Eine Datenschutzerklärung für die eigene Website

Bereits seit 2018 geben auch Artikel 13 bzw. Artikel 14 der DSGVO einen rechtlichen Rahmen. Nach diesen Paragraphen ist jeder Anbieter, der personenbezogene Daten erhebt, verwendet oder weitergibt, dazu verpflichtet, den Nutzer zu Beginn des Nutzungsvorgangs über die Art und Weise, den Umfang und den Zweck der Datenerhebung zu informieren. Das bedeutet im Klartext, dass der Dienstleister den User sogar dann über die Datenerhebung informieren muss, wenn z. B. nur Benutzername und -adresse gespeichert werden und die Website ein rein privates Projekt ist.

Da das Betreiben einer Website ohne Datenerhebung heutzutage praktisch nicht mehr stattfindet, sollte auch jede Website mit einer Datenschutzerklärung ausgestattet sein. Damit verhindern Sie Abmahnungen und liefern einen wichtigen Service für Ihre Besucher.

Während die Rolle der Datenerhebung in Onlineshops leicht nachvollziehbar und die Notwendigkeit der Datenschutzerklärung selbsterklärend ist, sieht die Situation bei vielen anderen Websites gänzlich anders aus. Es werden viele Daten automatisch gesammelt und gespeichert – oftmals sogar, ohne dass es dem Betreiber bewusst ist: Webserver protokollieren IP-Adressen in Logfiles, eingebundene Social-Media-Buttons geben persönliche Daten an die sozialen Netzwerke weiter und auch Cookies speichern Informationen über Nutzer und ihr Surfverhalten. Ein noch viel brisanteres Thema sind Website-Analysetools wie Google Analytics, die den Datenverkehr protokollieren. Das Google-Tool ist datenschutzrechtlich besonders problematisch, da die IP-Adressen der User auf Servern in den USA gespeichert werden.

Um diese Problematik zumindest teilweise zu entschärfen, können Website-Betreiber für die Kürzung der IP-Adresse um den letzten Zahlenbereich sorgen, wodurch der Personenbezug verloren geht.

Ein weiterer wichtiger Aspekt ist, dass die Datenschutzerklärung präzise, transparent und verständlich formuliert sein soll. Juristische und technische Fachbegriffe gilt es – insofern möglich – zu vermeiden oder im Zweifelsfall zu erklären. Je nach Kunden- bzw. Nutzerkreis müssen Sie die Erklärung außerdem nicht nur auf Deutsch, sondern auch in weiteren Sprachen verfassen.

Entscheidend sind hier die Aussagen von Artikel 12 der DSGVO. Sorgen Sie zudem für einen übersichtlichen Aufbau Ihrer Datenschutzerklärung und greifen Sie zu Gestaltungselementen wie Listen oder Tabellen, damit Nutzer die Inhalte schnell erfassen können.

Inhaltlich gilt es besonders auf die Richtigkeit und Vollständigkeit der Angaben zu achten. War es bis dato in einigen Punkten strittig, welche Informationen dabei auf keinen Fall fehlen dürfen, liefert Artikel 13 der DSGVO einen allgemeingültigen Katalog an Pflicht- und Zusatzinformationen, die in der Datenschutzerklärung Ihrer Website auf keinen Fall fehlen sollten.

Kontaktdaten des Verantwortlichen bzw. Vertreters

Es ist notwendig, die Kontaktdaten des Unternehmens bzw. Verantwortlichen aufzuführen, der über die Verarbeitung von personenbezogenen Daten entscheidet. Zusätzlich zum Namen sind hierbei eine gültige Postanschrift und E-Mail-Adresse sowie ggf. eine Telefonnummer gefragt. Ist der Sitz des Unternehmens bzw. Hauptverantwortlichen außerhalb der EU, müssen außerdem die Kontaktdaten des offiziellen Vertreters angegeben werden. Der entsprechende Absatz in Ihrer Datenschutzerklärung könnte in etwa folgendermaßen aussehen:

Kontaktdaten des Datenschutzbeauftragten

Wenn mindestens 20 Mitarbeiter regelmäßig mit automatisierter Datenverarbeitung beschäftigt sind oder die Kerntätigkeit Ihres Unternehmens in der geschäftsmäßigen Übermittlung von personenbezogenen Daten besteht, sind Sie dazu verpflichtet, einen Datenschutzbeauftragten zu „bestellen“ (ernennen). Gleiches gilt, wenn Sie besondere Kategorien von Personendaten verarbeiten, die etwa über politische Meinung, religiöse Überzeugungen oder ethnische Herkunft informieren. In diesem Fall ist es notwendig, auch die Kontaktdaten dieser Person (interne oder externe Lösung möglich) in der Datenschutzerklärung anzugeben.

Rechtsgrundlage für die Datenverarbeitung

Es ist Ihre Pflicht, die Nutzer über die Rechtsgrundlage für die Erhebung und Verarbeitung der personenbezogenen Daten zu unterrichten. Damit diese gegeben ist, muss gemäß Artikel 6 der DSGVO mindestens eine der folgenden Bedingungen erfüllt sein:

• Die betroffene Person hat ihre Einwilligung gegeben.
• Die Verarbeitung ist für die Erfüllung eines Vertrags mit der betroffenen Person oder zur Durchführung vorvertraglicher Aktionen erforderlich.
• Der Verantwortliche kommt einer rechtlichen Verpflichtung nach, der er unterliegt.
• Die Verarbeitung dient dem Schutz lebenswichtiger Interessen der betroffenen oder einer anderen Person.
• Die Verarbeitung liegt im öffentlichen Interesse.
• Sie ist erforderlich, um berechtigte Interessen des Verantwortlichen oder eines Dritten zu wahren (unter der Voraussetzung, dass Grundrechte und Grundfreiheiten der betroffenen Person nicht verletzt werden).

Zwecke der Datenverarbeitung

Zusätzlich zur rechtlichen Grundlage müssen Sie die Zwecke für die Verarbeitung der jeweiligen datenbezogenen Informationen in Ihrer Datenschutzerklärung aufführen. Dafür ist es im Zuge der Forderung nach Transparenz empfehlenswert, auch sämtliche Komponenten Ihres Webprojekts offenzulegen, die entsprechende Daten sammeln, z. B. folgende:

• Kontaktformulare
• Newsletter-Anmeldung
• Eingabefelder (z. B. zur Angabe von Bankdaten im Warenkorb)
• Tracking-Codes
• Drittanbieter-Plug-ins (z. B. Social Buttons)
• Drittanbieter-Inhalte (z. B. YouTube-Videos)
• Gewinnspiele
• Cookies

Ist der oben erwähnte Artikel 6 Absatz 1 Unterabsatz 1f der DSGVO für Ihr Projekt von Relevanz, sollten Sie an dieser Stelle auch Ihre berechtigten Interessen zu Papier bringen. Im Zuge dessen sollten Sie aber in jedem Fall überprüfen, ob Sie die Interessen und Rechte der Nutzer bestmöglich wahren. Typische Zwecke sind beispielsweise die Analyse des Besucherverhaltens zur Optimierung der Website, zur Auslieferung personalisierter Inhalte oder für Marketingabsichten.

Empfänger oder Kategorien von Empfängern personenbezogener Daten

Wenn Sie personenbezogene Daten an Dritte weitergeben, müssen Sie Ihre Nutzer darüber ebenfalls im Rahmen der Datenschutzerklärung informieren. So beziehen Sie beispielsweise mit hoher Wahrscheinlichkeit weitere Dienstleister wie Zulieferer oder Bezahldienste in Ihren Geschäftsprozess mit ein, wenn Sie einen Onlineshop betreiben. Ebenfalls in diese Sparte zählen Implementierungen von Drittanbieter-Cookies und -Erweiterungen, deren Nutzung immer auch an eine Weitergabe personenbezogener Informationen gebunden ist. Hier sind insbesondere Tracking-Codes und Social-Media-Buttons zu nennen. In beiden Fällen können Sie auf ein berechtigtes Interesse hinweisen, um die Nutzung zu rechtfertigen – dennoch ist es ratsam, auch die Einwilligung des Besuchers einzuholen (bei Social-Media-Buttons zudem unbedingt die Nutzung eines datenschutzkonformen Verfahrens wie der Zwei-Klick-Lösung). Ferner sind auch Anzeigendienste wie Google AdSense oder AdWords als Empfänger zu nennen, wenn Sie diese zur Finanzierung Ihres Webprojekts einsetzen.

Hinweis auf Betroffenenrechte

Alle Nutzer, von denen Sie personenbezogene Daten sammeln, haben eine Reihe von Rechten, die auch als Betroffenenrechte bezeichnet werden. So gewährt es das Auskunftsrecht (Artikel 15 DSGVO) beispielsweise, ausführliche Informationen über Verarbeitungszwecke, mögliche Empfänger, Speicherdauer und Herkunft einzuholen. Überdies haben Nutzer u. a. das Recht auf Berichtigung (Artikel 16 DSGVO) und – unter bestimmten Bedingungen – das Recht auf Löschung (Artikel 17 DSGVO) personenbezogener Daten.

Aufklärung über gesetzliche oder vertragliche Pflicht zur Datenerhebung

Insofern die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für den Abschluss eines Vertrages unabdingbar ist, müssen Sie Ihre Nutzer darüber in Kenntnis setzen. Ferner ist es notwendig, dass Sie Angaben darüber machen, welche Folgen aus einer Nichtbereitstellung resultieren.

Unterrichtung über den Einsatz automatisierter Entscheidungsfindungen (inklusive Profiling)

Wenn Sie automatisierte Entscheidungsfindungen einschließlich Profiling einsetzen, sind Sie verpflichtet, aussagekräftige Angaben über die zugrundeliegende Logik zu machen. Dabei geht es vor allem darum, dass Sie die gewünschten Auswirkungen und die Tragweite herausarbeiten, die derartige Datenverarbeitungsprozesse auf die betroffene Person haben. Hintergrund ist, dass Ihre Nutzer grundsätzlich das Recht haben, „nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden“ (Artikel 22 DSGVO). Dieses Recht gilt jedoch nicht, wenn das jeweilige automatisierte Verfahren für den Vertragsabschluss bzw. die Vertragserfüllung erforderlich ist, aufgrund von Rechtsvorschriften der EU und deren Mitgliedsstaaten zulässig ist oder mit ausdrücklicher Einwilligung der betroffenen Person erfolgt.

Die Datenschutz-Grundverordnung macht den Datenschutz in EU-Ländern transparenter, verständlicher und sicherer. Die Notwendigkeit einer vollständigen, korrekt ausgeführten Datenschutzerklärung stellt dabei das Herzstück dar – insbesondere für Website-Betreiber, die es häufig mit einer riesigen Menge an verschiedensten, personenbezogenen Daten zu tun haben. Wenn Sie noch eine Datenschutzerklärung nach altem Muster verfasst haben, werden Ihnen bei den oben genannten Punkten insbesondere die Offenlegung der Rechtsgrundlage sowie die Hinweise auf die Benutzerrechte als größere Neuerungen ins Auge gefallen sein.

Natürlich sind diese beiden Aspekte bei Weitem nicht das Einzige, was die überarbeiteten bzw. neu generierten Datenschutzerklärungen nach DSGVO-Standard gegenüber älteren Modellen auszeichnet: Mehr denn je haben Sie als Verantwortlicher die Aufgabe, Sinn und Zweck der Datenverarbeitung zu erklären – und zwar in einer ausführlichen und leicht verständlichen Form, die bei Ihrem Benutzerkreis keine offenen Fragen zurücklässt. Für den Fall, dass dies doch vorkommt, müssen Sie bzw. Ihr Datenschutzbeauftragter Rede und Antwort stehen können. Die DSGVO hebt außerdem noch einmal hervor, dass die Unterrichtung der Nutzer so früh wie möglich – genau genommen immer vor der Datenerhebung – geschehen muss. Zusammen mit dem neuen TTDSG ergibt sich daraus für Website-Betreiber ein immer klareres Bild in puncto Datenschutz.

Die einheitliche Verordnung macht es Gerichten zudem einfacher, Verstöße zu ahnden – angesichts der Erhebung von Bußgeldern in Höhe von bis zu 20 Millionen Euro sollten Sie bei der Erstellung der Datenschutzerklärung also unbedingt Sorgfalt walten lassen.