Hier erfährst Du, was unbedingt auf Deiner Webseite und im Social-Media-Bereich datenschutzrechtlich zu tun ist: Cookie-Banner, Newsletter und Datenschutzerklärung
Grundsätzlich ist der Verantwortliche einer Datenverarbeitung zum Zeitpunkt der Erhebung der Daten verpflichtet, die betroffene Person über die Verarbeitung zu informieren und weitere folgenden Basisangaben zu machen:
- Name und die Kontaktdaten des Verantwortlichen,
- gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten,
- die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung,
- wenn die Verarbeitung aufgrund berechtigter Interessen des Verantwortlichen erfolgt, sind diese konkret zu nennen,
- gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
- gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland (z. B. an ein Unternehmen mit Servern außerhalb der EU) zu übermitteln (siehe dazu auch https://gumbrecht.org/website-datenschutz-next-level/ ).
Weiterhin ist den Betroffenen mitzuteilen:
- die Dauer, für die die personenbezogenen Daten gespeichert werden,
- das Bestehen eines Rechts auf Auskunft gegenüber dem Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit,
- wenn die Verarbeitung auf einer Einwilligung beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen,
- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde,
- ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist und
- das Bestehen einer automatisierten Entscheidungsfindung samt aussagekräftigen Informationen über die involvierte Logik, die Tragweite und Auswirkungen für die betroffenen Person.
Bezogen auf die Verarbeitung von personenbezogenen Daten auf einer Webseite ist daher eine Datenschutzerklärung bereitzustellen, die ähnlich dem Website-Impressum jederzeit mit zwei (besser einem) Klick von allen Unterseiten der Website angesteuert werden kann. Den Vorgaben an die Erreichbarkeit kann durch die Aufnahme des Links im Header oder Footer neben dem Impressum nachgekommen werden.
Zur vollständigen Erfüllung der durch das Gesetz verlangten Informationen muss jede Funktion einer Website einzeln bewertet werden. Damit haben Datenschutzerklärungen, selbst wenn der Umfang der zu beschreibenden Datenverarbeitung nur gering ist, schnell ein Ausmaß erreicht, der von keinem Website-Besucher gern gelesen wird. Dennoch gilt, dass Verarbeitungsvorgänge eher ausführlicher als kürzer beschrieben werden und einzelne Funktionen einer Website stets gesondert erwähnt werden sollten. Zur leichteren Orientierung können ein Inhaltsverzeichnis und Sprungmarken dienen. Ansonsten ist auch zu erwarten, dass die Nutzer:innen bei Interesse eine Suche nach bestimmten Begriffen auf der Webseite der Datenschutzerklärung durchführen und so zu den gewünschten Informationen gelangen.
Die Sanktionen bei Nichteinhaltung der Informationspflichten können gravierend sein. Mittlerweile prüfen Verbraucherschutzverbände, Datenschutzvereine, Mitwettbewerber:innen oder auf Massenabmahnungen spezialisierte Rechtsanwält:innen Websites von Dritten mit einfachen Tools auf mögliche Verstöße.
Grundsätzlich könnt ihr Datenschutzgeneratoren verwenden, sofern ihr versteht, welche personenbezogenen Daten eigentlich von eurer Website erhoben werden. Einige Generatoren sind für gemeinnützige oder Non-Profit-Organisationen sogar kostenfrei nutzbar. Hier ist dann nur ein deutlicher Urheberhinweis auf den Generatoranbieter erforderlich.
Grundsätzlich empfiehlt es sich, jede Datenschutzerklärung modular aufzubauen und einen „allgemeinen Teil“ sowie verschiedene „besondere“ Verarbeitungssituationen zu erklären.
Zu Beginn werden die allgemeinen Informationen bereitgestellt, die stets bei Aufruf einer Website verarbeitet werden, anschließend kommen Auskünfte zu jeder einzelnen Funktionalität (Skript, Plug-in (auch Video), Interaktionsmöglichkeit oder ähnliches), welche personenbezogene Daten verarbeitet.
Die Informationen zu Cookies, die besondere Bedeutung erlangt haben, und oft bereits in einem eigenen Cookiebanner beim Aufruf der Website erklärt werden müssen, sind ebenfalls sehr wichtig; insbesondere die Mitteilungen zur Speicherdauer und Einholung der Einwilligung der Betroffenen in Marketing- und Tracking-Cookies.
Abschließend kommen dann oft Punkte, die spezielle Funktionen der betreffenden Website beschreiben, z. B. der Einsatz von Webshop-Plug-ins. Diese sollten dann je nach Einsatz modular in eure Datenschutzerklärung aufgenommen werden.
Und hier geht es zum Next Level des Website-Datenschutzes: https://gumbrecht.org/website-datenschutz-next-level/
