Source: https://www.goblirsch.org/component/content/article/9-datenschutz-blog/7-datenschutzanforderungen-bei-formularen-auf-internetseiten?Itemid=131
Timestamp: 2020-08-10 01:36:48
Document Index: 218049459

Matched Legal Cases: ['Art. 32', '§ 203', 'Art. 6', 'Art. 6', 'Art. 6', 'Art. 13']

Verschlüsselung bei Formularen
Erhobene Daten von Formularen unverschlüsselt zu versenden ist nicht anzuraten. Denn Webseitenbetreiber verstoßen dabei gegen geltendes Recht (Art. 32 Abs. 1 EU-Datenschutz-Grundverordnung (DSGVO)) und sie riskieren Bußgelder. Bei der gleichzeitigen Offenbarung von Geheimnissen kann auch eine Haftstrafe (§ 203 StGB) in Frage kommen. Dabei ist es so einfach, seinen eigenen Internetauftritt mit SSL zu verschlüsseln. Viele Internetprovider bieten diese Option kostenlos an. Auch einige Zertifizierungsinstanzen wie „Let's Encrypt“ haben kostenlose SSL-Zertifikate im Angebot. Durchsuchen Sie das Internet einfach nach „Free Certificate Authority[2]“.
Damit aber nicht genug "Verschlüsselung". Viele Formulare erzeugen nach dem Versenden des Formulars eine E-Mailnachricht mit den eingegebenen Formulardaten und senden diese E-Mail unverschlüsselt an den Betreiber der Internetseite. Dies ist natürlich nicht datenschutzrechtlich zulässig, da der Weg der personenbezogenen Daten Ende-zu-Ende verschlüsselt sein muss. Als Lösung bietet sich hier eine einfache Nachricht „Formulardaten erhalten“ per Mail an – die im Formular eingegebenen Daten erhalten Sie dann, wenn Sie sich auf Ihrem Webserver anmelden und die Daten - wiederum - verschlüsselt abrufen. Viele andere Kombinationen sind hier ebenfalls rechtlich möglich, es kommt häufig auf den Einzelfall an (ein gern genommener Halbsatz bei Juristen).
Sparsam Daten erheben
Fragen Sie sich erst einmal, ob das Formular, welches Sie gerade datenschutzkonform gestalten wollen, weiterhin benötigt wird. Ein Indikator dafür ist, wie viele Anfragen Sie über das Formular erhalten.
Häufig werden Daten in Formularen erhoben, welche für den eigentlichen Zweck der Verarbeitung nicht benötigt werden. Da gibt es Pflichtfelder mit der Adresse bei Newsletter-Anmeldungen oder die Frage nach dem Arbeitgeber bei der Terminanfrage bei Facharzt. Hier ist der Grundsatz der Datensparsamkeit zu beachten. Fragen Sie nur nach den Dingen, die für den Zweck des Formulars notwendig sind. Lassen Sie somit Felder einfach weg und binden Sie diese nicht als „freiwillige Angabe“ in das Formular ein. Denn letzteres könnte darin resultieren, dass Sie eine Einwilligung des Betroffenen als „Rechtsgrundlage der Verarbeitung“ benötigen.
Rechtsgrundlage der Verarbeitung und Informationspflichten
Wichtig ist ebenfalls die Frage nach der Rechtsgrundlage der Verarbeitung personenbezogener Daten im Formular. Hier kommt es auf den Zweck der Verarbeitung an. Handelt es sich beispielsweise um ein Formular zur Bestellung von Waren und Dienstleistungen, kommt hier als Rechtsgrundlage die Verarbeitung zur Erfüllung eines Vertrages gemäß Art. 6 Abs. 1 lit b) DSGVO. Eine auch häufig in Betracht gezogene Rechtsgrundlage ist die Einwilligung des Betroffenen gemäß Art. 6 Abs. A lit. a). An einer Einwilligung selbst sind nochmal eine Vielzahl an Anforderungen geknüpft. Dies hier aufzuzählen und zu erklären würde diesen Beitrag jedoch sprengen. Gerne genommen wird auch häufig das "berechtigte Interesse" nach Art. 6 Abs. 1 lit. f) DSGVO. Wenn der Betreiber der Internetangebots darauf zurückgreifen will, muss er vorab eine positiv ausfallende Interessensabwägung durchführen.
Last but not least müssen Betreiber von Internetseiten ihre Informationspflichten nach Art. 13 DSGVO um die notwendigen Angaben zum Kontaktformular ergänzen.
Formulare auf Internetseiten lassen sich mit wenigen Handgriffen datenschutzkonform betreiben. Insbesondere sollten Sie auf die Verschlüsselung, die Datensparsamkeit und die Rechtsgrundlage der Verarbeitung (brauche ich eine Einwilligung) achten. Nehmen Sie die Analyse ihrer eigenen Formulare auch zum Anlass, um sich selbst zu fragen, ob für die Formulare noch ein tatsächlicher Bedarf besteht.
[1] Es ist keine abschließende Aufzählung von datenschutzrechtlichen Anforderungen. Dieser Blog-Eintrag behandelt nur die wesentlichsten Punkte. Datenschutzrechtliche Anforderungen unterscheiden sich auch je nach Art und Umfang der verarbeiteten, personenbezogenen Daten unter Berücksichtigung des damit einhergehenden Risikos für die Rechte und Freiheiten der betroffenen Personen. Besonderheiten gelten z. B. für Formulare zur Newsletter-Anmeldung, weswegen die genannten Anforderungen nur einen großen, gemeinsamen datenschutzrechtlichen Nenner beschreiben.
[2] Externer Verweis.
Tags: Formulare, Kontaktformulare, DSGVO