Leitfaden: Rechtssichere Internetseiten & Onlineshops – DSGVO-konform

Rechtliche Vorgaben des Datenschutzes
Checkliste: Brauche ich einen Datenschutzbeauftragten?
►
►
►
1. Mehr als 19 Personen arbeiten regelmäßig mit automatisierter
Datenverarbeitung (z. B. mehr als 19 Mitarbeiter
sitzen dauerhaft am PC) oder
2. Das Unternehmen verarbeitet besondere Kategorien
von Daten = Daten, aus denen sich die rassische
und ethnische Herkunft (z. B. Passbilder, die auf eine
ethnische Herkunft schließen lassen), politische Meinungen
(z. B. politische Befragungen, Umfragen), religiöse
oder weltanschauliche Überzeugungen oder die
Gewerkschaftszugehörigkeit hervorgehen, sowie die
Verarbeitung von genetischen Daten, biometrischen
Daten zur eindeutigen Identifizierung einer natürlichen
Person (z. B. Speicherung von Fingerabdrücken
in Schließsystemen), Gesundheitsdaten (z. B. Daten,
die schließen lassen ob jemand geimpft ist, Daten über
Behinderungen) oder Daten zum Sexualleben oder der
sexuellen Orientierung einer natürlichen Person (z. B.
Speicherung von LGBTQIA* Daten) oder
3. Die Kerntätigkeit des Unternehmens liegt in der Erhebung,
Verarbeitung, Nutzung von personenbezogenen
Daten (z. B. Unternehmen pflegt insbesondere
Webseiten mit Eingabemöglichkeiten für Kunden).
k) Newsletter
Bei Newslettern ist zunächst zwischen Newslettern an
Bestandskunden und Neukunden zu unterscheiden. Eine
rechtskonforme Anmeldung erfolgt stets durch ein sog.
Double-Opt-In-Verfahren (Verbindliche Anmeldung erst nach
Zusendung eines Anmeldelinks, vorher keine Anmeldung,
baldige Löschung der Kontaktdaten erforderlich). Der Ersatz
dieses Verfahrens durch Einwilligungskästchen ist nicht zulässig.
Der BGH hat in mehreren Urteilen hierfür die eindeutigen
Vorgaben aufgezeigt. Die Notwendigkeit eines Double-Opt-
Ins ergibt sich auch aus der DSGVO. Art. 6 Abs. 1 lit. a DSGVO
erlaubt einen Newsletterversand nur dann, wenn der betroffene
eine entsprechende Einwilligung erteilt hat. Der Nutzer
muss zudem bereits vor der Anmeldung auf sein jederzeit bestehendes
Widerrufsrecht hingewiesen werden. Zudem muss
bei Anmeldung (Hinweis neben dem Anmeldeformular erforderlich)
und bei jedem Versand auf die Möglichkeit einer Austragung
aus dem Newsletter-Verteiler hingewiesen werden.
In der Praxis wird dies durch einen Link zur Abmeldung vom
Newsletter in den Newsletter-Mails erreicht (sog. Opt-Out).
Über die Newsletter-Funktion ist zudem in der Datenschutzerklärung
aufzuklären und sie ist dort in ihrer Funktionsweise
zu beschreiben. Wird Newslettertracking durchgeführt (i. d.
R. Standardeinstellung bei allen Newsletter-Tools), muss zudem
noch das Tracking über eine zusätzliche Einwilligung (neben
dem Double-Opt-In) legitimiert sein, da der Interessent
das Tracking nicht ahnen konnte.
Praxistipp: Ich habe noch
Newslettereinwilligungen
von Kunden vor der
Geltung der DSGVO am 25. Mai 2018
vorliegen, darf ich diesen Kunden
meinen Newsletter zusenden ?
Es sollte von einem spezialisierten Anwalt im Einzelfall
überprüft werden, wie rechtssicher diese damaligen Einwilligungen
ausgestaltet waren und ob Sie noch den heutigen
Maßstäben entsprechen. In der Regel entsprechen diese
alten Einwilligungen nicht mehr den datenschutzrechtlichen
Anforderungen. Es sollte eine betriebswirtschaftliche
Abwägung erfolgen, ob Sie diese „Einwilligungen“ weiter
nutzen. In jedem Fall sollten Sie in jeden Newsletter einen
„Abmelde-Link“ aufnehmen, der durch einfaches Anklicken
zur Abmeldung vom Newsletter führt. Dies kann in der Praxis
viel Stress bei der Pflege des Datenbestandes der Newsletterdatenbank
vermeiden.
RA Marcus Dury LL.M.
Fachanwalt für IT-Recht
l) Anklickbarkeit der Verlinkungen in der Datenschutzerklärung
/ allgemeine Gestaltung
Die in der Datenschutzerklärung enthaltenen Verlinkungen
(Links) zu Opt-Out-Tools und allen sonstigen relevanten Seiten
müssen funktionieren. Überdies sollte auf eine übersichtliche
und lesbare Gestaltung der Datenschutzerklärung geachtet
werden. So sollte die Datenschutzerklärung untergliedert und
die Überschriften zu den einzelnen Abschnitten als solche zu erkennen
sein. Die Verwendung von anschaulichen Zeichen und
Symbolen ist diesbezüglich wünschenswert.
m) Informationen zu eingesetzter Tracking-Technik (z. B.
Matomo oder Google Analytics)
Viele Webseiten setzen nach wie vor Web-Tracking-Techniken
ein, die Nutzerinteraktionen, Herkunft und Verweildauer aufzeichnen.
Da derartige Tracking-Tools personenbezogene Daten
erheben, verarbeiten und speichern, sind strenge Vorgaben
hinsichtlich des Datenschutzes einzuhalten. Nutzen Sie am besten
selbst gehostete Tracking-Tools wie Matomo, um datenschutzrechtliche
Klimmzüge und ein Einwilligungserfordernis
zu vermeiden.
21