Wer braucht eine Datenschutzerklärung und warum?
Jeder, der eine Website, einen Online-Shop, eine Software bzw. App betreibt und personenbezogene Daten seiner Nutzer verarbeitet, ist verpflichtet, eine Datenschutzerklärung nach den Vorgaben der Datenschutz-Grundverordnung (DSGVO) bereitzustellen.
Dies ergibt sich aus Art. 13 und 14 DSGVO: Soweit personenbezogene Daten durch "Verantwortliche" verarbeitet werden, sind nach Art. 13 DSGVO "Betroffene" und nach Art. 14 DSGVO sogar "Nichtbetroffene" über das Ausmaß der Verarbeitung der personenbezogenen Daten zu informieren. Aus Art. 15 Abs. 1 S. 1 DSGVO ergibt sich auch ein Auskunftsrecht der betroffenen Personen: "Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden"; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf Informationen wie beispielsweise über die Verarbeitungszwecke.
Eine Datenschutzerklärung ist also bei einer "Verarbeitung personenbezogener Daten" grundsätzlich notwendig.
Damit stellt sich die nächste Frage. Was bedeutet "Verarbeitung" "personenbezogener Daten"?
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Laut Art. 4 Nr. 1 DSGVO umfasst das Daten, die direkt oder indirekt zur Identifikation einer Person genutzt werden können. Dazu gehören:
- Name und Anschrift
- E-Mail-Adresse und Telefonnummer
- Geburtsdatum
- Bankdaten oder Kreditkartennummern
- IP-Adressen
- Standortdaten oder Geo-Daten
- Fotos oder Videos, auf denen Personen erkennbar sind
Ein wichtiger Punkt ist, dass personenbezogene Daten nicht nur solche sind, die direkt wie ein Name eine Person identifizieren. Auch Daten, die indirekt zur Identifizierung einer Person führen können, wie etwa eine IP-Adresse oder Standortdaten, fallen unter diesen Begriff.
Und wann liegt eine "Verarbeitung" im Sinne der DSGVO vor?
Die Verarbeitung personenbezogener Daten ist gemäß Art. 4 Nr. 2 DSGVO jeder Vorgang oder jede Reihe von Vorgängen, die im Zusammenhang mit personenbezogenen Daten steht – unabhängig davon, ob dies automatisiert oder manuell erfolgt.
Dazu zählen insbesondere:
- Erheben: Das Sammeln von Daten, z.B. über ein Kontaktformular auf einer Website.
- Speichern: Das Abspeichern der Daten auf einem Server oder in einer Datenbank.
- Verändern: Das Bearbeiten oder Aktualisieren von personenbezogenen Daten.
- Übermitteln: Das Weitergeben der Daten an Dritte, z.B. an externe Dienstleister.
- Löschen oder Vernichten: Das endgültige Entfernen der Daten aus den Systemen.
Auch scheinbar einfache Tätigkeiten wie das Ansehen oder Organisieren von Daten gelten als Verarbeitung. Bereits die Verwendung von Tracking-Cookies oder Analyse-Tools wie Google Analytics stellt eine Datenverarbeitung dar und erfordert eine entsprechende Erklärung.
Wann ist eine "Verarbeitung" rechtlich relevant?
Eine Datenverarbeitung ist rechtlich dann relevant, wenn die Daten eine Person betreffen und einer der oben genannten Verarbeitungsprozesse durchgeführt wird. Jede Art von Verarbeitung muss dabei auf einer der Rechtsgrundlagen der DSGVO basieren, z.B. auf der Einwilligung der betroffenen Person oder einem berechtigten Interesse des Datenverarbeiters.
Als Betreiber einer Webseite oder Software kann man schwer ohne Verarbeitung personenbezogener Daten auskommen.
Risiken: Copy-Paste-Lösungen und Generatoren – gefährliche Fehlerquellen
Viele Websitebetreiber greifen auf sogenannte Datenschutzerklärungsgeneratoren oder sogar auf Copy-Paste-Vorlagen zurück, um die Anforderungen der DSGVO zu erfüllen. Das mag auf den ersten Blick wie eine zeitsparende und kostengünstige Lösung erscheinen, birgt jedoch erhebliche rechtliche Risiken:
- Unzureichende Individualisierung: Jede Website verarbeitet personenbezogene Daten auf eine andere Art und Weise. Eine generische Datenschutzerklärung berücksichtigt jedoch oft nicht die spezifischen Anforderungen oder die eingesetzten Tools (z.B. Newsletter-Plugins, E-Commerce-Systeme). Dadurch kann es zu Lücken in der Informationspflicht kommen, was schnell eine Abmahnung nach sich ziehen kann.
- Rechtswidrige Inhalte: Copy-Paste-Vorlagen können veraltet oder unvollständig sein. Rechtsvorschriften, insbesondere im Bereich Datenschutz, ändern sich laufend. Eine veraltete Datenschutzerklärung könnte aktuelle Gesetzesanforderungen nicht erfüllen und Sie rechtlich angreifbar machen, so dass Sie abgemahnt werden könnten.
- Abmahnrisiko: Wettbewerbsrechtliche Abmahnungen wegen fehlerhafter Datenschutzerklärungen sind keine Seltenheit. Ein Mitbewerber könnte dies zum Anlass nehmen, Ihnen kostspielige Abmahnungen zuzustellen.
- Bußgelder der Datenschutzbehörden: Sollten gravierende Verstöße gegen die DSGVO vorliegen, drohen nicht nur Abmahnungen, sondern auch hohe Bußgelder durch die zuständigen Aufsichtsbehörden.
Pflichtangaben in der Datenschutzerklärung nach Artikel 13 DSGVO: Was Sie wissen müssen
Nach Artikel 13 der DSGVO muss eine Datenschutzerklärung, wenn die Daten direkt bei der betroffenen Person erhoben werden, bestimmte Informationen enthalten. Diese sind:
- Name und Kontaktdaten des Verantwortlichen: Wer für die Datenverarbeitung verantwortlich ist, einschließlich des Ansprechpartners in der EU, falls erforderlich.
- Kontaktdaten des Datenschutzbeauftragten: Falls ein Datenschutzbeauftragter benannt ist, müssen dessen Kontaktdaten angegeben werden.
- Zweck und Rechtsgrundlage der Datenverarbeitung: Es muss klar sein, warum die Daten verarbeitet werden und auf welcher rechtlichen Grundlage (meistens nach Art. 6, oder in besonderen Fällen nach Art. 9 oder 10 DSGVO).
- Berechtigte Interessen: Wenn die Verarbeitung auf einem berechtigten Interesse des Verantwortlichen beruht (Art. 6 Abs. 1 lit. f), muss dieses Interesse erläutert werden.
- Datenempfänger: Es muss angegeben werden, an wen die Daten weitergegeben werden, oder ob die Daten an bestimmte Kategorien von Empfängern gehen.
- Übermittlung ins Nicht-EU-Ausland: Falls die Daten in Länder außerhalb der EU übermittelt werden, muss das mit rechtlicher Grundlage nach den Artikeln 44 ff. DSGVO begründet werden.
- Speicherdauer: Es muss angegeben werden, wie lange die Daten gespeichert werden.
- Betroffenenrechte: Die Erklärung muss die Rechte der Betroffenen aufzählen, z.B. das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch, Datenübertragbarkeit, sowie das Recht auf Widerruf der Einwilligung (sofern die Verarbeitung auf Einwilligung beruht). Auch das Recht auf Beschwerde bei einer Aufsichtsbehörde muss erwähnt werden.
- Pflicht zur Bereitstellung von Daten: Es muss erklärt werden, ob die Angabe der Daten gesetzlich oder vertraglich notwendig ist und was passiert, wenn die Daten nicht bereitgestellt werden.
- Automatisierte Entscheidungen und Profiling: Falls automatisierte Entscheidungen (z.B. durch Algorithmen) oder Profiling stattfinden, muss dies angegeben werden.
Wichtig: Eine rechtskonforme Datenschutzerklärung kann nicht einfach aus einer Vorlage kopiert werden, da jede Website einzigartig ist. Unterschiedliche Hosting-Anbieter, Plugins, Dienste, Schnittstellen und Social Media-Einbindungen führen zu unterschiedlichen Anforderungen an den Datenschutz.
Um eine korrekte und vollständige Datenschutzerklärung zu erstellen, ist es notwendig, eine umfassende Analyse der Website und der verwendeten Software durchzuführen. Nur so lassen sich alle Datenverarbeitungsprozesse erfassen und spezifisch abbilden. Vorlagen oder generische Generatoren berücksichtigen diese individuellen Besonderheiten oft nicht, was als grob fahrlässig angesehen werden kann. Dies führt zu rechtlichen Lücken, die das Risiko von Abmahnungen oder hohen Bußgeldern erheblich steigern.
Individuelle Datenschutzerklärung statt riskanter Vorlagen – Vermeiden Sie Abmahnungen.
Eine rechtssichere Datenschutzerklärung ist essenziell, um sich vor rechtlichen Konsequenzen zu schützen und das Vertrauen der Websitebesucher oder Anwender zu gewinnen. Verlassen Sie sich nicht auf Standardlösungen oder Copy-Paste-Vorlagen – lassen Sie sich von Experten unterstützen, die die rechtlichen Anforderungen genau kennen und Ihnen maßgeschneiderte Lösungen bieten.
Windweiss steht Ihnen als erfahrener Partner zur Seite, um sicherzustellen, dass Ihre Datenschutzerklärung nicht nur den gesetzlichen Anforderungen entspricht, sondern auch Ihr Unternehmen vor unnötigen rechtlichen Risiken schützt.
Kontaktieren Sie uns noch heute, um Ihre Website oder ihre App DSGVO-konform zu machen!
