eigentlich Sinn.)
(3) Der User muss die Möglichkeit haben, sich gegen diese Verwendung der Daten zu entscheiden.
(Auch das macht Sinn; diese Möglichkeit hat er bspw. nicht, wenn gleich ein Facebook-Like-Button-Skript beim ersten Aufrufen einer Seite seine IP + Cookies etc. ausliest.)
(4) Der User muss das verstehen.
(Ebenfalls sinnvoll: Ein 10.000-Seiten-Wust von Paragraphen kapiert und liest keiner, das hat keinen Informationswert)
Man könnte nun intuitiv meinen, dass man diese 4 Punkte mit ein paar Sätzen abfrühstückt. Da in der Regel jedoch wesentlich mehr mit den User-Daten passiert, als der gemeine User denkt (Logfiles, Analytics-Dienste, Social-Media-Skripte, Newsletter, Kommentare, Kommentarbenachrichtigungen usw.), bläht sich die Datenschutzerklärung schnell auf.
### WIE MAN DIE DSGVO AM BESTEN UMSETZT ###
Das weiß natürlich keiner außer den Anwälten. Letztlich setzt man sie ja - sind wir mal ehrlich - vor allem um, um dem Gesetz genüge zu tun. Ich denke, um bei einem potenziellen Rechtsstreit (Stichwort Abmahn-Anwälte) gut dazustehen, geht es weniger darum, 100 Seiten Muster-Erklärungen auf die Seite mit der Datenschutzerklärung zu packen, sondern vielmehr die oben genannten Punkte verständlich darzulegen. Dabei gilt es einige Punkte zu berücksichtigen, die sich dem juristischen Laien nicht sofort aufdrängen. Diese Punkte zähle ich im Folgenden auf.
### ### (1) ORGANISATORISCHE MASSNAHMEN ### ###
### ### HOSTING-AUFTRAGSVERARBEITUNGS-VERTRAG
Alle User-Daten laufen über Server, die bei meinem Hoster stehen. Was der damit macht, weiß ich natürlich nicht genau. Ich sichere mich also ab, indem ich mit ihm einen Vertrag abschließe.
Das ist eine bürokratische Juristerei (wer liest diesen Vertrag schon durch, den der Hoster ihm vorlegt?), aber man MUSS das tun, um safe zu sein.
Mit dem Hoster muss also eine Vereinbarung zur Datenverarbeitung abgeschlossen werden. Wenn der Hoster schon eine solche Vereinbarung anbietet, ist darauf zu achten, dass diese explizit DSGVO-konform ist. SO schreibt die c’t 5/2018, S. 105:
Ist im Formular noch von Auftragsdatenverarbeitung die Rede und findet sich kein Hinweis auf die DSGVO, so ist dies ein Hinweis darauf, dass die Formulare noch nicht aktualisiert wurden.
Solche Beispiele habe ich im Web einige gefunden wie „Kostenlose Word-Vorlage auf DSGVO-Grundlage“, die dann aber möglicherweise doch veraltet sind. Wenn man das macht, sollte man gleich Nägel mit Köpfen machen und eine zukunftssichere Version abschließen.
Aktuell (28.02.2018) schreibt einer meiner Hoster auf meine Anfrage, dass sie dabei seien, eine entsprechende Vorlage zu erstellen, aber aufgrund mangelnder Informationen noch etwas Zeit bräuchten. df.eu (Domainfactory) teilte auf Anfrage ebenfalls mit, dass die Vorlage in Arbeit sei und man sich Ende März/Anfang April nochmals melden solle; inzwischen (Stand Anfang Mai 2018) haben sie einen ADV. Also evtl. den Hoster erst kurz vor dem 25. Mai anfragen, aber nicht vergessen.
Da man evtl. einige Hoster anzuschreiben hat, hier gleich mal eine Copy-Paste-Vorlage für die Mail :-)
DSGVO-Vertrag: Auftragsdatenverarbeitung
die DSGVO verpflichtet ab 25. Mail dazu, mit dem Hoster einen Vertrag zur Auftragsverarbeitung abzuschließen, damit auch mit Ihrer Firma.
Falls Sie einen solchen Vertrag haben - würden Sie ihn mir freundlicherweise zuschicken?
Sorry … Ich hab’s nicht erfunden.
Falls der Hoster keine hat - viel Spaß beim selbst erstellen, Vorlagen z.B. hier:
- bitkom: https://www.bitkom.org...
- Bayerisches Landesamt für Datenschutzaufsicht: https://www.lda.bayern.de... (mehr Übersicht zum Thema dort: https://www.lda.bayern.de... )
- Gesellschaft für Datenschutz + Datensicherheit: https://www.gdd.de...
Ich vermute aber, dass wirklich jeder halbwegs seriöse Hoster ab spätestens Anfang Mai 2018 eine Vertragsvorlage hat.
Bei Hostern im Ausland (v.a. USA) gelten irgendwelche Sonderregelungen.
### ### ADV MIT ANDEREN DIENSTLEISTERN
Mit allen externen Dienstleistern, die Daten verarbeiten, muss ein solcher Vertrag geschlossen werden, also bspw. Newsletter-Anbietern (s.u.).
### ### AUFTRAGSVERARBEITUNGS-VERTRAG MIT GOOGLE
(siehe unten „Maßnahmen an der Website“)
### ### DAUER DER SPEICHERUNG
Man muss sich überlegen, wie lange man die Daten der Nutzer speichert und wie/wann/durch welche automatisierten Mechanismen man sie ggfs. löscht oder anonymisiert.
Hier brauchen wir DSGVO Art. 5 ( https://dsgvo-gesetz.de... ) Abs. (1) e lesen wir etwas unspezifisch:
Personenbezogene Daten müssen … einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
Wenn man sich mit statistischen Gründen wappnen will, braucht man Art. 89 DSGVO ( https://dsgvo-gesetz.de... ) und erfährt dort sehr schwammig, dass man die Daten pseudonymisieren KANN, wenn man sie für statistische Zwecke aufbewahren will.
Konkrete Fristen werden keine genannt, da diese immer von den Verarbeitungszwecken abhängen dürften.
Ich vermute, dass für alle Daten, die erhoben werden, die konkrete Dauer genannt werden muss.
Ich glaube, dass ein großer Trick darin liegt, die „Identifizierung“ zu verunmöglichen, indem man Logfiles löscht bzw. die IPs anonymisiert (es dürfte ja schon eine Ziffer dazu reichen). Aber das ist ein Spontangedanke. Damit ist man auch mit dem folgenden Punkt „AUSKUNFTSRECHT“ einigermaßen entspannter:
### ### ANFRAGEN: AUSKÜNFTE
Nach Art. 15 DSGVO haben User, deren Daten verarbeitet wurden, ein Recht darauf, quasi alles über diese Daten zu erfahren ( https://dsgvo-gesetz.de... ). Da jeder User, der die Website einmal nur besucht hat, seine IP hinterlässt, könnte nun jeder Beliebige um entsprechende Auskunft ersuchen.
Also sollte man sich Gedanken machen, wie man damit umgeht.
Wer den Art. 15 durchliest, wird die Meise kriegen. Ich meine, da steht:
Wie soll ich einer Person namens „Lieschen Müller“, die regelmäßig meine Website besucht, eine Kopie ihrer personenbezogenen Daten zusammenstellen, ohne dafür 30 Hilfskräfte zu bemühen? Sie geistert irgendwo in den Logfiles rum, sie hat am besten mal auf den Newsletter per Mail geantwortet …
Wahrscheinlich muss man hier tatsächlich so vorgehen:
- Logfiles regelmäßig löschen oder anonymisieren, so dass man auf Lieschen Müllers Anfrage nach einer Woche unbesehen schreiben kann: Es gibt keine IP von Ihnen mehr in unserem Datenbestand.
- Die Datenschutzerklärung so formulieren, dass man einen Großteil der Auskünfte durch Verweis auf die DS-Erklärung erledigen kann:
b) die Kategorien der verarbeiteten Daten (= Mailadressen, IPs …)
c) wer die Daten noch kennt (Hoster, Newsletterversender …)
e) Hinweis auf das Löschungsrecht
f) Hinweis auf das Beschwerderecht
g/h) nicht relevant für den normalen Homepage-Betreiber (der seine Daten nicht irgendwo zukauft)
Für a bis f dürfte ein Hinweis auf die Datenschutzerklärung wohl ausreichen, wobei man engstirnigerweise kontrollieren könnte, ob das so auch den Einzelfall befriedigt (also Lieschen Müller schreibt „Geben Sie mir Auskunft über meine Daten“ - genügt es dann, wenn in der Datenschutzerklärung steht „Die Newsletteradressen werden bei xy gespeichert“ oder muss Lieschen Müller erfahren, dass IHRE Mailadresse beim Newsletterversender gespeichert ist oder eben nicht, wenn sie den Newsletter nicht abonniert hat?).
### ### RECHT AUF LÖSCHUNG / VERGESSENWERDEN
Das Recht auf Löschung kann ein User in Anspruch nehmen, wenn
a) der Zweck wegfällt, zu dem die Daten ursprünglich erhoben wurden
b) der User seine Einwilligung zur Datenspeicherung und -verarbeitung widerruft.
Deshalb ist es wichtig, dass der ZWECK der Datenverarbeitung (s.o.) deutlich gemacht wird. „So kann man zum Beispiel aus einer Newsletter-Anmeldung nicht automatisch auf die Zulässigkeit des Ansprechens eines Betroffnen für sonstige Werbezwecke schließen.“ (iX 5/2018, S. 45).
### ### ANFRAGEN: LÖSCHUNG
Zentraler Artikel: DSGVO Art. 17 ( https://dsgvo-gesetz.de... )
Wenn man eine Mail bekommt, in der steht, dass man bitte alle Daten des Users löschen solle, dann bedeutet das, dass man alle löschen muss :-)
Die Frage ist natürlich, woher ich weiß, mit welcher IP-Adresse LIeschen Müller wann bei mir unterwegs war. Da die IP-Daten ja eh nach bestimmter Zeit gelöscht oder anonymisiert werden müssen, sollte das auch nicht das Problem sein.
Wahrscheinlich macht man sich bei der ersten Löschungsanfrage am besten eine Checkliste, wo man überall löschen muss (also bspw.: Kommentare; Newsletterliste; hochgeladene Bilder usw.). Man sollte bspw. berücksichtigen, dass das CMS beim Abspeichern eines Kommentars evtl. die IP-Adresse mit abspeichert, die muss dann auch anonymisiert werden.
Da das bei Kommentaren massiv nervt (wenn man einen Kommentar löscht, werden evtl. Folgekommentare mitgelöscht), würde ich Kommentare gleich anonyisieren - d.h. Vor-/Nachnamen etc. im Klartext gleich mal unkenntlich machen. Dann kann bei Löschungsanfrage die beim Kommentar hinterlegte Mailadresse geändert/gelöscht werden und der Kommentar ist nicht mehr zuordenbar bzw. ist nicht mehr personenbezogen. IP-Adresse des Kommentars muss ja eh irgendwann anonymisiert werden.
Laut DSGVO Art. 17 müssen auch Dritte darüber informiert werden, dass sie die Daten zu löschen haben - allerdings nur, wenn man die "personenbezogenen Daten öffentlich gemacht“ hat (DSGVO Art. 17 (2)), dann müssen Kopien und Replikationen gelöscht werden. Evtl. ist eine Passage in der Datenschutzerklärung sinnvoll, in der man notiert, dass die Daten niemals an Dritte weitergegeben werden (außer Hoster etc., s.o.), und sollten Dritte doch Kopien oder Replikationen der Daten anfertigen, kann man dafür keine Verantwortung übernhehmen.
### ### (2) TECHNiSCHE MASSNAHMEN (WEBSITE) ### ###
### ### DATENSCHUTZERKLÄRUNG (s.u.) ### ###
Mit das Wichtigste ist es, eine ordentliche und juristisch wasserdichte Datenschutzerklärung zu erstellen. Siehe unten.
### ### LINK ZUR UND ORT DER DATENSCHUTZERKLÄRUNG
Die DSGVO-Datenschutzerklärung muss einfach zu finden sein; ich vermute (obwohl ich dazu unterschiedliche Informationen finde), dass man sie einfach - wie das Impressum oder die Datenschutzerklärung bisher auch - am sichersten von jeder Seite aus verlinkt. Über den genauen Ort (oben unten links rechts prominent nichtprominent) lässt sich sicher streiten; ich persönlich halte es für eine Konvention, dass das Impressum + Datenschutzerklärung oft im Footer zu finden sind und deshalb schlage ich vor, dass dieser Ort für den Link gut genug ist.
### ### VERSCHLÜSSELTE ÜBERMITTLUNG VON USERDATEN
In DSGVO Art. 5 ( https://dsgvo-gesetz.de... ) Abs. (1) f steht, dass Userdaten »in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung«. Daraus folgern die Juristen, dass Webformulare nur verschlüsselt abgeschickt werden dürfen (außer es werden keine personenbezogene Daten übermittelt; wenn also bspw. Kommentare ohne Name und Mailadresse irgendwohin geschrieben werden, ist das egal).
### ### GOOGLE ANALYTICS
Oh je. Wer sich interessiert, kann gleich mal zur Google-Analytics-Hilfe „Datenschutz“ riden: https://support.google.com...
Soweit ich sehe, muss bezgl. Analytics Folgendes passieren.
1) In jedem Fall muss die Verwendung von Google Analytics in der Datenschutzerklärung angegeben werden.
2) Vertrag zur Auftragsdatenverarbeitung (wie mit dem Hoster). Einen explizit DSGVO-konformen Vertrag gibt es (noch?) nicht, dafür die Privacy Shield Variante vom September 2016 als PDF: https://static.googleusercontent.com... Keine Ahnung, ob die genügt, aber es ist schon mal sicher nicht schlecht, das ausgefüllt und an Google geschickt zu haben. Alternativ/ergänzend kann man den (moderneren) ADV mit Google elektronisch abschließen, aber es ist wohl rechtlich nicht ganz klar, ob das wasserdicht ist. Mehr dazu von Google hier: https://support.google.com... - langer Rede kurzer Sinn: In Analytics einloggen, „Verwaltung“ -> Kontoeinstellungen -> runterscrollen -> Zusatz zur Datenverarbeitung akzeptieren.
3) Anonymisierung der IP-Adresse via dem schon etwas angestaubten aber offensichtlich immer noch gültigen _anonymizeIP ( https://support.google.com... )
4) Widerspruchsrecht für Nutzer: Es gibt zwei Widerspruchsmöglichkeiten, die User ausüben können, aber ich weiß nicht, ob die DSGVO-konform sind (häufig ist bei seriöseren Medien die Rede davon, dass Einzelfallentscheidungen hier erst mal zeigen, was Sache ist):
4a) Link zum Deaktivierungs-Browser-Addon (in der Datenschutzerklärung, Link hierhin: https://tools.google.com... )
4b) Setzen eines Opt-Out-Cookies mit folgendem Link (ebenfalls wohl in der Datenschutzerklärung):
(a href=“javascript:gaOptout()“)Google Analytics deaktivieren(/a) // Runde Klammern durch Spitzklammern ersetzen
4a/4b von https://www.datenschutzbeauftragter-info.de... , der die alte (nicht mehr im Netz verfügbare) Version der Google-Analytics-Datenschutzerklärung mit den beiden Erweiterungen (4a/4b) zur Verfügung stellt:
Diese Website benutzt Google Analytics, einen Webanalysedienst der Google Inc. („Google“). Google Analytics verwendet sog. „Cookies“, Textdateien, die auf Ihrem Computer gespeichert werden und die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert. Im Falle der Aktivierung der IP-Anonymisierung auf dieser Website, wird Ihre IP-Adresse von Google jedoch innerhalb von Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum zuvor gekürzt. Nur in Ausnahmefällen wird die volle IP-Adresse an einen Server von Google in den USA übertragen und dort gekürzt. Im Auftrag des Betreibers dieser Website wird Google diese Informationen benutzen, um Ihre Nutzung der Website auszuwerten, um Reports über die Websiteaktivitäten zusammenzustellen und um weitere mit der Websitenutzung und der Internetnutzung verbundene Dienstleistungen gegenüber dem Websitebetreiber zu erbringen. Die im Rahmen von Google Analytics von Ihrem Browser übermittelte IP-Adresse wird nicht mit anderen Daten von Google zusammengeführt. Sie können die Speicherung der Cookies durch eine entsprechende Einstellung Ihrer Browser-Software verhindern; wir weisen Sie jedoch darauf hin, dass Sie in diesem Fall gegebenenfalls nicht sämtliche Funktionen dieser Website vollumfänglich werden nutzen können. Sie können darüber hinaus die Erfassung der durch das Cookie erzeugten und auf Ihre Nutzung der Website bezogenen Daten (inkl. Ihrer IP-Adresse) an Google sowie die Verarbeitung dieser Daten durch Google verhindern, indem Sie das unter dem folgenden Link (http://tools.google.com...) verfügbare Browser-Plugin herunterladen und installieren.
Nähere Informationen zu Nutzungsbedingungen und Datenschutz finden Sie unter http://www.google.com... bzw. unter https://www.google.de... Wir weisen Sie darauf hin, dass auf dieser Website Google Analytics um den Code „anonymizeIp“ erweitert wurde, um eine anonymisierte Erfassung von IP-Adressen (sog. IP-Masking) zu gewährleisten.
### ### PIWIK
Wer Piwik nutzt, sollte nicht ganz so stark unter Beschuss stehen - siehe hier: https://piwikpro.de...
### ### NEWSLETTER
Wenn man den Newsletter nicht auf dem eigenen Server verwaltet, sondern externe Dienstleister wie Cleverreach oder Mailchimp benutzt, muss mit diesem Dienstleister ebenfalls ein „Vertrag zur Auftragsdatenverarbeitung“ geschlossen werden (ADV, Englisch: Data Processing Addendum ("DPA")). Wenn der Dienstleister die Daten außerhalb Europas verarbeitet, benötigt man zusätzlich einen EU-Standard-Vertrag, Ausnahme: Der Dienstleister hat eine Privacy-Shield-Zertifizierung nach US-Recht (Mailchimp bspw. hat eine solche: https://www.privacyshield.gov... ). Mailchimp bspw. bietet ein Online-Formular, mit dem der ADV generiert werden kann; man füllt ein paar Felder aus, schickt ihn unterschrieben per Mail an Mailchimp: https://mailchimp.com... (GDPR - German Data Processing Addendum) - https://kb.mailchimp.com...
Für den Newsletter wird eine Einwilligungserklärung benötigt, in der der User zustimmt, welche Daten von ihm zu welchem Zweck verwendet werden; in der Regel dürfte das sich auf die Zusendung von Informationen erstrecken. Außerdem muss der User erfahren, wie er den Newsletter wieder loswird (bzw. wie er seine Einwilligung rückgängig macht). (Übrigens verfällt die Einwilligungserklärung mit der Zeit - c’t 2017: Heft 17, S. 145 rät, mindestens einmal jährlich oder „besser noch halbjährlich“ zu versenden, da das LG München in einem Urteil eine Einwilligung für einen seit 1.5 Jahren nicht versendeten Newsletter als „verfallen“ ansah.)
Die c’t (s.o.) zeigt einen Beispieltext „Datenschutzrechtliche Einwilligungserklärung“ mit einer Checkbox, aber was ist, wenn sich dieser Text mal ändert? Ich vermute, dass man am sichersten ist, wenn man in der Opt-In-Mail (Double-Opt-In ist ja eh unumgänglich) diese Einwilligungserklärung ablässt und klar macht, dass man seine Einwilligung erteilt, wenn man auf den Link klickt (diese Möglichkeit schlägt auch die c’t vor).
Im Text muss also stehen
- dass der User einwilligt, einen Newsletter zu bekommen (wahrscheinlich ist es sinnvoll, noch reinzuschreiben, was man ihm genau schicken wird, wie oft man es ihm schicken wird)
- dass man die Mailadresse des Users nur für den Newsletterversand benutzt und ansonsten nichts damit macht (vor allem sie nicht an Spammer verkauft) (Achtung: Wenn man also schreibt „erhalten Sie den Dingsbums-Newsletter mit Informationen über das Wetter“ und man schickt dem User dann eine Mail, wo man eine Umfrage zur Dingsbums-Website macht, hat man eigentlich schon gegen die Einwilligung verstoßen und kann abgemahnt werden. - meine Vermutung)
- wie man sich wieder austragen kann.
Wenn man einen Newsletter-Versender bedient (cleverreach, Mailchimp o.ä.), sollte man das aus meiner Sicht auch explizit als Teil der Einwilligungserklärung reinschreiben, damit die Anmerkungen in der Datenschutzerklärung nicht eskalieren (und man vielleicht sogar auch mit dem Newsletter-Verwender einen Vertrag zur Auftragsdatenverarbeitung o.ä. abschließen muss).
Die c’t 2017: Heft 17 (S. 144) schlägt übrigens vor, bei der Bestätigungsmail am besten sogar auf das Logo zu verzichten und sich auf die zwingend notwendigen Aussagen und ein Impressum zu beschränken, da man so den Ruch des Werblichen vermeidet.
Die Daten des Newsletter-Formulars dürfen nur verschlüsselt übertragen werden. Das bedeutet: Ohne https kein Newsletter. Punkt.
Das Öffnungs- und Link-Tracking im Newsletter ist „ohne Einwilligung der Empfänger … unzulässig“ (c’t 2017: Heft 17, S. 144). Also sollte man, wenn man das tut, das mindestens in die Datenschutzerklärung reinschreiben und diese in der Bestätigungsmail zum Lesen verlinken. (Meine Interpretation)
NEWSLETTER IN DER DATENSCHUTZERKLÄRUNG
In der Datenschutzerklärung informiert man den User über das, was mit seinen Newsletter-Daten passiert und wie man sie bei Bestellung, Versand, Löschen usw. verwendet. Außerdem sollte man darauf hinweisen, wenn die Daten außerhalb der EU verarbeitet werden. Weiterhin sollte man schreiben, wie der Newsletter abbestellt werden kann - nicht nur auf den Abmeldelink in jedem Newsletter hinweisen, sondern auch einen Link zu einem Abbestellformular und/oder eine Mailadresse, an die man zum Abbestellen schreiben kann.
### ### COOKIE-HINWEIS/-WARNUNG
Auch ein tolles Thema - „obwohl die Hinweise nach Überzeugung vieler Juristen nach derzeitiger Rechtslage gar nicht erforderlich sind“ (c’t 5/2018, S. 106). Der e-recht24-Anwalt sagt ( https://www.e-recht24.de... , Stand 31.01.2018), dass man mit einem klassischen Cookie-Hinweis (bei dem der User einen ausführlichen Einwilligungstext durch Klick bestätigt - hier ist mal unklar, ob dieser Einwilligungstext direkt mit eingeblendet wird oder nicht) kein Risiko eingeht, dass man es aber durchaus ohne riskieren könne. AUSNAHME: Bei Einsatz von Google Adsense/DoubleClick muss die Einwilligung der User eingeholt werden, da Google das selbst fordert ( http://www.google.com... ).
Textvorschlag für die Cookie-Warnung von e-recht24:
Weitere Informationen zu Cookies erhalten Sie in unserer *link*Datenschutzerklärung*link*
### ### SOCIAL-MEDIA-BUTTONS
Gehen natürlich gar nicht. Habe ich nirgends, deshalb bin ich nicht informiert, aber offensichtlich scheint die beste Lösung die Shariff-Lösung von heise/ct zu sein: https://github.com...
### ### DATENSCHUTZERKLÄRUNG - CHECKLISTE ### ###
Die bisherige muss man gewaltig aufbohren. Weiter unten nenne ich Mustergeneratoren, aber man sollte auf alle Fälle überprüfen:
### ### ### ### KONTAKTDATEN USW.
Name, Anschrift, E-Mail, Telefon wohl nicht
### ### ### ### RECHTSGRUNDLAGE:
Die Rechtsgrundlage für die Verarbeitung der Daten DSGVO Art. 6 muss explizit genannt sein, außerdem der GRUND, warum die Daten verarbeitet werden. Gehen wir mal davon aus, dass wir die Daten gar nicht verarbeiten WOLLEN, aber nun mal einfach Logfiles erstellt werden und wir das halt einfach hinnehmen, so ist das nach DSGVO Art. 6 kein Grund.
Man lese also DSGVO Art. 6 ( https://dsgvo-gesetz.de... ) Abs. 1 und suche sich einen Punkt aus. Der Standardhomepagebetreiber wird wohl meistens auf Abs. 1 Punkt f) abzielen, dazu muss er sein Interesse an der Datenverarbeitung explizit nennen, also bspw. mit der Argumentation, dass IP-Adressen gebraucht werden, um Angriffe erkennen und abwehren zu können (die c’t 5/2018 nennt (S. 106) als Interesse die „Betriebssicherheit der Homepage“, (auf Speicherung muss explizit hingewiesen werden, außerdem max. Vorhaltezeit 14 Tage)).
Außerdem müssen die User genau erfahren, welche Rechte sie haben:
———— Wie können sie ihre Daten löschen (können sie das überhaupt?)
———— Wie können sie Auskunft über die Daten, die über sie gespeichert sind, erhalten (geht das überhaupt?)
———— Wie können sie ihre Daten ändern (z.B. abgegebene Kommentare)?
Dazu kommen noch Informationen zu „Recht auf Einschränkung der Verarbeitung, das Widerspruchsrecht, das Beschwerderecht bei einer Aufsichtsbehörde sowie das Recht auf Datenübertragbarkeit“ (c’t 5/2018, S. 106). Ich vermute, dass man diesen Bereich sehr gut über Mustererklärungen abdecken kann und evtl. nur leicht anpassen muss. Beachte man, dass Informationen zum Widerspruchsrecht OPTISCH HERVORGEHOBEN SEIN MÜSSEN (ebd.).
### ### ### ### WELCHE DATEN WERDEN ERHOBEN und VERARBEITET, WIE WERDEN SIE VERARBEITET?
Wir müssen alle Daten, die von den Usern erhoben werden, nennen (und wir müssen immer auch den ZWECK DER VERARBEITUNG nennen). Das werden wohl IMMER IP-Adressen sein (Speicherung in Logfiles). Wenn man Werbenetzwerke und/oder Analytics-Dienste benutzt, werden diese wohl die Cookies der Benutzer auslesen, das sollte man wahrscheinlich auch explizit nennen. Dann alle Daten, die man „explizit“ erhebt, also bspw. Eingaben in Felder von Kommentarformularen, Benachrichtigung bei Folgekommentaren usw. Wenn das CMS IP-Adressen zu Kommentareinträgen o.ä. speichert, sollte man das hier auch vermerken (vermute ich), evtl. mit der Begründung der Website-Sicherheit und Spam-Abwehr unter Bezug auf DSGVO Art. 6.
Direkt dazu sollte die Info:
### ### ### ### WAS GESCHIEHT MIT DEN DATEN
Ich vermute, dass man hinschreiben sollte, was mit diesen Daten passiert:
———— WO werden die Daten gespeichert?
———— WIE LANGE werden die Daten gespeichert?
———— WAS macht man mit den Daten?
Dieser und letzter Punkt s.o. „AUSKUNFTSRECHT“, außerdem ein Formulierungsvorschlag zur DATENLÖSCHUNG.
### ### ### ### GOOGLE ANALYTICS
Siehe oben, Piwik ebenfalls
### +### ### ### COOKIES
Datenschutzerklärung sollte in jedem Fall einen Passus zu Cookies beinhalten. Dabei sollte wohl beschrieben werden, welche Cookies gesetzt werden (ich denke, dass man bei externen Diensten wie Werbenetzwerken, Google-Diensten etc. einfach darauf verweisen kann, dass diese Dienste wohl Cookies setzen) und wozu man sie verwendet. Das betrifft v.a. die Cookies der eigenen Site. Mögliche Verwendungszwecke könnten Warenkorb oder Analyse (Nutzerverhalten) sein. IM ersten Fall könnte man die Cookies möglicherweise auch ohne Hinweis einsetzen, da der Einsatz im vitalen Interesse des Betreibers liegt (ohne ein Warenkorb-Cookie kann er seinen Shop nicht ordentlich betreiben) UND die User nicht in ihren Freiheitsrechten eingeschränkt werden.
Meine Meinung: Wenn man schon mal dabei ist, tausend Seiten Cookie-Erklärungen zu verfassen, dann kann man ja sein Warenkorb-Cookie auch miterwähnen.
### ### DATENSCHUTZERKLÄRUNG - GENERATOREN UND VORLAGEN ### ###
Hier drei, die mir ganz gut aussehen:
https://www.activemind.de... - kostenlos und angeblich voll DSGVO-konform
https://www.mein-datenschutzbeauftragter.de...
https://datenschutz-generator.de... - allerdings nur für private Homepages; von Anwaltskanzlei
ACHTUNG: In vielen solcher Generatoren muss ein Link zum Generierer eingebaut werden. Ein Robert Hartl warnt völlig zu Recht davor, das unreflektiert zu übernehmen, weil teilweise ganz fiese Linktausch-Links eingebaut werden, z.B. bei den Muster_Generatoren von WBS-LAW und dg-datenschutz.de ( https://www.netprofit.de... ). Sein Tipp:
Es bleibt daher nur die Datenschutzseite an sich per meta robots auf noindex,nofollowzu stellen.
• Suchmaschinen indizieren diese Seite nicht. Das brächte sowieso nichts, da der Inhalt überwiegend als Dublette erkannt wird und als Suchtreffer inhaltlich für Ihre Seite ja auch nicht wichtig ist.
• Suchmaschinen folgen den Links nicht. Das ist unser primäres Ziel, denn damit sollte man den Google-Qualitätsrichtlinien entsprechen.

References: Art. 5
 Art. 89
 Art. 15
 Art. 15
 Art. 17
 Art. 17
 Art. 17
 Art. 5
 Art. 6
 Art. 6
 Art. 6
 Art. 6