Source: http://www.seo-webshop.de/news/seo-datenschutz
Timestamp: 2017-12-17 19:38:08
Document Index: 43763909

Matched Legal Cases: ['§1', '§ 11', '§ 11', '§ 9', '§ 11', '§ 42']

Datenschutz SEO - Internetpräsenzen datenschutzkonform gestalten
25. April 2017 28. Juni 2017 Martin Schunk
Geht es um Datenschutz bei Internetpräsenzen meiner Kunden, höre ich oft Ausrufe wie „Oh, soviel Aufwand für nichts“ oder „die anderen (Seitenbetreiber) machen das doch auch nicht“ oder „Wer kontrolliert das denn schon“. Ähnliche Aussagen kennt jeder aber wahrscheinlich auch rund um die Straßenverkehrsordnung – aber hält sich daran, weil jeder weiß, dass an der nächsten Straßenecke eine Geschwindigkeitskontrolle durchgeführt werden kann.
Fakt ist, es gibt die Datenschutzgesetzgebung und Fakt ist auch, dass die Aufsichtsbehörden seit der letzten Novelle im Jahr 2009 personell aufgestockt wurden und umfangreicher tätig sind, als dies in der Vergangenheit der Fall war.
Worum geht es eigentlich im Kern, wenn Datenschutz gefordert wird?
Hier geben im Prinzip die beiden ersten Absätze des §1 Bundesdatenschutzgesetz (BDSG) Auskunft
(2) Dieses Gesetz gilt für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten…
Vereinfacht gesagt soll jeder Mensch selbst darüber bestimmen können, welche persönliche Daten er wem überlässt und was derjenige, der diese persönlichen Daten erhalten hat, damit machen darf.
Was hat das mit meiner Webpräsenz zu tun und wie setze ich das um?
Unabhängig davon was für eine Art von Internetpräsenz Sie betreiben, sei es ein Webshop, eine Marketingsite, einen Blog oder ein Forum, es fallen personenbezogene Daten an. Und wenn es sich dabei nur um die IP-Adresse der Seitenbesucher handelt. In der Regel werden darüber hinaus Daten wie
− postalische Anschriften für die Zustellung von in Webshops gekauften Waren
− E-Mail-Adressen bei Kontaktformularen, Newsletterbestellungen
− Telefonnummern bei gewünschter Kontaktaufnahme durch den Sitebetreiber
anfallen. Aus Sicht des Datenschutzrechts müssen Sie als Betreiber einer Plattform den Nachweis führen können, wie sie zu jeder einzelnen Adresse gekommen sind und auf welcher Rechtsgrundlage dies geschehen ist.
Bei der postalischen Anschrift eines Käufers ist dies relativ einfach. Als Anbieter von Waren benötigen Sie diese, um dem Rechtsgeschäft nachkommen zu können. Sie müssen bestellte Waren ja dem Kunden zustellen können. Allerdings gilt hier die Zweckbindung. Wenn Sie bei der Adresserhebung im Zuge des Rechtsgeschäfts keine Einwilligung z.B. für einen Newsletterversand eingeholt haben, so dürfen Sie auch keine Newsletter an diesen Personenkreis versenden, sondern die Anschriften nur Kontaktaufnahme in Fällen wie z.B. der Reklamationsbearbeitung o.ä. nutzen.
Bei Telefonnummern und Mailadressen muss mehr Aufwand betrieben werden.
Da Sie nicht verifizieren können, ob der Inhaber der Telefonnummer oder Mailadresse tatsächlich die Person ist, die das Kontaktformular auf Ihrer Website ausfüllt, müssen Sie sich des sogenannten Double-Opt-In (DOI) bedienen. Auf ein ausgefülltes Kontaktformular hin gestalten Sie den Verifizierungsprozess so, dass eine Mail an den Betroffenen geschickt wird, in der er mittels Klick auf einen Verifizierungslink bestätigt, dass er derjenige ist, der die Information auch angefordert hat.
Protokollieren Sie dies, denn im Fall der Fälle müssen Sie den Nachweis erbringen können.
Belegen Sie bei Kontaktformularen Checkboxen nicht vor! Einwilligungen müssen von den Besuchern grundsätzlich aktiv vorgenommen werden.
Koppeln Sie die Herausgabe von Daten, die über die zur Abwicklung des Rechtsgeschäfts nötigen Informationen hinaus gehen, nicht als Bedingung für den Kauf einer Ware. Dies wäre nicht zulässig.
Gewinnspiele zur Adressgenerierung
Sollten Sie Gewinnspiele zur Adressgenerierung anbieten, gilt dies ebenso. Die Einwilligung zur Adresserhebung darf nicht mit der Teilnahmemöglichkeit an einem Gewinnspiel gekoppelt sein.
Möchten Sie mehr Daten von Ihren Kunden, informieren Sie sie im Sinne des Transparenzgebots, warum Sie konkrete Daten möchten und setzen Sie auf die Freiwilligkeit der Besucher, diese Angaben zu machen oder nicht.
Koppeln Sie nicht mehrere Einwilligungen mit einer Checkbox.
– Ja ich möchte regelmäßig den Newsletter der ABC GmbH zugeschickt bekommen und über Produktneuigkeiten per Telefon informiert werden.
– Ja ich möchte regelmäßig den Newsletter der ABC GmbH zugeschickt bekommen.
– Ja ich möchte über Produktneuigkeiten der ABC GmbH auch telefonisch informiert werden.
Und weisen Sie unter jedem Kontaktformular auf die Möglichkeit hin, jederzeit eine einmal bereits erteilte Zustimmung widerrufen zu können.
Prinzipiell sollten Sie größtmögliche Transparenz gegenüber den Besuchern demonstrieren, denn gut informierte Kunden zeigen in der Regel auch eine höhere Bereitschaft etwas über sich preis zu geben.
Achtung bei Newslettern – Erteilte Einwilligungen gelten nicht für ewig!
Sie bieten Ihren Besuchern an, sich in einen Newsletterverteiler einzuschreiben, hatten aber die letzten 18 Monate keine zündende Idee für einen Newsletter? Dann sieht es mit den bis zum letzten Newsletterversand erlangten Einwilligungen schlecht aus. Denn z.B. sieht das Landgericht München in einem Urteil einen Zeitraum von 18 Monaten bis zur ersten Newsletterzustellung als zu lange an. Man kann nicht davon ausgehen, dass eine Einwilligung so lange wirksam bleibt.
Also, wer Newsletter anbietet, sollte diesen auch in zeitnahen Abständen versenden und dabei nicht vergessen, in jedem Newsletter dem Adressaten die Möglichkeit zur Abmeldung anzubieten.
Noch leichter, und von Datenschützern gern gesehen, machen Sie es Ihren Besuchern, wenn Sie an der gleichen Stelle, an der man sich für einen Newsletter eintragen kann, auch zusätzlich die Möglichkeit zur Abmeldung anbieten.
Tracker, Google & Co
Nun ist die eigene Site gelauncht und man möchte natürlich wissen, welche Angebote reichlich besucht werden, welche eher weniger, woher die Besucher kommen und und und…
Hierfür gibt es ja reichlich Tracking-Tools. Am prominentesten dürfte dabei Google mit seinem Google Analytics Tool (GA) sein. Die Datenschutzaufsichtsbehörden haben Ende 2009 unter dem Titel „Datenschutzkonforme Ausgestaltung von Analyseverfahren zur Reichweitenmessung bei Internet-Angeboten“ festgelegt, welche Bedingungen eingehalten werden müssen, damit der Einsatz solcher Tools datenschutzrechtlich konform erfolgt.
1. Mit Google muss ein sogenannter Vertrag zur Auftragsdatenverarbeitung geschlossen werden.
Dieser Vertrag gem. § 11 BDSG stellt sicher, dass Sie Eigentümer der Daten bleiben und Google die Daten (hier IP-Adressen) nur für den Zweck der Erstellung von Besucherstatistiken benutzen darf.
2. Anonymisierung der IP-Adressen. Dies erfolgt durch kürzen der Besucher-IP-Adresse
Technisch erreichen Sie dies in dem Sie dem Google-Analytics-Skript auf Ihren Seiten die Zeile
bei asynchronem Tracking-Code bzw.
beim klassischen Tracking-Code hinzufügen
3. In der Datenschutzerklärung der Website, die hoffentlich existiert, muss auf den Einsatz von Google Analytics hingewiesen werden und ein Link zu dem von Google angebotenen Opt-Out-Tool
( https://tools.google.com/dlpage/gaoptout?hl=de ) bereitgestellt werden.
4. Sollten Sie bereits in der Vergangenheit GA eingesetzt haben, müssen die Altdaten gelöscht werden.
Was hier beispielhaft für Google Analytics aufgezeigt ist, gilt im Prinzip für jeden Tracker. Wer sich allerdings dazu entscheidet, einen Tracker auf dem eigenen Server zu implementieren (z.B. PiWik), der kommt zumindest um den § 11 Vertrag zur Auftragsdatenverarbeitung herum, da die IP-Adressdaten je bei Ihnen bleiben und nicht zu einem Fremd-Server übertragen werden.
Dass die Aufsichtbehörden nicht nur personell, sondern auch technisch aufgerüstet haben, durften Anfang 2012 einige Webseitenbetreiber erfahren. Das Bayerische Landesamt für Datenschutzaufsicht hat mit eigener Software über 13.000 Webseiten auf den Einsatz von Google-Analytics geprüft, dabei knapp 2.500 Sites gefunden, die GA im Einsatz hatten und von denen wiederum lediglich nur 78 Websites GA datenschutzkonform eingesetzt haben. Der Rest bekam Post….
Gute Cookies, schlechte Cookies
Mit Cookies lässt sich vieles erreichen. Vom benutzerfreundlichen Speichern von Sitzungseinstellung, bis hin zur Erstellung komplexer Surferprofile mit Informationen über das Surfverhalten der Besucher, lässt sich mit den kleinen Dateien, die Websites auf den PC’s der Surfer ablegen, alles erledigen.
Gerade was das Anlegen und Auswerten von Nutzerverhalten angeht geben sich die Aufsichtbehörden sehr kritisch. Langlebige Cookies (>3 Monate) geben hier die ersten Verdachtsmomente ab, wo hingegen kurzlebige Sitzungscookies, die nach jeder Sitzung gelöscht werden, als unproblematisch angesehen werden.
Auch bei der Art der eingesetzten Cookies sollten Sie sich auf den Einsatz von HTML-Cookies beschränken. Hier hat es der Benutzer mit seinen Browsereinstellungen in der Hand, ob er Cookies zulässt oder nicht. Bei Flash-Cookies ist dies nicht der Fall. Nur selten werden Benutzer wissen, dass man auf einer speziellen Adobe-Seite die Einstellungen seines Flash-Players einsehen und modifizieren kann. Ich kann mir sehr gut vorstellen, dass die Aufsichtsbehörden, ähnlich wie im Fall von Google Analytics, einen eigenen Spider losschicken, der deutsche Seiten auf den Einsatz mit solchen verdächtigen Cookies hin untersucht.
Richtig viel Aufmerksamkeit werden Sie dem Thema Cookie widmen müssen, wenn die deutsche Bundesregierung die EU Cookie-Richtlinie in nationales Recht umsetzt.
Separate Datenschutzseite
Bei vielen Internetpräsenzen ist die Datenschutzerklärung in das Impressum integriert.
Im Sinne des Transparenzgebots sollte Sie dies auftrennen und eine separate, von jedem Punkt Ihrer Website erreichbare, Datenschutzseite anbieten.
Werden Sie nicht zum Adresshändler
Nun haben Sie über Ihre Website über die Jahre datenschutzkonform Kunden- und Interessentenadressen gesammelt. Ein Geschäftsfreund ruft Sie an, man plaudert und kommt auf die Idee, ein wenig Adresstausch zu machen. Krieg ich Deine, bekommst Du meine.
Diese Form der Adressweitergabe ist nicht zulässig, da die Benutzer Ihnen ihre Adresse aus dem einen oder anderem guten Grund mitgeteilt haben.
Diese Form der Adressweitergabe wäre nur dann zulässig wenn die Besucher Ihrer Website bereits zum Zeitpunkt der Einwilligung darüber informiert werden, an wen Sie die Adressen weitergeben.
Führen Sie die möglichen Empfänger, an die Sie die Daten weitergeben alle einzeln auf.
Eine Formulierung wie z.B. “ und an die Konzerngesellschaften der ABC GmbH“ wäre nicht zulässig.
Datensicherheit bei Webseiten
Dass Sie z.B. als Webshop-Betreiber selbst allergrößtes Interesse daran haben, dass Ihr Business 24 Stunden, rund um die Uhr wie am Schnürchen läuft, liegt auf der Hand.
Aber auch das BDSG legt Ihnen hier Pflichten auf, die es zu beachten gilt. In der Anlage zu § 9 Satz 1 BDSG
( http://www.gesetze-im-internet.de/bdsg_1990/anlage_79.html) sind die Technischen und Organisatorischen Maßnahmen beschrieben die unter Datenschutzbeauftragten i.d.R. als die 8 Gebote des Datenschutzes bezeichnet werden. Im Kern geht es dabei darum, dass Sie sicherstellen müssen, dass der Zugriff auf die Daten nur authorisierten Personen möglich ist und mit den Daten nur das gemacht wird, wozu sie erhoben wurden (Zweckbindung).
Liegen die Daten bei einem Dienstleister (z.B. Webhoster) so muss wiederum ein § 11 BDSG-Vertrag zur Auftragsdatenverarbeitung mit diesem/n Dienstleister/n abgeschlossen werden, um sicherzustellen dass dieser Dienstleister selbst wiederum den Datenschutz einhält und mit Ihren Daten nur das macht, was im Rahmen des Dienstleistervertrags festgelegt ist.
Nun nehmen wir an, Sie haben all die Prozesse implementiert um den 8 Geboten des Datenschutzes zu entsprechen aber Ihre Website ist, sagen wir mal semiprofessionell erstellt und es gelingt Hackern, mittels Cross-Site-Scripting (XSS) oder einer SQL-Injection der Zugriff auf Kundendaten.
Ja, dann sind die 8 Gebote eben doch nicht erfüllt und Sie müssen bei Bekanntwerden des Angriffs neben möglichem Reputationsverlust auch damit rechnen, dass Ihrem Unternehmen erhöhte Aufmerksamkeit des für Sie zuständigen Landesamt für Datenschutzaufsicht zuteil wird.
Kommen bei so einem GAU dann unter Umständen auch unverschlüsselte Kreditkartendaten abhanden, besteht sogar die Pflicht, sowohl die betroffenen Personen deren Daten involviert sind, als auch die Aufsichtsbehörde zu informieren (§ 42a BDSG – http://www.gesetze-im-internet.de/bdsg_1990/__42a.html )
Der zitierte Paragraph sagt auch, dass wenn die Benachrichtigung der Betroffenen einen unverhältnismäßig hohen Aufwand bedeuten würde (z.B. wegen der hohen Anzahl an „Opfern“), sogar die Pflicht besteht, an die Öffentlichkeit zu gehen und in mind. zwei bundesweit erscheinenden Tageszeitungen mit halbseitigen Anzeigen auf die Panne hinzuweisen.
PR die kein Unternehmen braucht.
GAU Task-Force
Gerade für Fälle wie den letzt genannten, aber auch generell für alle Probleme rund um Ihre Internetpräsenz sollten Sie Inhouse Regelungen treffen, wer wann bei welchen Problemen / Pannen informiert wird. Nur so können Sie sicherstellen, dass Pannen schnell und effizient behandelt werden.
Datenschutzkonform <> Rechtskonform
Wenn Sie die oben erläuterten Punkte berücksichtigen sind Sie leider noch nicht auf der sicheren Seite was die Rechtskonformität Ihrer Webpräsenz angeht. Neben dem BDSG sind auch, je nach den Inhalten der Site, das Telemediengesetz (TMG), der Rundfunk-Staatsvertrag (RStV), das Allgemeine Gleichbehandlungsgesetz (AGG) und ggf. weitere Gesetze in Betracht.
Allemal gut beraten sind Unternehmen, die hierfür, aber auch für die Überprüfung aller anderen Verfahren Ihrer Website einen internen oder externen Datenschutzbeauftragten zur Hand hat.
Unser Gastautor ist:
Robert Schöttl, IT-Consultat und externer Datenschutzberater mit GDD-Zertifizierung
1 Datenschutzkonform
2 Worum geht es eigentlich im Kern, wenn Datenschutz gefordert wird?
3 Was hat das mit meiner Webpräsenz zu tun und wie setze ich das um?
4 Bei Telefonnummern und Mailadressen muss mehr Aufwand betrieben werden.
5 Gewinnspiele zur Adressgenerierung
6 Gestaltung von Newslettern
7 Tracker, Google & Co
8 Gute Cookies, schlechte Cookies
9 Separate Datenschutzseite
10 Werden Sie nicht zum Adresshändler
11 Datensicherheit bei Webseiten
12 Wirklich alles sicher?
13 Der GAU
14 GAU Task-Force
15 Datenschutzkonform <> Rechtskonform
NewsDatenschutz Datenschutzbeauftragten Gestaltung von Newslettern Rechtkonform Rechtskonform
Next Post Next post: Sichtbarkeitsindex