Source: http://firebirdradio.de/infusions/BJF_IMPRESSUM/pages/bjf_datenschutz.php
Timestamp: 2019-06-17 15:28:48
Document Index: 343960274

Matched Legal Cases: ['BGH', 'EuG', 'BGH', '§ 13', 'EuG', 'EuG', 'EuG', '§ 11', 'EuG', 'EuG']

Firebird-RadioDatenschutz
Heute: 40 106
Datenübermittlung - Dienstleister, die online Verträge schließen (ohne Warenversand)
1. Adobe Typekit Web Fonts und Datenschutzerklärung
2. Amazon Partnerprogramm und Datenschutzerklärung
3. Datenschutzerklärung und Anfrage per E-Mail, Telefon oder Telefax
4. Datenschutzerklärung und CleverElements
5. Datenschutzerklärung und CleverReach
6. Cookies und Datenschutzerklärung
In der Praxis nutzen Cookies sowohl Webseitenbetreibern als auch Usern. Webseitenbetreiber erhalten durch Cookies genaue Informationen darüber, wie und wie lange Nutzer ihre Webseiten verwenden. Daraus können sie Schlüsse ziehen, wie sie ihre Seite optimieren können.User profitieren von Cookies, da sie so die Einstellungen auf Webseiten wiederfinden, die sie bei vorherigen Besuchen vorgenommen haben. Das bedeutet: Sie müssen beispielsweise in Onlineshops nicht immer wieder ihre Kundendaten eingeben oder die Seitensprache einstellen. Darüber hinaus erhalten Nutzer durch Cookies Produktvorschläge, die auf ihrem bisherigen Surf- und Kaufverhalten basieren. Das macht die Internetnutzung insgesamt einfacher.
Wie Webseitenbetreiber konkret über die Nutzung von Cookies aufklären müssen, ist höchstrichterlich noch nicht entschieden. Das Oberlandesgericht (OLG) Frankfurt hat am 17.12.2015 festgestellt, dass es ausreicht, User über das Opt-Out-Verfahren über die Verwendung von Cookies zu informieren. In der Praxis heißt das: Webseitenbetreiber können den Cookies-Hinweis mit einem bereits vorangekreuzten Häkchen versehen, so dass User nur noch auf „OK“ oder „Akzeptieren“ klicken müssen.Aktuell hat der Bundesgerichtshof (BGH) jedoch dem Europäischen Gerichtshof (EuGH) die Frage vorgelegt, ob diese Vorgehensweise ausreicht. Es kann daher sein, dass der BGH noch entscheidet, dass ein Opt-In verpflichtend ist. Dann müssten Webseitenbetreiber User das Häkchen selbst setzen lassen.
8. Datenschutzerklärung und Datenschutzbeauftragter
Gemäß dem BDSG muss ein Datenschutzbeauftragter überprüfen, ob Unternehmen und Behörden die Datenschutzbestimmungen einhalten. Dazu muss er interne Abläufe überwachen und kontrollieren. Stellt er einen Verstoß fest, muss er zusammen mit der Geschäftsführung Maßnahmen evaluieren und bestimmen, um diese Verstöße zu beseitigen. Der Datenschutzbeauftragte kann dabei nicht selbst entscheiden, welche Maßnahmen geeignet sind. Diese Entscheidung muss die Geschäftsleitung allein treffen.Damit Behörden und Unternehmen erst gar nicht gegen Datenschutzbestimmungen verstoßen, ist der Datenschutzbeauftragte dafür verantwortlich, intern eine Datenschutzorganisation aufzubauen. Diese soll das Personal über Richtlinien und Änderungen informieren. Darüber hinaus schult der Datenschutzbeauftragte das Personal regelmäßig.
9. Datenschutzerklärung zum Verarbeiten von Kunden- und Vertragsdaten
10. Datenübermittlung - Dienstleister, die online Verträge schließen (ohne Warenversand)
Bevor Dienstleister Daten ihrer Kunden ermitteln, müssen sie sich vorher versichern, dass sie überhaupt dazu berechtigt sind, die Informationen per Datenübermittlung zu erheben und zu speichern. Die Erlaubnis dazu kann ihnen entweder das Gesetz oder eine Einwilligung der betroffenen Person erteilen. Nach dem Gesetz ist die Erhebung von Daten zulässig, wenn sie für die Begründung, Durchführung oder Beendigung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Kunden notwendig ist.In der Praxis bedeutet das: Schließen Dienstleister und Kunden einen Vertrag, dürfen Dienstleister auch ohne vorherige Einwilligung des Kunden die personenbezogenen Daten abfragen und übermitteln, die notwendig sind, um den Vertrag zustande kommen zu lassen und zu erfüllen. In der Regel sind das Informationen wie Name, Anschrift, E-Mail und Kontoverbindung.Darüber hinaus müssen Dienstleister für Onlinedienste, über die User personenbezogene Daten übermitteln, ein anerkanntes Verschlüsselungsverfahren implementieren. Das schreibt das Telemediengesetz in § 13 Abs. 7 vor. Das soll sicherstellen, dass Dienstleister die Informationen sicher und ohne Zugriff durch Dritte übermitteln können. Verzichten sie auf diese Schutzmaßnahme, droht ihnen Geldbuße von bis zu 50.000 Euro pro Verstoß.
11. Datenübermittlung - Online-Shops & Händler (mit Warenversand)
Bevor Händler bei einer Online-Bestellung die Daten der Verbraucher ermitteln, müssen sie klären, ob sie dazu überhaupt berechtigt sind. Die Erlaubnis kann ihnen entweder das Gesetz oder die Zustimmung des Konsumenten geben. Das Gesetz erlaubt es Händlern, Daten zu erheben und zu übermitteln, wenn diese für den Abschluss eines Rechtsgeschäfts notwendig sind.Für die Praxis heißt das: Schließen Händler mit einem Verbraucher einen Kaufvertrag, dürfen sie all die Daten im Bestellprozess abfragen, die sie benötigen, um den Vertrag zustande kommen zu lassen. Neben dem Namen und der E-Mail ist das vor allem auch die Liefer- und Rechnungsadresse, damit sie die Ware auf dem Postweg zustellen können.
12. Datenschutzerklärung und Digistore24
13. eRecht24 Safe Sharing Tool
Klicken Nutzer auf einen eingebundenen Like- oder Share-Button auf einer Webseite, drücken sie nicht nur ihre digitale Meinung aus, sondern geben gleichzeitig Nutzerdaten an die sozialen Netzwerke weiter – häufig ohne ihr Wissen. Da es sich dabei jedoch um personenbezogene Daten handelt, müssten Webseitenbetreiber dafür eigentlich erst die Zustimmung der Nutzer einholen. Diese liegt in der Regel jedoch nicht vor. Denn: Es reicht nicht aus, wenn sie dafür lediglich einen Hinweis in ihre Datenschutzerklärung aufnehmen. Share- und Like-Buttons von Facebook und Co. verstoßen somit gegen deutsche Datenschutzbestimmungen.Das e-Recht24 Safe Sharing Tool ermöglicht es Usern, Inhalte zu teilen, ohne ihre Daten weiterzugeben. Das macht den Einsatz der Social Plugins für Seitenbetreiber rechtlich zulässig, da sie so nicht mehr gegen den Datenschutz zu verstoßen.
14. Datenschutzerklärung und etracker
15. Facebook Plugins und Datenschutzerklärung
Facebook ist ein soziales Netzwerk, das Profile von Privatpersonen und Unternehmen erstellen und miteinander vernetzen lässt. User können Inhalte liken, kommentieren sowie teilen und sich so weltweit austauschen.Unternehmen nutzen Facebook als Marketingkanal. Sie teilen darüber für ihre Zielgruppe relevante Inhalte, um eine möglichst große Zahl an Followern zu generieren. Das wiederum soll den Verkauf ihrer Produkte ankurbeln und so den Unternehmenswert steigern.
Facebook sammelt eine Vielzahl von Daten seiner Nutzer. Dazu zählen u. a. die Daten, die User selbst im Netzwerk angeben, wie Name, Geburtsdatum und Wohnort. Darüber hinaus speichert das Netzwerk Daten zu allen Aktivitäten, die Nutzer vornehmen. Dazu zählen u. a. Kommentare, Likes, Statusmeldungen, Veranstaltungen und Freunde. Daneben sammelt Facebook Daten zur Art und Weise der Nutzung. So erhebt es Informationen dazu, wann, wie oft und wie lange User im Netzwerk surfen.Diese Daten nutzt Facebook zum einen, um Usern ein personalisiertes Erlebnis bieten, und zum anderen, um Unternehmen eine Plattform für personalisierte Werbung stellen zu können. Für Analysezwecke gibt das Netzwerk einige seiner Daten zudem an Dritte weiter. In seinen Datenschutzrichtlinien verweist der Konzern jedoch darauf, dass es sich dabei nicht um personenbezogene Daten handelt. Diese würden nur dann an Dritte weitergereicht, wenn eine Einwilligung des jeweiligen Users vorliegt.
Unternehmen müssen auch bei Facebook deutsche Datenschutzbestimmungen erfüllen. Das ist möglich, indem sie auf ihrer Facebookseite entsprechende Datenschutzhinweise unterbringen oder dort einen Link zu den Datenschutzhinweisen auf ihrer eigenen Webseite platzieren. Dafür müssen sie gleichzeitig in ihrer Datenschutzerklärung auf die Facebook Page verweisen. Auf diese Weise verdeutlichen sie ihren Nutzern, dass die gemachten Hinweise auch für Facebook gelten.Darüber hinaus stehen Unternehmen vor einer Reihe von Datenschutzproblemen, die Facebook mitbringt. So gibt das Social Plugin des Netzwerks auf der eigenen Unternehmensseite automatisch Nutzerdaten an Facebook weiter, wenn User daraufklicken. Da es sich dabei um personenbezogene Daten handelt, müssen Unternehmen hierfür zunächst eine Einwilligung der User einholen. Das ist jedoch nicht möglich, indem sie lediglich in ihrer Datenschutzerklärung darauf hinweisen. Sie sollten daher auf der eigenen Webseite zusätzlich auf alternative Plugins wie das eRecht24 Safe Sharing Tool zurückgreifen, um deutsche Datenschutzbestimmungen zu erfüllen.Daneben ist auch Facebooks Custom Audiences datenschutzrechtlich ein Problem für Unternehmen. Sie können darüber ihre Kundendaten mit Facebook-Nutzern abgleichen, um so personalisierte Werbung zu schalten. Da hierbei jedoch personenbezogenen Daten an Dritte weitergegeben werden, benötigen sie hierfür gemäß Bundesdatenschutzgesetz die Zustimmung der User. Liegt diese nicht vor, drohen ihnen Bußgelder sowie Schadensersatzansprüche der Betroffenen.
Das Landgericht (LG) Düsseldorf hat am 09.03.2016 entschieden: Der auf Webseiten implementierte Like-Button von Facebook verstößt gegen Datenschutzbestimmungen (Az. 12 O 151/15). Das Oberlandesgericht (OLG) Düsseldorf hat die Frage nach der Zulässigkeit des Buttons dem EuGH vorgelegt (Beschluss vom 19.01.2017 – Az. I-20 U 40/16). Hier ist noch keine Entscheidung gefallen.Darüber hinaus haben das Verwaltungsgericht (VG) Schleswig-Holstein (Urteil vom 09.10.2013, Az. 8 A 218/11 sowie Az. 8 A 37/12 und 8 A 14/12) sowie das Oberverwaltungsgericht (OVG) Schleswig-Holstein (Urteil vom 04.09.2014, Az. 4 LB 20/13) festgelegt: Betreiber einer Facebookseite sind datenschutzrechtlich nicht verantwortlich, wenn Facebook personenbezogene Daten der Besucher der Seite verarbeitet. Die Richter verwiesen in ihrem Urteil darauf, dass Betreiber keine Erlaubnis und keine Mittel haben, um die Datenerhebung und -verarbeitung von Facebook zu beeinflussen.
16. Facebook Connect und Datenschutzerklärung
Bei Facebook Connect findet ein Datenaustausch zwischen Facebook und dem jeweiligen Online-Dienst statt. Welche Informationen die beiden Unternehmen dabei genau austauschen, hängt von den Privatsphäre-Einstellungen des Users ab. Die vom Nutzer öffentlich gestellten Profilinfos leitet Facebook an den Webdienst weiter. Das können zum Beispiel Name, E-Mail und Freundeslisten sein.Diese Daten speichert der Webdienst und wertet anschließend das Verhalten des Users im eigenen Dienst aus und sendet die neu gewonnenen Informationen zurück an Facebook. Diese Daten wiederum fügt Facebook dem Profil des Nutzers hinzu, um sie für Werbezwecke o. ä. auszuwerten.
Um sich bei einem Online-Dienst anzumelden, darf dieser lediglich Bestandsdaten vom Kunden abfragen. Facebook dürfte dem Dienst daher nur die Daten des Userprofils zukommen lassen, die für den Vertragsschluss und das Anlegen eines Profils zwingend notwendig sind. Das gibt das Telemediengesetz (TMG) vor.Für alle weiteren Informationen, die Online-Dienste von Facebook erhalten, benötigen sowohl Facebook als auch der jeweilige Webdienst die Einwilligung des Nutzers – auch für die im Profil des Nutzers öffentlichen Daten. Diese Zustimmung müssen Unternehmen einholen, bevor Nutzer den Single Sign On durchführen.Darüber hinaus müssen Webdienste in ihrer Datenschutzerklärung aufführen,
17. Facebook Pixel und Datenschutzerklärung
Facebook Pixel erhebt keine anonymen oder pseudonymisierten, sondern personenbezogene Daten. Klicken User auf eine Werbeanzeige und landen somit auf der Webseite des Unternehmens, zeichnet Facebook Pixel ein genaues Bild des Verhaltens des Users. Diese Daten gelangen über Facebook zum Unternehmen.Damit handelt es sich um eine Datenübertragung, von der der Nutzer nichts weiß. Um jedoch datenschutzkonform personenbezogene Daten erheben zu dürfen, benötigen Unternehmen die Zustimmung der User. Dafür reicht es nicht aus, einen Hinweis in die eigene Datenschutzerklärung aufzunehmen.
Damit Unternehmen Facebook Pixel legal zum Einsatz bringen, müssen sie Nutzer über die Datennutzung informieren. Dabei müssen sie ihnen deutlich machen, welche User-Daten sie warum an Facebook übersenden. Das müssen User dann aktiv durch einen Opt-In – z. B. durch das Setzen eines Häkchens – bestätigen.Gleichzeitig müssen Unternehmen Usern jedoch auch die Möglichkeit geben, der Datenerhebung zu widersprechen. Das ist über einen Austragelink (Opt-Out) auf der Seite möglich. Der gesamte Vorgang muss in der Datenschutzerklärung des Unternehmens dokumentiert sein.
18. Datenschutzerklärung und GetResponse
19. Datenschutzerklärung und Google AdSense
Google setzt für AdSense einen Cookie auf die jeweilige Webseite, um die IP-Adresse sowie die individuellen Aktivitäten der User auszulesen und zu speichern. Auf diese Weise kann Google ein personenbezogenes Profil der Nutzer erstellen. Webseitenbetreiber, die Google AdSense nutzen, erhalten von Google dann die entsprechenden Daten, um den Erfolg ihrer Anzeige auszuwerten.Da es sich dabei jedoch um personenbezogene Daten handelt, dürfen sie diese nur mit der Einwilligung der Nutzer erheben. Datenschutzbehörden gehen davon aus, dass Webseitenbetreiber selbst dafür verantwortlich sind, die Zustimmung einzuholen. Haben sie diese nicht, verstoßen sie gegen deutsche Datenschutzbestimmungen.
Darüber hinaus müssen Webseitenbetreiber auf die Datenschutzbestimmungen von Google AdSense hinweisen. Zuletzt müssen sie einen Cookie-Hinweis auf ihrer Webseite einblenden, der über die Speicherung von Cookies auf dem Gerät des Nutzers informiert.Gleichzeitig müssen Webseitenbetreiber Usern ermöglichen, der Datenerhebung zu widersprechen. Dazu sollten sie ebenfalls in den Datenschutzhinweisen aufklären,
Die Rechtslage zu Google AdSense ist bisher nicht eindeutig geklärt. Es gibt – soweit ersichtlich – keine Urteile zur Datenschutzproblematik von Google AdSense selbst. Der Europäische Gerichtshof (EuGH) hat jedoch am 19.10.2016 entschieden, dass IP-Adressen personenbezogene Daten darstellen, wenn es Seitenbetreibern so möglich ist, die hinter der IP-Adresse stehende Person zu identifizieren (C-582/14).Darüber hinaus hat das Landgericht Berlin am 06.09.2007 entschieden, dass die Speicherung von IP-Adressen ohne Einwilligung der User nicht zulässig nicht (Az. 23 S 3/07). Dem gegenüber steht jedoch die Entscheidung des Amtsgerichts München. Dies hat am 30.09.2008 festgestellt, dass zumindest dynamische IP-Adressen keinen personenbezogenen Daten darstellen, da sie lediglich einen Internetanschluss identifizieren können - nicht aber den Nutzer selbst (Az. 133 C 5677/08).
20. Datenschutzerklärung und Google AdWords
was die Funktion „Do not track“ im Browser heißt.
Bisher gibt es keine Rechtsprechung zur Datenschutzkonformität von Google AdWords. Der Europäische Gerichtshof (EuGH) hat jedoch am 19.10.2016 festgestellt, dass IP-Adressen personenbezogene Daten darstellen, wenn Webseitenbetreiber über die Mittel verfügen, die hinter der IP-Adresse stehend Person zu identifizieren (C-582/14).Das Landgericht Berlin hat zudem am 06.09.2007 entschieden, dass Webseitenbetreiber IP-Adressen nicht ohne die Zustimmung von Nutzern speichern dürfen (Az. 23 S 3/07). Das Amtsgericht München hat das etwas differenzierter bewertet: Es hat am 30.09.2008 entschieden, dass dynamische IP-Adressen keine personenbezogenen Daten darstellen, da diese nur einen Internetanschluss identifizieren lassen. Sie lassen keinen Nutzer direkt ausmachen (Az. 133 C 5677/08).
21. Datenchutzerklärung und Google Analytics
Google Analytics ist ein Tool zur Analyse des Nutzerverhaltens auf Webseiten. Webseitenbetreiber sammeln und bewerten darüber Parameter wie Useraktivität und Verweildauer. Auf diese Weise können sie Rückschlüsse auf die Funktionalität ihrer Seite ziehen und diese optimieren.
Das kritisieren Datenschützer bei Google Analytics
Google Analytics sammelt und speichert umfangreiche User-Daten, u. a. auch IP-Adressen. Dabei werden diese, zum Teil personenbezogenen Daten von Deutschland in die USA weitergeleitet. Welche Daten genau Google dabei erhebt und speichert, ist nicht eindeutig. Denn: In den Datenschutzbestimmungen von Google finden sich nur wenige konkrete Aussage dazu, welche Daten es von Webseitenbesuchern überträgt und sammelt.
So können Webseitenbetreiber Google Analytics rechtssicher nutzen
Damit Webseitenbetreiber Google Analytics rechtssicher nutzen können, müssen sie eine Reihe von Maßnahmen vornehmen:
Webseitenbetreiber müssen mit Google einen Vertrag zur Auftragsdatenverarbeitung nach § 11 BDSG abschließen. Dieser regelt, dass und wie Seitenbetreiber ihre Daten an Google weitergeben und wie dies die Daten verarbeitet.
2. IP-Anonymisierung vornehmen
Damit Webseitenbetreiber nicht weiter vollständige IP-Adresse speichern, bietet Google seit kurzem die Funktion „anonymizeIp“ an. Diese verkürzt die IP-Adresse und lässt so keinen konkreten Personenbezug mehr herstellen. Deutsche Datenschützer stufen IP-Adressen als personenbezogene Daten ein, die Webseitenbetreiber jedoch nur der Einwilligung der User erheben dürfen. Verkürzen sie die IP automatisch, dürfte es sich nicht mehr um personenbezogene Daten handeln.
Webseitenbetreiber müssen ihre Datenschutzerklärung anpassen. Dazu müssen sie
Nutzer über die Erhebung, Speicherung und Verarbeitung ihrer Daten durch Google Analytics aufklären,
auf die Auftragsdatenverarbeitung mit Google hinweisen,
auf die Anonymisierung der IP über Googles „anonymizeIp“ verweisen und
User auf die Möglichkeit hinweisen, der Datenerhebung zu widersprechen.
Rechtsprechung zu Google Analytics
Das Landgericht Hamburg hat am 10.03.2016 entschieden: Webseitenbetreiber dürfen Google Analytics nur nutzen, wenn sie in ihrer Datenschutzerklärung ausführlich darüber informieren, dass und wie sie über Analytics User-Daten erheben und speichern (312 O 127/16). Das Gericht hat diesen Beschluss am 09.08.2016 in einem Urteil bestätigt (Az. 406 HKO 120/16) und noch einmal klar gemacht: Klären Webseitenbetreiber nicht über die Datennutzung über Google Analytics auf, erfüllen sie nicht die Anforderungen des deutschen Datenschutzes.
22. Google Analytics Auftragsdatenverarbeitung
23. Google Analytics Demografische Merkmale
24. Google Analytics IP-Anonymisierung und Datenschutzerklärung
Google Analytics ermöglicht es Webseitenbetreibern, zahlreiche Daten zu ihren Besuchern zu sammeln und zu bewerten. Das wiederum lässt sie ihre Seite optimieren. Bisher haben Webseitenbetreiber in diesem Rahmen auch die IP-Adresse von Nutzern abgespeichert und diese an Google in die USA weitergeleitet. Über die neue Funktion „anonymizeIp“ in Google Analytics können sie IPs seit kurzem anonymisieren.
Datenschützer gehen davon aus, dass IP-Adressen als personenbezogene Daten einzustufen sind. Diese dürfen Seitenbetreiber jedoch nur erheben, wenn sie die Zustimmung der User dazu haben. In der Regel liegt diese Einwilligung jedoch nicht vor, da dies einen enormen Zusatzaufwand für die Seitenbetreiber bedeuten würde. Die Erhebung der IP-Adressen widerspricht daher nach Ansicht von Datenschützern deutschen Bestimmungen.
So können Webseitenbetreiber rechtssicher IP-Adressen erheben
Um diese Problematik zu lösen, hat Google vor kurzem die Funktion „anonymizeIp“ bei Google Analytics hinzugefügt. Webseitenbetreiber können jetzt die IP-Adressen ihrer Besucher verkürzen. Die Funktion löscht die letzten 8 Bit der IP-Adresse, so dass diese verkürzt und damit anonymisiert ist. Das heißt in der Praxis: Seitenbetreiber können zwar nach wie vor grob sehen, woher ihre Besucher kommen. Eine genaue regionale Zuordnung ist jedoch nicht mehr möglich.
Um den Datenschutz zu wahren, müssen Seitenbetreiber diesen Vorgang in ihrer Datenschutzerklärung aufführen. Sie müssen darauf verweisen, dass sie die Funktion „anonymizeIp“ verwenden.
Rechtsprechung zu Google Analytics IP-Anonymisierung
Der Europäische Gerichtshof hat am 19.10.2016 festgestellt, dass IP-Adressen personenbezogene Daten darstellen, wenn Seitenbetreiber in der Lage sind, die hinter der IP-Adresse stehende Person zu identifizieren (C-582/14). Am 06.09.2007 hat zudem das Landgericht Berlin entschieden, dass Webseitenbetreiber IP-Adressen nicht ohne die Einwilligung von Usern speichern dürfen (Az. 23 S 3/07).
Die Rechtsprechung zeigt damit: Seitenbetreiber müssen auf die neue Analytics-Funktion „anonymizeIp“ zurückgreifen und die IPs ihrer Nutzer verkürzen, um sich vor Abmahnungen zu schützen.
25. Google Analytics Remarketing und Datenschutzerklärung
26. Google Conversion-Tracking und Datenschutzerklärung
27. Datenschutzerklärung und Google Maps
Google Maps ist ein Online-Kartendienst, über den Nutzer Straßenkarten sowie Luft- und Satellitenbilder aufrufen können. Gleichzeitig können sie darüber Routen planen und durch die Freigabe ihres Standorts ihre eigene Position ermitteln und Dritten anzeigen. Webseitenbetreiber nutzen Google Maps oftmals, um Usern den Sitz ihres Unternehmens auf der Straßenkarte anzuzeigen.
Darum ist Google Maps datenschutzrechtlich bedenklich
Google erfasst jede Aktivität, die User über Maps vornehmen. Das können bestimmte Orte, berechnete Routen, Geschäfte und Institutionen sein, die sich Nutzer über Maps anschauen. Diese Daten erhebt, speichert und verarbeitet Google.Dazu setzt Google ein so genanntes NID-Cookie. Das geschieht auch, wenn User nicht direkt auf Google Maps unterwegs sind, sondern auf einer Webseite, die Google Maps über eine API eingebunden hat. Auch hier sammelt und verwendet Google alle Daten der Funktionen von Google Maps, auf die User zurückgreifen.
Welche Daten das genau sind, ist nicht eindeutig bestimmbar. Die Datenschutzbestimmungen von Google geben nur einen kleinen Einblick in den Umgang mit User-Daten. Sie zeigen nicht konkret, welche Daten Google über Maps erhebt und verarbeitet. Nutzen User Funktionen wie Google Maps Echtzeit und geben sie somit ihren Live-Standort frei, gehen Datenschützer davon aus, dass Google personenbezogene Daten sammelt. Webseitenbetreiber, die Google Maps auf ihrer Seite eingebunden haben, leiten daher Daten an Google in die USA weiter, ohne die Zustimmung der User dafür zu haben.
Können Webseitenbetreiber Google Maps datenschutzkonform verwenden?
Damit Webseitenbetreiber Google Maps rechtssicher in ihre Webseite einbinden können, ist eine Einwilligung der Nutzer zu empfehlen. Die Mindestanforderung ist aber, auf die Nutzung von Google Maps in der Datenschutzerklärung ausführlich hinzuweisen. Sie sollten Usern in der Datenschutzerklärung in möglichst einfacher Sprache erklären, wie, warum und in welchem Umfang sie Daten für die Verwendung von Google Maps erheben und an Google in die USA weiterleiten. Verweist ihre Datenschutzerklärung nicht oder nur unzureichend auf den Einsatz von Google Maps, drohen ihnen Bußgelder von bis zu 50.000 Euro.
Rechtsprechung zur Datenschutzerklärung und Google Maps
Zur Frage "Datenschuterklärung und Google Maps" gibt es bisher – soweit ersichtlich – keine Rechtsprechung. Das Landgericht Hamburg hat jedoch bereits zwei Mal entschieden, dass Webseitenbetreiber Google Analytics nur nutzen dürfen, wenn sie in ihrer Datenschutzerklärung ausführlich darüber informieren. Tun sie das nicht, verstoßen sie gegen deutsches Datenschutzrecht (Urteile vom 10.03.2016 und 09.08.2018, Az. 312 O 127/16 und 406 HKO 120/16.
Diese Urteile könnten analog auf den Einsatz von Google Maps Anwendung finden. Das heißt für die Praxis: Klären Webseitenbetreiber in ihrer Datenschutzerklärung User nicht darüber auf, wie und warum sie Google Maps nutzen, verstoßen sie gegen deutsche Datenschutzbestimmungen.
28. Google reCAPTCHA und Datenschutzerklärung
Google reCAPTCHA ist ein Dienst von Google, mit dem Webseitenbetreiber überprüfen können, ob es sich bei einem User auf ihrer Seite um einen Menschen oder einen Bot handelt. Das soll sicherstellen, dass keine Bots automatisiert auf der Webseite interagieren.
Es gibt verschiedene Varianten von Google reCAPTCHA:
User müssen per Klick ein Häkchen in eine Checkbox setzen, die mit „Ich bin kein Roboter“ betitelt ist
User sehen 9 Bildausschnitte, von denen einige dieselben Inhalte aufweisen (beispielsweise Straßenschilder). Diese sollen sie markieren.
Nutzer müssen einen einblendeten Text in ein Feld eingeben.
Das ist datenschutzrechtlich bedenklich bei Google reCAPTCHA
Während der Überprüfung durch reCAPTCHA nehmen Webseitenbetreiber und damit Google eine Reihe von Daten des Users auf. So sammelt Google reCAPTCHA u. a. Angaben zur
Darüber hinaus überprüft Google reCAPTCHA auch, ob im Browser des Users bereits ein Cookie angelegt ist. Ist das nicht der Fall, legt Google ein Cookie an. Das heißt für die Praxis: Google erstellt für reCPATCHA einen Fingerabdruck der User, der auch auf anderen Seite wiedererkannt wird. Damit ist es Google möglich, Nutzer seitenübergreifend zu tracken. Das ist selbst dann möglich, wenn die IP-Adresse wechselt oder Nutzer die Cookies löschen.
Google reCAPTCHA rechtssicher verwenden
Webseitenbetreiber, die Google reCAPTCHA verwenden, müssen in ihrer Datenschutzerklärung ausführlich darüber aufklären, wie und warum sie den Dienst einsetzen. Dabei müssen sie aufführen, welche Daten Google für den Einsatz von reCAPTCHA soweit ersichtlich erhebt und speichert. Dazu zählt auch ein Hinweis darauf, dass Google ein Cookie setzt, um User seitenübergreifend tracken zu können. Das gibt das Telemedienrecht vor. Darüber hinaus müssen Webseitenbetreiber auf die Datenschutzbestimmungen von Google reCAPTCHA hinweisen.
Rechtsprechung zu Google reCAPTCHA
Das Oberlandesgericht Frankfurt hat entschieden, dass es ausreicht, wenn Seitenbetreiber Nutzer mittels Opt-Out-Verfahren über den Einsatz von Cookies informieren (Urteil vom 17.12.2015, Az. 6 U 30/15). Blenden sie also einen Cookie-Hinweis ein, der auf die Datenschutzerklärung verweist, die wiederum den Einsatz von Google reCAPTCHA erklärt, und können User diesen per Klick bestätigen, kommen sie ihrer rechtlichen Pflicht nach.
Ob dieses Vorgehen ausreichend ist, klärt derzeit der Europäische Gerichtshof (EuGH). Der Bundesgerichtshof hat diesem die Frage vorgelegt, ob ein einfacher Opt-Out beim Cookie-Hinweis ausreichend ist. Eine Entscheidung steht hier noch aus.
Darüber hinaus hat der EuGH festgestellt, dass IP-Adressen personenbezogene Daten darstellen, wenn Webseitenbetreiber auf diese Weise die hinter der IP-Adresse stehenden Personen identifizieren können (Urteil vom 19.10.2016, Az. C-582/14). Sind Google oder Webseitenbetreiber dazu in der Lage, erheben sie mittels des reCAPTCHAS personenbezogene Daten. Sie benötigen dafür eine Einwilligung der User. Das Landgericht Berlin hat am 06.09.2007 bestätigt, dass Webseitenbetreiber die Zustimmung der User benötigen, um ihre IP-Adressen zu speichern (Az. 23 S 3/07).
Das Amtsgericht München sieht das etwas differenzierter: In seiner Entscheidung vom 30.09.2008 hat das Gericht entschieden, dass dynamische IP-Adressen keine personenbezogenen Daten darstellen, da sie nicht den Nutzer selbst identifizieren lassen, sondern lediglich den Internetanschluss (Az. 133 C 5677/08). Dieser Ansicht nach könnte die Zustimmung der User für die Speicherung von dynamischen IP-Adressen nicht notwendig sein.
29. Google Web Fonts und Datenschutzerklärung
30. Google+ Plugin und Datenschutzerklärung
31. Hinweis zu Auskunft, Sperrung, Berichtigung und Löschung
32. Datenschutzerklärung und Hotjar
33. Datenschutzerklärung und Instagram Plugin
Dritte erreichen die personenbezogenen Daten der User über APIs, von Instagram zur Verfügung gestellte Schnittstellen.Viele dieser Schnittstellen hat Instagram jetzt jedoch abgeschaltet. Die restlichen APIs haben nun eine Begrenzung der Zugriffszahlen auf 200 pro Stunde. Damit hat Instagram auf eine Abmahnung der Verbraucherschutzzentrale reagiert.Haben Webseitenbetreiber das Social Plugin von Instagram auf ihrer Seite implementiert, gibt dies automatisch Daten an das Netzwerk weiter, wenn User daraufklicken. Dabei handelt es sich um personenbezogene Daten wie die IP-Adresse der Nutzer, so dass Webseitenbetreiber eine Einwilligung für die Datenweitergabe benötigen. Dabei reicht es nicht aus, wenn sie in ihrer Datenschutzerklärung darauf hinweisen.
Implementieren Webseitenbetreiber das Social Plugin von Instagram, benötigen sie von Nutzern die Zustimmung, ihre Daten bei Klick auf die Bilder oder Videos an Instagram weiterzuleiten.Dies ist in der Praxis jedoch kaum möglich, so dass Seitenbetreiber auf alternative Plugins wie das eRecht Safe Sharing Tool zurückgreifen sollten. Dies lässt Nutzer Instagram-Content liken und teilen, ohne dass sie dabei ihre Daten an das Netzwerk weiterleiten
34. Datenschutzerklärung und Klarna
Damit Webseitenbetreiber Klarna datenschutzkonf