Leitfaden: Rechtssichere Internetseiten & Onlineshops – DSGVO-konform

Rechtliche Vorgaben des Datenschutzes
Ob eine Einwilligung überhaupt notwendig ist, richtet sich
nach Art und Umfang der erhobenen personenbezogenen
Daten sowie dem geplanten Verarbeitungszweck. Der Datenschutzbeauftragte
oder ein entsprechender Berater sollten
zumindest bei Internetprojekten, die eine gewisse Wichtigkeit
für das Unternehmen besitzen, hinzugezogen werden.
Soweit auf Basis der durch die gesetzten Cookies erhobenen
Daten an Dritte weitergegeben werden, ist in der Regel eine
Einwilligung notwendig.
Im Hinblick auf Webtracking sieht der Landesdatenschutzbeauftragte
Baden-Württemberg (LfDI Baden-Württemberg)
aktuell nur bei selbst gehosteten Diensten wie z. B. Matomo
unter Einhaltung aller weiteren datenschutzrechtlichen Voraussetzungen
(insbesondere einer sofortigen Anonymisierung)
die Möglichkeit, Tracking ohne Einwilligung der Betroffenen
zu betreiben.
Die wichtigsten Infos zu Cookie-Bannern:
►
►
►
►
►
Checkboxen und Einwilligungstexte dürfen nicht vorangekreuzt
sein.
Ein Tracking / das Setzen von Tracking-Cookies darf
erst erfolgen, wenn eine explizite datenschutzrechtliche
Einwilligung des Nutzers durch das Cookie-Banner
vorliegt.
Sogenanntes „Nudging“, d.h. das Hinlenken auf
schnelle, für den Seitenbenutzer ungewollte Einwilligungsentscheidungen,
ist nur in sehr begrenztem Umfang
zulässig.
Achten Sie darauf, dass auch tatsächlich alle Cookies,
die von der Internetseite / dem Online-Shop gesetzt
werden sollen, von dem Cookie-Banner berücksichtigt
werden. Dies funktioniert am besten durch ein Cookie-
Banner, das nicht manuell angelernt werden muss, sondern
das auf einer vorherigen technischen Analyse der
Internetpräsenz aufbaut (z. B. nach vorherigem Scan
der Webseite). Solche vollautomatisierten Lösungen
senken den Administrationsaufwand erheblich.
90% aller Cookie-Banner sind rechtswidrig eingestellt
oder technisch unzureichend. Seit Juni 2021 werden Internetseiten
automatisiert von der EU-Datenschutzorganisation
NOYB gescannt und rechtswidrige Banner
werden den zuständigen Aufsichtsbehörden gemeldet,
wenn die aufgefundenen Fehler nicht abgestellt werden.
Derzeit sind die meisten Cookie-Banner jedoch so gestaltet,
dass es eines hohen Aufwandes bedarf, Tracking abzuschalten
oder nicht anzuschalten. Die meisten Cookie-Banner sind
also nicht datenschutzkonform.
Cookie-Banner sollten zudem keine Links zu Impressum oder
Datenschutzerklärung der Website verdecken. Wenn diese
Links nicht mehr problemlos erreichbar sind, könnte dies zu
rechtlichen Problemen führen.
Cookie-Banner, die neben der Rechtsgrundlage der „Einwilligung“
auch weitere Cookies enthalten, die sich auf die
Rechtsgrundlage „Legitimes Interesse“ oder „berechtigtes Interesse
beziehen, sind in der Regel datenschutzwidrig, wenn
man diese Cookies auch abwählen kann und wesentliche
Funktionen der Webseite trotzdem uneingeschränkt laufen.
NEU 2021 – TTDSG und die
Cookies
Zwar lässt die e-Privacy-Verordnung
der EU auf sich warten, jedoch hat die Bundesregierung
zwischenzeitlich das sogenannte TTDSG (Telekommunikation-Telemedien-Datenschutzgesetz)
im Entwurf vorgelegt.
Dieses tritt voraussichtlich am 1. Dezember 2021
in Kraft. Große Unterschiede zur jetzigen Rechts¬lage
bestehen jedoch kaum. So fordert das TTDSG nach jetzigem
Stand in § 25 Abs. 1 TTDSG zunächst generell eine
Einwilligung im Sinne der DSGVO für Tracking-Cookies
und andere Speichertechnologien.
Damit wird die bestehende, gefestigte BGH-Rechtsprechung
lediglich im Gesetzeswortlaut festgeschrieben.
Dennoch sollten vor allem die Stellungnahmen der Aufsichtsbehörden
im Auge behalten werden um schnell
auf notwendige Anpassungen reagieren zu können. Die
Einhaltung der Einwilligungspflicht wird gem. § 29 Abs.
2 TTDSG zukünftig vom Bundesdatenschutzbeauftragten
überwacht, der gemäß des Bußgeldkatalogs in § 28
TTDSG relativ hohe Bußgelder verhängen kann.
e) Unterrichtung über die Verarbeitung von Daten außerhalb
der EU
Die EU und insbesondere Deutschland, haben im Vergleich mit
anderen Ländern ein hohes Datenschutzniveau. Werden Daten
in ein Land außerhalb dieses Schutzraumes “exportiert”, muss
der Seitenbetreiber prüfen, ob er die Daten überhaupt an das
Drittland übertragen darf. Dies ist z. B. dann der Fall, wenn für
das Drittland ein sogenannter „Angemessenheitsbeschluss“
i.S.d. Art. 44 DSGVO vorliegt. Der Angemessenheitsbeschluss
bescheinigt, dass das Drittland ein angemessenes, mit der DS-
GVO vergleichbares Datenschutzniveau einhält. Wichtig ist,
dass der Seitenbetreiber gem. Art. 13 DSGVO dazu verpflichtet
ist, auf die Verarbeitung personenbezogener Daten und die
Rechtsgrundlage in Drittländern hinzuweisen. Grundsätzlich
dürfen Daten also nur dann in einen Drittstaat außerhalb der
EU übermittelt werden, wenn sichergestellt ist, dass die Datenverarbeitung
in dem jeweiligen Drittland nicht das von der
DSGVO vorgeschriebene Schutzniveau untergräbt (vgl. Art. 44
S. 2 DSGVO). Ein solcher Angemessenheitsbeschluss stellte das
EU-US-Privacy-Shield dar, das jedoch weggefallen ist. Liegt
kein Angemessenheitsbeschluss gemäß Art. 45 Abs. 3 DSGVO
vor, können Datenübermittlungen in Drittländer auch auf Basis
anderer geeigneter Garantien im Sinne des Art. 46 DSGVO erfolgen.
Hierzu zählen unter anderem die Standarddatenschutzklauseln
(Standard Contractual Clauses – SCC – bzw. Standard
Data Protection Clauses – SDPC).
Ob personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln
übermittelt werden dürfen oder nicht, ist
19