Der Komet 5606 – Seite 11

ARTIKEL - Europäische Datenschutz-Grundverordnung - Verbraucher bevorzugen Unternehmen, denen sie vertrauen können Für gewerbliche Betreiber von Webseiten und Online-Shops bedeutet das: Sie müssen auf die Einhaltung rechtlicher Vorgaben achten. Damit vermeiden sie teure Abmahnungen und Bußgelder. In diesem Zusammenhang spielt die Europäische Datenschutz-Grundverordnung (EU-DSGVO) eine besonders wichtige Rolle. Die Regelungen müssen ab 25. Mai 2018 von jedem Unternehmen angewandt werden, das personenbezogene Daten seiner Kunden erhebt. Datenschutz (EU-DSGVO) Ab 25. Mai 2018 müssen Unternehmen die Europäi- sche Datenschutz-Grundverordnung (EU-DSGVO) anwenden. Damit wird auch das Bundesdatenschutz- gesetz neu strukturiert. Die EU-DSGVO ist eine Ver- ordnung der Europäischen Union, die in allen EU-Mit- gliedstaaten für ein gleich hohes Datenschutzniveau sorgen wird. Darüber hinaus sieht die Verordnung eine stärkere Kontrolle und Transparenz der Verarbeitung personenbezogener Daten vor. Dies betrifft vor allem Online-Händler, aber auch alle anderen Unterneh- men, die personenbezogene Daten ihrer Kunden (z.B. Name, Adresse, E-Mail-Adresse, Telefonnummer) erheben. Die folgenden Informationen beziehen sich auf die Neuregelungen. Informationspflichten gegenüber den Nutzern Jeder Unternehmer, der über seine Webseite, seinen Online-Shop oder andere digitale Angebote personen- bezogene Daten seiner Kunden erhebt, muss in einer sog. Datenschutzerklärung u.a. folgende Informa- tionen zur Verfügung stellen: • die Art der Daten, die erhoben werden • den Umfang der Daten, • den Namen und die Kontaktdaten des Verantwortlichen • gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten • den Zweck der Erhebung, die Verarbeitung oder Nutzung der Daten, die Rechtsgrundlage, • die Speicherdauer, das Recht auf Auskunft, Berichtigung oder Löschung etwaig bestehende Widerrufsrechte. Wichtig: Nach der EU-Datenschutzgrundverordnung (EU-DSGVO) und dem Bundesdatenschutzgesetz (BDSG) hat der Nutzer gegenüber dem Seitenbe- treiber ein Recht auf Auskunft über die betreffenden personenbezogenen Daten. Er hat außerdem ein Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung (Sperrung) sowie das Recht auf Daten- übertragbarkeit. Über diese und weitere Rechte muss der Seitenbetreiber die Nutzer in seiner Datenschut- zerklärung unterrichten und ihnen aufzeigen, wie sie diese Rechte wahrnehmen können. Er ist darüber hinaus dazu verpflichtet, dem Betroffenen die Aus- übung dieser Rechte so leicht wie möglich zu gestal- ten (Art. 12 Abs. 2 EU-DSGVO). Alle Informationen werden in der Datenschutzerklärung zusammenge- fasst und auf der Webseite veröffentlicht. Grundlage für die genannten Informationspflichten sind u.a. § 13 Abs. 1 Telemediengesetz sowie Art. 13 EU-DSGVO. Erstellung einer Datenschutzerklärung Die Datenschutzerklärung muss allgemein verständ- lich, übersichtlich und ansprechend gestaltet sein. Alle darin enthaltenen Links sind richtig und anklick- bar. Die Datenschutzerklärung bezieht sich auf alle Datenverarbeitungsvorgänge, die auf der Webseite stattfinden. Dazu gehören beispielsweise der News- letterversand, Kontaktformulare, Kommentar-/Bewer- tungsbereiche, geschützte Mitgliederbereiche usw. Der Komet 5606|10.05.2018 Das heißt, alle Bereiche, in denen personenbezogene Daten verarbeitet werden. Sollten Sie Fragen zur Erstellung einer Datenschut- zerklärung haben, wenden Sie sich bitte an eine Rechtsanwältin bzw. einen Rechtsanwalt vor Ort. Die ungeprüfte Übernahme von Mustervorlagen für Datenschutzerklärungen aus dem Internet ist nicht empfehlenswert. Verfügbarkeit und Verlinkung der Datenschutzerklärung Die Hinweise zum Datenschutz müssen von den Nutzern jederzeit auf der Internetseite abgerufen werden können, § 13 Abs. 1 S. 3 TMG. Ähnlich wie das Impressum muss die Datenschutzerklärung mit einem sog. sprechenden Link versehen, also klar, ver- ständlich und gut platziert, sein. Die Bezeichnung des Links kann beispielsweise „Datenschutz" bzw. „Daten- schutzerklärung" lauten und ist von allen Seiten in der Regel über die Fußzeile abrufbar. Es reicht grundsätz- lich nicht aus, die Datenschutzerklärung in die AGB einzubinden oder als Unterpunkt im Impressum zu platzieren. Einwilligungserklärung des Nutzers Seitenbetreiber, die personenbezogene Daten verar- beiten möchten, müssen sich hierfür die Einwilligung des Nutzers einholen. Ausnahme: Die Daten werden zum Zweck eines (Vor-)Vertrages, einer rechtlichen Verpflichtung oder zur Wahrung überwiegender berechtigter Interessen verarbeitet (vgl. Art. 6 Abs. 1 EU-DSGVO sowie § 15 TMG). In diesen Fällen ist keine Einwilligung erforderlich. Als Einwilligung gilt jede freiwillig abgegebene Willensbekundung, die der zuvor informierte Nutzer für einen bestimmten Fall bezieht abgibt. Die Einwilligung muss unmissver- ständlich sein und wird in Form einer grundsätzlich nicht formgebundenen Erklärung, durch das Setzen eines Häkchens oder einer sonstigen eindeutigen bestätigenden Handlung abgegeben. Damit stimmt die betroffene Person zu, dass sie mit der Verarbei- tung ihrer personenbezogenen Daten einverstanden ist. Der Betreiber der Webseite muss in jedem Fall nachweisen können, dass der Nutzer in die Daten- verarbeitung eingewilligt hat. Insbesondere für die schriftliche Erklärung, die auch noch andere Sachver- halte betrifft (z. B. AGB), muss auf eine verständliche und leicht zugängliche Form sowie eine klare und einfache Sprache geachtet werde. Die Einwilligungs- erklärung muss sich von den anderen Sachverhalten klar unterscheiden. Außerdem muss der Nutzer vor Abgabe der Einwilligung darüber informiert werden, dass er seine Einwilligung jederzeit widerrufen kann. Der Widerruf der Einwilligung muss dabei genau so einfach wie die Erteilung der Einwilligung sein. Nutzung von Cookies Cookies sind Informationen, die auf dem Computer des Nutzers in einer kleinen Textdatei hinterlegt und bei einem erneuten Besuch einer bestimmten Inter- netseite von deren Betreiber ausgelesen werden. Online-Shops nutzen regelmäßig Cookies oder vergleichbare Techniken, um beispielsweise den Warenkorb des Nutzers zu speichern und bei einem erneuten Seitenaufruf wieder anzuzeigen. Damit beinhalten Cookies personenbezogene Daten und sind datenschutzrechtlich relevant. Dies gilt selbst dann, wenn die Informationen nicht ohne Weiteres einer spezifischen Person zugeordnet werden können. Stichwort: „Pseudonymisierung" (Artikel 4 Nr.5 EU-DS- GVO). Zum Zwecke der Werbung, der Marktforschung oder zur bedarfsgerechten Gestaltung der Webseite, des Online-Shops o.a. können Nutzungsprofile anhand von pseudonymisierten Daten erstellt werden, wenn der Nutzer dem nicht widerspricht (§ 15 Abs. 3 TMG). Der Betreiber der Webseite muss die Nutzer allerdings neben den sonstigen Informationen - u.a. zum Einsatz von Cookies und zum Zweck der Datenverarbeitung- auf ihr Widerspruchsrecht hinweisen. Die EU-DSGVO selbst regelt den Einsatz von Cookies nicht, da diese in den Anwendungsbereich der geplanten ePrivacy-Ver- ordnung der Europäischen Union fallen. Bis zum Inkrafttreten der ePrivacy-Verordnung gilt allerdings die bisherige Regelung aus dem Telemediengesetz (s.o., Art. 95 EU-DSGVO) oder alternativ (Art. 6 Abs. 1 lit. f) EU-DSGVO („berechtigtes Interesse“). Bitte lassen Sie sich hierzu im Zweifel beraten. Newsletter-Versand Der Versand eines Newsletters setzt in der Regel eine vorherige ausdrückliche und eindeutige bestätigende Einwilligung des informierten Nutzers voraus. Da diese Einwilligung vom Seitenbetreiber nachgewiesen werden muss (Art. 7 Abs. 1 EU-DSGVO), ist das sog. Double-Opt-In-Verfahren - in der Regel in Verbindung mit einer elektronischen Protokollierung - erforder- lich. Ein einfaches Opt-Out-Verfahren ist dagegen nicht zulässig. Der Nutzer hat zudem das Recht, die Einwilligung jederzeit zu widerrufen und muss vor Abgabe der Einwilligung über sein Widerrufsrecht informiert werden (Art. 7 Abs. 3 EU-DSGVO). Da der Widerruf genauso einfach wie die Erteilung der Ein- willigung sein muss, sollte bei jedem Versand auf die Möglichkeit einer Austragung aus dem News- letter-Verteiler hingewiesen und ein (anklickbarer) Link zur Abmeldung vom Newsletter in den Newslet- ter-Mails (Opt-Out) eingebunden werden. Ausnahme: Elektronisch versandte Werbung ist auch dann ohne ausdrückliche Einwilligung zulässig, wenn • • der Unternehmer im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden dessen elektronische Postadresse (E-Mail- adresse o.a.) erhalten hat und der Unternehmer die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet und ⚫ der Kunde der Verwendung nicht widersprochen hat und ⚫ der Kunde bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen wird, dass er der Verwendung jederzeit widerspre- chen kann, ohne dass hierfür andere als die Über- mittlungskosten nach den Basistarifen entstehen. Diese Ausnahme gilt nur dann, wenn alle oben genannten Voraussetzungen vorliegen (§ 7 Abs.3 UWG). Datenübertragung in Drittstaaten außerhalb der EU Die Übermittlung von personenbezogenen Daten innerhalb der EU ist unproblematisch. Die Mitglied- staaten verfügen mit der EU-DSGVO im Vergleich zu anderen Drittländern über ein hohes Datenschutzni- veau. Vorsicht ist allerdings geboten, wenn Sie per- sonenbezogene Daten auf Server in Drittländern mit schwächeren Datenschutzbestimmungen übertra- gen. In diesem Fall müssen Sie sicherstellen, dass das in der EU geltende Schutzniveau für natürliche Per- sonen nicht untergraben wird. Dies gilt insbesondere für die Übertragung von Daten an Cloud-Anbieter, Social-Media-Plattformen und weitere Unternehmen mit Sitz in den USA. Erkundigen Sie sich im Zweifel beispielsweise bei Ihrem Datenschutzbeauftragten, welche Maßnahmen Sie hier ergreifen müssen. Datenaustausch mit anderen Webseiten Die Nutzung von externen Web-Services, wie zum Beispiel des Facebook-Like-Buttons, auf der eigenen 11