Nehmen wir eine Fahrschule in Münster: Auf ihrer Website gibt es ein Kontaktformular, eine Karte zur Anfahrt und vielleicht eine Anmeldung zum Newsletter. Sobald Besucher dort etwas eingeben oder ihr Browser Daten überträgt, entsteht eine Verarbeitung personenbezogener Daten. Wer sie verantwortet, muss die Betroffenen darüber informieren.
Die Vorschrift dafür ist Art. 13 der Datenschutz-Grundverordnung. Sie legt fest, was zum Zeitpunkt der Datenerhebung mitzuteilen ist. Auf einer Website übernimmt diese Aufgabe die Datenschutzerklärung. Wie sie sich zur Pflichtseite Impressum verhält, steht im Beitrag zu den Impressum-Pflichtangaben, und den Gesamtaufbau einer kleinen Firmenseite beschreibt unser Text zur Homepage für kleine Unternehmen.
Wann Art. 13 DSGVO greift
Art. 13 gilt, wenn personenbezogene Daten direkt bei der betroffenen Person erhoben werden. Auf einer Website passiert das etwa, wenn jemand ein Formular absendet, sich für einen Newsletter einträgt oder in einem Onlineshop bestellt. Die Informationen sind laut Gesetz zum Zeitpunkt der Erhebung zu geben, die Erklärung muss also vor dem Absenden auffindbar sein.
Nach Absatz 4 entfällt die Pflicht, soweit die betroffene Person die Informationen bereits hat. Für eine öffentlich erreichbare Website ist es deshalb üblich, die Erklärung als eigene Seite bereitzuhalten und von den Stellen aus zu verlinken, an denen Daten eingegeben werden.
Die Pflichtangaben aus Art. 13 Abs. 1
Absatz 1 zählt auf, was der Verantwortliche bei der Erhebung mitteilt:
- Identität und Kontaktdaten des Verantwortlichen, gegebenenfalls auch seines Vertreters.
- Kontaktdaten des Datenschutzbeauftragten, sofern es einen gibt.
- Zwecke und Rechtsgrundlage der Verarbeitung, also wofür die Daten gebraucht werden und auf welcher Grundlage aus Art. 6 das geschieht.
- Berechtigte Interessen, wenn die Verarbeitung auf Art. 6 Abs. 1 Buchstabe f beruht.
- Empfänger oder Kategorien von Empfängern, falls es welche gibt.
- Drittlandübermittlung, falls geplant, samt Angabe, ob ein Angemessenheitsbeschluss vorliegt oder welche Schutzmaßnahmen dafür vorgesehen sind.
Die Kontaktdaten des Verantwortlichen sind in der Regel dieselben wie im Impressum. Wer Hosting, Formular-Dienst oder Newsletter-Tool einsetzt, nennt die jeweiligen Dienstleister als Empfänger.
Die zusätzlichen Angaben aus Art. 13 Abs. 2
Absatz 2 ergänzt Informationen, die die Verarbeitung fair und transparent machen sollen:
- Speicherdauer oder, wenn sie sich nicht festlegen lässt, die Kriterien dafür.
- Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit.
- Widerruf der Einwilligung jederzeit, wenn die Verarbeitung auf einer Einwilligung beruht.
- Beschwerderecht bei einer Aufsichtsbehörde.
- Bereitstellung der Daten: ob sie gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsschluss erforderlich ist und welche Folgen es hätte, sie nicht bereitzustellen.
- Automatisierte Entscheidungsfindung einschließlich Profiling, mit aussagekräftigen Informationen zur Logik, falls so etwas stattfindet.
Absatz 3 betrifft eine spätere Zweckänderung: Plant der Verantwortliche, die Daten zu einem anderen Zweck weiterzuverarbeiten, informiert er vorab über diesen Zweck und die übrigen Angaben aus Absatz 2.
Cookies und Einwilligung: der Zusammenhang mit § 25 TDDDG
Neben der DSGVO regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), wann auf dem Endgerät eines Besuchers etwas gespeichert oder dort bereits Gespeichertes abgerufen werden darf. Der Grundsatz in Absatz 1: Das ist nur mit Einwilligung zulässig, und die Einwilligung beruht auf klaren und umfassenden Informationen. Für Information und Einwilligung verweist das Gesetz auf die Vorgaben der DSGVO.
Absatz 2 nennt zwei Ausnahmen. Keine Einwilligung braucht es, wenn der einzige Zweck die Übermittlung einer Nachricht über ein öffentliches Telekommunikationsnetz ist. Ebenso entfällt sie, wenn die Speicherung oder der Zugriff zwingend notwendig ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Technisch notwendig bedeutet dabei mehr als nützlich.
Für Ihre Website folgt daraus eine Bestandsaufnahme: Welche Dienste setzen Cookies oder ähnliche Technologien ein, und welche davon sind für den gewünschten Dienst zwingend nötig? Alles Übrige, etwa Reichweitenmessung oder eingebettete Inhalte von Drittanbietern, wird in der Datenschutzerklärung beschrieben und an die Einwilligungsabfrage gekoppelt.
So wird die Erklärung Teil der Website
- Erfassen Sie, welche Daten Ihre Seite verarbeitet: Formulare, Newsletter, Shop, Analyse, eingebettete Karten oder Videos, Hosting.
- Ordnen Sie jeder Verarbeitung Zweck, Rechtsgrundlage, Empfänger und Speicherdauer zu.
- Schreiben Sie die Erklärung in verständlicher Sprache und gliedern Sie sie nach Verarbeitungen, nicht nach Paragrafen.
- Verlinken Sie die Seite im Footer neben dem Impressum und direkt an Formularen und beim Newsletter-Feld.
- Aktualisieren Sie den Text, sobald ein Dienst dazukommt oder entfällt.
Gerade der letzte Punkt wird oft unterschätzt: Eine Erklärung, die einen Dienst nennt, den die Seite nicht mehr nutzt, ist genauso ungenau wie eine, die einen neuen Dienst nicht erwähnt. Wer den Betrieb der Seite regelmäßig anschaut, pflegt dabei auch die Datenschutzseite mit.