DSGVO: Das neue europäische Datenschutzrecht für Website-Betreiber

Verträge mit dem Webhosting-Anbieter prüfen

Website-Betreiber sollten zunächst die Verträge mit ihrem Webhosting-Anbieter erneuern. Da nicht ohne weiteres personenbezogene Daten auf einem von Dritten bereitgestellten Webspace gespeichert werden dürfen, war auch schon bislang der Abschluss einer Vereinbarung zur sogenannten Auftragsdatenverarbeitung mit dem Hosting-Anbieter notwendig. Dieses nach der DSGVO nur noch als Auftragsverarbeitung bezeichnete Konstrukt regelt, dass der Webhoster personenbezogene Daten nur „gemäß den Weisungen des für die Verarbeitung Verantwortlichen“ – also des Website-Betreibers – verarbeiten darf. Der Webhoster gilt dadurch rechtlich nicht mehr als außenstehender Dritter, wodurch die weitergehenden Anforderungen an eine Datenübermittlung entfallen. Bestehende Vereinbarungen müssen der neuen Rechtslage angepasst werden. Größere Anbieter werden hierfür eigene Muster-Verträge bereitstellen, im Übrigen kann man sich zum Beispiel der Vorlage der Gesellschaft für Datenschutz und Datensicherheit e.V. bedienen.

Datenschutzerklärung überarbeiten

Das Vorhandensein einer Datenschutzerklärung, die über alle Vorgänge aufklärt, bei denen auf der Website personenbezogene Daten verarbeitet werden, ist schon lange Pflicht. Nach der DSGVO wird sich allerdings der Umfang deutlich erhöhen. Ein schlanker One-Pager wird zur Erfüllung der vielen neuen Informationspflichten nicht mehr ausreichen. So muss nun etwa die konkrete Rechtsgrundlage für jede Datenverarbeitung genannt werden. Auch die Rechte der Betroffenen – also der Website-Besucher – sind vielfältiger geworden. Wer nicht gleich einen Datenschutzrechtler mit der Erstellung dieses auch Privacy Policy genannten Dokuments beauftragen will, kann sich grob an der Musterdatenschutzerklärung des Instituts für Informations-, Telekommunikations- und Medienrecht der Universität Münster orientieren. Wichtig ist, dass die Datenschutzerklärung leicht auffindbar ist. Bestenfalls sollte sie im Footer der Website platziert werden, damit sie mit einem Click auch von jeder Unterseite aus erreichbar ist.

Verschlüsseln

Wird auf der Website die Möglichkeit angeboten, personenbezogene Daten in Formulare einzugeben, sollte unbedingt eine SSL-Verschlüsselung eingerichtet werden. Bereits 2015 wurden durch das Bayrische Landesamt für Datenschutzaufsicht Websites beanstandet, die trotz der Verwendung von Kontaktformularen keine angemessenen Schutzmaßnahmen implementiert hatten. Die Pflicht zur Verschlüsselung ergibt sich aus dem in der DSGVO geregelten Grundsatz der Integrität und Vertraulichkeit. Demnach müssen personenbezogene Daten in einer Weise verarbeitet werden, „die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung.“

Newsletter

Wer seinen Website-Besuchern per E-Mail Newsletter zuschickt und nicht zum Spammer werden möchte, sollte die verwendete datenschutzrechtliche Einwilligungserklärung genau überprüfen. Nur wenn der Text den Vorgaben der DSGVO entspricht, haben Alt-Einwilligungen weiterhin ihre Gültigkeit. Der Einwilligungstext darf nicht zu pauschal formuliert sein, sondern muss erkennen lassen, welche personenbezogenen Daten zu welchem konkreten Zweck von wem verarbeitet werden. Wichtig ist auch der Hinweis auf das Widerrufsrecht. Auch für die Erstellung von Einwilligungstexten bietet die Gesellschaft für Datenschutz und Datensicherheit e.V. einen Praxisleitfaden an.

Zwingend ist die Verwendung des Double-Opt-In-Verfahrens, um die Erteilung einer Einwilligung gerichtsfest beweisen zu können.

Social-Media-Plug-ins

Social-Media-Plug-ins, wie der Facebook Like-Button, übertragen auch ohne Click auf die Schaltfläche ungefragt Informationen an die entsprechenden Anbieter. Das Landgericht Düsseldorf hatte im März 2016 daher im Falle von Facebook entschieden, dass die Einbindung derartiger Tools rechtswidrig ist. Abhilfe leistet die sogenannte Shariff-Lösung von c’t, die dafür sorgt, dass soziale Netzwerke erst dann die Daten abfragen können, wenn der Botton auch tatsächlich betätigt wird.

Cookies und Webtracking

Keine wirklich verbindlichen Aussagen können darüber getroffen werden, ob die Verwendung bestimmter Cookies zum Webtracking künftig nur noch mit ausdrücklicher Einwilligung des Nutzers möglich sein wird. Die ePrivacy-Verordnung, die eigentlich zeitgleich mit der DSGVO in Kraft treten sollte und genau diesen Bereich der elektronischen Kommunikation abdecken wird, steckt noch im Entwurfsstadium. Umstritten ist, ob die bisherigen gesetzlichen Regeln zum Webtracking des Telemediengesetzes (TMG) neben der DSGVO weiterhin gelten oder nicht. Zur Vermeidung von Haftungsrisiken sollten Websitebetreiber, die ein eigenes Webtracking z. B. zur Besuchermessung durchführen, weiterhin die Regeln des § 13 Abs. 3 TMG einhalten. Das Webtracking darf u. a. nur pseudonym durchgeführt werden, es muss in der Datenschutzerklärung darüber informiert werden und es muss eine Opt-Out-Möglichkeit geben. Im Falle des Einsatzes von Retargeting-Technologien sollte hingegen die Einwilligung der Nutzer eingeholt werden. Es bleibt abzuwarten, wie die Datenschutzbehörden dieses kontrovers diskutierte Thema beurteilen werden.

Fazit

Vieles von dem, was Websitebetreiber bislang an datenschutzrechtlichen Vorgaben erfüllen mussten, hat auch weiterhin Bestand. Deutsche Anbieter profitieren davon, dass auch vor der DSGVO hierzulande ein hohes Datenschutzniveau geherrscht hat. Dort, wo Anpassungen erforderlich sind, insbesondere bei der Datenschutzerklärung, sollte mit der Umsetzung nicht länger gezögert werden. Angesichts hoher Bußgelder und der neuen Möglichkeiten, Abmahnungen zu kassieren, sollte das Thema Datenschutz für Website-Betreiber keine untergeordnete Rolle mehr spielen.