Aus den Gesprächen mit den Verbundprojekten hat das BeDien Team vor allem das Interesse für das Thema Datenschutz vernommen. Spätestens seit dem Inkrafttreten der neuen Datenschutzgrundverordnung (DSGVO) am 25. Mai 2018 ist das Thema schließlich in aller Munde. Doch was ist die DSGVO überhaupt? Wer ist von der DSGVO betroffen? Was sollte man – insbesondere als Webseitenbetreiber - beachten? Was passiert bei Untätigkeit? Dieser Blogartikel liefert Antworten.
In Zeiten des digitalen Wandels ist die Verarbeitung von persönlichen Informationen bzw. personenbezogenen Daten ein zentrales Thema. Dabei ist der ausschlaggebende Punkt für die DSGVO die digitale Datenverarbeitung, denn ohne Rechtsgrundlage darf eine Erhebung, Speicherung und Verwendung personenbezogener Daten nicht erfolgen. Nur wirklich benötigte, für konkrete Zwecke festgelegte Daten dürfen verarbeitet werden.
Datenschutz ist ein Grundrecht und damit Pfeiler des Fundaments der Europäischen Union (EU). In Europa basiert eine rechtskonforme Datenverarbeitung auf Grundsätzen wie Rechtmäßigkeit, Zweckbindung, Datensparsamkeit oder Erforderlichkeit der Speicherung. Die DSGVO vereinheitlicht die Regelungen in den 28 Mitgliedstaaten der EU. Ziel ist es, den Schutz privater Daten der Bürgerinnen und Bürger Europas, die Unternehmen und Institutionen zu geschäftlichen bzw. vertraglichen Zwecken mitgeteilt und zur Speicherung und Verarbeitung zur Verfügung gestellt werden, zu gewährleisten.
Personenbezogene Daten können sein:
Ob Unternehmen oder Verein – jeder, der personenbezogene Daten verarbeitet, ist betroffen. Sind Name, Personalnummer, das Nummernschild am Kraftfahrzeug oder auch Haarfarbe und Kleidergröße bekannt, ist der Schutz der Daten sicherzustellen. Das gilt auch für Intermediäre, die die Datenerhebung und -speicherung gar nicht selbst durchführen, sondern die Daten nur weiterleiten.
Die DSGVO ist nicht nur für Großunternehmen relevant. Betroffen sind alle Unternehmen, die im Internet aktiv sind und personenbezogene Daten erfassen und verarbeiten – damit auch die BeDien Verbundprojekte mit Webpräsenz. Sobald eine Webseite betrieben wird, die ein Kontaktformular enthält, einen Newsletter verschickt, IP-Adressen speichert oder Cookies verwendet, ist der Geltungsbereich berührt.
Zusammengefasst geht es in den nachfolgenden Punkten um die Anonymisierung der erfassten Daten, sodass kein Rückschluss auf einen einzelnen Nutzer möglich ist. Die Datenverarbeitung muss exakt vom Webseitenbetreiber dokumentiert werden. Folgende Dinge sollten Sie im Auge behalten:
1. Datenschutzerklärung:
Die Erklärung sollte auf den neuesten Stand gebracht werden, um den Vorgaben der DSGVO zu genügen. Eine Beschreibung aller erhobenen personenspezifischen Daten sowie eine Aufklärung des Nutzers über alle Vorgänge, bei denen eine Datenverarbeitung stattfindet, muss erfolgen. Eine Angabe über den Zweck und die Rechtsgrundlage der Verarbeitung personenspezifischer Daten muss für jedes für die Erhebung personenspezifischer Daten geeignete Tool erfolgen. Besonders wichtig ist das Informieren der Betroffenen über ihre Rechte: Artikel 13 der DSGVO gibt Aufschluss über die Pflichtinformationen in der Datenschutzerklärung.
2. Datenschutzbeauftragter:
Wer mehr als zehn Mitarbeiter regelmäßig beschäftigt und personenbezogene Daten automatisiert verarbeitet, benötigt laut DSGVO in Verbindung mit dem Bundesdatenschutzgesetz (BDSG) einen Datenschutzbeauftragten. Dieser muss in der Datenschutzerklärung genannt werden.
3. Das SSL-Zertifikat:
Die Verschlüsselung von Webseiten ist ein Muss. Bei Erhebung personenbezogener Daten müssen Webseiten mit dem Secure-Sockets-Layer (SSL) verschlüsselt sein. Die Verschlüsselung findet zwischen Web-Browser und Server statt. Das SSL-Zertifikat ist sozusagen als ein Vertrag zwischen Web-Browser und Web-Server zu verstehen, welcher die Details aufzeigt und Konditionen definiert. Woher weiß man, ob SSL aktiviert ist? Das sieht man an einem kleinen Schloss-Icon ganz links in der Adresszeile des Browsers bzw. wenn die Webadresse mit „https://“ beginnt. Ist das nicht der Fall, sollte der Administrator die Webseite schnellstens mit einem SSL-Zertifikat versehen.
4. Umgang mit Cookies:
Schon beim Erstellen von Webseiten mit Content-Management-Systemen wie WordPress kommen Cookies (Austausch von Datenpaketen zwischen Web-Browser und Web-Server) standardmäßig zum Einsatz. Deshalb sollten Webseitenbetreiber durch ein Banner auf die Verwendung von Cookies hinweisen. Der Nutzer ist darüber zu informieren, dass bei weiterem Besuch der Webseite von seiner Einwilligung in die Verwendung von Cookies ausgegangen wird. Die rechtlichen Anforderungen an Cookies könnten sich jedoch bald ändern, wenn die sogenannte ePrivacy-Verordnung (ePVO) verabschiedet werden sollte. Die ePVO ergänzt die DSGVO, sie soll personenbezogene Daten in der elektronischen Kommunikation schützen.
5. Kontaktformulare:
Im Kontaktformular dürfen nur solche personenbezogenen Daten erhoben werden, die zur Beantwortung einer Anfrage wirklich benötigt werden. Weitere Angaben sind deutlich als „freiwillig“ zu kennzeichnen. Webseitenbetreiber sollten ihre Kontaktformulare dahingehend überprüfen.
6. Google Analytics:
Oft werden Tools wie Google Analytics zum Tracken der Besucher der Webseite verwendet. Hierzu werden IP-Adressen gesammelt. Eine Anonymisierung dieser IP-Adressen muss zukünftig von Webseitenbetreibern erfolgen, sodass kein Personenbezug mehr möglich ist. Demzufolge ist dem Nutzer eine „Opt-Out-Option“ einzuräumen, das heißt eine Möglichkeit, der Erfassung der persönlichen Daten durch Google zu widersprechen.Der meistgenutzte Instant-Messaging-Dienst auf dem Smartphone wird auch zunehmend im Unternehmensumfeld verwendet. Im Hinblick auf die DSGVO ist das jedoch kritisch zu betrachten. WhatsApp kann nur genutzt werden, wenn der Anwendung erlaubt wird, alle Kontaktdaten des Smartphones auszulesen. Hierfür müsste man allerdings alle im Adressbuch enthaltenen Kontakte explizit um die Einwilligung bitten – unrealistisch, denn den Aufwand werden wenige auf sich nehmen. Selbst wenn dazu verpflichtet wird, kann das Unternehmen nicht kontrollieren, ob die Einverständnisse tatsächlich eingeholt wurden.
Es ergeben sich zwei Optionen:
1. Die Nutzung von WhatsApp auf dienstlichen Smartphones grundsätzlich zu untersagen.
2. Eine Trennung zwischen privater und dienstlicher Umgebung per Software vornehmen. Dazu empfiehlt es sich ein unternehmensweites Mobile Device Management (MDM) mithilfe von Container-Lösungen für betriebliche Zwecke einzuführen. Das MDM ermöglicht eine zentrale Steuerung und Verwaltung von sämtlichen firmeneigenen mobilen Endgeräten wie Smartphones, Tablets und Laptops. So ließen sich selbst private Endgeräte einbinden.
Datenschutz ist ein heikles Thema. Dementsprechend wirken sich auch die Strafen aus, sollten keine Maßnahmen für den Datenschutz getroffen werden. Neben Haftstrafen und Schadensersatzklagen können Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Vorjahresumsatzes verhängt werden.
Möchten Sie mehr erfahren? Der Workshop rund um das Thema „Datenschutzrecht für personennahe Dienstleistungen“ findet am 19.09.2019 in Frankfurt am Main statt! Melden Sie sich bis zum 13.09.2019 an. Wir freuen uns auf Sie!