Seit der Datenschutz-Grundverordnung (DSGVO) müssen auch Websitebetreiber verstärkt auf den Datenschutz achten. Handelt es sich bei den auf der Internetseite erhobenen und verarbeiteten Daten um personenbezogene Daten natürlicher Personen, sind die Vorgaben der DSGVO zu beachten, unabhängig davon, welche Art von Website betrieben wird.
Das Wichtigste in Kürze:
- Unabhängig davon, welche Art von Website betrieben wird sind die Vorgaben der DSGVO einzuhalten
- Eine Datenschutzerklärung stellt einen obligatorischen Bestandteil einer jeden Website dar
- In einer Datenschutzerklärung sind Websitebesucher umfassend über Art und Weise der Verarbeitung ihrer Daten, sowie ihre damit zusammenhängenden Rechte zu informieren
- Lässt ein Websitebetreiber personenbezogene Daten durch einen externen Dienstleister verarbeiten, ist ein Auftragsverarbeitungsvertrag erforderlich
- Bei einer Website, auf der personenbezogene Daten erhoben und verarbeitet werden, muss eine verschlüsselte Datenübertragung gewährleistet werden
Unter personenbezogenen Daten sind alle Informationen zu verstehen, die sich auf eine identifizierbare oder identifizierte natürliche Person beziehen. Darunter fallen im Falle einer Website unter anderem folgende Daten:
- IP-Adressen und sonstige User-Daten wie beispielsweise der Bestellverlauf in einem Online–Shop, Daten über das Surfverhalten, Suchanfragen, der Browserverlauf
- Name und Anschrift
- E-Mail-Adressen
- Daten, die mithilfe von Tracking-Software, wie beispielsweise Google-Analytics, oder Matomo erhoben werden
1. Datenschutzerklärung
Vor allem ist eine rechtskonforme Datenschutzerklärung verpflichtend, die alle nach der DSGVO erforderlichen Angaben enthält. Sie stellt einen obligatorischen Bestandteil einer jeden Website dar, sobald durch diese personenbezogene Daten verarbeitet werden. Durch eine Datenschutzerklärung werden die Websitebesucher umfassend über Art und Weise der Verarbeitung ihrer personenbezogenen Daten, sowie ihre damit zusammenhängenden Rechte unterrichtet. Ohne die ordentliche Umsetzung der Bestimmungen der DSGVO im Zusammenhang mit der Datenschutzerklärung können Websitebetreibern Abmahnungen, Bußgelder oder auch Schadenersatzansprüche drohen.
Eine Datenschutzerklärung sollte demnach mindestens folgende Angaben enthalten:
- Benennung des Verantwortlichen für die Datenverarbeitung und des Datenschutzbeauftragten, sofern einer ernannt wurde, sowie Angabe der Kontaktdaten
- Beschreibung des Zwecks der Datenverarbeitung
- Benennung der Rechtsgrundlage auf welcher die Datenverarbeitung erfolgt:
Im Datenschutzrecht gilt der Grundsatz des Verbots mit Erlaubnisvorbehalt. Demnach dürfen personenbezogene Daten nicht erhoben, verarbeitet oder gespeichert werden, es sei denn der Betroffene stimmt dem ausdrücklich zu oder das Gesetz gestattet dies. Im Hinblick auf das Betreiben einer Website ist insbesondere die „Wahrung berechtigter Interessen“ nach Art. 6 Abs.1 S.1 lit. f) DSGVO zu nennen oder die Notwendigkeit der Datenverarbeitung zur Vertragserfüllung nach Art. 6 Abs. 1 S. 1 lit. b) DSGVO, beispielsweise im Falle eines Online-Shops. Auf die Rechtsgrundlage „Wahrung berechtigter Interessen“ lassen sich insbesondere solche Verarbeitungen stützen, die für die Gewährleistung der Sicherheit der Website erforderlich sind. Darunter fällt beispielsweise die temporäre Speicherung von IP-Adressen.
- Angabe über die Speicherung der Daten sowie die Speicherdauer
- Angaben über eine eventuelle Übermittlung an Dritte
- Angaben über eine eventuelle Übermittlung an Drittstaaten
- Aufklärung über Rechte der betroffenen Personen, wie z.B. Widerruflichkeit von Einwilligungen, Auskunft, Berichtigung, Recht auf Löschung,
Je nachdem welche Software oder Tools der Websitebetreiber einsetzt oder ob er mit externen Dienstleistern zusammenarbeitet, kann die Datenschutzerklärung einen erheblichen Umfang haben. Zudem muss die Erklärung in einfacher und verständlicher Sprache abgefasst und dem Websitebesucher leicht zugänglich sein.
2. Hosting
Oftmals speichern Unternehmen die Daten die auf ihrer Website erhoben und verarbeitet werden nicht auf eigenen Servern, sondern nehmen einen entsprechenden Service externer IT-Dienstleister, sogenannte IT-Hoster in Anspruch. In diesem Fall ist ein Auftragsverarbeitungsvertrag erforderlich. Betreiben Unternehmen ihre Server selbst, lassen diesen allerdings durch externe Dienstleister warten, ist ebenso ein Auftragsverarbeitungsvertrag erforderlich, sofern der Dienstleister im Rahmen der Wartung Zugriff auf personenbezogene Daten hat.
3. Log-Dateien
Unter Log-Dateien sind solche Daten zu verstehen, die dem Betreiber der Internetseite ermöglichen die Aktivität der Websitebesucher zu erfassen. Hierbei kommt das berechtigte Interesse des Websitebetreibers für statistische Auswertungen als Rechtsgrundlage in Betracht. Auf dieser Grundlage gilt, dass eine Datenverarbeitung erfolgen darf, sofern sie für die Sicherheit und Funktionsfähigkeit der Internetseite erforderlich ist.
4. Verschlüsselung
Beim Betreiben einer Website, auf der Daten erhoben und verarbeitet werden, muss eine sichere Datenübertragung zwischen Nutzer und dem Website betreibenden Server gewährleistet werden. Insbesondere, wenn auf einer Website eine Registrierung oder bei einem Bestellvorgang die Angabe von Zahlungs- und Adressdaten erfolgt. Die Verschlüsselung sollte stets dem neusten Stand der Technik entsprechen.
5. Kontaktformular
Oftmals stellen Websitebetreiber ein Kontaktformular zur Verfügung, um Seitenbesuchern die Kontaktaufnahme mit dem Websitebetreiber zu erleichtern. Da hierbei personenbezogene Daten wie Name sowie Kontaktdaten abgefragt werden, erfolgt eine Datenerhebung. Grundsätzlich dürfen nur notwendige Daten abgefragt werben. Zudem sollten bei der Datenabfrage optionale Angaben als freiwillig gekennzeichnet werden.
6. Tracking- und Analyse-Software
Um den eigenen Internetauftritt zielgruppenorientiert auszurichten, können Tracking– und Analyse-Tools wie Google Analytics und Matomo eingesetzt werden, die dem Websitebetreiber die Möglichkeit geben das Nutzungsverhalten ihrer Besucher zu erfassen. Problematisch ist in diesem Zusammenhang, dass mit der Nutzung solcher Analyse-Tools auf der Website automatisch die IP-Adresse der Websitebesucher verarbeitet wird. Da IP-Adressen personenbezogene Daten im Sinne der DSGVO darstellen sind die Datenschutzbestimmungen einzuhalten. Gegebenenfalls muss vor der Aktivierung solcher Tools, eine Einwilligung der Nutzer eingeholt werden.
7. Social Media Plugins
Social Media Plugins sind die auf einer Website eingebundenen Elemente, die von den Servern ihrer jeweiligen Anbieter („Drittanbieter“) bezogen werden. Dies können beispielsweise Grafiken, Videos oder interaktive Schaltflächen sein, die es Nutzern unter anderem ermöglichen Websiteinhalte mittels eines Klicks auf Social Media Plattformen, wie Facebook oder Twitter zu teilen oder zu empfehlen. Solche Plugins ermöglichen den Betreibern, die Reichweite der Website zu erhöhen. Problematisch dabei ist, dass Plugins personenbezogene Daten verarbeiten und Drittanbieter dabei Persönlichkeitsprofile erstellen ohne, dass der Nutzer darüber informiert ist. Aus diesem Grund muss eine datenschutzkonforme Einbindung von Social Media Plugins gewährleistet werden.
8. Cookies
Unter Cookies sind kleine Textdateien zu verstehen, die eine Website auf dem Computer des Websitebesuchers ablegt. Dadurch lassen sich Websitebesucher identifizieren und bei einem erneuten Seitenbesuch wiedererkennen, sodass beispielsweise nicht bei jedem Websitebesuch erneut Anmeldedaten eingegeben werden müssen. Grundsätzlich kann der Einsatz von Cookies auf ein berechtigtes Interesse des Websitebetreibers gestützt werden, soweit diese beispielsweise für eine notwendige Funktion erforderlich sind. Abgesehen davon ist für den Einsatz von Cookies stets vorab die Einwilligung des Websitebesuchers einzuholen.
9. Fazit
Auch bei der Gestaltung ihres Internetauftritts müssen sowohl Unternehmen als auch Privatpersonen den Bestimmungen der DSGVO Folge leisten. Dies ist oftmals keine leichte Aufgabe und bereitet den Verantwortlichen regelmäßig Schwierigkeiten. Aus diesem Grund empfiehlt es sich stets Rechtsanwälte für Datenschutzrecht mit der Überprüfung oder Gestaltung der eigenen Website und insbesondere der Erstellung einer Datenschutzerklärung zu beauftragen, um Datenschutzverstöße zu vermeiden.
