Source: https://datenschutz-generator.de/datenschutzerklaerung/?dsgoto=dsg-option-1948
Timestamp: 2020-07-05 00:37:21
Document Index: 146657643

Matched Legal Cases: ['Art. 13', '§ 38', 'Art. 37', 'Art. 13', 'Art. 12', 'Art. 32', 'Art 4', 'Art. 25', 'Art. 32', 'Art. 26', 'EuG', 'Art. 26', 'Art. 45', 'Art. 46', 'Art. 49', 'Art. 17', 'Art. 18', 'Art. 13', 'EuG', 'EuG', 'EuG', 'Art. 22', 'Art. 22', 'Art. 32', 'Art. 6', 'Art. 4', 'Art. 7', '§ 201', 'Art. 4', 'Art. 32', 'BGH', '§ 26', 'Art. 28', '§ 7', 'Art. 4', 'Art. 7', '§ 7']

Datenschutzerklärung-Generator - Datenschutzerklärung in Deutsch und Englisch - Datenschutz-Generator.de - DSGVO-Datenschutzerklärung und weitere Vorlagen vom Experten
Datenschutzerklärung-Generator – Datenschutzerklärung in Deutsch und Englisch
Erstellen Sie Ihre DSGVO-Datenschutzerklärung
über 500 Module vom Anwalt und Datenschutzexperten.
Kostenlos für Privatpersonen und kleine Unternehmen mit Jahresumsatz bis 5.000 Euro.
Nur 99.90 Euro netto für Geschäftskunden (mit Siegel und Speicherfunktion).
Einfach, schnell, kein Abonnement und zeitlich unbegrenzte Nutzung der Erklärungen (Unsere Vorteile gegenüber kostenpflichtigen Abo-Modellen).
Viel Erfolg und bei Fragen empfehle ich unsere Anleitung mit ersten Schritten sowie die FAQ,
Ihr Dr. Thomas SchwenkeWann und warum ist eine Datenschutzerklärung erforderlich? Fehlende oder fehlerhafte Datenschutzhinweise gem. Artikel 12 bis 14 DSGVO können zu Bußgeldern und Abmahnungen führen. Anders als viele kostenlose Muster im Internet, ist unser Generator stets aktuell und an Ihre individuellen Bedürfnisse anpassbar. Aktuell: DSGVO-sicher? Videokonferenzen, Onlinemeetings und Webinare (mit Anbieterübersicht und Checkliste).
Was Kunden und Nutzer an uns schätzen: "Ich bin sehr dankbar, dass ich nicht meinen Monatsumsatz dafür einsetzen muss, eine rechtssichere Datenschutzerklärung zu erhalten." Umfrage 2019/20 Teilnehmer konnten unabhängig vom Inhalt einen Shop-Gutschein erhalten
Unsere Rechtsdokumente sind auf 500.000+ Webseiten aktiv, empfohlen u.a. bei:
Auswahl unserer Generatoren
Datenschutzerklärung (Sie befinden sich hier) Impressum Teilnahmebedingungen Fotohinweis für Veranstaltungen Mitarbeiter*innen: Vereinbarung Bildnutzung Mitarbeiter*innen: Datenschutz-verpflichtung Mitarbeiter*innen: Home- und Mobile-Office Mitarbeiter*innen: Nutzung Privatgeräte (BYOD) Corona-Pandemie: Kunden- und Gästelisten
Für Lizenzkund*innen: Premiumbereich und Sprachauswahl
Premium (Lizenzschlüssel, Sprachen, Siegel, Eingaben laden)
Bitte geben Sie Ihren Lizenzschlüssel ein
(Erläuterungen anzeigen)
Erwerben Sie einen Lizenzschlüssel, um Premiuminhalte und die Speicherfunktion freizuschalten (nur für Geschäftskunden).
Erworbene Lizenzschlüssel (Deutsch und Englisch), können Sie hier aktivieren:
Erläuterungen und Hinweise zum Lizenzschlüssel
Manche Rechtstexte oder Sprachen sowie Module unserer Generatoren benötigen die Eingabe des Lizenzschlüssels. Diese Bereiche sind mit einem Symbol (Stern mit einem Schloss) gekennzeichnet.
Den passenden Lizenzschlüssel können Sie in unserem Lizenzshop für Geschäftskunden erwerben. Sie erhalten den Lizenzschlüssel nach dem Erwerb per E-Mail. Anschließend können Sie den Lizenzschlüssel im Premium-Bereich des jeweiligen Generators eingeben (Anleitung).
Erläuterungen schließen
Bitte wählen Sie eine oder mehrere Sprachen
Ihr Dokument wird mit gleichem Inhalt in den jeweils ausgewählten Sprachen erzeugt. Die Sprachen müssen unter Umständen vorher mit einem Lizenzschlüssel aktiviert werden (ansonsten sind nur Auszüge der Rechtstexte verfügbar).
Sprache wird geladen Deutsch
Sprache wird geladen Englisch
Erläuterungen und Hinweise zur Sprachwahl
Die Eingaben für die deutsche und die englische Version erfolgen gemeinsam (falls Sie beide Sprachen gewählt haben). D.h. alle Optionen, die Sie auswählen, gelten spiegelbildlich für beide Sprachen.
Wenn es auf die Sprache ankommt, werden wir Sie um zusätzliche englischsprachige Angaben bitten (z. B., für den Fall, dass Sie unterschiedliche Kontaktangaben für deutsche oder englische Ansprechpartner bereithalten).
Im Regelfall setzt die Nutzung der englischen Sprache die Eingabe eines Lizenzschlüssels (Anleitung) voraus.
Bitte wählen Sie ob Sie ein Siegel wünschen
Als Premiumnutzer können Sie Ihre Datenschutzerklärung mit unserem Siegel abschließen (jeweils in passender Sprache) oder auf einen Abschlusshinweis insgesamt verzichten. Hinweis: Ist die Schaltfläche grün hinterlegt ist sie ausgewählt bzw. vorausgewählt.
Datenschutz-Generator.de - Siegel
"Erstellt mit kostenlosem Datenschutz-Generator.de von Dr. Thomas Schwenke" Abschluss in Textform (Standard)
Gar keinen Hinweis am Abschluss platzieren.
Erläuterungen und Hinweise zu unseren Siegeln
Als Premiumnutzer (d.h. nach Eingabe des Lizenzschlüssels - Anleitung), dürfen Sie den „Erstellt mit …“-Hinweis am Ende Ihres Rechtstextes entfernen.
Alternativ zu dem Hinweis auf den Generator, können Sie auch optional unsere Grafischen Siegel nutzen. Bei unseren grafischen Siegeln handelt es sich um so genannte „Herkunftssiegel“, d.h. nicht um "Prüfsiegel". Die Siegel weisen auf die Herkunft der Rechtstexte hin und dass sie auf Modulen basieren, die vom Experten erstellt wurden und aktuell gehalten werden. Wir empfehlen die Verlinkung des Siegels im generierten Dokument beizubehalten oder die Siegel sonst auf uns („https://datenschutz-generator.de“) zu verlinken. Dann werden die Nutzer nach dem Klick auf unsere Hauptseite geleitet, wo die Herkunftsfunktion der Siegel erklärt wird.
Wir übernehmen keine Gewähr für die individuelle Nutzung der Siegel, da wir insbesondere den Ort der Platzierung der Rechtstexte nicht kennen.
Bitte ergänzen Sie das Siegel ferner nicht um eigene Angaben, wie „Geprüft durch“ oder „Gewährleistet durch“, etc. Derartige Hinweise können wettbewerbswidrig und abmahnbar sein, da sie den Eindruck einer externen und individuellen Prüfung Ihres Rechtstextes, Datenschutzkonzeptes, Website, etc. erwecken.
Die Siegel-Grafiken werden Ihnen am Ende des Generierungsvorgangs bereitgestellt. Im generierten Dokument haben wir die Siegel zwar auf die Siegelgrafik unseres Servers verlinkt. Wir können jedoch nicht gewährleisten, dass die Siegel dort immer abrufbar sein werden.
Ferner dürfen die Siegel nicht verändert werden und dürfen nicht genutzt werden, falls die generierten Rechtstexte im Hinblick auf die rechtlichen Klauseln (nicht die freien Eingaben, wie Name oder Kontaktdaten) verändert werden.
Projekte speichern und laden
Nachdem Sie Ihr Dokument generiert haben, können Sie als Premiumkunde ihre Eingaben als Datei herunter- und zu einem späteren Zeitpunkt an dieser Stelle zwecks Änderung wieder laden. Eingegebene Lizenzschlüssel werden mitgespeichert, so dass Sie sie nicht vorher eingeben müssen.
Domain, App-Name, etc.
Sie können an dieser Stelle die Domain, App-Namen oder den Projektnamen eingeben, in deren Rahmen das Dokument verwendet wird.
Projekt aus Datei laden
Sie können sowohl die Speicherdatei oder die ganze Zip-Datei laden. Ihr Lizenzschlüssel wird automatisch mitgeladen.
Erläuterungen und Hinweise zum Speichern und Laden Ihrer Eingaben
Als Premiumnutzer (d.h. nach Eingabe des Lizenzschlüssels - Anleitung), können Sie Ihre getätigten Eingaben herunterladen.
Wenn Sie Ihren Rechtstext später ändern möchten, können Sie ihn an dieser Stelle laden und Ihre Eingaben werden automatisch in den Generator eingetragen.
Ihr Lizenzschlüssel wird mitgespeichert. D.h. Sie müssen Ihren Lizenzschlüssel nicht eingeben, bevor Sie den Text laden. Bitte geben Sie die Speicherungen deswegen nicht an Dritte.
Die Speicherfunktion stellt eine kostenlose Zusatzleistung innerhalb des Update-Zeitraums dar, für die wir keine Gewähr bieten können.
P.S. Sie können die gespeicherten Eingaben auch als Vorlage nutzen. z. B. wenn Sie als Agentur oder Datenschutzberater gleiche Rechtstexte für unterschiedliche Kunden erstellen möchten. Bitte vergessen Sie aber nicht, dass pro Kunde/Domain eine Lizenz erworben werden muss (Antworten auf Fragen zu unseren Lizenzen erhalten Sie in den FAQ).
Schritt 1: Schnellauswahl und Suche
Schneller zu Ihrem Ergebnis mit der Schnellauswahl
Wählen Sie die Inhalte Ihres Dokuments
Die Datenschutzerklärung wird aus einzelnen Modulen zusammengestellt, von denen Sie die wichtigsten in der folgenden Schnellauswahl wählen können. Die farbigen Module sind schon aktiv und entsprechen unserer Empfehlung.
Sie können die Vorauswahl entsprechend Ihren Wünschen anpassen, danach Ihre Daten eingeben sowie Ihre Auswahl weiter individualisieren.
Schnellauswahl schließen
Erläuterungen zu der Schnellauswahl
Die von unseren Generatoren erstellten Rechstdokumente werden aus einer Vielzahl von Modulen (bei der Datenschutzerklärung z. B. aus über 600 Modulen) zusammengestellt.
Sie bestimmen, welche Module aufgenommen werden. Alle Rechtsdokumente sind jedoch so weit wie möglich entsprechend der Vorauswahl aller bisherigen Nutzerinnen ermittelt (anonym als aufaddierte Zahlenwerte).
Zusammen mit unserer Erfahrung wählen wir dann eine empfohlene Auswahl für Sie aus.
Sie müssen danach im Regelfall noch die Angaben zur Person(en) oder Unternehmen machen. Ferner können Sie Ihre Schnellauswahl noch verfeinern.
Tipp: bei den einzelnen Modulen erhalten Sie weitere Erläuterungen.
Frage bei der Datenschutzerklärung: Müssen die einzelnen Diensteanbieter (z. B. Google Analytics) genannt werden? Oder ist es ausreichend allgemein, z. B. auf den Einsatz von "Online Marketing", hinzuweisen?
Im Art. 13 Abs. 1 lit e) DSGVO steht, dass dass die Angabe der Kategorien von Daten-Empfängern "gegebenenfalls" ausreichend sein kann.
Daher wäre es durchaus denkbar, dass die allgemeinen Angaben ausreichen. Dennoch, und vor allem aufgrund der strengen Rechtsprechung der Gerichte, empfehlen wir zur Steigerung der Rechtssicherheit nach Möglichkeit auch die eingesetzten Diensteister oder Dienstleistungen auszuwählen.
Schritt 2: Individualisierung und Feinauswahl
Bitte geben Sie die Grund- und Kontaktangaben zu datenschutzrechtlich Verantwortlichen ein:
Geben Sie bitte die Angaben zum datenschutzrechtlich Verantwortlichen an:
Vorname, Name / Firma Straße, Hausnr. PLZ, Ort, Land
(Englisch) Geben Sie bitte die Angaben zum datenschutzrechtlich Verantwortlichen an:
First name, surname/company Street, house no. Postcode, City, Country
Vertretungsberechtigte Personen (wenn vorhanden, z.B. Geschäftsführer bei Unternehmen, Vereinsvorstand, Behördenleiter, etc.)
(Englisch) Vertretungsberechtigte Personen (wenn vorhanden, z.B. Geschäftsführer bei Unternehmen, Vereinsvorstand, Behördenleiter, etc.)
(Englisch) Ihre E-Mail-Adresse:
Telefonnumer (optional):
(Englisch) Telefonnumer (optional):
URL Ihres Impressums (optional, aber empfohlen):
(Englisch) URL Ihres Impressums (optional, aber empfohlen):
Eigene Ergänzungen vornehmen
Sie können das Modul an dieser Stelle um eigene Hinweise, Erläuterungen oder Ergänzungen erweitern:
Englischsprachige Ergänzung:
Erläuterungen und Hinweise zu "Verantwortlicher"
Inhalte der Vorschau werden geladen, bitte noch ein bisschen Gelduld...
Preview schließen
Verfügen Sie über eine(n) Datenschutzbeauftragte(n)?
Bitte geben Sie zumindest die E-Mail-Adresse des/der Datenschutzbeauftragten ein:
(Englisch) Bitte geben Sie zumindest die E-Mail-Adresse des/der Datenschutzbeauftragten ein:
Erläuterungen und Hinweise zu "Kontakt Datenschutzbeauftragter"
Datenschutzbeauftragte müssen in Deutschland schon ab 10 Mitarbeitern (Der Bundestag hat jedoch die Anhebung dieser Grenze auf 20 Mitarbeiter beschlossen, Stand 28.06.2019) benannt werden, im Übrigen im Falle von besonders risikoreichen oder umfangreichen Verarbeitungen. Sofern Sie über einen Datenschutzbeauftragten verfügen, geben Sie bitte seine Kontaktangaben an (E-Mail-Adresse ist ausreichend, Name oder Adresse sind optional).
a) die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, mit Ausnahme von Gerichten, die im Rahmen ihrer justiziellen Tätigkeit handeln,
c) die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 DSGVO besteht, oder c) wenn nationale Gesetze dies vorschreiben
In Österreich und in der Schweiz bestehen keine Verpflichtungen, die über die DSGVO hinausgehen, anders dagegen in Deutschland.
In Deutschland muss gem. § 38 BDSG-D ein/e Datenschutzbeauftragte bestellt werden, wenn
aa) ein Verantwortlicher in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt.
Die Beschäftigten werden nach Köpfen gezählt, also zählen z.B. Teilzeitkräfte oder Praktikanten im vollen Umfang mit. Nicht dazu zählen freie Mitarbeiter, sondern nur beschäftigte, also angestellte Mitarbeiter. Auch abwesende Mitarbeiter, z.B. im Mutterschutz sind nicht mitzuzählen.
Eine "automatisierte Verarbeitung" liegt bereits vor, wenn ein Beschäftigter über ein E-Mailpostfach verfügt. "Ständige Beschäftigung" bedeutet für eine längere und unbestimmte Zeit, auch wenn ein Mitarbeiter nur sporadisch, z.B. ein Mal pro Woche in sein E-Mail-Postfach schaut. Mitarbeiter, die nur unternehmensbezogene Daten verarbeiten, zählen nicht mit (z.B. wenn in der Warenannahme nur Unternehmensdaten verarbeitet werden sollten). Typischerweise werden z.B. Fließbandarbeiter, Reinigungspersonal oder andere Hilfskräfte ausgenommen.
bb) Verantwortliche Verarbeitungen vornehmen, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, oder
cc) sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeiten.
Datenschutzbeauftragte müssen über die nötige Fachkunde verfügen (rechtlich und technisch), zuverlässig und frei von Interessenskonflikten sein (Inhaber, Geschäftsführer und leitende Angestellte scheiden daher als Datenschutzbeauftragte aus). Ferner ist zu beachten, dass Datenschutzbeauftragte bei der zuständigen Datenschutzaufsichtsbehörde anzumelden sind (Art. 37 Abs. 4 DSGVO). Es dürfen auch externe Datenschutzbeauftragte bestellt werden.
Präambel (Einleitung) und Geltungsbereich
Soll die Datenschutzerklärung allumfassend für Ihre Webseite, Ihre Leistungen (und falls vorhanden, Social Media und mobile Apps) gelten?
Sie können die vorhandene Einleitung verwenden oder ihren Text anpassen:
Mit der folgenden Datenschutzerklärung möchten wir Sie darüber aufklären, welche Arten Ihrer personenbezogenen Daten (nachfolgend auch kurz als "Daten“ bezeichnet) wir zu welchen Zwecken und in welchem Umfang verarbeiten. Die Datenschutzerklärung gilt für alle von uns durchgeführten Verarbeitungen personenbezogener Daten, sowohl im Rahmen der Erbringung unserer Leistungen als auch insbesondere auf unseren Webseiten, in mobilen Applikationen sowie innerhalb externer Onlinepräsenzen, wie z.B. unserer Social-Media-Profile (nachfolgend zusammenfassend bezeichnet als "Onlineangebot“). Die verwendeten Begriffe sind nicht geschlechtsspezifisch.
(Englisch) Sie können die vorhandene Einleitung verwenden oder ihren Text anpassen:
With the following privacy policy we would like to inform you which types of your personal data (hereinafter also abbreviated as "data") we process for which purposes and in which scope. The privacy statement applies to all processing of personal data carried out by us, both in the context of providing our services and in particular on our websites, in mobile applications and within external online presences, such as our social media profiles (hereinafter collectively referred to as "online services"). The terms used are not gender-specific.
Erläuterungen und Hinweise zu "Einleitung"
Die Einleitung informiert die Betroffen vor allem darüber, für welche Arten von Datenverarbeitungen und in welchen Bereichen die Datenschutzerklärung zur Anwendung kommt und ist daher vorausgewählt.
Der von uns gestellte Einführungstext (den Sie abändern können) ist weit gefasst. Er umfasst nicht nur Ihre Webseiten oder mobile Apps sowie Ihre Social-Media-Auftritte, sondern ebenso Ihre gesamten geschäftlichen und organisatorischen Tätigkeiten, auch "offline".
Falls Sie es wünschen, können Sie zusätzlich den häufig anzutreffenden sinngemäßen Satz "Der Schutz Ihrer Daten ist uns wichtig" aufnehmen. Sie können auf diesen Satz aber auch verzichten, da diese Aussage rechtlich gesehen keine Wirkung hat.
Grundsätzlich sollte für die Website und die Applikation jeweils eine separate Datenschutzerklärung erstellt werden, außer die Angaben sind in beiden Fällen zutreffend (z. B. wenn auf der Website und in der App Google Analytics eingesetzt wird und vor allem wenn die Website keine sonstigen Funktionen hat, als die App anzubieten).
Soll die Datenschutzerklärung nur für eine mobile App oder eine Web-App gelten?
Mit der folgenden Datenschutzerklärung möchten wir Sie darüber aufklären, welche Arten Ihrer personenbezogenen Daten (nachfolgend auch kurz als "Daten“ bezeichnet) wir zu welchen Zwecken und in welchem Umfang im Rahmen der Bereitstellung unserer Applikation verarbeiten. Die verwendeten Begriffe sind nicht geschlechtsspezifisch.
With the following privacy policy we would like to inform you about the types of personal data (hereinafter also referred to as "data") we process, for which purposes and to what extent in the context of providing our application. The terms used are not gender-specific.
Allgemeine Angaben (Betroffenenrechte, Sicherheit, Rechtsgrundlagen)
Möchten Sie auf die Rechtsgrundlagen Ihrer Datenverarbeitung hinweisen (sie werden anhand Ihrer Angaben automatisch in der erstellten Datenschutzerklärung ausgegeben)?
Bitte wählen Sie das Land, in dem sich Ihr Wohnsitz, bzw. bei Unternehmen und anderen Organisation, Ihr Sitz befindet:
Erläuterungen und Hinweise zu "Maßgebliche Rechtsgrundlagen"
Hinweis: Die Rechtsgrundlagen werden anhand der Auswahl von Modulen via Generator erstellt, wenn Sie Ihren Rechtstext generieren. Daher ist die Liste der Rechtsgrundlagen in dieser Vorschau noch leer.
Die DSGVO enthält eine Verpflichtung zur Nennung der "Rechtsgrundlage[n] für die Verarbeitung“ von personenbezogenen Daten in der Datenschutzerklärung (Art. 13 ABs. 1 lit. c) DSGVO).
In diesem Zusammenhang stellt sich die Frage, inwieweit einzelne Vorschriften oder gar nationale Datenschutzgesetze genannt werden müssen. Denn die DSGVO erlaubt es EU-Mitgliedsländern, eigene nationale Datenschutzregelungen zu treffen, welche die DSGVO in bestimmten Fällen konkretisieren oder abwandeln dürfen. Dazu gehören z.B. die Betroffenenrechte, wie das Recht auf Auskunft oder der Beschäftigtendatenschutz.
Zu dem Detailgrad der Nennung der Rechtsgrundlagen gibt es jedoch derzeit leider keine Klarheit. Es finden sich Datenschutzerklärungen offizieller Stellen, die keine einzelnen Vorschriften nennen, ebenso wie Datenschutzerklärungen von Unternehmen, die jede einzelne Vorschrift aufführen.
Wenn man jedoch bedenkt, dass Regelungen zur Verarbeitung personenbezogener Daten auch über viele andere Vorschriften verstreut vorzufinden sein können (z.B. die Regelungen zum Telefon- und E-Mail-Marketing im Wettbewerbsrecht, Regelungen im Sozialrecht etc.), wäre die Nennung wirklich aller möglicherweise irgendwann oder irgendwie betroffener Vorschriften schier uferlos. Sie könnte der Vorgabe, transparent zu sein, widersprechen (Art. 12 DSGVO). Ferner werden die Betroffenen nicht benachteiligt, wenn der Detailgrad der genannten Regelungen ausreichend ist, um den rechtlichen Kontext der Verarbeitung ihrer Daten erkennen und z.B. eine Auskunftsanfrage zu stellen.
Unser Generator geht einen aus unserer Sicht sicheren Mittelweg und stellt für Sie anhand der von Ihnen gewählten Module automatisch eine Übersicht der für Sie maßgeblichen Vorschriften der DSGVO zusammen und bietet zusätzliche zusammenfassende Verweise auf das nationale Recht in Deutschland, in der Schweiz und in Österreich.
Die Zusammenfassung der Rechtsgrundlagen im Rahmen der Datenschutzerklärung soll vor allem dann zur Anwendung kommen, wenn an einer anderen Stelle der Datenschutzerklärung die notwendige Nennung der Rechtsgrundlage unterbleiben sollte (daher ist dieses Modul zu empfehlen und vorausgewählt).
Nationale Datenschutzregelungen in der Schweiz
Die DSGVO gilt nicht nur für alle Verarbeiter personenbezogener Daten in der EU (darunter der EWR). Sie gilt auch für Verarbeiter aus Drittländern, die Daten von EU-Bürgern verarbeiten, wie in der Schweiz.
Daneben gilt in Drittländern (also Ländern außerhalb der EU), wie der Schweiz, auch deren nationales Datenschutzrecht. Falls keine Daten von EU-Bürgern in der Schweiz verarbeitet werden, sondern z.B. nur die Daten der Schweizer Bürger, dann gilt alleine das Schweizer Datenschutzrecht.
Möchten Sie auf eingesetzte Sicherheitsmaßnahmen hinweisen?
Bitte wählen Sie, sofern zutreffend, aus den folgenden Optionen oder Eingabemöglichkeiten aus:
Kürzung von IP-Adressen
Browser-Verschlüsselung ("https")
Erläuterungen und Hinweise zu "Sicherheitsmaßnahmen"
Diese Hinweise auf die technischen und organisatorischen Maßnahmen gem. Art. 32 DSGVO sind zu empfehlen, insbesondere im Hinblick auf die IP-Kürzung und die SSL-Verschlüsselung.
Kürzung der IP-Adresse
Die IP-Adresse stellt eine "Online-Kennung“ im Sinne der DGVO und damit ein personenbezogenes Datum dar (Art 4 Nr. 1 DSGVO).
Indem die IP-Adresse um die letzten beiden Stellen gekürzt wird (die am häufigsten verwendeten IP-Adressen weisen 12 Stellen auf), wird sie zwar nach den meisten Ansichten nicht anonymisiert (da sie in Verbindung mit dem Zeitpunkt ihrer Speicherung zu einem Nutzer führen kann). Aber sie wird je nach Rechtsansicht zumindest pseudonymisiert oder zumindest wird die Identifizierung der Nutzer erschwert, wobei die Datenschutzbehörden die Pseudonymisierung dann für weniger relevant halten, wenn sich das Ziel der Verarbeitung auch ohne die Pseudonymisierung erreichen lässt (z.B. im Falle des Onlinemarketings).
Aber unabhängig von den vertretenen Ansichten müssen Sie nach dem Grundsatz der datenschutzfreundlichsten Voreinstellungen ("Privacy by Default“, Art. 25 Abs. 2 DSGVO) die IP-Adresse nach Möglichkeit immer kürzen. D.h., wenn Sie z.B. einen Dienst wie Google Analytics nutzen und er eine "IP-Kürzung“ anbietet, sollten Sie diese Option wählen. Prüfen Sie daher immer, ob der von Ihnen verwendete Dienst eine solche Option anbietet.
Datenschutzbehörden halten den Versand von Nutzerdaten ohne eine Browser-Verschlüsselung für einen Datenschutzverstoß. Nach deren Ansicht entspricht eine fehlende Verschlüsselung nicht mehr dem Stand der Technik (Art. 32 Asb.1 DSGVO).
Darin wurden sie auch vom LG Würzburg bestätigt, das eine Abmahnung bestätigte, die infolge einer fehlenden Verschlüsselung ausgesprochen wurde (LG Würzburg, Beschluss v. 13.09.2018 – 11 O 1741/18 UWG).
Allenfalls, wenn Sie keine Onlineformulare anbieten, sondern z.B. eine statistische Webseite, könnte eine Verschlüsselungspflicht entfallen (wobei dann auch im Hintergrund durch Plugins, Marketingtools o.ä. keine unverschlüsselten Übertragungen erfolgen sollten).
Zusammenfassend sollten Sie Ihre Webseiten am besten immer per "https:“, statt per "http://“ ausliefern.
Übermitteln Sie personenbezogene Daten an andere Unternehmen, Personen oder andere Empfänger?
Bitte wählen Sie die folgende Option, falls Sie personenbezogene Daten innerhalb einer Unternehmensgruppe oder Organisation übermitteln:
Datenaustausch innerhalb einer Unternehmens-gruppe
Datenaustausch innerhalb einer Organisation
Erläuterungen und Hinweise zu "Übermittlung und Offenbarung von personenbezogenen Daten"
In der Praxis findet die Datenverarbeitung selten nur innerhalb des eigenen Wirkungsbereichs oder eigenen Unternehmens statt. So wird zum Beispiel eine Website typischerweise auf den Servern eines Webhosters betrieben, Rechnungen können von einem Software-as-a-Service-Dienst in der Cloud bearbeitet werden, die IT kann durch externe Techniker gewartet und Kunden können über eine US-amerikanische Helpdesk-Plattform betreut werden.
In all diesen Fällen der Weiterleitung, des Empfangs oder der bloßen Möglichkeit der Kenntnisnahme von personenbezogenen Daten durch Dritte (kurz "Weitergabe“) liegen erlaubnispflichtige Verarbeitungen vor.
Diese Weitergabe bedarf einer rechtlichen Erlaubnis, also z.B. einer Einwilligung von Nutzern, oder sie muss zur Erfüllung eines Vertrages erforderlich sein (z.B. im Fall von Zahlungsdienstleistern bei Kaufvorgängen) oder auf berechtigte Interessen gestützt werden können (z.B. beim Einsatz von Online-Buchhaltungs-Anbietern).
Zu beachten ist ferner, dass im Falle der weisungsgebundenen Beauftragung der Empfänger mit Dienstleistungen oder mit dem Einsatz ihrer Onlinewerkzeuge ein sogenannter Auftragsverarbeitungsvertrag (englisch: "Data Protection Agreement“) abgeschlossen werden muss (Art. 26 DSGVO).
Falls Sie zusammen mit anderen Unternehmen über die Mittel und Zwecke der Verarbeitung entscheiden (auch, wenn Ihr Anteil nur darin bestehen kann, eine Facebookseite zu eröffnen: EuGH, 05.06.2018 - C-210/16), kann der Fall einer sogenannten gemeinsamen Verantwortlichkeit vorliegen (englisch: "Joint control“). In dem Fall muss ebenfalls eine spezielle Vereinbarung abgeschlossen werden (Art. 26 DSGVO).
Diese Rechtsmaterie ist zugegebenermaßen nicht einfach. Aber unabhängig davon sollten Sie bei Dienstleistern oder Anbietern von Online-Werkzeugen immer nachfragen, ob die "erforderlichen Datenschutzverträge“ angeboten werden. Häufig sind sie auch Bestandteil von AGB.
Bitte wählen Sie diesen Punkt z.B., wenn ein Datenaustausch (z.B. auf Ebene von Buchhaltung, Kundenlisten, HR etc.) innerhalb einer wirtschaftlich zusammenhängender Gruppe von gleichberechtigten Unternehmen oder Mutter- und Tochterunternehmen stattfindet (sogenannter "Datenaustausch im Konzern").
Laut Erwägungsgrund 48 zur DSGVO (d.h., den gesetzlichen Erläuterungen der DSGVO) können Verantwortliche, die Teil einer Unternehmensgruppe oder einer Gruppe von Einrichtungen sind, ein berechtigtes Interesse haben, personenbezogene Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Beschäftigten, zu übermitteln.
Datenübermittlung innerhalb der Organisation
Diese Option gilt für die Weitergabe von Daten innerhalb anderer verbundener Organisationen, die mit einer Unternehmensgruppe oder einem Konzern vergleichbar sind (z.B. unter dem Dach einer gemeinnützigen Organisation).
Im Übrigen gelten dieselben Hinweise wie zur Datenübermittlung innerhalb der Unternehmensgruppe.
Verarbeiten Sie selbst oder lassen Sie personenbezogene Daten außerhalb der EU verarbeiten?
Erläuterungen und Hinweise zu "Datenverarbeitung in Drittländern"
Eine Vielzahl von Onlinediensten wird nicht in der EU oder im europäischen Wirtschaftsraum, sondern von der ganzen übrigen Welt, vor allem von den USA aus, angeboten (daher ist dieses Modul vorausgewählt). Man spricht dabei von "Drittländern“.
Im Falle der Weitergabe von Daten an Verarbeiter in Drittländer (z.B., wenn US-Marketing-Werkzeuge eingesetzt werden), kommt zu den vorstehend geschilderten Voraussetzungen der Weitergabe von Daten an andere Stellen (zu denen z.B. der Abschluss von Auftragsverarbeitungsverträgen gehören kann) eine zweite Prüfungsstufe zusätzlich hinzu.
Denn die Weitergabe von Daten außerhalb der EU bringt zusätzliche Gefahren mit sich, die ebenfalls aufgefangen werden müssen.
Dies geschieht, wenn eine der folgenden Voraussetzung bejaht werden kann. Nur dann ist die Datenweitergabe auf Grundlage der berechtigten Interessen erlaubt:
1. Es wurde ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO):
- Das Datenschutzniveau wurde durch sogenannte "Angemessenheitsbeschlüsse“ für derzeit folgende Länder festgestellt: Andorra, Argentinien, Kanada (eingeschränkt), Schweiz, Färöer-Inseln, Guernsey, Israel (eingeschränkt), Isle of Man, Japan, Jersey, Neuseeland und Uruguay.
- Ebenfalls ein angemessenes Datenschutzniveau gilt für US-Unternehmen, die nach dem Privacy-Shield-Abkommen zertifiziert sind.
2. Wurde kein angemessenes Datenschutzniveau festgestellt, müssen geeignete Garantien vorgelegt werden (Art. 46 DSGVO):
- Genehmigte "Binding-Corporate-Rules“ (d.h., unternehmensinterne Selbstverpflichtungen).
- Standarddatenschutzklauseln der Kommission/Aufsichtsbehörde.
- Genehmigte Zertifizierungsverfahren.
3. Es wurden Ausnahmen für bestimmte Fälle getroffen (Art. 49 DSGVO):
- Es liegt eine Einwilligung der Nutzer zur Weitergabe der Daten vor (Nutzer müssen jedoch auch transparent über die Risiken der Übermittlung in ein Drittland belehrt werden).
- Die Weitergabe von Daten ist zur Vertragserfüllung erforderlich (beispielsweise, wenn Ware auf Wunsch des Kunden direkt aus den USA geliefert werden soll und die dortigen Paketversender die Adressdaten des Kunden erhalten).
- Verfolgung von Rechtsansprüchen (d.h., wenn man beispielsweise in den USA Klagen einreicht) und, weniger relevant, die Verfolgung lebenswichtiger und die Wahrung sonstiger zwingender berechtigter Interessen in Sonderfällen.
Möchten Sie auf die Löschung von Daten hinweisen?
Erläuterungen und Hinweise zu "Löschung von Daten"
Dieser allgemeine Hinweis ist zu empfehlen (und daher vorausgewählt).
Personenbezogene Daten müssen gelöscht werden, sobald eine Einwilligung widerrufen wurde oder aus anderem Grunde der Zweck der Verarbeitung dieser Daten entfallen ist oder die Verarbeitung sich als rechtswidrig herausgestellt hat (Art. 17 DSGVO).
Um eine rechtzeitige Löschung dieser Daten sicherzustellen, sollten Sie in jedem Fall über ein Löschkonzept verfügen. Das bedeutet, Sie sollten alle Daten bzw. Datengruppen und die vorgesehenen Löschfristen aufschreiben.
Dabei sollten Sie sich nach dem Prinzip der Erforderlichkeit richten. D.h., hinterfragen Sie, wie lange Sie die Daten bei einer vernünftigen Betrachtung (d.h., nicht pauschal im Sinne einer "je länger, desto besser“-Sichtweise) benötigen.
- Z.B. werden Daten zu einem Einkauf in einem E-Shop solange benötigt, wie die Kunden Gewährleistungs- oder Schadensersatzansprüche geltend machen können.
- Bei Anfragen von Interessenten im Kontaktformular sollten Sie anhand Ihrer Erfahrung festlegen, wie lange mit Anschlussfragen gerechnet werden muss (länger als 6 Monaten eher selten).
- Die Löschfristen können auch durch gesetzliche Vorgaben festgelegt werden, wozu insbesondere die Pflicht, steuerliche Unterlagen für 10 Jahre aufzubewahren, gehört (Jahresabschlussunterlagen wie Bilanzen, Gewinn- und Verlustrechnungen, Anhänge, Lageberichte, Buchungsbelege wie zum Beispiel Rechnungen, Kontoauszüge oder Kassenbücher Steuererklärungen und Steuerbescheide Gehaltsunterlagen wie zum Beispiel Gehaltslisten, Lohnbelege oder Unterlagen über den Lohnsteuerjahresausgleich).
- Auch einfache Handels- und Geschäftsbriefe (wozu E-Mails gehören) sowie andere Geschäftsunterlagen müssen nach dem Handelsgesetzbuch für 6 Jahre aufbewahrt werden.
Bitte beachten Sie bei der Berechnung der Fristen zudem, dass gesetzliche Fristen sehr häufig erst am Ende eines Jahres, in dem das sie auslösende Ereignis stattfand, zu laufen beginnen (z.B. bei der Gewährleistung oder der Aufbewahrungspflichten für Unterlagen).
Falls Sie wegen der vorgenannten Gründe keine Löschung durchführen, müssen Sie zumindest sicherstellen, dass die Daten nur für die Zwecke dieser Ausnahmen verarbeitet werden (Art. 18 DSGVO). Dies kann z.B. durch Aussonderung in spezielle Archive oder durch Kennzeichnung als Archivdaten erfolgen.
Sie werden selten die perfekte Löschungsfrist festlegen. Angesichts der Faktoren, die zu berücksichtigen sind, wird kaum jemand dazu imstande sein. Aber schon die Festlegung der Löschfristen per se mindert Ihr Datenschutzrisiko erheblich.
Im Rahmen des Datenschutz-Generators bemühen wir uns bei den einzelnen Modulen, die bekannten Löschfristen so genau wie möglich zu nennen. Falls Sie weitere Angaben machen möchten, empfehlen wir Ihnen, die Möglichkeit eigener Ergänzungen zu nutzen.
Möchten Sie auf mögliche Aktualisierungen der Datenschutzerklärung hinweisen?
Erläuterungen und Hinweise zu "Änderung und Aktualisierung der Datenschutzerklärung"
Wenn eine Datenschutzerklärung aktualisiert wird, stellt sich die Frage, ob die Betroffenen über die Änderungen benachrichtigt werden müssen.
In jedem Fall müssen Personen, die in die Datenverarbeitung eingewilligt haben, informiert werden, wenn sich die Grundlagen der Einwilligung ändern. In dem Fall müssen diese Personen um eine erneute Einwilligung gebeten werden. Ein Beispiel wäre der Verkauf von Adressen eines E-Mail-Verteilers an Dritte. Denn in diesem Fall würde sich mit dem Einwilligungsempfänger eine wesentliche Grundlage der Einwilligung ändern.
Im Übrigen müssen Sie Betroffene nicht benachrichtigen (zumal Sie in dann die einzelnen Betroffenen, z.B. die Webseitenbesucher, kaum kennen oder erreichen könnten).
Jedoch ist es empfehlenswert, auf die Möglichkeit von Änderungen hinzuweisen, weshalb dieses Modul vorausgewählt ist.
Sollen die von der Verarbeitung betroffenen Personen über ihre Rechte belehrt werden?
Adresse der für Sie zuständigen Aufsichtsbehörde (Optional, weitere Hinweise in Erläuterungen):
(Englisch) Adresse der für Sie zuständigen Aufsichtsbehörde (Optional, weitere Hinweise in Erläuterungen):
Erläuterungen und Hinweise zu "Rechte der betroffenen Personen"
Betroffene Personen müssen über ihre Rechte belehrt werden (Art. 13 DSGVO), weshalb dieses Modul vorausgewählt ist und bleiben sollte.
Es ist gesetzlich nicht ausdrücklich vorgegeben eine zuständige Datenschutzbehörde anzugeben. Auch wir halten es nicht für erforderlich.
Es gibt jedoch andere Ansichten, die die Nennung der zuständigen Aufsichtsbehörde fordern oder zumindest empfehlen. D.h. die Nennung der zuständigen Datenschutzbehörde ist in jedem Fall ein Zugewinn an Sicherheit (auch wenn die Frage, ob Sie diesen Zugewinn benötigen, offenbleibt).
Die Adressen der für Sie zuständigen Datenschutzbeauftragten erhalten Sie als Unternehmen, Verein oder Person auf der Informationsseite des Bundesdatenschutzbeauftragten im Abschnitt "Aufsichtsbehörden für den nicht-öffentlichen Bereich" sowie für die Schweiz und Österreich im Abschnitt "Europäische Datenschutzbeauftragte": https://www.bfdi.bund.de/DE/Infothek/Anschriften_Links/anschriften_links-node.html
Soll die Datenschutzerklärung am Ende ein Glossar mit Begriffsdefinitionen enthalten (es wird anhand Ihrer Angaben automatisch in der erstellten Datenschutzerklärung ausgegeben)?
Erläuterungen und Hinweise zu "Begriffsdefinitionen"
Ein Glossar dient der gesetzlich vorgeschriebenen transparenten Information der Betroffenen und ist daher zu empfehlen (weshalb dieses Modul vorausgewählt ist).
Das Glossar wird anhand der von Ihnen bei der Generierung Ihres Rechtstextes ausgewählten Module automatisch erstellt (und ist daher in der Vorschau an dieser Stelle noch leer).
Cookies, Tracking und Targeting
Setzen Sie Cookies ein (bzw. binden Tools oder Inhalte in Ihr Onlineangebot ein, die Cookie einsetzen)?
Bitte geben Sie an, ob Sie eine Einwilligung (englisch "Opt-In") vor dem Einsatz von Cookies einholen (z.B. mit sog. Cookie-Einwilligung-Bannern):
Einwilligung der Nutzer vor Einsatz von Cookies
Falls Sie ein Cookie-Einwilligung-Banner nutzen (was zu empfehlen ist), können Sie an dieser Stelle die Möglichkeit zu dessen Aufruf eintragen (z.B. Link oder ein sog. [Shortcode], der von Ihrer Software automatisch in eine Schaltfläche/Link umgewandelt wird).
(Englisch) Aufruf Cookie-Opt-In:
Erläuterungen und Hinweise zu "Einsatz von Cookies"
Fast alle Webseiten verwenden Cookies oder ähnliche Verfahren, um
- Informationen zu Websitebesuchern zu speichern (z.B. Login-Informationen oder Inhalte in einem Warenkorb)
- Tools auszuführen, die der Messung der Besucher oder zu Zwecken des Onlinemarketings dienen (z.B. Matomo, Google Analytics)
- Inhalte aufführen zu können, die von fremden Servern bezogen werden (z.B. Videos, Social Media Postings oder Plugins).
Wegen dieser Verbreitung der Cookie-Technologien ist dieses Modul vorausgewählt.
Beim Einsatz von Cookies und Tracking zu Marketingzwecken halten die Datenschutzbehörden an der Pflicht zu einem Opt-In fest. Damit meinen sie, dass Nutzer erst auf "Einverstanden“ in einem Cookie-Banner klicken müssen, bevor Cookies überhaupt gesetzt werden dürfen.
In der Praxis vertreten jedoch viele Anbieter von Webseiten eine andere Ansicht als die Datenschutzbehörden. Auch, wenn Cookie-Banner mittlerweile zum Usus geworden sind, werden Cookies noch vor der Einwilligung der Nutzer gesetzt. In diesem Kontext berufen sich die Webseitenbetreiber wie die Werbeindustrie auf ein berechtigtes unternehmerisches Marketinginteresse. Dieses erlaubt eine Verarbeitung der Daten von Besuchern, sofern sie mit dem konkreten Einsatz der Cookies rechnen können, in der Datenschutzerklärung hinreichend aufgeklärt werden und eine Widerspruchsmöglichkeit erhalten (ein sogenanntes Opt-Out). Hier widersprechen die Datenschützer und meinen, dass der durchschnittliche Nutzer z.B. mit den Einsatz von Remarketing oder verhaltens- und interessensbasierter Werbung nicht rechnet.
Welche der beiden Ansichten zutrifft, wissen wir derzeit nicht. Die Verabschiedung einer ePrivacy-Verordnung, die hier Klarheit schaffen könnte, ist in Ferne gerückt. In den nächsten zwei Jahren rechnet kaum jemand mit ihr.
Eine Klärung könnte jedoch der EuGH bringen und die Tendenz spricht eher für ein Opt-In im Sinne der Datenschutzbehörden – das zumindest, wenn man sich die Empfehlungen anschaut, die das Gericht von seinen Generalanwälten erhält. Diese schlagen dem EuGH eine Entscheidungsrichtung vor und sprechen sich für eine Einwilligung aus.
D.h., wenn Sie den sichersten Weg gehen wollen, dann sollten Sie Ihre Nutzer mittels eines Cookie-Banners um eine Einwilligung bitten, bevor Sie Cookies einsetzen. Falls Sie Cookies schon ohne Einwilligung einsetzen, können Sie das Risiko zumindest dadurch mindern, dass Sie ein Cookie-Banner einblenden, indem die Nutzer um eine Einwilligung per Klick auf das Banner gebeten werden.
Verarbeitung von Cookie-Daten auf Grundlage einer Einwilligung
Wichtig: Diese Option sollten Sie nur dann auswählen, wenn Sie ein "echtes" Opt-In, d.h., eine Einwilligung der Nutzer in den Einsatz von Cookies einholen (z.B. mit sogenannten "Cookie-Einwilligungs/ Consent/ Opt-In-Bannern“ oder im Rahmen eines Registrierungsverfahrens).
Da eine Cookie-Opt-In lt. EuGH notwendig ist, ist diese Option vorausgewählt. Weitere Hinweise: https://datenschutz-generator.de/eugh-cookie-einwilligung-banner-detailinformationen-pflicht
D.h., bevor die Nutzer ihre Einwilligung nicht erteilt haben, setzen Sie keine Cookies ein (und nutzen keine fremden Dienste innerhalb Ihrer Webseiten, die selbst wiederum Cookies einsetzen). Zulässig ist allenfalls der Einsatz notwendiger Cookies, die von den Nutzern erwartet werden, wie z.B. einer Warenkorbfunktion im Onlineshop.
Freifelder für Ihre eigenen Eingaben
Freitext zum Beginn: Möchten Sie einen eigenen Freitext eingeben (z.B. zusätzliche Angaben zu Ihren Daten-Verarbeitungsverfahren, Ihren Leistungen, etc.)?
Überschrift Ihres Textabschnitts
Der Inhalt Ihres Freitextes:
Erläuterungen und Hinweise zu "Freitext oben"
Freitext zum Abschluss: Möchten Sie einen eigenen Freitext eingeben (z.B. Abschlusshinweise, Grüße, Kontaktangebot, etc.)?
Erläuterungen und Hinweise zu "Freitext unten"
Vereine, Parteien, NGOs (Verarbeitung nach Satzung/Geschäftsplan)
Sind Sie nach einer Satzung oder einer Geschäftsordnung tätig? (z.B. als Verein oder gemeinnützige Organisation)
Erläuterungen und Hinweise zu "Wahrnehmung von Aufgaben nach Satzung oder Geschäftsordnung"
Falls Sie zusätzlich zu den ideellen Aufgaben auch eine geschäftliche Tätigkeit ausüben, dann wählen Sie ergänzend die entsprechenden Module (in der Gruppe "Kommerzielle und geschäftliche Leistungen, Zahlung, Bonität") aus.
Kommerzielle und geschäftliche Leistungen, Zahlung, Bonität
Bieten Sie kommerzielle oder geschäftliche Leistungen an?
Bitte wählen Sie, sofern zutreffend, die folgenden Optionen aus:
Kunden können ein Kundenkonto anlegen
Bitte wählen Sie Ihren Geschäftsbereich aus:
Onlineshop, Bestellformulare, E-Commerce
Architektur- und Planungsleistungen
Bildungs- und Schulungs-leistungen
Makler- und Vermittlung
Medizin und Gesundheit (Ärzte, Apotheken)
Hotellerie- und Unterbringung
Künstlerische und literarische Leistungen
Projekt- und Entwicklungs-leistungen (Software, Webdesign, etc.)
Publikations-tätigkeit (Verlage, Online-Magazine, Blogs)
Recruiting-Leistungen
Reisebezogene Leistungen (Vermittlung, Durchführung)
Angebot von Software- und Plattformen (Cloud, SaaS)
Technische Dienstleistungen (Ingenieure, Techniker)
Vergleichs- und Vermittlungs-leistungen (Leads)
Andere kommerzielle Dienstleistungen
Erläuterungen und Hinweise zu "Kommerzielle und geschäftliche Leistungen"
Dieses Modul umfasst eine Vielzahl von kommerziellen oder geschäftlichen Leistungen, wie z.B. Onlineshops und Ladengeschäfte, IT-Leistungen, Agenturleistungen, Vermietungen oder Gesundheitsfürsorge etc.
Tipp: Sie sollten schon im Rahmen des Onlineformulars auf die Übermittlung der Angaben der Interessenten an mögliche Anbieter hinweisen. Ebenfalls sollten Sie auf Ihrer Webseite deutlich machen (am besten schon im Bereich, der beim ersten Aufruf sichtbar ist), wenn Sie Ihre Leistungen auf Provisionsbasis erbringen oder anderweitige wirtschaftliche Vorteile erhalten.
Bieten Sie Ihre geschäftlichen Leistungen über Onlineplattformen Dritter an (z.B. Amazon, Shopify, App-Stores, etc.)?
Bitte wählen Sie die eingesetzten Anbieter:
Amazon (Europe)
Andere Marktplätze oder Shop-Plattformen
Erläuterungen und Hinweise zu "Nutzung von Online-Marktplätzen für E-Commerce"
Da Sie die fremden Plattformen mit der Verarbeitung der Daten Ihrer Kunden beauftragen, sollten Sie prüfen, ob die Anbieter die erforderlichen Auftragsverarbeitungsverträge (bzw. englisch "Data Processing Agreement/Addendum") anbieten.
Zahlungsverfahren, Spenden, Bonitätsprüfung
Setzen Sie Zahlungsdienstleister ein? (z.B. PayPal oder Klarna)
Bitte geben Sie die eingesetzten Zahlungsdienstleister an:
PayPal-Dienste (PayPal, PayPal Plus, Braintree, etc.)
Andere Zahlungs-dienstleister
Erläuterungen und Hinweise zu "Zahlungsdienstleister"
Dieses Modul ist sowohl für Zahlungen als auch für den Empfang von Spenden geeignet. Detailangaben zu regulären Banken und Kreditinstituten sind in der Regel nicht notwendig, sodass dieses Modul insbesondere für Zahlungsdienstleister, wie z.B. PayPal oder Klarna, zur Anwendung kommt.
Überprüfen Sie die Bonität Ihrer Kunden mit Hilfe von Wirtschaftsauskunfteien?
AKV EUROPA – Alpenländischer Kreditorenverband
Creditreform Boniversum GmbH u. Verband
CRIF (Schweiz)
CRIF (Österreich)
CRIF Bürgel (Deutschland)
Andere Auskunfteien
Erläuterungen und Hinweise zu "Bonitätsprüfung"
Die Prüfung der Bonität eines Kunden ist dann zulässig, wenn ansonsten die Gefahr des Zahlungsausfalls droht, d.h., wenn die Ware geliefert wird, ohne dass die Zahlung eingetroffen ist (d.h., wenn der Kunde den Kauf auf Rechnung wählt). Kein Zahlungsausfall droht dagegen, wenn der Kunde z.B. die Option Vorkasse wählt oder die Zahlung über Drittanbieter, wie z.B. PayPal durchführt.
Zu beachten ist ferner, dass die Einholung einer automatischen Bonitätsauskunft eine "Automatisierte Entscheidung im Einzelfall“ gem. Art. 22 DSGVO, d.h., eine rechtliche Entscheidung ohne menschliche Mitwirkung, darstellt. Diese ist zulässig, wenn der Kunde eingewilligt hat oder diese Entscheidung für den Vertragsschluss erforderlich ist. Ob die Entscheidung erforderlich ist, ist noch nicht abschließend geklärt, dies wird jedoch vielfach als gegeben vertreten, auch von dem Autor dieses Musters. Wenn Sie jegliches Risiko ausschließen möchten, sollten Sie eine Einwilligung einholen.
Eine Einwilligung wird auch dann notwendig, wenn die Bonitätsauskunft bereits eingesetzt wird, um überhaupt zu entscheiden, ob die Option "auf Rechnung“ eingeblendet werden soll. Denn es hätte sein können, dass der Kunde sich ohnehin für die Option Vorkasse oder PayPal entschieden hätte und die Bonitätsprüfung nicht erforderlich gewesen wäre.
Eine solche Einwilligung kann wie folgt lauten:
"Ich erkläre mich damit einverstanden, dass eine Bonitätsüberprüfung durchgeführt wird, um in einem automatisierten Verfahren (Art. 22 DSGVO) zu entscheiden, ob die Option des Kaufs auf Rechnung angeboten wird. Weitere Informationen zur Bonitätsprüfung, zu den eingesetzten Wirtschaftsauskunfteien und zum Verfahren sowie zu den Widerspruchsmöglichkeiten erhalten Sie in unserer [Link]Datenschutzerklärung[/Link]."
Bereitstellung des Onlineangebotes, Hosting, Homepage-Baukästen
Wird Ihr Onlineangebot von einem fremden Server abgerufen (z.B. bei einem Webhostinganbieter, bzw. Homepage-Baukasten)?
Bitte wählen Sie, sofern zutreffend, welche Verfahren und Funktionen Sie nutzen:
Webhosting umfasst E-Mail-Versand und -Hosting
Es werden Zugriffsdaten und Logfiles verarbeitet
Einsatz eines Content-Delivery-Networks
Wird Ihr Onlineangebot bei einem sog. Homepage-Baukasten-Anbieter gehostet?
Bitte wählen Sie, sofern zutreffend, eingesetzte Webhosting Anbieter, Content-Delivery-Networks, Sicherheits- und andere Dienstleister aus:
Cloudflare Content-Delivery-Network (CDN)
DigitalOcean Content-Delivery-Network (CDN)
Instart Content-Delivery-Network (CDN)
Limelight Content-Delivery-Network (CDN)
New Relic Servermonitoring und Fehlererkennung
Stackpath Content-Delivery-Network (CDN)
Andere Anbieter von Webhosting oder verbundenen Diensten
Erläuterungen und Hinweise zu "Bereitstellung des Onlineangebotes und Webhosting"
Im Regelfall werden Webseiten bei Webhosting-Anbietern bzw. Anbietern von Homepage-Baukästen gespeichert, die häufig auch für den Versand und Empfang von E-Mail-Adressen eingesetzt werden. Diese Anbieter werden grundsätzlich auch immer Logfiles zu Zwecken der Sicherheit und Serverstabilität speichern. D.h., im Zweifel sollten Sie die beiden Optionen (E-Mail Hosting und Logfiles) auswählen. Sie können ebenfalls angeben, ein Content-Delivery-Network und einen Sicherheitsdienst einzusetzen.
Wenn Sie Serverhardware mieten, aber durch einen Dritten pflegen lassen, dann wird empfohlen, diese Option ebenfalls zu wählen. Nur, wenn Sie alleine, bzw. Ihre Beauftragten oder Mitarbeiter Zugang zu dem Server haben oder ein Server in Ihren Räumlichkeiten steht, können Sie diese Frage mit einem "nein" beantworten.
Denken Sie daran, Ihre Webseite unbedingt über "https" zu übermitteln, falls Nutzer personenbezogene Daten eintragen oder via Webseite an Sie übermitteln können (z.B. Kommentare im Blog, Anfragen im Kontaktformular, Einkäufe im Shop). Das bringt die Pflicht mit sich, dem Stand der Technik im Sinne des Art. 32 DSGVO zu entsprechen.
Des Weiteren sollten Sie mit dem Webhosting-Anbietern einen sogenannten Auftragsverarbeitungsvertrag (englisch "Data Protection Agreement/ Addendum") abschließen.
Der Auftragsverarbeitungsvertrag wird automatisch mit der Registrierung abgeschlossen: https://fabric.io/dpst.pdf
Besondere Angaben für mobile und Web-Appilkationen
Soll die Datenschutzerklärung (auch) für eine mobile oder Web-Applikation gelten?
Einsatz zu geschäftlichen/ kommerziellen Zwecken
Speicherung des universellen und eindeutigen Identifikators (UUID)
Speicherung eines (anderen) pseudonymen Identifikators
Geräteberechtigungen für den Zugriff auf Funktionen und Daten werden abgefragt
Zugriff auf die Kamera sowie gespeicherten Aufnahmen
Nutzung von Mikrofonfunktionen (und dabei erstellter Audioaufnahmen)
Verarbeitung von auf dem Gerät gespeicherten Kontakten
Nutzung von Kontaktdaten zu Zwecken des Kontaktabgleichs
Verarbeitung von Standortdaten
Speicherung von Standortverläufen und Bewegungs-profilen
Keine Speicherung von Standortverläufen und Bewegungsprofilen
Weitere und eigene Angaben zur den Funktionen der Applikation (zu empfehlen, wenn Sie z. B. Standort, Kamera- oder Audiodaten verarbeiten):
Zum Beispiel (im Fall einer Sportapp - Die Beispiele finden Sie auch in den Erläuterungen des Moduls): - "Kamerafunktion: Erstellen von Bildaufnahmen für Profilbilder sowie Dokumentation der Sportaktivitäten, die im Profil der Nutzer gespeichert werden und mit Freunden oder der Öffentlichkeit geteilt werden können. - Mikrofonfunktion: Erkennung von Sprachbefehlen der Nutzer und Umsetzung in Steuerungsbefehle für die Applikation. - Standortdaten und Standortverlauf: Aufzeichnung der zurückgelegten Strecken, Streckensteigerungen, der benötigten Zeit, Geschwindigkeit und Zeitpunkts, die im Profil der Nutzer gespeichert werden und mit Freunden oder der Öffentlichkeit geteilt werden können. - Pseudonymer Identifikator: Auswertung welche Funktionen der Applikation von den Nutzern mit welcher Häufigkeit genutzt werden [...], die der Verbesserung der Nutzerfreundlichkeit und der Darstellung von Werbeanzeigen dient."
(Englisch) Weitere und eigene Angaben zur den Funktionen der Applikation (zu empfehlen, wenn Sie z. B. Standort, Kamera- oder Audiodaten verarbeiten):
For example (in the case of a sports app - the examples can also be found in the explanation area): - "Camera function: Capturing images for profile pictures as well as documentation of sports activities, which are stored in the users' profile and can be shared with friends or the public. - Microphone function: recognition of voice commands from users and conversion into control commands for the application. - Location data and location history: Recording of the covered distances, route climbs, required time, speed and date and time, which are stored in the users profile and can be shared with friends or the public. - Pseudonymous Identifier: Evaluation of which functions of the application are used by the users and with what frequency [...], which serves to improve the user-friendliness and the display of advertisements."
Erläuterungen und Hinweise zu "Besondere Hinweise zu Applikationen (Apps)"
Datenschutzerklärungen sind bei Applikationen unbedingt erforderlich, da die Bereitstellung der Applikation ohne die Verarbeitung personenbezogener Daten kaum vorstellbar ist. Schon die Kontaktaufnahme, die Möglichkeit auf Nutzungsdaten zuzugreifen oder Hosting stellen Verarbeitungsvorgänge im Sinne der DSGVO dar.
Neben den generellen Hinweisen auf die Applikation sowie den Angaben zu verwendeten Gerätefunktionen in diesem Modul, finden Sie weitere Auswahlmöglichkeiten, z. B. zu Pushmitteilungen, Einsatz von Crashlitics oder den Versand von Newslettern im Rahmen dieses Datenschutz-Generators.
Weitere Funktionen der App, wie z. B. Push-Nachrichten, Registrierung, Shop, Analyse mit Firebase, etc. finden Sie in den anderen Bereichen des Generators.
Wenn Sie Ihre App kommerziell nutzen (z. B. kostenpflichtig oder mit InApp-Käufen oder als Bestandteil sonstiger kostenpflichtiger Leistungen oder im Rahmen eines Unternehmens) einsetzen, dann sollten Sie auf den Geschäftlichen Hintergrund dieser Nutzung hinweisen.
Speicherung eines universellen und eindeutigen Identifikators (UUID)
Zur Erläuterung des Universally Unique Identifier verweisen wir auf die Wikipedia.
Speicherung eines pseudonymen Identifikators
Ein Identifikator ist zwar ein pseudonymes (und damit personenbezogenes Datum) und nicht anonym (bei anonymen Daten findet die DSGVO keine Anwendung). Daher sollte auf dessen Verarbeitung in der Datenschutzerklärung hingewiesen werden.
Ein anonymer Identifikator ist nicht nur ein sprachlicher Widerspruch sondern würde auch praktisch bedeuten, dass mit dessen Hilfe der Nutzer eines mobilen Gerätes nicht indentifizierbar sein dürfte (es kommt nicht darauf an, ob man den Nutzer identifizieren will, sondern es potentiell kann, auch wenn dazu andere Daten, z. B. IP-Adressen, Eingaben etc. erhoben oder sonst verarbeitet werden müssten).
Im Rahmen des Moduls wird generell darauf hingewiesen, dass der Identifikator erforderlich ist, um die Applikation bereitzustellen und ihre Funktionsfähigkeit sicherstellen zu können. Sie können weitere Angaben im Rahmen der ergänzenden Hinweise aufnehmen (wenn der Identifikator z. B. bei Ihnen dauerhaft gespeichert werden sollte, was jedoch im Regelfall nicht erforderlich sein dürfte).
Geräteberechtigungen für den Zugriff auf Funktionen und Daten
Mobile Betriebssysteme sehen für bestimmte Funktionen Freigabeprozesse vor. Dazu gehören vor allem der Zugriff auf die Kamera, die Bildaufnahmen oder Standortfunktionen. Sofern diese Freigaben für die Nutzung der Funktionen der Applikationen erforderlich sind und dies für die Nutzer bei der Installation einer Applikation erkennbar war, dann stellt die Freigabe der Funktionen nach unserer Ansicht keine Einwilligung im Datenschutzgesetze vor.
Vielmehr sind die Freigabe und die sich ihr anschließende Verarbeitung von z. B. Standortdaten für die Erfüllung des Appnutzungsvertrages erforderliche Vorgänge, die keiner Einwilligung bedürfen (Art. 6 Abs. 1 S. 1 lit. b DSGVO). Eine Einwilligungen sollte nur dann als Verarbeitungsgrundlage herangezogen werden, wenn eine andere Rechtsgrundlage nicht in Frage kommt (z. B. beim Versand von Werbenachrichten). Der Grund ist, dass das Gesetz an Einwilligungen hohe Anforderungen stellt und sie z. B. nachgewiesen werden müssen oder erst ab 16 wirksam sind (Art. 4 Nr. 11, Art. 7, 8 Abs. 1 DSGVO).
Der Zugriff auf die Kamera der Geräte geht im Regefall auch mit einer Möglichkeit des Zugriffs auf gespeicherte Aufnahmen einher. Falls dies im Rahmen Ihrer Applikation anders sein sollte, können Sie dies im Rahmen der ergänzenden Hinweise zu diesem Modul mitteilen.
Nutzung von Mikrofonfunktionen
Die Nutzung des Mikrofons sollte nur dann erfolgen, wenn Nutzer mit ihr rechnen können (heimliches "mitlauschen" kann strafbar sein, z. B. in Deutschland gem. § 201 StGB). D.h. bevor Nutzer eine Freigabe erteilen, dann müssen Sie die Nutzer zuvor darüber aufklären, wann und zu welchen Zwecken das Mikrofon eingesetzt wird.
Verarbeitung von gespeicherten Kontakten
Die reguläre Nutzung von Kontaktdaten ist weniger problematisch, wenn sie dazu dient die Funktionen der App auszuführen (z. B. Versand von Nachrichten an bestimmte Personen).
Ein Kontaktabgleich ist dann zulässig, wenn die Inhaber der Kontaktdaten damit einverstanden sind. Das kann ein Anbieter einer Applikation kaum prüfen, jedoch sollte er zumindest darauf hinweisen, dass nur mit Einwilligung oder auf anderer Rechtsgrundlage mitgeteilte Kontaktdaten (z. B. öffentlich zugängliche Kontakte zu Geschäftskunden auf Grundlage berechtigter Interessen an deren geschäftlichem Einsatz) zum Abgleich bereitgestellt werden dürfen.
Die Verarbeitung der Standortdaten setzt eine Freigabe der Nutzer voraus. Allerdings müssen die Nutzer schon vor der Freigabe wissen, zu welchen Zwecken die Standortdaten erhoben werden. Die Zwecke sollten im Optimalfall schon aus der Beschreibung der Applikation und nicht erst aus der Datenschutzerklärung hervorgehen (z. B. sollte eine App für Wanderer darauf hinweisen, wenn sie den Standort abfragt, um die passenden Informationen zu den aufgesuchten Orten bereitzustellen).
Standortverlauf und Bewegungsprofile
Werden Standortdaten kumuliert gesammelt werden, entsteht über die Zeit ein Standortverlauf. Da man aus dem Standortverlauf auf die Rückschlüsse auf die Bewegungen der Geräte und damit ihrer Nutzer ziehen, stellen die meisten Standortverläufe zugleich Bewegungsprofile dar (zum Begriff "Profiling" s. Art. 4 Nr. 4 DSGVO).
Profiling birgt zusätzliche Risiken für z. B. die Privatsphäre der Nutzer. Daher sollten die Nutzer schon aus der Appbeschreibung erkennen können, dass Standortdaten in Profilen gesammelt werden (dies muss nicht in Rechtssprache geschehen und so wäre bei einer App für Wanderer der Hinweis darauf, dass gegangene Strecken im Profil gespeichert werden, als Hinweis grundsätzlich ausreichend - natürlich nur, wenn die Daten zu keinen anderen Zwecken eingesetzt werden).
Kein Standortverlauf und keine Bewegungsprofile
An sich ist ein Hinweis auf die Erstellung von Standortverläufen und Bildung von Bewegungsprofilen nur dann erforderlich, wenn sie tatsächlich erzeugt werden.
Allerdings ist es zu empfehlen auch darauf hinzuweisen, dass keine Bewegungsprofile erstellt werden. Ansonsten könnten die Nutzer sich sonst fragen, ob derartige Profile erstellt werden und mangels Information verunsichert sein.
Eigene Angaben zu den Funktionen der Applikation
Beispiel (im Fall einer Sportapp):
- "Kamerafunktion: Erstellen von Bildaufnahmen für Profilbilder sowie Dokumentation der Sportaktivitäten, die im Profil der Nutzer gespeichert werden und mit Freunden oder der Öffentlichkeit geteilt werden können.
- Mikrofonfunktion: Erkennung von Sprachbefehlen der Nutzer und Umsetzung in Steuerungsbefehle für die Applikation.
- Standortdaten und Standortverlauf: Aufzeichnung der zurückgelegten Strecken, Streckensteigerungen, der benötigten Zeit, Geschwindigkeit und Zeitpunkts, die im Profil der Nutzer gespeichert werden und mit Freunden oder der Öffentlichkeit geteilt werden können.
- Pseudonymer Identifikator: Auswertung welche Funktionen der Applikation von den Nutzern mit welcher Häufigkeit genutzt werden [...], die der Verbesserung der Nutzerfreundlichkeit und der Darstellung von Werbeanzeigen dient."
For example (in the case of a sports app):
- "Camera function: Capturing images for profile pictures as well as documentation of sports activities, which are stored in the users' profile and can be shared with friends or the public.
- Microphone function: recognition of voice commands from users and conversion into control commands for the application.
- Location data and location history: Recording of the covered distances, route climbs, required time, speed and date and time, which are stored in the users profile and can be shared with friends or the public.
- Pseudonymous Identifier: Evaluation of which functions of the application are used by the users and with what frequency [...], which serves to improve the user-friendliness and the display of advertisements."
Werden Apps über den Apple App-Store, Google Play oder den Microsoft Store angeboten?
Erläuterungen und Hinweise zu "Bezug von Applikationen über Appstores"
Wenn die Nutzer ihre Apps über Appstores beziehen, dann gelten die dortigen Nutzungsbedingungen und Datenschutzhinweise, auf die Ihre Datenschutzerklärung verweisen wird. Auch im Hinblick auf etwaige Zahlungsabwicklung gelten die vorgenannten Regelungen der jeweiligen Stores.
Registrierungsverfahren, Single-Sign-On, Netzwerke, Foren und Blogs
Bieten Sie eine Registrierfunktion an (z.B. innerhalb einer Plattform, App oder eines Onlineforums)?
Bitte wählen Sie, sofern zutreffend, aus den folgenden Optionen:
Erläuterungen und Hinweise zu "Registrierung, Anmeldung und Nutzerkonto"
Dieses Modul können Sie für beliebige Arten von Registrierungsverfahren einsetzen. Im Falle geschäftlicher Leistungen, sollten Sie im dortigen Modul zusätzlich die Option "Kunden können ein Kundenkonto anlegen" auswählen.
Hinweis: Beachten Sie, dass Passwörter unbedingt verschlüsselt gespeichert werden müssen.
Bei einer Zwei-Faktor-Authentifizierung müssen Ihre Nutzer zusätzlich zum Passwort eine weitere Authentifizierungsmaßnahme durchführen (z.B. einen an ein mobiles Telefon gesandten Code eingeben).
Die Zwei-Faktor-Authentifizierung mag zwar (noch) kein verpflichtender Stand der Technik sein, ist jedoch zu empfehlen. Sollte es z.B. doch zu einer Datenpanne kommen, wird es von Vorteil für Sie sein, über ein möglichst hohes Sicherheitsniveau verfügt zu haben.
Bieten Sie Single-Sign-On-Anmeldeverfahren an?
Bitte wählen Sie einen der Single-Sign-On-Anbieter aus:
Snap Login-Kit
Andere Single-Sign-On-Verfahren
Erläuterungen und Hinweise zu "Single-Sign-On-Anmeldung"
Single-Sign-On-Anmeldeverfahren erlauben, sich mit Ihren Daten bei anderen Anbietern (z.B. Google, Facebook oder Twitter) anzumelden.
Bieten Sie einen Blog (oder ein vergleichbares Publikationsmedium) an?
Nutzer können Kommentare oder Beiträge hinterlassen
Abruf von WordPress-Emojis und -Smilies
Profilbilder von Gravatar
Hosting bei Medium
Sucuri - Firewall und Sicherheitsdienste
UpdraftPlus - Buckup
Wordfence - Firewall und Sicherheitsdienste
Hosting bei Blogger.com
Hosting bei WordPress.com
Erläuterungen und Hinweise zu "Blogs und Publikationsmedien"
Diesen Abschnitt können Sie sowohl im Fall selbstgehosteter als auch bei fremdgehosteten Blogs und vergleichbaren Publikationsmedien verwenden.
Kommunikation, CRM, Messenger, Chats, Chatbots und Push-Nachrichten
Bieten Sie Möglichkeiten der Kontaktaufnahme und Kommunikation für Nutzer, Kunden oder andere Kommunikationspartner an?
Bitte wählen Sie einen der Anbieter von Kommunikations und CRM-Diensten aus:
Genesys PureCloud Helpdesk
Highrise CRM-System
Nutzung von LiveAgent
pingdesk
Nutzung anderer Anbieter
Erläuterungen und Hinweise zu "Kontaktaufnahme"
Dieses Modul ist vorausgewählt, da nicht nur ein Kontaktformular, sondern bereits die Angabe der E-Mail-Adresse oder der Telefonnummer im Impressum eine Möglichkeit der Kontaktaufnahme darstellt.
Es ist grundsätzlich nicht erforderlich, dass Sie die Anfragenden um eine Einwilligung oder ein Einverständnis in die Verarbeitung ihrer Daten bitten. Dies wäre nur dann notwendig, wenn Sie die Daten für andere Zwecke als die Bearbeitung der Anfragen benötigen (z.B., wenn Sie im Kontaktformular eine Anmeldung zum Newsletter anbieten – weitere Hinweise zum Newsletter erhalten Sie im entsprechenden Modul).
Ansonsten ist ein Hinweis auf die Datenschutzerklärung ausreichend, z.B.:
"Hinweise zur Verarbeitung Ihrer Angaben erhalten Sie in unserer ([LINK]Datenschutzerklärung[/LINK])"
"[LINK]Datenschutzerklärung[/LINK]".
Falls Sie cloudbasierte CRM-Systeme ("Customer Relationship Management", d.h., Software zur Verwaltung von Kunden- o.ä. Anfragen), Ticketing oder sonstige Systeme zur Verwaltung von Anfragen verwenden, sollten Sie mit den Anbietern Auftragsverarbeitungsverträge (englisch "Data Protection Agreements bzw. Addendums) abschließen. Diese können bereits ein Bestandteil der Verträge oder AGB der Anbieter sein. Fragen Sie zur Sicherheit bitte nach.
Denken Sie bitte ferner daran, Ihre Webseite unbedingt über "https" zu übermitteln, falls Nutzer personenbezogene Daten eintragen oder via Webseite an Sie übermitteln können (z.B. Kommentare im Blog, Anfragen im Kontaktformular, Einkäufe im Shop). Das bringt die Pflicht mit sich, dem Stand der Technik im Sinne des Art. 32 DSGVO zu entsprechen.
Setzen Sie Messenger zu Kommunikationszwecken (z.B. mit Kunden via WhatsApp) ein?
Bitte wählen Sie einen Messenger- oder Chat-Anbieter aus:
Eigene Mastodon-Instanz
MessengerPeople (ehemals WhatsBroadcast)
Andere Plattformen und Anbieter
Erläuterungen und Hinweise zu "Kommunikation via Messenger"
Falls Sie Messenger zur Kommunikation mit Nutzern einsetzen, können Sie Ihre Kommunikationspartner über die Verarbeitung ihrer Daten aufklären.
Setzen Sie Chatbots oder Chatfunktionen zu Kommunikationszwecken ein?
Bitte wählen Sie die eingesetzten Anbieter aus:
1000° Bot
SAP Conversational AI (former Recast.ai)
Erläuterungen und Hinweise zu "Chatbots und Chatfunktionen"
Bei einem Chatbot handelt es sich um eine Software, die Fragen der Nutzer beantwortet oder sie über Nachrichten informiert.
Wenn der Bot Nutzern von sich aus Nachrichten zusenden soll, bedarf dies eines gesonderten Opt-Ins (Einwilligung, z.B. per Befehl "Start") mit Opt-Out-Möglichkeit (Widerspruch).
Ein Double-Opt-In ist im Regelfall nicht notwendig, da Nachrichten nur an den Accountinhaber gerichtet werden, d.h., anders als beim Newsletter ist die Identität gesichert.
Der Bot sollte zu Beginn einer Konversation auf das Impressum und die Datenschutzerklärung (verlinkt) verweisen. Das gilt nicht, wenn der Chatbot in eine diese Hinweise enthaltende Webseite eingebunden ist und nicht separat aufgerufen werden kann (Chatbots beim Facebook-Messenger können z.B. ohne Bezug zur Webseite oder Facebook-Seite in der Facebook-Messenger-App aufgerufen werden und sollten daher die vorgenannten Hinweise enthalten).
Werden Frame-Works oder Bot-Plattformen von Drittanbietern eingesetzt und Nutzerdaten an diese transferiert, müssen mit den Drittanbietern spezielle Datenschutzverträge geschlossen werden. Befinden sich die Anbieter im EU-Ausland, müssen diese besondere Garantien bieten (z.B. Privacy-Shield bei US-Anbietern).
Es müssen die Grundsätze der Datenminimierung und Privacy by Design beachtet und z.B. Eingaben der Nutzer vor deren Einsatz für Zwecke des Machine-Learnings (bei KI-gestützten Bots) von personenbezogenen Daten wie Namen, Facebook-IDs oder IP-Adressen bereinigt werden.
Haftung für Bots: Hinzu kommen mögliche Haftungsfragen, wenn Bots Auskünfte erteilen oder gar Verträge schließen sollen.
Können Nutzer dem Erhalt von Push-Nachrichten (z. B. im Browser oder in einer mobilen App) zustimmen?
Push-Nachrichten können auch Werbung beinhalten
Push-Nachrichten abhängig vom Standort
Analyse (z. B. Messung ob und wann Nachrichten geöffnet werden)
Optional: Bitte geben Sie die Inhalte Ihrer Push-Nachrichten an:
Zum Beispiel (die Beispiele finden Sie auch im Erläuterungsbereich des Moduls): "Informationen zu uns, unseren Leistungen, Aktionen und Angeboten." "Hinweise auf neueste Beiträge und Kommentare." "Technische Hinweise und Änderungen unserer Applikation sowie ihrer Funktionen."
(Englisch) Optional: Bitte geben Sie die Inhalte Ihrer Push-Nachrichten an:
For example (die Beispiele finden Sie auch im Erläuterungsbereich des Moduls): "Information about us, our services, promotions and offers." "Notes on recent posts and comments." "Technical notes and changes to our application and its features."
Optional: Falls Sie eigene Möglichkeiten Push-Nachrichten abzubestellen oder zu ändern anbieten, beschreiben Sie diese oder/ und geben eine URL ein:
Zum Beispiel (die Beispiele finden Sie auch im Erläuterungsbereich des Moduls): "Unsere Push-Nachrichten können Sie mit den folgenden Einstellungen anpassen oder abbestellen: [Code der Optionen]" "Unsere Push-Nachrichten können Sie auf der folgenden Webseite anpassen oder abbestellen: https://..." "Unsere Push-Nachrichten können Sie in dem Bereich "Einstellungen" unserer App anpassen oder abbestellen."
(Englisch) Optional: Falls Sie eigene Möglichkeiten Push-Nachrichten abzubestellen oder zu ändern anbieten, beschreiben Sie diese oder/ und geben eine URL ein:
For example (die Beispiele finden Sie auch im Erläuterungsbereich des Moduls): "You can customize or unsubscribe from our push messages with the following settings: [Options code]" "You can adjust or cancel our push messages on the following website: https://..." "You can customize or unsubscribe from our push messages in the "Settings" section of our app."
Falls Sie einen Dienstleister, bzw. Service für den Versand von Push-Nachrichten einsetzen, wählen Sie ihn bitte aus:
Clever Push
Einsatz andererer Dienstleister
Erläuterungen und Hinweise zu "Push-Nachrichten"
Push-Nachrichten werden grundsätzlich nur mit der Zustimmung der Nutzer versendet, die entweder in Browser oder den Endgeräten der Nutzer (z. B. Smartphones) eingeholt werden.
Wenn diese Zustimmungen für den Betrieb der App erforderlich sind (z. B. Infos über technische Anpassungen, AGB-Änderungen oder Funktionsmitteilungen, wie Angaben zu gelaufenen Strecken oder Benachrichtigung über neue Nachrichten eines Onlinemagazins), dann werden hierzu erforderliche Daten auf Grundlage einer Vertragserfüllung verarbeitet.
Push-Nachrichten mit werblichem Inhalt
Dienen die Push-Nachrichten (auch) der Einblendung von Werbung, dann stellt die Zustimmung der Nutzer eine Einwilligung dar.
In dem Fall sollten die Nutzer auch auf die möglichen Inhalte der Nachrichten (z. B. "Werbung für Finanzprodukte", "unsere aktuellen Angebote", etc.), hingewiesen werden.
Dabei wird der Begriff der Werbung zum Schutz von Internetnutzern sehr weit verstanden. Werbung ist praktische jede Art der Kommunikation, die der Absatzförderung dient und umfasst sowohl die Förderung des Absatzes konkreter Produkte als auch allgemeine Imagewerbung (vgl. BGH, Urt. v. 12.9.2013, I ZR 208/12, Tz. 17).
Analyse und Erfolgsmessung
Eine Analyse und Erfolgsmessung wird bei den meisten Anbietern von Push-Nachrichtendiensten erfolgen (außer sie wurde abgeschaltet).
Ob die Analyse und Erfolgsmessung (z.B. die Messung, wie viele Empfänger eine Push-Nachricht geöffnet haben oder die Links in der Push-Nachricht geklickt haben) auch einer Einwilligung bedarf, ist umstritten. Da in der Praxis ohnehin eine Zustimmung der Nutzer erfolgt und die Erforderlichkeit einer Analyse für die Bereitstellung von Applikationen und Onlinediensten häufig angezweifelt wird, gehen die von unserem Generator erstellten Datenschutzhinweise von einer Einwilligung aus.
Wir empfehlen zudem die Empfänger schon in dem Zustimmungsdialog nicht nur auf die möglichen Inhalte der Push-Nachricht, sondern auch auf die Erfolgsmessung hinzuweisen, z.B. mit dem Zusatz ("... und willigen in die Analyse der Push-Nachrichten ein".)
Kurze Erläuterungen zu den Inhalten der Push-Nachrichten zu deren Transparenz bei und steigern damit die Rechtssicherheit Ihrer Datenverarbeitung.
Bei Push-Nachrichten mit werblichen Inhalten empfehlen wir Ihnen in jedem Fall deren ca. Inhalte darzulegen. Sie sollten nicht zu detailliert sein, da Sie die Einwilligung dann nur auf die genannten Fälle beschränken würden (z.B. "Informationen über Gewinnspiele").
Umgekehrt wäre eine Einwilligung bei pauschalen Beschreibungen, wie z.B. "interessante Infos" oder "Werbeinhalte" mangels Bestimmtheit unzulässig.
Einen Mittelweg stellt eine Beschreibung wie "Informationen zu unseren Produkten/Leistungen, Aktionen und uns/unserem Unternehmen" oder "Unsere aktuellen Angebote" dar.
Wichtig: Die Angabe der Inhalte sollten Sie den Abonnenten bzw. Empfängern bereits im Rahmen der Einholung von Einwilligungen mitteilen, z.B. in einer Pop-Up-Zustimmungsabfrage.
"Informationen zu uns, unseren Leistungen, Aktionen und Angeboten."
"Hinweise auf neueste Beiträge und Kommentare."
"Technische Hinweise und Änderungen unserer Applikation sowie ihrer Funktionen."
"Information about us, our services, promotions and offers."
"Notes on recent posts and comments."
"Technical notes and changes to our application and its features."
Individuelle Abbestellmöglichkeiten
"Unsere Push-Nachrichten können Sie mit den folgenden Einstellungen anpassen oder abbestellen: [Code der Optionen]"
"Unsere Push-Nachrichten können Sie auf der folgenden Webseite anpassen oder abbestellen: https://..."
"Unsere Push-Nachrichten können Sie in dem Bereich "Einstellungen" unserer App anpassen oder abbestellen."
"You can customize or unsubscribe from our push messages with the following settings: [Options code]"
"You can adjust or cancel our push messages on the following website: https://..."
"You can customize or unsubscribe from our push messages in the "Settings" section of our app."
Setzen Sie Plattformen oder Online-Software für Videokonferenzen, Onlinemeetings, Webinare oder Bildschirm-Sharing ein?
Bitte wählen Sie, sofern zutreffend, die eingesetzten Dienste aus:
ecosero
Google Hangouts / Meet
Telekom - Conferencing & Collaboration
Erläuterungen und Hinweise zu "Videokonferenzen, Onlinemeetings, Webinare und Bildschirm-Sharing"
Eine Anleitung für eine datenschutzsichere Nutzung von Konferenzsoftware und -diensten, erhalten Sie in unserem Beitrag: https://datenschutz-generator.de/dsgvo-video-konferenzen-online-meeting/
Hinweis: Dieses Modul kann sich mit dem Modul zum Einsatz von Messengern überschneiden, da manche Tools genauso als Messenger wie auch als Videokonferenz-Software eingesetzt werden können (z.B. Skype). Im Zweifel wählen Sie beide Module (d.h., dieses und das Messenger-Modul).
AV-Vertrag abrufbar unter https://geschaeftskunden.telekom.de/hilfe-und-service/self-services/dsgvo?wt_mc=alias_gk/dsgvo-auftragsverarbeitung (Abschnitt "Business Konferenzen und Eventkonferenzen").
Musik und Podcasts - Hosting, Widgets und Analysedienste
Setze Sie externe Hosting-Dienste und/oder Analysetools für Ihre Podcasts oder Ihre Musik ein?
Bitte wählen Sie die eingesetzten Dienstleister (soweit zutreffend)
Podlove & Bitlove
Ein anderer Hosting/Analyse-Dienstleister
Erläuterungen und Hinweise zu "Musik und Podcasts"
Dieses Modul umfasst die Speicherung und die Analysedienste von Musik- und Podcasthosting-Anbietern.
Die Angaben beruhen auf: https://docs.podlove.org/podlove-publisher/guides/dsgvo-gdpr.html
Bewerber und Talent-Pool
Können sich bei Ihnen potentielle Beschäftigte um Arbeits- oder Ausbildungsstellen bewerben?
Facebook-Jobs
Sonstige Software/Plattform
Falls Sie einen Bewerber-Pool führen, wie viele Monate werden die Daten der Bewerber aufbewahrt?
(Englisch) Falls Sie einen Bewerber-Pool führen, wie viele Monate werden die Daten der Bewerber aufbewahrt?
Erläuterungen und Hinweise zu "Bewerbungsverfahren"
Der Beschäftigtendatenschutz umfasst nicht nur bereits angestellte (oder verbeamtete) Personen, sondern auch Bewerber um Arbeits- und Ausbildungsplätze.
Bitte beachten Sie, dass Sie im Hinblick auf die Verarbeitung von Daten Beschäftigter besondere Fürsorgepflichten treffen und insbesondere bei Einwilligungen der Arbeitnehmer zu prüfen ist, ob diese freiwillig erfolgen. In Deutschland gelten für den Beschäftigtendatenschutz spezielle Vorgaben, niedergelegt im § 26 BDSG.
Clouddienste (z. B. Google Suite, Microsoft 365, Dropbox, etc.)
Nutzen Sie über das Internet zugängliche Cloud-Dienste, wie z.B. Google Suite oder Micosoft OneDrive?
Bitte wählen Sie einen der Cloud-Dienste-Anbieter aus:
Google Cloud-Dienste (z.B., Google Suite oder Google Drive)
Microsoft Cloud-Dienste (z.B. Azure, Dynamics, Microsoft 365)
Web.de Freemail Online-Speicher
Andere Plattformen oder Anbieter
Erläuterungen und Hinweise zu "Cloud-Dienste"
Cloud-Dienste bieten einen Weg, um von überall und gemeinsam mit anderen Personen Zugriff auf die eigenen Dateien zu haben. Zusätzlich können sie weitere Dienste, wie Onlineformulare, Mail- oder Chatfunktionen umfassen.
Dropbox bietet zumindest für Business-Kunden einen von der DSGVO vorgesehenen Auftragsverarbeitungsvertrag an, der gem. Art. 28 Abs. 6 DSGVO als Teil der Standardvertragsklauseln automatisch mit dem Vertragsschluss vereinbart wird. S. Anhang 1: https://www.dropbox.com/terms/business-agreement-2016">https://www.dropbox.com/terms/business-agreement-2016
Microsoft Clouddienste
Falls Sie die Microsoft Cloud Deutschland nutzen (wird ab 2019 nicht mehr an Neukunden angeboten), können Sie diesen Aspekt als eigene Ergänzung zusätzlich aufnehmen:
Wir nutzen die Microsoft Cloud Deutschland, bei der ein designierter deutscher Datentreuhänder den Zugriff auf Kundendaten kontrolliert. Der Datentreuhänder ist eine Tochtergesellschaft der Deutschen Telekom, T-Systems International GmbH, ein erfahrener und angesehener IT-Dienstleister mit Sitz in Deutschland. Der Datentreuhänder verpflichtet sich dazu, Kundendaten nicht gegenüber Drittparteien offenzulegen – außer der Kunde verlangt es oder deutsches Recht erfordert es. Dies ist möglich, da es sich bei T-Systems International um eine GmbH mit Gerichtsstand in Deutschland handelt:https://www.microsoft.com/de-de/cloud/rechtliche-aspekte.aspx
Newsletter und Werbekommunikation per E-Mail, SMS, Post, Telefon oder Fax
Versenden Sie einen Newsletter oder vergleichbare Arten von elektronischen Nachrichten?
Bitte geben Sie die Inhalte Ihrer Newsletter, bzw. übriger Kommunikationen an (oder übernehmen, falls zutreffend, unser Beispiel):
(Englisch) Bitte geben Sie die Inhalte Ihrer Newsletter, bzw. übriger Kommunikationen an (oder übernehmen, falls zutreffend, unser Beispiel):
Information about us, our services, promotions and offers.
Bitte wählen Sie die folgenden Optionen aus, sofern diese auf Ihren Newsletter zutreffen:
Erfolgsmessung (Messung von Öffnungsraten und Linkklicks)
Newsletter als Voraussetzung für Gratis-Leistungen
Versand (auch) via SMS
Falls Sie einen Versanddienstleister einsetzen, wählen Sie ihn bitte aus:
Versand via ActiveCampaign
Versand via AWeber
Versand via CleverReach
Versand via Mailjet
Erläuterungen und Hinweise zu "Newsletter und elektronische Benachrichtigungen"
Falls Sie mit Ihrem Newsletter werbliche Nachrichten versenden, dann müssen Sie sowohl von Verbrauchern als auch von Geschäftskunden eine ausdrückliche Einwilligung einholen. Dies wird explizit im § 7 Abs. 2 Nr. 3 des Gesetzes gegen den unlauteren Wettbewerb bestimmt.
Keine Werbung stellt lediglich Kommunikation dar, die im Rahmen einer Geschäftsbeziehung erfolgt. Eine Geschäftsbeziehung umfasst sowohl bestehende Verträge als auch vorvertragliche Kommunikation, die ohne Einwilligung der E-Mail-Empfänger zulässig ist.
Wichtig: Bitte schließen Sie mit dem Versanddienstleister einen sogenannten Auftragsverarbeitungsvertrag ab (in vielen Fällen wird dieser automatisch als Bestandteil der AGB gestellt. Im Zweifel fragen Sie bitte nach dem Auftragsverarbeitungsvertrag – Englisch: "Data Processing Agreement").
Teilen Sie den Abonnenten bzw. Empfängern mit, mit welchen Inhalten sie ca. rechnen müssen.
Sie sollten nicht zu detailliert sein, da Sie die Einwilligung dann nur auf die genannten Fälle beschränken würden (z.B. "Informationen über Gewinnspiele").
Einen Mittelweg stellt eine Beschreibung wie "Informationen zu unseren Produkten/Leistungen, Aktionen und uns/unserem Unternehmen" oder "Vereinsneuigkeiten" dar.
Wichtig: Die Angabe der Inhalte sollten Sie den Abonnenten bzw. Empfängern bereits im Rahmen der Einholung von Einwilligungen mitteilen, z.B. im Anmeldeformular.
Voraussetzung der Inanspruchnahme kostenloser Leistungen
Einwilligungen müssen freiwillig abgegeben werden, um wirksam zu sein (Art. 4 Abs. 11 DSGVO). Nach Art. 7 Abs. 4 DSGVO muss wiederum im Rahmen der Beurteilung der Freiwilligkeit berücksichtigt werden, ob die Einwilligung in die Erfüllung einer Vertrages oder in die Erbringung einer Dienstleistung erforderlich ist (sogenanntes "Kopplungsverbot").
Bei strenger Auslegung könnte man an dieser Stelle sagen, dass die Zurverfügungstellung von kostenlosen Downloads oder die Teilnahme an Veranstaltungen oder an Gewinnspielen als Schenkung verstanden keiner Einwilligung in den Empfang eines Newsletters bedarf. Allerdings ist eine derartige Auslegung sehr praxisfern, da kaum ein kostenloser Inhalt so einzigartig sein dürfte, als dass die Nutzer sich zu einer Einwilligung in den Empfang von Newslettern verpflichtet fühlen werden.
Allerdings sollten Sie auf eine derartige Kopplung schon zu Beginn eines Gewinnspiels oder eines Eingabevorgangs hinweisen, z.B.:
Der Download unseres kostenlosen eBooks setzt voraus, dass Sie sich zu unserem gratis E-Mail-NEWSLETTER mit praxisrelevanten Informationen zum Online-Marketing und unseren Leistungen anmelden.
Versenden Sie Werbenachrichten via E-Mail oder per Post oder nutzen zu diesen Zwecken das Telefon oder ein Fax?
Erläuterungen und Hinweise zu "Werbliche Kommunikation via E-Mail, Post, Fax oder Telefon"
Diese Hinweise sind allgemeiner Natur und umfassen alle möglichen Kanäle werblicher Kommunikation. Bitte beachten Sie, dass bis auf den postalischen Werbeversand oder den Versand von Werbung an Bestandskunden eine Einwilligung der Empfänger erforderlich ist.
Was das Fax angeht, so mag es für Sie vielleicht sehr antiquiert wirken, aber zum einen steht diese Möglichkeit ausdrücklich im Gesetz (§ 7 Abs. 2 Nr. 3 UWG). Zum anderen gibt es auch Berufsgruppen, in denen das Faxgerät immer noch zum alltäglichen Kommunikationsmittel gehört (zum Beispiel die Rechtsanwaltschaft).
Gewinnspiele, Wettbewerbe und Umfragen
Veranstalten Sie Gewinnspiele oder Wettbewerbe?
Erläuterungen und Hinweise zu "Gewinnspiele und Wettbewerbe"
Bitte beachten Sie die zusätzlichen Informationen zum Modul, um eine Hilfestellung zur Einbindung von Datenschutzhinweisen in Gewinnspiele und Wettbewerbe zu erhalten.
Die Teilnehmer von Gewinnspielen und Wettbewerben müssen auch über die Verarbeitung ihrer Daten sowie über ihre Rechte belehrt werden. Das kann mit Verweis auf die Datenschutzerklärung erfolgen, in der diese Passage steht.
Dazu sollte bei Gewinnspielen klar gestellt werden, wo die Hinweise stehen. Daher sollten Sie statt des üblichen Hinweises "Es gelten unsere Teilnahmebedingungen" "Es gelten unsere Teilnahmebedingungen und Datenschutzhinweise" oder kurz "Teilnahmebedingungen und Datenschutzhinweise" schreiben.
Falls die Namen der Teilnehmer und/oder Gewinner veröffentlicht werden, sollten Sie die Teilnehmer bereits in der Gewinnspielbeschreibung hierauf hinweisen, z.B.: "Es gelten unsere Teilnahmebedingungen und Datenschutzhinweise (wir weisen darauf hin, dass die Namen der Gewinner veröffentlicht werden)". Im Optimalfall sollten Sie die Teilnehmernamen jedoch möglichst anonym angeben (z.B. "Anna B. aus Berlin"). Dann ist der vorgenannte Hinweis auf die Veröffentlichung nicht mehr erforderlich.
In den Teilnahmebedingungen können Sie auf Ihre Datenschutzerklärung verweisen. Der Verweis in den Teilnahmebedingungen kann z.B. wie folgt lauten:
"Hinweise zur Verarbeitung Ihrer Daten im Rahmen des Gewinnspiels sowie zu Ihren Widerspruchs- und weiteren Betroffenenrechten erhalten Sie in unserer Datenschutzerklärung: [LINK]".
Führen Sie Umfragen oder Befragungen durch?
Bitte wählen Sie, sofern zutreffend, einen verwendeten Anbieter aus.
Crowdsignal (ehemals Polldaddy)
Google-Formular
SoSci Survey Cloud
Ein anderer Umfragenanbieter
Erläuterungen und Hinweise zu "Umfragen und Befragungen"
Informieren Sie die Nutzer über die eingesetzten Anbieter und führen Sie die Umfragen möglichst anonym durch.
Reichweitenmessung, Analyse, Optimierung (z. B. A/B Tests)
Setzen Sie Dienste und Verfahren zur Webanalyse, A/B - Testing und Optimierung ein?
Bitte wählen Sie einen der verwendeten Anbieter oder der Verfahren aus (bitte lesen Sie zudem die Erläuterungen):
Matomo (ohne Cookies)
Matomo (mit Cookies)
Sie können an dieser Stelle Angaben zu individuellen Widerspruchsmöglichkeiten (z. B. Opt-Out-/ Widerspruchs-Links oder HTML-Code wie bei Matomo) eintragen. Diese Angaben sind jedoch nicht notwendig, wenn Sie ein Cookie-Opt-In-Tool/ Banner nutzen und Nutzer dort entscheiden können, ob Cookies gesetzt werden:
(Englisch) Sie können an dieser Stelle Angaben zu individuellen Widerspruchsmöglichkeiten (z. B. Opt-Out-/ Widerspruchs-Links oder HTML-Code wie bei Matomo) eintragen. Diese Angaben sind jedoch nicht notwendig, wenn Sie ein Cookie-Opt-In-Tool/ Banner nutzen und Nutzer dort entscheiden können, ob Cookies gesetzt werden:
Erläuterungen und Hinweise zu "Webanalyse und Optimierung"
Bei der Webanalyse, A/B-Testing und vergleichbaren Verfahren werden die Daten für Sie verarbeitet, nicht mit dem Ziel, sie anderen Anbietern zur Verfügung zu stellen (anders als z.B. bei Online-Marketingverfahren).
Da hier Cookies zum Einsatz kommen und Profile der Nutzer gebildet werden (auch, wenn häufig nur temporär und für Zwecke einer webseitenbezogenen Analyse verwendet), vertreten viele Datenschützer die Meinung, dass die Nutzer in die Verarbeitung ihrer Daten zu Zwecken der Webanalyse einwilligen müssen.
Nach anderen Ansichten kann die Analyse auf das berechtigte Interesse an der Optimierung und am effizienten Betrieb von Onlineangeboten gestützt werden. Wir verweisen im Hinblick auf diese Thematik auf die Erläuterungen zum Einsatz von Cookies: https://datenschutz-generator.de/datenschutzerklaerung/#dsg-group-110
Bitte ergänzen Sie die Opt-Out-Möglichkeit in dem Modul. Sie lautet derzeit: "https://www.etracker.de/privacy?et=[BITTE-EINSETZEN-IHRE-Account-ID]."
Der Auftragsverarbeitungsvertrag wird automatisch mit abgeschlossen: https://fabric.io/dpst.pdf
Falls Firebase zusammen mit Google Analytics betrieben wird, wählen Sie bitte zusätzlich Google Analytics in dem Modul "Onlinemarketing" aus.
Bitte setzen Sie das Matomo Opt-Out-iFrame in das Opt-Out-Feld dieses Moduls ein: https://matomo.org/docs/privacy/#step-3-include-a-web-analytics-opt-out-feature-on-your-site-using-an-iframe ein.
Matomo kann mit Cookies oder ohne Cookies eingesetzt werden. Ohne Cookies wird nur ein so genannter digitaler Fingerabdruck ("digital Fingerprint") gespeichert, der alle 24 Stunden geändert wird. Ob dieser Fingerprint wie ein Cookie zu behandeln ist, ist zwar rechtlich noch nicht geklärt (man kann aber gut vertreten, dass die Cookie-Regelung für den Fingerprint nicht anwendbar ist). Aber unabhängig ob mit oder ohne Cookie, ist die Webanalyse nach Ansicht des Autors als notwendig zu betrachten, bzw. dient sie nicht der Marktforschung, außer sie wird zur Absatzforderung eingesetzt. Ferner dürften die Risiken, zumindest wenn man reine Webanalyse-Cookies ohne Opt-In einsetzt, gering sein. Wenn Sie jedoch auf Nummer Sicher gehen möchten, dann sollten Sie Matomo ohne Cookies einsetzen, wenn Sie auf ein Cookie-Opt-In verzichten möchten.
Weitere Hinweise: https://datenschutz-generator.de/bgh-cookies-opt-in-faq-checkliste/#Ist_ein_OptIn_fuer_die_Dienste_Matomo,_Google_Analytics_oder_das_FacebookPixel_erforderlich
Bitte setzen Sie das Matomo Opt-Out-iFrame in das Opt-Out-Feld dieses Moduls ein: https://matomo.org/docs/privacy/#step-3-include-a-web-analytics-opt-out-feature-on-your-site-using-an-iframe ein (das ist aber nur dann notwendig, wenn Sie keinen Cookie-Opt-In-Banner nutzen, dass die Einwilligung und deren Widerruf bei Matomo regelt).
Bitte ändern Sie den generierten Opt-Out-Code und tragen Sie in dem Link [https://ihre-domain-adresse.de]/?optimizely_opt_out=true statt des Beispiels Ihre Webadresse ein.
Piwik Pro ist eine professionelle Version der Webanalyse Software, die aus dem bis 2008 betriebenen Projekt "Piwik" hervorging. Die Open-Source Lösung wird weiterhin unter dem Namen "Matomo" angeboten.
Bitte setzen Sie in das Opt-Out-Feld dieses Moduls das Snippet des Piwik Pro Consent Managers (https://piwikpro.de/dsgvo-consent-manager/) oder das Opt-Out-Snippet (https://help.piwik.pro/support/getting-started/opt-out/) ein.
Bitte tragen Sie den Opt-Code manuell in das Eingabefeld "individuelle Widerspruchsmöglichkeiten" in diesem Modul ein ein: https://[BITTE-IHREDOMAIN-EINSETZEN]/?vwo_opt_out=1
- In jedem Fall müssen Sie das IP-Masking einschalten: https://yandex.com/support/metrica/general/ip-masking.html
- Ferner empfehlen wir Ihnen, alle Methoden auszuschließen, die von Ihnen nicht benötigt werden: https://yandex.com/support/metrica/code/html-markup.html.
Insbesondere ist es eher nicht erforderlich, dass die Eingaben der Nutzer in Onlineformularen nicht getrackt werden werden (ym-disable-keys, das betrifft nicht die Eingaben in später abgesendeten Formularen).
- Ebenfalls empfehlen wir, eine einfache Opt-Out-Möglichkeit mittels eines Link-Links einzurichten, der ein Opt-Out-Cookie speichert; die Funktion müssen Sie selbst mittels eines Javascripts umsetzen: https://yandex.com/support/metrica/general/user-opt-out.html; der Datenschutzhinweis wäre dann wie folgt umzusetzen:
"Falls Sie nicht möchten, dass Yandex.Metrica Ihr Nutzungsverhalten in dem verwendeten Browser auf unserer Webseite erfasst, können sie mit Hilfe dieses Links der Datenerfassung widersprechen: [LINK]Yandex.Metrica Opt-Out-Cookie setzen[/LINK] (Hinweis: Falls Sie Ihre Cookies löschen, müssen Sie diesen Link erneut anklicken, um das Opt-Out zu aktivieren)."
Onlinemarketing und Vermarktung von Onlinewerbeflächen
Setzen Sie Dienste und Verfahren zu Zwecken des Onlinemarketings ein (z.B. Google Analytics oder das Facebook-Pixel)?
Bitte wählen Sie, falls genutzt, die folgenden Anbieter und Dienste aus:
Onlinemarketing-Dienste von Google
Zielgruppenbildung mit Remarketing-, bzw. Analytics-Audiences
Aktiviertes Universal Analytics
Google Ads (früher AdWords)
Google Marketing Platform/ Google Ad Manager (ehemals Doubleclick)
Onlinemarketing-Dienste von Faceboook
Erweiterter Abgleich für das Facebook-Pixel
Facebook - Zielgruppen Bildung via Datenupload
Andere Anbieter von Onlinemarketing- und Vermarktungs-Diensten
EX.CO (ehemals Playbuzz)
LinkedIn (z.B., "Insights Tag")
ManyChat Pixel
Microsoft Advertising (ehemals Bing-Ads)
TikTok Pixel
YOTPO/SWELL
Sie können an dieser Stelle Angaben zu individuellen Widerspruchsmöglichkeiten (z. B. Opt-Out-/ Widerspruchs-Links oder HTML-Code) eintragen. Diese Angaben sind jedoch nicht notwendig, wenn Sie ein Cookie-Opt-In-Tool/ Banner nutzen und Nutzer dort entscheiden können, ob Cookies gesetzt werden:
(Englisch) Sie können an dieser Stelle Angaben zu individuellen Widerspruchsmöglichkeiten (z. B. Opt-Out-/ Widerspruchs-Links oder HTML-Code) eintragen. Diese Angaben sind jedoch nicht notwendig, wenn Sie ein Cookie-Opt-In-Tool/ Banner nutzen und Nutzer dort entscheiden können, ob Cookies gesetzt werden:
Erläuterungen und Hinweise zu "Onlinemarketing"
Beim Onlinemarketing werden Daten der Nutzer in der Regel über viele Webseiten hinaus mittels Cookies oder ähnlicher Profiling-Verfahren verarbeitet, um ihnen anhand des Verhalts und der Interessen der Nutzer passende Werbeanzeigen und ähnliche Inhalte anzuzeigen.
Da hier Cookies zum Einsatz kommen und Profile der Nutzer gebildet werden, verlangen die Datenschutzbehörden, dass die Webseitenbesucher sich mit diesen Verarbeitungen einverstanden erklären. Dem gegenüber stehen die vor allem in der Marketingbranche vertretenen Ansichten, nach denen die Verarbeitung personenbezogenen Daten für Marketingzwecke auf Grundlage berechtigter unternehmerischer Interessen erlaubt ist.
Wir verweisen im Hinblick auf diese Thematik auf die Erläuterungen zum Einsatz von Cookies: https://datenschutz-generator.de/datenschutzerklaerung/#dsg-group-110
Wichtig: Sie müssen die IP-Adresse anonymisieren und einen Auftragsdaten-Verarbeitungs-Vertrag mit Google abschließen.
Sie sollten zudem einstellen, wie lange Google Analytics personenbezogene Daten speichert (https://support.google.com/analytics/answer/7667196?hl=de). Wir empfehlen Ihnen, die Minimalfrist von 14 Monaten zu wählen. Es sei denn, Sie können begründen, warum eine längere Speicherdauer unbedingt erforderlich ist. Falls Sie eine längere Frist wählen, müssen Sie die Datenschutzerklärung anpassen.
Ferner wird empfohlen, ein Opt-Out für Mobilgeräte anzubieten (da das Opt-Out Plugin von Google nur in Desktop-Browsern funktioniert), wobei Sie dieses selbst z.B. mit Hilfe von Javascript und PHP programmieren könnten. In diesem Fall sollten Sie den folgenden Zusatz in die Datenschutzerklärung aufnehmen:
"Alternativ zum Browser-Add-On oder innerhalb von Browsern auf mobilen Geräten klicken Sie bitte diesen Link, um die Erfassung durch Google Analytics innerhalb dieser Webseite zukünftig zu verhindern: Analytics-Opt-Out. Dabei wird ein Opt-Out-Cookie auf Ihrem Gerät abgelegt. Löschen Sie Ihre Cookies, müssen Sie diesen Link erneut klicken".
Weitere Informationen zu diesen Vorgaben finden Sie in dem Beitrag "Google Analytics – Anleitung für datenschutzkonforme Nutzung, Mustertext und FAQ": https://drschwenke.de/google-analytics-datenschutz-muster-faq.
Dieses Modul sollten Sie zusätzlich zu Google Analytics verwenden, wenn Sie Google Analytics mit einer aktiven, sogenannten User-ID nutzen (https://support.google.com/analytics/answer/3123662). Dabei handelt es sich um einen Fall des "Cross-Device-Trackings", d.h., Nutzer werden unabhängig von verwendeten Geräten erfasst. Es wird häufig empfohlen, eine entsprechende Einwilligung der Nutzer ("Opt-In") einzuholen. Ob sie wirklich notwendig ist, ist derzeit unklar, aber im Zweifel sollten Sie die User-ID nicht nutzen.
Weitere Informationen zu diesen Vorgaben finden Sie in dem Beitrag Google Analytics – Anleitung für datenschutzkonforme Nutzung, Mustertext und FAQ.
Angebot eigener und Teilnahme an Affiliate-Programmen
Nehmen Sie an Affiliate-Programmen teil?
AWIN-Partnerprogramm (ehemals Zanox und Affilinet)
Commission Junction - Partnerprogramm
TARIFFUXX-Partnerprogramm
TradeTracker-Partnerprogramm
WEBGAINS-Partnerprogramm
Anderes Partnerprogramm
Erläuterungen und Hinweise zu "Affiliate-Programme und Affiliate-Links"
Falls Sie Affiliate-Links, After-Buy-Systeme oder Rabattcodes von Drittanbietern einsetzen, um Provisionen, Boni oder sonstige Vorteile zu erhalten, dann sollten Sie dieses Modul auswählen.
Im Hinblick auf den Einsatz von Cookies, verweisen wir auf die Erläuterungen zum Einsatz von Cookies weiter oben: https://datenschutz-generator.de/datenschutzerklaerung/#dsg-group-110
Bieten Sie ein eigenes Affiliate-Programm an?
Erläuterungen und Hinweise zu "Angebot eines Affiliate-Programms"
Verfahren und Widgets von Bewertungsplattformen
Nehmen Sie an Bewertungsverfahren teil oder binden Bewertungs-Widgets ein?
Bitte wählen Sie die von Ihnen eingesetzten Vefahren aus:
Einbindung von Bewertungs-Widgets auf der Website
Bitte wählen Sie eine Bewertungsplattform aus
Trusted Shops (Trustedbadge)
Erläuterungen und Hinweise zu "Bewertungsplattformen"
Im Rahmen der Teilnahme an Bewertungsverfahren werden zwecks Autorisierung der Nutzer einkaufsbezogene Informationen an die Betreiber der Bewertungsplattformen übermittelt. In der Regel werden auch sogenannte Widgets der Anbieter auf Webseiten eingebunden.
Unterhalten Sie Onlinepräsenzen in sozialen Medien, wie z.B. Facebook, Instagram, etc.?
Sonstige soziale Netzwerke
Erläuterungen und Hinweise zu "Präsenzen in sozialen Netzwerken (Social Media)"
Da Sie schon im Rahmen des Kommunikationsvorgangs innerhalb sozialer Netzwerke die Daten der Nutzer verarbeiten und für die Verarbeitung Ihrer Nutzer ggf. mitverantwortlich sind, sollten Sie in den jeweiligen Profilen auf Ihre Datenschutzerklärung verweisen.
Die Aufnahme von Datenschutzhinweisen wird auch im Hinblick auf Ihre Social-Media-Präsenzen empfohlen.
Insgesamt ist die Rechtslage nicht gerade übersichtlich (oder verständlich). Daher empfehle ich Ihnen, meinen Beitrag "Sind Facebook-Seiten nun datenschutzrechtlich sicher? Einschätzung zur "Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“ zu lesen, in dem ich die rechtlichen Hintergründe erkläre.
Sie erfahren insbesondere, was Sie im Hinblick auf das neue "Page Controller Addendum" (bzw. auf Deutsch "Seiten-Insights-Ergänzung bezüglich des Verantwortlichen") beachten müssen.
Ebenso wird erklärt, warum Datenschutzhinweise auch im Hinblick auf andere soziale Netzwerke (Instagram, Twitter etc.) aufgenommen werden sollten.
Des Weiteren finden Sie in dem Modul einen Hinweis auf die Rechtsgrundlagen der Verarbeitung, die angegeben werden müssen. Hier besteht die Besonderheit, dass die Rechtsgrundlage von der konkreten Ausgestaltung der Plattform abhängt und diese sich ändern kann. Das Modul impliziert daher eine Variante, die sowohl die Möglichkeit der berechtigten Interessen, als auch einer Einwilligung enthält. Im Optimalfall achten Sie permanent darauf, ob die Plattformen eine (wirksame) Einwilligung einholen, und passen die Rechtsgrundlagen entsprechend an.
Inhalte der Vorschau werden geladen, bitte noch ein bissch