von LocalBranding
Ab dem 25.05.2018 ist die neue Datenschutz-Grundverordnung (DS-GVO) der EU rechtswirksam. Sie regelt den Umgang von Institutionen und Unternehmen mit persönlichen Daten europaweit einheitlich. Persönliche Daten sind:
„alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;“ (Art. 4 lit. 1 DS-GVO)
Natürlich gibt es noch eine Reihe von Unwägbarkeiten und verschiedene Detailfragen sind aufgrund fehlender Anwendungspraxis noch nicht abschließend juristisch geklärt. Trotz oder gerade deswegen tun Betreiber jedoch gut daran, ihre Webseiten soweit es irgend geht „bulletproof“ zu machen.
Um die datenschutzrechtlichen Bestimmungen einzuhalten und sich so gut wie möglich gegen Abmahnungen und Bußgelder zu schützen, sind eine ganze Reihe von Maßnahmen auf Deiner Website zu treffen. Die folgende Checkliste sollen hierzu eine Hilfestellung geben.
Ein aktuell gehaltenes Impressum ist unabdingbar für jede Website. Das Impressum muss sowohl von der Startseite, wie von allen Unterseiten aus erreichbar sein. Am besten platzierst Du es im Fuß der Website (dem sog. "Footer").
Das Impressum muss enthalten:
Des Weiteren sollten die Themen Streitbeilegung und Streitschlichtung unbedingt im Impressum beschrieben sein.
Jede Website muss ab dem 25.05.2018 auch über eine gesonderte Datenschutzerklärung verfügen. Die Datenschutzerklärung muss auf die eigene Website zugeschnitten sein und muss Informationen enthalten zu:
Die Datenschutzerklärung muss jederzeit den aktuellen Status der Website wiederspiegeln. Mit "Copy and Paste" ist es also nicht getan - von urheberrechtlichen Risiken mal ganz abgesehen.
Auch die Datenschutzerklärung muss von allen Seiten aus einfach erreichbar sein.
Prüfe, ob die Benennung eines externen oder internen Datenschutzbeauftragten vorgeschrieben ist. Sollte die Benennung eines Datenschutzbeauftragten erforderlich sein, muss dieser inkl. E-Mail-Adresse in der Datenschutzerklärung genannt werden.
Beim Besuch Deiner Website muss der Nutzer als erstes deutlich und unübersehbar auf die Speicherung personenbezogener Daten hingewiesen werden. Dies geschieht auf jeder Website mithilfe sogenannter „Cookies“. Idealerweise sollte der Hinweis als "Soft-Optin" erfolgen - d. h. dass ohne Bestätigung des Hinweises keine weitere Bewegung auf der Website möglich ist.
Auf jedem Formular muss darauf hingewiesen werden, dass personenbezogene Daten mit dem Formular übermittelt werden, dass dies dem Nutzer bekannt ist und die Datenschutzerklärung zur Kenntnis genommen wurde. Dieser Hinweis muss anklickbar sein und ein Pflichtfeld darstellen.
Sofern Du einen Newsletter versendest, sind auch hier einige Punkte einzuhalten:
Wenn Du Deine Website bei einem anderen Unternehmen gehostet hast oder Dienste von Google oder von anderen Anbietern (z. B. Zahlungsdienstleistern) auf Deiner Website nutzt, ist der Abschluss von sogenannten Auftragsverarbeitung-Verträgen zwingend geboten. In einem AV-Vertrag wird geregelt, wie die beteiligten Unternehmen den Austausch von personenbezogenen Daten regeln und deren Schutz sicherstellen.
Erfolgt diese Vereinbarung nicht, würdest Du personenbezogene Daten an Dritte ohne Autorisierung weitergeben, was empfindliche rechtliche Konsequenzen haben kann.
AV-Vereinbarungen sind z. B. nötig zwischen Dir und
Solltest Du Plugins von SocialMedia-Portalen eingebunden haben (Like-Button etc.) muss die Integration auf Datenschutzkonformität überprüft werden.
Gespeicherte IP-Adressen müssen anonymisiert werden. Die IP-Adresse des Besuchers einer Website muss so verfremdet werden, dass z.B. Google Analytics, Piwik o. a. Analyse-Tools die erfassten Trackingdaten nicht mehr direkt zuweisen kann.
Solltest Du Google Fonts auf Deiner Website eingebunden haben, ist es empfehlenswert, zu einer direkten Integration zu wechseln. Der Font würde dann auf dem Webserver gespeichert und per sog. CSS FontFace Regel eingebunden werden.
Nicht nur für die datenschutzrechtliche Kompetenz Deiner Website ist SSL-Verschlüsselung unbedingt zu empfehlen. Auch in den Suchmaschinen ist die Verschlüsselung ein Pluspunkt! (Google rankt Seiten ohne SSL schon seit einiger Zeit schlechter in den Suchergebnissen. Hier gibt es mit "Lets Encrypt" mittlerweile auch eine Lösung, die kostenlos ist (nur einmal Einrichtung)).
Im Übrigen sollten auch die ausgehenden Emails auf SSL/TLS umgestellt werden.
Es wird keinerlei Haftung auf Richtigkeit und Vollständigkeit durch die Verfasser übernommen. Insbesondere wird darauf hingewiesen, dass jeder Fall gesondert zu prüfen ist und dass dieser Beitrag weder eine Rechtsberatung darstellt noch eine individuelle Rechtsberatung ersetzt.
Verfasst von Frank Jeroma
Frank Jeroma ist Gründer und Geschäftsführer der LocalBranding GmbH. Er hat über 20 Jahre Erfahrung im Bereich der integrierten Markenführung. Mit der Entwicklung von tragfähigen Geschäfts- und Markenkonzepten speziell für kleine und mittlere Unternehmen leistet er seinen Beitrag zum Erhalt der ökonomischen Vielfalt in Deutschland und Europa.
Bildquelle: Tumisu
Wir halten Dich auf dem Laufenden. Abonniere unseren Newsletter, dann entgehen Dir keine Neuigkeiten mehr zu Themen wie z.B. Markenentwicklung und Kundengewinnung.