Leitfaden: Rechtssichere Internetseiten & Onlineshops – DSGVO-konform

Rechtliche Vorgaben des Datenschutzes
Dementsprechend empfehlen wir derzeit, bzgl. des Betriebs
einer Webseite oder eines Online-Shops überhaupt keine USamerikanischen
Webservices mehr einzusetzen, d. h. auch
keine Cloud-Hosting-Dienste der „üblichen Verdächtigen“
(Amazon [AWS], Google [GCP], Microsoft [Azure]) mehr zu
nutzen. Dies gilt natürlich auch für alle anderen Anbieter, deren
Betreiber ihren Sitz in Ländern haben, für die kein Angemessenheitsbeschluss
der EU-Kommission besteht.
Dass die großen US-amerikanischen Tech-Konzerne zumeist
in Irland eine europäische Niederlassung eingerichtet haben,
und die Webservices daher vermeintlich direkt aus Europa
nach europäischen Datenschutzstandards angeboten werden,
ist übrigens unerheblich. Die datenschutzrechtlichen Probleme
greifen nämlich auch bei solchen Umgehungskonstruktionen,
da diese Europäischen Tochtergesellschaften nach US-Recht
verpflichtet sind, amerikanischen Behörden und Geheimdiensten
weitgehend unkontrollierten Zugriff auf alle Daten zu gewähren,
auch wenn diese Daten ausschließlich in Rechenzentren
innerhalb der EU gespeichert sind (US-Cloud-Act).
Achtung! Facebook Custom Audience
datenschutzwidrig
Der Betreiber einer Facebook-Seite hat über Facebook
Custom Audience die Möglichkeit, aus einer bestehenden
Kundeliste eine Zielgruppenart auswählen. Hierzu wird
eine Kundenliste (z.B. mit Daten, wie etwa E-Mail-Adressen
oder Telefonnummern) an Facebook übermittelt. Facebook
gleicht die verschlüsselten Informationen mit solchen von
bestehenden Facebook -Profilen ab, um so zu ermitteln, wer
von den Kunden auch Facebook-Nutzer ist. Hierdurch kann
der Betreiber einer Facebook-Fanpage dann ganz gezielt
Werbung an bestimmte Facebook-Nutzer ausliefern und in
deren Feed schalten lassen.
Das Verwaltungsgericht Bayreuth hat in seiner Entscheidung
(VG Bayreuth, Beschluss v. 08.05.2018 – B 1 S 18.105)
den Einsatz von Facebook Custom Audience ohne vorherige
Einwilligung der betroffenen Kunden als datenschutzwidrig
eingestuft. Die Entscheidung erging noch vor dem Inkrafttreten
der DSGVO und bezog sich auf die damalige Rechtslage.
Man könnte nunmehr überlegen, für die entsprechende Datenübermittlung
die Rechtsgrundlage aus Art. 6 Abs. 1 S. 1
lit. f DSGVO (berechtigtes Interesse) heranzuziehen. Diese
Überlegung scheint jedoch nicht zu überzeugen, da die betroffenen
Nutzer nicht damit rechnen müssen, dass ihre
Daten in den Facebook Ads Manager hochgeladen werden.
Die Datenübermittlung kann insofern nicht auf das überwiegende
berechtigte Interesse des Fanpage-Betreibers als
gesetzliche Grundlage gestützt werden.
In Ermangelung anderer Rechtsgrundlagen empfehlen wir
aus rechtlicher Vorsicht, den Facebook-Service „Custom Audience“
nur mit vorheriger Einwilligung der jeweils Betroffenen
zu nutzen. Bei der Einholung der Einwilligung sollten
Sie sich rechtlich beraten lassen.
3.2 Wichtig für Behörden der Länder, der
Kommunen und sonstige öffentlich-rechtliche
Träger: Anwendbarkeit der DSGVO
und des BDSG und des jeweiligen Landesdatenschutzgesetze
Durch die DSGVO wurden in allen EU-Staaten erstmals weitgehend
identische Datenschutzstandards geschaffen. Datenschutzfeindliche
„Rückzugsräume“ innerhalb Europas gibt es
damit nicht mehr. Die DSGVO und in kleinen Teilen das BDSG
gelten in der Regel für privatrechtliche Unternehmen.
Beim Betrieb von Internetseiten von Körperschaften des
öffentlichen Rechts müssen zudem strengere Vorgaben und
kompliziertere datenschutzrechtliche Regelungen beachtet
werden, als dies bei privatrechtlichen Unternehmen der Fall ist.
Hier müssen die Vorgaben der DSGVO, des BDSG und der 16
Landesdatenschutzgesetze der Länder beachtet werden.
Sofern Sie bislang Ihre Datenschutz-Prozesse noch nicht umgestellt
haben, empfehlen wir Ihnen, die entsprechenden Prozesse
anzustoßen, um kostspielige Abmahnungen oder Maßnahmen
der Aufsichtsbehörden zu vermeiden. Als Faustformel gilt hier:
Keine Datenübertragung oder Verarbeitung ohne datenschutzrechtliche
vertragliche Regelung.
Insbesondere sollten Sie ernsthaft erwägen, einen externen
Datenschutzberater hinzuzuziehen, um keine unüberschaubaren
unternehmerischen Risiken einzugehen. Aus unserer Praxiserfahrung
wissen wir, dass der Datenschutzbeauftragte bei
der Prüfung des Unternehmens zumeist indirekt dafür sorgt,
Unternehmensprozesse zu entschlacken und zu vereinfachen.
3.3 Abmahnungen von Datenschutzverstößen
durch Verbraucherschutzverbände
und Abmahnvereine / Bußgelder von
Landesdatenschutzbehörden
Datenschutzverstöße können nach wie vor auch als Wettbewerbsverstoß
gewertet und damit auch abgemahnt werden.
Die Befürchtungen, die DSGVO könne zu massiven Abmahnwellen
führen, haben sich nicht bestätigt. Gleichwohl hat der
Gesetzgeber Ende 2020 durch das „Gesetz gegen den Abmahnmissbrauch“
weitere Hürden aufgestellt, so dass zumindest
Mitbewerber auf den Kosten einer ersten Abmahnung sitzen
bleiben, wenn sie sich in ihrer Abmahnung auf die Verletzung
des Datenschutzes durch einen Wettbewerber berufen. Bei
Datenschutzverstößen, wie z. B. der Einbindung eines Facebook-Like-Buttons
oder Fehlern in der Datenschutzerklärung,
spielt das Abmahnrisiko daher nur noch eine kleinere Rolle als
in der Vergangenheit. Die Gefahr droht also nach wie vor von
aufsichtsbehördlicher Seite.
Laut DSGVO haben Landesdatenschutzbehörden einen sehr
weitgehenden Bußgeldspielraum, der bei größeren Verstößen
z. B. bei der unzulässigen Verarbeitung von Gesundheitsdaten
und anderen besonders geschützten Daten zuweilen auch
bei einem ersten Verstoß beachtliche Größen erreichen kann.
15