Rechtssichere Datenschutzerklärung erstellen lassen

Was ist eine Datenschutzerklärung?

Eine Datenschutzerklärung informiert den Nutzer einer Website darüber, welche personenbezogenen Daten erhoben und wie sie gespeichert und verwendet werden. Mit personenbezogenen Daten sind zunächst offensichtlich geschützte Informationen wie Name, Adresse und Telefonnummer gemeint. Darüber hinaus geht es aber auch um Daten, die der Nutzer nicht bewusst, sondern automatisch herausgibt. Dazu gehören insbesondere die IP-Adresse und die aufgerufenen Websites. Zur Erstellung einer solchen Erklärung werden oft Datenschutzerklärung-Generator oder Muster verwendet. Die Vor- und Nachteile erläutern wir weiter unten.

Was gehört in die Datenschutzerklärung?

Die Existenz einer Datenschutzerklärung reicht für einen rechtskonformen Internetauftritt nicht aus. Stattdessen enthält die DSGVO hohe Anforderungen an den Aufbau und den Inhalt. Sie sind aller gleichermaßen bedeutsam, da jeder Fehler zu einer Abmahnung oder einem Bußgeld führen kann. Beim Händlerbund kannst du deshalb eine rechtssichere Datenschutzerklärung erstellen lassen, so dass du dir diesbezüglich keine Gedanken machen musst.

Wie muss sie aufgebaut sein?

Da der Zweck der Datenschutzerklärung die Aufklärung der Nutzer einer Internetseite ist, muss sie auch für Laien verständlich formuliert sein. Das heißt, die Sprache sollte zwar präzise, aber dennoch einfach und klar sein. Fachwörter und lange, verkastelte Sätze sind deshalb zu vermeiden. Empfehlenswert sind dagegen grafische Elemente wie Tabellen oder Aufzählungen.

Wer benötigt eine Datenschutzerklärung?

Du brauchst eine Datenschutzerklärung, wenn durch den Besuch auf deiner Website personenbezogene Daten erfasst, gespeichert oder verarbeitet werden. Theoretisch ist es möglich, dass eine rein private Seite diese Voraussetzung nicht erfüllt. In aller Regel werden aber jedenfalls IP-Adressen oder Interessen der Nutzer erfasst. Selbst die kleinsten rein privaten Blogs verwenden mittlerweile Cookies oder Kontaktformulare und sammeln Daten. Aus diesen Gründen kommt es bei privaten Seiten nur sehr selten und bei geschäftsmäßigen Websites nie vor, dass rechtssicher auf eine Datenschutzerklärung verzichtet werden kann.

Hinweise zur Einbindung der Datenschutzerklärung

Gemäß § 13 Digitale-Dienste-Gesetz (DDG) müssen Betreiber von Online-Shops und andere Dienstanbieter die Benutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten unterrichten. Die Datenschutzerklärung sollte gut sichtbar und über eine jederzeit abrufbare Schaltfläche in der Hauptnavigation (z.B. Footer) eingebunden werden.

Verwendung von Cookies

Am 01.10.2019 hat der Europäische Gerichtshof zu ewig währenden Fragen nach der rechtlich korrekten Verwendung von Cookies mit einem Urteil Stellung bezogen. Jeder, der eine eigene Website betreibt, sei es einen eigenen Online-Shop, einen Blog oder eine Präsentationsseite, muss demnach für viele Cookies die aktive Einwilligung des Seitenbesuchers einholen. Auch der Bundesgerichtshof bekräftigte in einem Urteil die aktive Einwilligung.

Was muss beachtet werden?

Werden die Cookies mit Einwilligung gesetzt, muss auch in der Datenschutzerklärung über die Einwilligung als Rechtsgrundlage für die Verwendung von Cookies informiert werden.

Mitglieder des Händlerbundes haben hier den Vorteil, im Rechtstexte-Generator eine entsprechende Einstellung auswählen zu können. So ist es ohne Probleme möglich, die erstellte Datenschutzerklärung in Einklang mit dem EuGH-Urteil zu bringen. Zudem ist in jedem Mitgliedschaftspaket ein Cookie-Consent-Tool inklusive.

Umgang mit Google Analytics

Zu den Website-Analysetools zählen neben Google Analytics z.B. auch Matomo und etracker. In der Datenschutzerklärung muss für jedes Tool gesondert die Funktionsweise, der Empfänger, das Widerrufsrecht und die Datennutzung erklärt werden.

Speziell bei Google Analytics solltest du darauf achten, dass du mit Google einen Vertrag über die Auftragsdatenvereinbarung schließt, das Analyse-Tool nur mit gekürzten IP-Adressen verwendest und ggf. noch bestehende Alt-Daten löscht. Nutze das Tracking-Tool Google Analytics nur mit der Erweiterung "anonymizeIP", um so eine unzulässige und abmahngefährdete unanonymisierte Datenübertragung zu verhindern.

Hintergrund des Prozedere ist, dass Google Analytics die getrackten Daten des Seitenbesuchers direkt an Google übermittelt. Da es sich bei der IP-Adresse um personenbezogene Daten handelt, ist das hochproblematisch. Der Zusatz im Quellcode "ga('set', 'anonymizeIp', true);" sorgt dafür, dass die letzten 8 Bit der IP-Adresse gelöscht werden. So wird der Seitenbesucher für das Unternehmen Google anonym.

Verwendung von Social-Media-Plugins

Nach einem Urteil des Europäischen Gerichtshofes (EuGH, Urteil v. 29. Juli 2019, Aktenzeichen C-40/17) steht fest, dass Betreiber von Websites, die den Like-Button von Facebook implementiert haben, für die Einhaltung datenschutzrechtlicher Vorgaben neben Facebook mitverantwortlich sind.

Soll das Plugin genutzt werden, muss mit Facebook eine Vereinbarung über die gemeinsame Verantwortlichkeit gem. Art. 26 DSGVO abgeschlossen werden. Auch in der Datenschutzerklärung sind entsprechende Hinweise nötig. Soll das Plugin genutzt werden, empfiehlt es sich, ein sog. 2-Klick-Modell zu nutzen. Auch damit ist die Nutzung des Like-Buttons aber nicht vollkommen rechtssicher.

Wissenswertes zum Thema Datenschutzerklärung

Wo ist der Datenschutz geregelt?

Mit der rasanten Entwicklung des Internets geriet auch der Datenschutz auf Websites immer mehr in den Fokus der Verbraucher und des Gesetzgebers. Betreiber einer Website müssen sich an die Vorgaben aus mehreren verschiedenen Gesetzen halten.

Das Digitale-Dienste-Gesetz (DDG)

Das DDG enthält Vorgaben für die Verwendung von Telemedien, zu denen auch Internetauftritte gehören. Ein Großteil der Paragraphen regelt den Umgang mit personenbezogenen Daten. § 13 Absatz 1 DDG beschreibt Informationspflichten des Dienstanbieters gegenüber den Nutzern.

Das Bundesdatenschutzgesetz (BDSG)

Das BDSG enthält zahlreiche Regelungen für die Verarbeitung personenbezogener Daten. Nach § 1 Absatz 1 Satz 2 BDSG gilt es auch für nichtöffentliche Stellen, solange es sich nicht um rein private Angelegenheiten handelt. Die einzelnen Paragraphen zielen darauf ab, Nutzern ein möglichst großes Selbstbestimmungsrecht über die eigenen Daten zu verschaffen. Das heißt beispielsweise, dass so wenig Daten wie möglich erhoben werden sollten und dass der Nutzer über die Erhebung informiert werden und gegebenenfalls zustimmen muss.

Die Datenschutzgrundverordnung (DSGVO)

Die DSGVO der Europäischen Union ist die bekannteste und wichtigste Rechtsgrundlage. Sie enthält einheitliche Regelungen für alle Mitgliedsstaaten und ist am 25. Mai 2018 in Kraft getreten. Viele der enthaltenen Vorschriften waren komplett neu oder haben die damalige gesetzliche Lage in Deutschland deutlich verschärft. Aus diesem Grund ergeben sich die in den folgenden Absätzen angesprochenen Anforderungen an die Datenschutzerklärung aus der DSGVO.

Muss die Erklärung auf deutsch sein?

Die DSGVO bestimmt nicht ausdrücklich in welchen Sprachen eine Datenschutzerklärung erstellt sein muss. Allerdings muss die Datenschutzerklärung für die betroffenen Personen verständlich sein (Art. 12 Absatz 1 Satz 1 DSGVO). Daher kommt es darauf an, an wen sich Ihr Angebot richtet. Wenn die komplette Website auf deutsch verfasst ist und Sie nur deutsche Kunden erreichen wollen, brauchen Sie eine deutsche Datenschutzerklärung. Richtet sich Ihr Angebot auch an Kunden aus anderen Staaten, ist die Datenschutzerklärung entsprechend zu übersetzen.

Kann ich eine kostenlose Datenschutzerklärung aus dem Internet kopieren? 

Es wird nicht empfohlen, eine kostenlose Datenschutzerklärung aus dem Internet zu kopieren. Diese sind oft nicht auf die individuellen Bedürfnisse deines Unternehmens zugeschnitten und können rechtliche Lücken enthalten, die zu Abmahnungen führen können.

Welche Informationspflichten hat jeder Betreiber einer Website?

Die Informationspflichten ergeben sich aus den Art. 12 bis 15 DSGVO. Folgende Angaben muss die Datenschutzerklärung auf jeden Fall enthalten:

1. Die Kontaktdaten des Unternehmens oder der Person, die für die Verwendung der personenbezogenen Daten verantwortlich ist und die die wesentlichen Entscheidungen trifft. Wer das ist, hängt von Ihrem Geschäftsmodell ab.
2. Sie müssen die Rechtsgrundlagen nennen, aufgrund derer Sie personenbezogene Daten verarbeiten. Das kann beispielsweise Art. 6 DSGVO sein. Die konkrete Norm hängt von der Gestaltung Ihrer Website ab.
3. Darüber hinaus müssen Sie den Nutzern Ihrer Website erklären, warum die Daten erhoben und verarbeitet werden und wie lange die Daten gespeichert werden.

Welche weiteren Informationspflichten gibt es?

Weitere Informationspflichten hängen von den Details des Internetauftritts und des Inhabers ab.

1. Gibt es in Ihrem Unternehmen einen internen oder externen Datenschutzbeauftragten? Wenn ja, müssen seine Kontaktdaten, beispielsweise seine E-Mail-Adresse, angegeben werden.
2. Falls Sie die personenbezogenen Daten an Dritte weitergeben, deren Server außerhalb der EU liegen, müssen Sie dies erwähnen. Dazu gehört auch die Information, ob ein Datenschutzabkommen mit dem betreffenden Land besteht. Ein Beispiel dafür ist das Privacy-Shield-Abkommen mit den USA.
3. Sammeln Sie Daten mit der Begründung, dass Sie ein berechtigtes Interesse haben, müssen Sie diese Interesse angeben.
4. Wird ein Nutzer zur Eingabe von Daten aufgefordert, hat er ein Recht darauf zu erfahren, ob er dazu verpflichtet ist. Außerdem sollten Sie ihn darüber informieren, welche Konsequenzen entstehen, wenn es seine Daten für sich behält.
   

Auf welche Rechte müssen die Nutzer hingewiesen werden?

Die Nutzer von Websites haben unter anderem durch die DSGVO verschiedene Rechte in Bezug auf ihre personenbezogenen Daten. Über diese Rechte müssen Sie die Nutzer Ihrer Internetauftritte informieren. Diese Aufklärung darf nicht zwischen den zahlreichen anderen Informationen untergehen. Deshalb ist es empfehlenswert diese Textabschnitte hervorzuheben, indem sie beispielsweise fett geschrieben werden. Folgende Betroffenenrechte haben Nutzer laut DSGVO:

1. Widerspruchsrecht
2. Widerrufsrecht
3. Recht auf Auskunft
4. Beschwerderecht bei einer Aufsichtsbehörde
5. Recht auf Datenübertragbarkeit

Was kostet die Erstellung einer Datenschutzerklärung von einem Anwalt?

Die Kosten für die Erstellung einer Datenschutzerklärung durch einen Anwalt variieren je nach Umfang und Komplexität des Unternehmens. Typischerweise liegen die Preise zwischen 500 und 2.500 Euro. Beim Händlerbund ist die Erstellung in der Mitgliedschaft enthalten, was eine kosteneffiziente Alternative darstellt.

Was muss bei der Verwendung von Cookies beachtet werden?

Sowohl der Europäische Gerichtshof als auch der Bundesgerichtshof haben festgestellt, dass Betreiber von Internetseiten verpflichtet sind, vor der Verwendung von Cookies hierfür die Einwilligung der Nutzer einzuholen. Zusätzlich muss darüber in der Datenschutzerklärung aufgeklärt werden, darauf sollte bei der Erstellung unbedingt geachtet werden.

Was muss bei der Verwendung von externen Tools beachtet werden?

Es gibt verschiedene Tools, die Sie zur Website-Analyse oder Marketing-Zwecke verwenden können. Falls Sie sich für ein oder mehrere Tools entscheiden, sind Sie verpflichtet für jedes Tool einzeln die oben genannten Pflichtangaben in der Datenschutzerklärung zu machen. Das heißt, dass Sie die Funktionsweise beschreiben und über das Widerrufsrecht und die Datennutzung aufklären müssen.

Was muss bei der Verwendung von Social Media-Plugins beachtet werden?

Da Social Media-Plattformen ein wichtiges Werbemittel sind, erfreut sich die Einbindung von so genannten Social Media-Plugins großer Beliebtheit. Gemeint ist damit beispielsweise ein Like-Button von Facebook, der in die Website integriert ist. Trotz aller praktischer Vorteile sollten Sie mit dieser Möglichkeit sehr vorsichtig umgehen, da Sie dadurch dafür mitverantwortlich sind, ob Facebook alle datenschutzrechtlichen Vorgaben erfüllt. Sollte Sie sich dennoch dafür entscheiden, gehört ein entsprechender Hinweis in die Datenschutzerklärung.

Wie muss die Datenschutzerklärung erreichbar sein?

Neben den inhaltlichen Anforderungen ist auch die Platzierung der Datenschutzerklärung sehr wichtig. Sie muss von jeder Unterseite Ihres Internetauftritt erreichbar sein. Viele Betreiber verlinken die erstellte Datenschutzerklärung in einer Fußzeile (Footer), die auf allen Unterseiten zu sehen ist. Sie sollten kontrollieren, ob der Link auch während des Bestellvorgangs zu sehen ist. Außerdem darf er zu keinem Zeitpunkt von Animationen, Werbung oder Bannern verdeckt werden. Es ist nicht ausreichend, dass die Datenschutzerklärung auf der gleichen Unterseite wie das Impressum steht. Anders wäre das nur, wenn der Link beispielsweise als "Impressum und Datenschutz" bezeichnet werden würde. Kurz gesagt: Die Datenschutzerklärung sollte von überall mit nur einem Klick auf einen eindeutig bezeichneten Button erreichbar sein.

Muss der Website-Besucher der Datenschutzerklärung zustimmen?

Der Nutzer muss nicht der kompletten Datenschutzerklärung zustimmen. Diese dient in erster Linie der Information des Nutzers. Allerdings gibt es einige Daten, die nur nach Zustimmung erhoben werden dürfen. Dies betrifft vor allem Cookies und die oftmals damit verbundene Werbeanalyse. Wichtig ist, dass die Zustimmung vor dem Zugriff auf die Daten erteilt werden muss. Zusätzlich besteht eine Hinweispflicht innerhalb der Datenschutzerklärung.

Wie oft muss die Datenschutzerklärung aktualisiert werden? 

Die Datenschutzerklärung sollte immer dann aktualisiert werden, wenn sich rechtliche Vorgaben ändern oder dein Unternehmen neue Datenverarbeitungsprozesse einführt. Regelmäßige Überprüfungen sind wichtig, um rechtliche Sicherheit zu gewährleisten. Der Händlerbund bietet hier laufende Updates im Rahmen der Mitgliedschaft an.

Wann ist eine Änderung notwendig?

Als Betreiber einer Website sind Sie für eine korrekte Datenschutzerklärung verantwortlich. Dazu gehört selbstverständlich, dass die Datenschutzerklärung aktuelle Daten enthält und an die derzeitigen Gesetze angepasst ist. Aus diesem Grund sollten Sie regelmäßig kontrollieren, ob es Änderungen gegeben hat. Als Händlerbund-Mitglied werden Sie jederzeit auf dem aktuellen Stand gehalten, sobald eine Änderung Ihrer Datenschutzerklärung aufgrund gesetzlicher Neuregelungen erforderlich ist.

Was droht bei fehlender oder falscher Datenschutzerklärung?

Verstöße gegen die DSGVO können mit Bußgeldern geahndet werden. Je nach Einnahmen des Unternehmens können sie bis zu 20 Millionen Euro betragen. Neben den Staat können aber auch natürlich oder juristische Personen gegen Fehler vorgehen. Wenn der Betreiber eine gewerblichen Website keine oder eine fehlerhafte Datenschutzerklärung veröffentlicht, ist dies nach ständiger Rechtsprechung ein Wettbewerbsverstoß. Das hat zur Folge, dass Konkurrenten den Inhaber abmahnen dürfen. Das gleiche Recht haben Verbraucherschutzverbände. Eine Abmahnung ist regelmäßig mit Kosten verbunden. Teilweise entsteht auch ein Schadensersatzanspruch.

Was ist das Kopplungsverbot nach DSGVO?

Das Erfassen von E-Mail-Adressen und Telefonnummern stellt einen wesentlichen Aspekt im heutigen Marketing dar. Idealerweise archivieren Online-Anbieter neben diesen Kontaktdaten auch die Vorlieben und Interessen ihrer potenziellen Kundschaft, um maßgeschneiderte Werbung anzubieten.

Früher war es üblich, E-Mail-Adressen, die aus anderen Gründen, wie zum Beispiel für einen Vertragsabschluss, übermittelt wurden, für Werbezwecke zu nutzen. Da die meisten Personen ihre Informationen nicht für Werbezwecke teilen möchten, wurden solche Kopplungsverbote mit der Einführung der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union untersagt.