Source: https://www.datenschutzkanzlei.de/datenschutzerklaerung/
Timestamp: 2020-04-10 18:43:51+00:00

Document:
Datenschutzerklärung | Datenschutzkanzlei
Anleitung für Websitebetreiber
Jeder Website-Betreiber ist dazu verpflichtet, seine Nutzer über Datenverarbeitungen zu informieren. Dieser Informationspflicht kann regelmäßig durch Bereitstellung einer Datenschutzerklärung nachgekommen werden. Wir zeigen Ihnen, wie Sie alle Voraussetzungen schaffen, um eine Datenschutzerklärung gemäß den Anforderungen EU-Datenschutz-Grundverordnung (DSGVO) zu erstellen.
Vorbereitung: Inventur der Datenverarbeitung auf Ihrer Website
Nutzer sind über alle Vorgänge zu informieren, bei denen Sie personenbezogene Daten verarbeiten. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Im Online-Kontext ist dabei nicht nur an Namen, E-Mail-Adressen oder Zahlungs- und Kaufinformationen zu denken, sondern etwa auch an Informationen, die Rückschlüsse auf ein bestimmtes Nutzungsverhalten zulassen, wie sie typischerweise in einem Cookie gespeichert sind. Nicht zuletzt ist auch die einem Nutzer von einem Provider zugewiesene IP-Adresse ein personenbezogenes Datum. Um eine vollständige Datenschutzerklärung zu erstellen, bietet es sich an, zunächst alle relevanten Datenverarbeitungsvorgänge auf Ihrer Website zu identifizieren:
1. Datenverarbeitung durch Nutzereingaben
Denken Sie hierbei zum Beispiel an ein Kontakt-Formular, einen Web-Shop, Registrierungen für einen geschlossenen Bereich, ein Forum, ein Chat-Formular, eine Newsletter-Anmeldung oder eine Unterseite für Bewerbungen.aus. Der Antragssteller muss daher jedenfalls über den Zweck der Verarbeitung, deren Rechtsgrundlage und die Speicherdauer der Verarbeitung informiert werden. Die Informationen können zweckdienlich durch eine Eingangsbestätigung mitgeteilt werden. Sofern die Hinweise in allgemeinen umfassenden Datenschutzhinweisen enthalten sind, kann auf diese verwiesen werden.
2. Datenerhebung durch Server
Jeder Server verarbeitet regelmäßig technische Daten der Website-Besucher (z.B. die IP-Adresse). Finden Sie heraus, welche Informationen standardmäßig erhoben werden und nach welcher Dauer eine Löschung dieser Daten erfolgt.
3. Trackingdienste
Welche Tools setzen Sie ein, um das Nutzerverhalten zu analysieren oder zu tracken? Hierzu zählen zum Beispiel Anbieter wie Google Analytics oder Matomo (vormals Piwik).
In welchem Umfang setzen Sie Cookies ein und was ist der Zweck dieser Cookies? So gibt es beispielsweise Cookies, welche die Inhalte eines Warenkorbs speichern. Andere Cookies werden für die personalisierte Anzeige von Inhalten (z.B. Spracheinstellungen) benötigt.
5. Drittinhalte
Welche Inhalte von Dritten sind eingebunden? Hierzu zählen beispielsweise Inhalte aus Videoplattformen wie YouTube oder vimeo oder auch Kartenansichten für Google Maps. Auch die Einbindung externer Schriften wie Adobe Typekit oder Google Fonts fällt hierunter.
6. Plugins (Social Media)
Wenn Sie Inhalte aus sozialen Medien wie Facebook, Twitter oder Instagram über ein Plugin einbinden, müssen Sie auch dies in Ihre Datenschutzerklärung mit aufnehmen. Auch die Möglichkeit sich über diese Netzwerke zu registrieren (z.B. Facebook Connect), ist eine Datenerhebung Ihrer Website, über die Sie informieren müssen.
7. Weitere externe Dienstleister
Bitte prüfen Sie dabei außerdem für jeden Verarbeitungsvorgang, welche externen Stellen personenbezogene Daten empfangen und berücksichtigen Sie auch Auftragsverarbeiter. In diesem Zusammenhang sind etwa Hosting-Anbieter, Zahlungs- und Versanddienstleister, aber auch Anbieter von Content Delivery Netzwerken relevant.
Entwerfen Sie eine Einleitung, um den Nutzern die Grundsätze der Datenverarbeitungen durch Sie darzulegen.
Geben Sie den Namen und die Kontaktdaten Ihres Unternehmens und die Kontaktdaten Ihres Datenschutzbeauftragten an.
Machen Sie allgemeine Angaben zur Datenverarbeitung, Rechtsgrundlagen und Speicherdauer.
Stellen Sie Informationen zur Datenspeicherung Ihres Website-Servers zur Verfügung.
Machen Sie Angaben zu den von Ihnen konkret durchgeführten Datenverarbeitungen (inklusive Zweck und Rechtsgrundlage).
Informieren Sie die Nutzer über ihre Rechte (Auskunft, Berichtigung, Löschung, Widerspruch, Widerruf einer Einwilligung) und ihr Beschwerderecht bei einer Aufsichtsbehörde.
Musterbausteine für Ihre Datenschutzerklärung
Erklärung: Eine Einleitung ist nach dem Gesetz nicht zwingend erforderlich, erleichtert dem Leser aber den Einstieg in die Lektüre der nachfolgenden Erklärung.
Namen und Kontaktdaten des Verantwortlichen und Datenschutzbeaufgtragten
datenschutzbeauftragter@xygmbh.de
Erklärung: Die Pflicht zur Angabe der Kontaktdaten ergibt sich aus Art. 13 Abs. 1 Buchst. a) DSGVO. Wir empfehlen neben dem Namen der Gesellschaft, die Angabe der Adresse, einer E-Mail-Adresse und einer Telefonnummer. Sofern ein Datenschutzbeauftragter benannt wurde, sind dessen Kontaktdaten anzugeben. Hier genügt aus unserer Sicht die Angabe einer eigenständigen E-Mail-Adresse.
Erklärung: Die Angabe allgemeiner Kriterien der Datenverarbeitung inklusive Rechtsgrundlagen dient als Auffangmöglichkeit, sofern konkrete Beschreibungen und Rechtsgrundlagen zu einzelnen Datenverarbeitungen fehlen. Die Pflicht zur Angabe dieser Informationen ergibt sich aus Art. 13 Abs. 1 Buchst. c) DSGVO.
Automatisierte Datenverarbeitung des Servers
Erklärung: Auch die Speicherung von Informationen in Server-Log-Files fällt unter die Informationspflicht des Art. 13 Abs. 1 Buchst. c) DSGVO, da die Kommunikation zwischen Website und Server nur durch die (kurzzeitige) Speicherung einer personenbezogenen IP-Adresse möglich ist. Die Speicherdauer dieser Informationen sollte nach unserer Empfehlung sieben Tage nicht überschreiten.
Informationserhebungen durch Kontaktformulare, Registrierungen, Bewerbungen, Anmeldungen zu Newslettern, Bestellung von Waren, Bezahlsysteme etc.
Erklärung: Hier sind alle Erhebungs- und Verarbeitungsprozesse Ihrer Website aufzunehmen, in den personenbezogene Daten im Spiel sind. Wichtig ist, dass neben der konkreten Beschreibung des Zwecks auch eine Rechtsgrundlage für die Datenerhebung und -nutzung mitgeteilt wird. Die möglichen Rechtsgrundlagen finden sich in Art. 6 DSGVO.
Anbieter Website-Tracking
Erklärung: Dieser Bereich kann je nach Umfang der Website sehr komplex ausfallen. Neben einem allgemeinen Hinweis zur Verwendung von Cookies, sind alle externen Anbieter für Tracking und Targeting, aber auch die Einbindung externer Inhalte aus Social-Media Profilen oder Kartendiensten detailliert zu beschreiben. Dazu gehört auch hier die Angabe der Rechtsgrundlage. Im Fall von Tracking und Targeting vertreten die deutschen Aufsichtsbehörden die Auffassung, dass diese Form der Datenverarbeitung nur mit Einwilligung der Nutzer (Art. 6 Abs. 1 Buchst. a) DSGVO) möglich ist. Aus unserer Sicht lässt die DSGVO für diese Verarbeitungsprozesse aber auch eine Interessenabwägung im Sinne von Art. 6 Abs. 1 Buchst. f) DSGVO zu.
Neben der Angabe des Zwecks und der Rechtsgrundlage müssen Website-Betreiber auch über die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten gemäß Art. 13 Abs. 1 Buchst. e) DSGVO informieren. Beim Drittlandstranfer von Daten (z.B. relevant bei US-Diensten), muss zudem auf die geeigneten oder angemessenen Garantien des Datentransfers (z.B. Privacy Shield Zertifizierung oder EU-Standardvertragsklauseln) gemäß Art. 13 Abs. 1 Buchst. f) DSGVO informiert werden.
Erklärung: Es ist darüber zu informieren, welche Rechte den Nutzern Ihrer Website nach der DSGVO zustehen. Hier genügt aus unserer Sicht eine Zusammenfassung der in Art. 13 Abs. 2 Buchst. b) bis f) DSGVO.

References: Art. 13
 Art. 13
 Art. 13
 Art. 6
 Art. 6
 Art. 13
 Art. 13
 Art. 13