Neue Daten­schutz-Pflich­ten für Website-Betreiber

Die neue Daten­schutz-Grund­ver­ord­nung (DSGVO) macht ab Mai 2018 für Unter­neh­men in der EU vie­les kla­rer. Kom­pli­ziert wird es aller­dings, wenn es um Inter­net­sei­ten geht. Denn die neue Ver­ord­nung berührt vie­le damit ver­bun­de­ne The­men – aber for­mu­liert sie nicht expli­zit aus.

Bis­her war das Tele­me­di­en­ge­setz (TMG) die recht­li­che Grund­la­ge für das Betrei­ben von Web­sites. Das TMG wird nun durch das neue Euro­pa­recht ver­drängt. Daten­schutz­be­auf­trag­te müs­sen zudem wei­ter­hin die ePri­va­cy-Richt­li­nie beach­ten – aber in einer neu­en Fas­sung. Denn der offi­zi­el­le Ent­wurf der EU-Kom­mis­si­on kon­kre­ti­siert die Bestim­mun­gen der DSGVO bezüg­lich digi­ta­ler Diens­te. Die neu­en ePri­va­cy-Regeln sol­len wie die Daten­schutz-Grund­ver­ord­nung im Mai 2018 in Kraft tre­ten. Des­halb erlässt sie die EU in Form einer Ver­ord­nung. Das bedeu­tet, dass sie unmit­tel­bar gel­ten: anders als eine Richt­li­nie müs­sen sie nicht erst in natio­na­les Recht über­tra­gen werden.

Grund­sätz­lich ver­langt die DSGVO, Daten­be­stän­de, Daten­flüs­se und Daten­ver­ar­bei­tungs­pro­zes­se im Unter­neh­men zu ermit­teln, zu doku­men­tie­ren und anzu­pas­sen. Das muss dann natür­lich auch für Web­sei­ten gemacht wer­den – von der Inter­net­sei­te des Ein-Mann-Betrie­bes bis hin zur Kon­zern-Web­site. Für jede Online-Prä­senz braucht es künf­tig eine Daten­schutz­er­klä­rung. Aller­dings muss sie mehr als bis­lang „in kla­rer und ein­fa­cher Spra­che“ for­mu­liert sein.

Daten­schutz­er­klä­rung wird länger

Zudem müs­sen in der Daten­schutz­er­klä­rung vie­le Details ange­ge­ben wer­den. Zum Beispiel:

• die Kon­takt­da­ten des Datenschutzbeauftragten
• Infor­ma­tio­nen zum Inter­es­se an der Datenverarbeitung
• ob even­tu­ell die Absicht besteht, die Daten in Dritt­staa­ten zu übertragen
• Infor­ma­tio­nen über Betrof­fe­nen­rech­te wie Berich­ti­gung, Beschwer­de oder Löschung.

Die Daten­schutz­er­klä­rung wird also deut­lich umfang­rei­cher. Außer­dem: Alle Infor­ma­tio­nen müs­sen „prä­zi­se, trans­pa­rent, ver­ständ­lich und in leicht zugäng­li­cher Form“ zur Ver­fü­gung ste­hen, ver­langt die DSGVO. Für vie­le Unter­neh­men wird es eine gro­ße Her­aus­for­de­rung sein, die rich­ti­gen For­mu­lie­run­gen zu finden.

Zustim­mung ist Pflicht

„Am sichers­ten ist es, wenn Unter­neh­men sich von den Betrof­fe­nen der Web­site die Ein­wil­li­gung für ihre Ver­ar­bei­tungs­pro­zes­se ein­ho­len“, sagt Mela­nie Braun­schweig, Daten­schutz-Exper­tin bei der TÜV NORD Aka­de­mie. Dabei sind älte­re Zustim­mun­gen nur dann gül­tig, wenn sie den neu­en Anfor­de­run­gen ent­spre­chen: „Wenn Unter­neh­men die Ein­wil­li­gung für die Daten­ver­ar­bei­tung besit­zen, dür­fen sie die­se Infor­ma­tio­nen genau wie bis­her nut­zen – zum Bei­spiel, um Kun­den die bestell­te Ware zu schi­cken und eine Zah­lung abzu­bu­chen“, erklärt Braunschweig.

Die Ein­wil­li­gung umfasst in der Regel das Aus­üben des „berech­tig­ten Inter­es­ses“ eines Unter­neh­mens. Die Anfor­de­run­gen dar­an sind nicht all­zu streng. Bei der Aus­le­gung des Begriffs „berech­tig­tes Inter­es­se“ kommt es unter ande­rem auf eine aus dem US-Recht bekann­te Maxi­me der „ver­nünf­ti­gen Erwar­tung“ (Rea­son­ab­le Expec­ta­ti­ons of Pri­va­cy) des Betrof­fe­nen an. Der Inter­net­nut­zer muss bei­spiels­wei­se davon aus­ge­hen, dass Unter­neh­men ein Web-Ana­ly­se­tool verwenden.

So ist auch das Aus­wer­ten und Ana­ly­sie­ren von Kun­den­da­ten erlaubt. Zum Bei­spiel um per­so­na­li­sier­te Ange­bo­te zu unter­brei­ten oder die Kun­den­zu­frie­den­heit zu mes­sen. Für die Wei­ter­ga­be von Daten an Drit­te reicht es aus, dass die­se Drit­ten ihrer­seits ein berech­tig­tes Inter­es­se gel­tend machen. Das ist vor allem rund um den Adress­han­del wichtig.

IP-Adres­sen gel­ten nicht mehr als anonym

Eine wesent­li­che Ände­rung gegen­über der bis­he­ri­gen Gesetz­ge­bung: Coo­kie- oder User-IDs, IP- oder Mac-Adres­sen wer­den nicht mehr als anonym ein­ge­stuft. Bis­lang fiel deren Ver­ar­bei­tung nicht unter die Daten­schutz­ge­set­ze. Die neue DSGVO sieht das anders: Sie behan­delt Online-Iden­ti­fier wie per­so­nen­be­zo­ge­ne Daten. Unter­neh­men müs­sen für deren Ver­ar­bei­tung künf­tig eigent­lich die Ein­wil­li­gung der Betrof­fe­nen ein­ho­len. Aller­dings stellt das DSGVO fest, dass die­se Zustim­mung auch durch „schlüs­si­ge Hand­lun­gen“ zum Aus­druck kom­men kann, etwa durch das Wei­ter­nut­zen von Onlinediensten.

Die meis­ten Online-Geschäfts­mo­del­le wer­den auch mit Inkraft­tre­ten der neu­en DSGVO im Mai 2018 mög­lich blei­ben. Aller­dings soll­ten Unter­neh­men unbe­dingt dar­auf ach­ten, dass sie die umfang­rei­chen Neu­re­ge­lun­gen beach­ten. Denn Ver­stö­ße kön­nen dras­ti­sche Geld­stra­fen nach sich zie­hen. Mehr Infor­ma­tio­nen zu den rele­van­ten Ände­run­gen für Unter­neh­men bie­ten die Daten­schutz-Semi­na­re der TÜV Nord Aka­de­mie.