Die neue DSGVO

Neue DSGVO tritt ab Mai 2018 in Kraft – sind Sie gut vorbereitet? Schon seit mehreren Jahren spielt der Datenschutz für Website- und Shop-Betreiber eine zentrale Rolle, sei es im Rahmen von E-Mail-Kampagnen, Kundenbestellungen oder Nutzertracking. Ab dem 25. Mai 2018 tritt die neue EU-DSGVO auch in Deutschland in Kraft. Über 90 Prozent aller Website-Betreiber haben ihre Website noch nicht DSGVO-konform umgesetzt. Nun drohen teure Bußgelder und viel Ärger. Jetzt, Anfang Mai, ist es schon fast zu spät, denn die Umsetzungen lassen sich nicht in wenigen Stunden realisieren. Gerade auch im Online-Marketing sind nicht nur für das Speichern von Daten, sondern insbesondere auch für das Löschen dieser Daten ganz besondere Schritte notwendig, dabei ist für jede einzelne Website bzw. jedes Unternehmen die Ausgangssituation individuell. Welche Veränderungen auf Seitenbetreiber und Online-Händler warten und was diese für Websites und Blogs letztlich bedeuten, möchten wir Ihnen im Folgenden vorstellen. Weder Rechtsberatung noch Haftung – dennoch viel Know-how Wir von der ONMA Online Marketing GmbH sind weder Rechtsanwalt noch externer Datenschutzbeauftragter und können daher keine haftbarmachende Beratung durchführen. Vermutlich wird sich auch keine Kanzlei finden lassen, die die Haftung für die Nichteinhaltung bzw. falsche Umsetzung der Datenschutzgrundverordnung anbietet. Jeder Unternehmer muss handeln und haftet auch selbst. Was ist die DSGVO? DSGVO ist die Abkürzung für Datenschutzgrundverordnung. Dabei handelt es sich um ein EU-Gesetz, das bereits seit dem 25. Mai 2016 für alle Mitgliedsländer gilt. Zwei Jahre später, am 25. Mai 2018, wird die DSGVO nun für alle Pflicht. Generell werden in dieser Verordnung sämtliche Anforderungen an den Datenschutz für Unternehmen geregelt – also der Umgang mit personenbezogenen Daten. Bisher wurde das Datenschutzmanagement im Bundesdatenschutzgesetz geregelt, was durch die DSGVO angepasst wird. Ziel Für wen gilt die DSGVO? Strafen & Bußgelder Zuständigkeiten Abmahnungen Ziel Ziel Das Ziel der DSGVO ist schlussendlich die Vereinheitlichung des Datenschutzrechts innerhalb der EU. Bislang galten in allen Ländern unterschiedliche Datenschutzgesetze und damit auch verschiedene Standards. Künftig gilt also ein (überwiegend) gleich geltendes Datenschutzrecht, auch für Unternehmen außerhalb der EU, die Daten von Usern aus der EU speichern. Außerdem soll das Datenschutzrecht für betroffene Nutzer datenschutzfreundlicher werden: Jeder User soll mehr Kontrolle über seine personenbezogenen Daten haben. Auch soziale Netzwerke oder Cloud-Dienste aus Amerika müssen sich an die Regeln halten, dafür sorgen vor allem die höheren Bußgelder (bis zu 20 Millionen). Für wen gilt die DSGVO? Für wen gilt die neue Datenschutzgrundverordnung? Die DSGVO gilt für alle Unternehmen, die in Europa ansässig sind. Auch außereuropäische Unternehmen müssen sich an die neuen Regelungen halten, wenn sie mindestens eine Niederlassung in der EU haben oder personenbezogene Daten (Name, Adresse, Mailadresse, Geburtstag, Telefon- und Handynummer, Kfz-Kennzeichen, Standortdaten, Kontodaten, Cookies, IP-Adressen) von europäischen Bürgern speichern. Strafen & Bußgelder Strafen & Bußgelder Neu in der Datenschutzgrundverordnung sind vor allem die erhöhten Bußgelder und Strafen. So mussten Unternehmen bislang für schwere Verstöße zwischen 50.000 und max. 300.000 Euro zahlen. Ab Mai 2018 sind es Bußgelder in Höhe von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Vorjahresverdienstes. Zuständigkeiten One-Stop-Shop und Zuständigkeiten Die Zuständigkeiten der Behörden sind bis dato noch nicht ganz geklärt. Es stellt sich also die Frage, ob nun ein Landesdatenschutzbeauftragter, Bundesdatenschutzbeauftragter oder Datenschutzbeauftragter in anderen europäischen Ländern zuständig ist. Damit hier kein Durcheinander entsteht, wurde ein One-Stop-Shop-Prinzip in die Verordnung in Art. 56 Abs. 1 integriert. Das Prinzip sieht vor, dass bei grenzüberschreitendem Verkehr von personenbezogenen Daten nur die Aufsichtsbehörde eines Unternehmens bei Verstößen gegen die DSGVO zuständig ist. Allerdings ist bislang auch noch nicht klar, wer die Höhe der Bußgelder bestimmt. Abmahnungen Abmahnungen Bei Datenschutzverstößen können Abmahnungen ausgesprochen und Gerichtsverfahren angeordnet werden. Aus folgendem simplen Grund: Datenschutzrecht hat eine wettbewerbsrechtliche Bedeutung und Richter sind berechtigt, Verstöße nach der DSGVO abzumahnen.

Neuregelungen in der Datenschutzgrundverordnung Verzeichnis aller Tätigkeiten Datenschutzerklärung Einwilligungserklärung Datenschutzfolgenabschätzung Recht auf Vergessenwerden Recht auf Datenportabilität Rechenschaftspflicht Cookies Kommentare im Blog Google Analytics Newsletter Social Media Werbung Verzeichnis aller Tätigkeiten Führung eines Verzeichnisses aller Tätigkeiten der Datenverarbeitung Die DSGVO fordert, dass Unternehmen die Verarbeitung von personenbezogenen Daten transparent in einem Verzeichnis beschreiben (Art. 30). Für kleine und mittelständische Unternehmen bedeutet diese Pflicht einen enorm hohen personellen und bürokratischen Aufwand. Aus diesem Grund wurde für KMUs mit weniger als 250 Mitarbeitern ein Ausnahmetatbestand beschlossen. Demnach sind solche Unternehmen von der Verzeichnisführung befreit – mit drei Ausnahmen: Die Rechte und Freiheiten der betroffenen Nutzer bergen durch die Verarbeitung ein Risiko. Die Verarbeitung der personenbezogenen Daten erfolgt regelmäßig. Die Datenverarbeitung erfolgt gemäß Art. 9 Abs. 1 DSGVO nach besonderen Kategorien oder gemäß Art. 10 DSGVO (strafrechtliche Verurteilungen und Straftaten). Datenschutzerklärung Datenschutzerklärung & Impressum Wenn Sie eine kommerzielle Website oder einen Blog betreiben, ist eine Datenschutzerklärung Pflicht. Diese sollte mit nur einem Klick zu erreichen sein und den Nutzer verständlich machen, wer und wie seine personenbezogenen Daten verarbeitet werden. Außerdem müssen sämtliche Tools, die Sie zur Datenspeicherung nutzen, leicht verständlich erklärt werden. Zu den Tools zählen unter anderem Kontaktformulare, Social-Media-Buttons, Newsletter, Cookies, Google Analytics, Targeting Tools (z. B.: AddThis) und Marketing Automation Tools. Website-Betreiber müssen Nutzern jederzeit die Möglichkeit geben, zu widerrufen oder ggf. eine Opt-out-Möglichkeit bieten. Ab dem 25. Mai 2018 dürfen überdies IP-Adressen nur noch in komprimierter und anonymisierter Form eingesetzt werden. Einwilligungserklärung Einwilligungserklärungen Für Website-Betreiber und Online-Händler ist die Einholung von Einwilligungen enorm wichtig, allerdings kennen viele die Anforderungen nicht. Form: Die DSGVO sieht spezielle Formanforderungen an eine Einwilligungserklärung vor. Demnach kann eine Einwilligung mündlich, schriftlich oder elektronisch eingeholt werden. Viel wichtiger ist jedoch die richtige Dokumentation. Opt-in/Opt-out: Eine Opt-out-Möglichkeit, die vor allem mit vorangekreuzten Kästchen, geboten wird, ist unwirksam. Deswegen sollten Sie sich die Nutzereinwilligung mittels eines Opt-in-Kästchens einholen. Inhalt: Die Einwilligungserklärung muss immer zweckgebunden sein und sämtliche Verarbeitungszwecke aufführen. So sind nach wie vor Generaleinwilligungen nicht gestattet. Nachweisbarkeit: Website- und Shop-Betreiber müssen immer nachweisen können, dass der Nutzer die Datenverarbeitung bewilligt hat. Widerruf: Nutzer haben immer noch das Recht, zu widerrufen. Neu in der DSGVO ist allerdings, dass der Widerruf genauso einfach sein muss wie die Einwilligungserteilung. Minderjährige: In Art. 7 der Datenschutzgrundverordnung ist ab Mai ein einheitliches Mindestalter geregelt. Damit sind sämtliche Einwilligungen von Nutzern unter 16 Jahren nur dann rechtswirksam, wenn die Erziehungsberechtigten damit einverstanden sind. Datenschutzfolgenabschätzung Datenschutzfolgenabschätzung Komplett neu für Website-Betreiber ist die Datenschutzfolgenabschätzung (Art. 35). Diese ist schriftlich zu dokumentieren und erfolgt grundsätzlich in drei Stufen: Systematische Risikobewertung: Unternehmen müssen einzelne Prozesse überprüfen und einschätzen, ob ein hohes Risiko für die Freiheiten und Rechte von Nutzern besteht. Besteht ein solches Risiko, sind Unternehmen verpflichtet, im zweiten Schritt eine Bewertung durchzuführen. Sie bewerten, ob die geplanten Sicherheitsvorkehrungen für den Schutz der Daten ausreichen. Zusätzlich müssen sie die Einhaltung der DSGVO nachweisen. Wenn die in der zweiten Stufe durchgeführte Bewertung ergeben hat, dass der Datenschutz nicht gewährleistet werden kann, muss die Aufsichtsbehörde konsultiert werden. Diese kann binnen acht Wochen eine Empfehlung aussprechen. In Deutschland ist der Bundesbeauftragte nach § 69 Abs. 1 BDSG n.F. die zuständige Behörde. Wenn Sie in Ihrem Unternehmen allerdings einen Datenschutzbeauftragten haben, wird dieser in die Durchführung einer Datenschutzfolgenabschätzung beratend eingebunden. Recht auf Vergessenwerden Recht auf Vergessenwerden Das Recht auf Löschung personenbezogener Daten ist nicht neu. Schon vor einiger Zeit entschied der EuGH, dass EU-Bürger unter bestimmten Voraussetzungen von Suchmaschinenbetreiber verlangen können, bestimmte Suchergebnisse zu löschen. Was viele jedoch nicht wissen, ist, dass das Recht auf Vergessenwerden gegen jede Stelle, die persönliche Daten verarbeitet, geltend gemacht werden kann. Also nicht nur bei Suchmaschinen! In Art. 17 der DSGVO gibt es nun eine eigenständige Regelung zum Recht auf Löschung. So sind Datenverarbeiter verpflichtet, Daten zu löschen, wenn … … der Zweck für die Verarbeitung weggefallen ist oder … die betroffene Person die Einwilligungserklärung widerrufen hat oder … die Datenverarbeitung unrechtmäßig war. Recht auf Datenportabilität Recht auf Datenportabilität In Art. 20 ist nun das neue Recht auf Datenübertragbarkeit geregelt. Mit der neuen Regelung können Nutzer ihre Daten an einen anderen Anbieter „übermitteln“. So haben sie das Recht, von dem Datenverantwortlichen zu verlangen, sämtliche personenbezogene Daten an einen anderen Datenverantwortlichen in einem gängigen Format weiterzugeben. Vor allem ist die Datenportabilität bei einem Wechsel zu anderen sozialen Netzwerken, des Arbeitgebers oder der Bank wichtig. Rechenschaftspflicht Rechenschaftspflicht Im Artikel 5 Abs. 2 der DSGVO ist eine neue Rechenschaftspflicht verankert. Demnach müssen Datenverantwortliche auf Aufforderung die Einhaltung sämtlicher Datenschutzprinzipien belegen können. Da die Bußgelder ab Mai enorm hoch sind, ist die Einrichtung eines Datenschutzmanagements sehr empfehlenswert. Noch ein Tipp: Dokumentieren Sie die Einhaltung aller Anforderungen, damit Sie im Fall der Fälle die datenschutzrechtliche Umsetzung nachweisen können. Cookies Cookies Besonders im Fokus stehen ab Mai 2018 Cookies. Cookies sind Daten, die von einer besuchten Website auf dem Rechner des Nutzers gespeichert werden. Schon seit vielen Jahren sorgen Cookies für zahlreiche Auseinandersetzungen zwischen Datenschützern und Experten aus der Online-Branche. Nun verschärft die DSGVO die Definition personenbezogener Daten, sodass wir davon ausgehen müssen, dass die Nutzung von Cookies nun noch kritischer beurteilt wird. Eigentlich würde hier der Einsatz von Opt-ins erforderlich sein, was die aktuell genutzten Opt-out ersetzen würde. Allerdings ist dies in der Praxis schwer umsetzbar, sodass viele bereits hier das Ende der Cookies befürchten. Wenn gewisse Anforderungen erfüllt werden, dürfen allerdings auch diese ohne eine Einwilligungserklärung künftig eingesetzt werden. Außerdem gibt es auch die sogenannten berechtigten Interessen. Diese sagen aus, dass Website-Betreiber Cookies einsetzen dürfen, wenn sie bestimmte Gründe belegen können, die über die Nutzerinteressen hinaus gehen. Diese Regelung gilt auch für das Marketing und Einnahmen. Nichtsdestotrotz ist die Formulierung sehr schwammig. Für eine genaue Definition wird es einige Urteile brauchen, doch wie es aussieht werden Cookies auch in Zukunft z. B. im Affiliate Marketing einsetzbar sein. Aber auch das ist nicht zu 100 Prozent geregelt. Hier heißt es: abwarten. Kommentare im Blog Kommentare zu Blog-Beiträgen Blog-Kommentare waren und sind nach wie vor ein unterschätztes Problem. Denn dabei werden E-Mail- und IP-Adressen (also personenbezogene Daten) des Users gespeichert. Auch in diesen Fall kann der Betreiber sein berechtigtes Interesse einsetzen, vor allem wenn er damit argumentiert, dass er bei z. B. Beleidigungen den Kommentierenden identifizieren muss. Selbstverständlich ist es auch möglich, Kommentare vollständig zu anonymisieren, jedoch würde jeder für seinen Kommentar selbst haften müssen. Auch hier gibt es noch keine exakten Regelungen, sodass wir in Zukunft auf genauere Aussagen warten müssen. Google Analytics Tracking mit Google Analytics Das Tracking mit diversen Services wie z. B. Google Analytics ist ein essenzieller Bestandteil der Suchmaschinenwerbung. Aber auch hier sollten Sie sich die DSGVO genauer anschauen. Glücklicherweise hat Google Analytics bereits viele Maßnahmen zur Erfüllung der Datenschutzanforderungen umgesetzt. Wenn Sie jetzt noch dafür sorgen, dass die Übertragung von IP-Adressen anonym erfolgt und User eine Opt-out-Möglichkeit erhalten, werden Sie keinerlei Probleme bekommen. Newsletter Newsletter Auch für Newsletter galt und gilt das Opt-in. Viele Services wie beispielsweise CleverReach bieten ausgereifte Systeme, Opt-ins von Usern sowie Abmeldungen problemlos und automatisch zu ermöglichen. Zusätzlich können sämtliche Handlungen der Nutzer dokumentiert werden. Social Media Social Media Von der Integrierung der offiziellen Social-Media-Buttons/-Plugins auf der eigenen Website wird ohnehin abgeraten. Der Grund: Sie übermitteln personenbezogene Daten bereits beim Aufrufen der Website, auch wenn der User kein Mitglied des sozialen Netzwerks ist. Die DSGVO verschärft nun die Empfehlung, an der sich in naher Zukunft auch nichts ändern wird. Werbung Werbung Die neuen Regelungen im Datenschutz erreichen auch die Internetwerbung. So sind Methoden wie das herkömmliche Remarketing oder Frequency Capping von nun an nicht mehr gestattet. Allerdings kann auch in diesem Fall der Website-Betreiber von seinem berechtigten Interesse Gebrauch machen. DSGVO & ePrivacy-Verordnung Der Umgang mit dem neuen Gesetz DSGVO & ePrivacy-Verordnung DSGVO und ePrivacy-Verordnung Die ePrivacy-Verordnung ersetzt die veralteten ePrivacy-Richtlinien und flankiert die Datenschutzgrundverordnung. Die ePrivacy-Verordnung ist also nicht identisch mit der DSGVO! Die Europäische Union verfolgt mit dieser Verordnung das Ziel, die Rechte und Freiheiten von Bürgern online zu stärken und den Datenschutz noch intensiver zu regulieren. Vor allem werden genauere Anforderungen z. B. an Cookies oder Tracking-Tools ausgesprochen. Zunächst war geplant, dass die DSGVO und die ePrivacy-Verordnung gemeinsam in Kraft treten, doch durch starke Kritik seitens von Online-Verbänden wird die ePrivacy-Verordnung voraussichtlich erst 2019 veröffentlicht. Der Umgang mit dem neuen Gesetz Wie sollen Unternehmen nun mit den neuen Anforderungen umgehen? Die neue DSGVO bedeutet insbesondere für Selbstständige und Einzelunternehmer einen enormen Aufwand durch die strengeren Auskunfts-, Melde- und Dokumentationspflichten. Vor allem, weil in vielen Artikeln der DSGVO noch keine genaueren Anforderungen stehen. Zwar ist alles umsetzbar, aber eben mit einer Menge Aufwand verbunden. Deswegen empfehlen wir Ihnen, Ihre Website so zu optimieren, dass die Speicherung und Verarbeitung personenbezogener Daten nach dem Motto „So wenig wie möglich, so viel wie nötig“ erfolgt. Checkliste für Website-Betreiber Datenschutzbeauftragen benennen (wenn nötig) Ein Verzeichnis der Verarbeitungstätigkeiten anlegen Prozesse festlegen und dokumentieren Datenschutzfolgeabschätzung durchführen (wenn nötig) Mit dem Hoster einen Auftragsdatenverarbeitungsvertrag schließen SSL-Verschlüsselung der Website Impressum anpassen (z. B. über einen Generator: https://www.e-recht24.de/impressum-generator.html) Datenschutzbestimmungen anpassen (https://www.e-recht24.de/muster-datenschutzerklaerung.html) Tracking Services wie Google Analytics datenschutzkonform gestalten Plugins datenschutzkonform einsetzen Cookie-Hinweis integrieren Bei WordPress: Plugins zur Löschung personenbezogener Daten integrieren – tolle weitere Infos zu Plugins von WordPress bzgl DSGVO hier Kontaktformulare anpassen Einwilligungserklärungen überarbeiten Fazit: Nicht abwarten, sondern handeln! In knapp einem Monat wird die neue DSGVO mit strengeren Datenschutzregeln in allen europäischen Ländern etabliert. Somit ist jedes Unternehmen verpflichtet, seine Website auf Basis der DSGVO anzupassen. Da die neuen Nachweis-, Rechenschafts- und Dokumentationspflichten mit einem enormen personellen und bürokratischen Aufwand einhergehen, sollten Sie sich beraten lassen und die Anpassungen ggf. einem Experten überlassen. Auch wir von der ONMA Online Marketing GmbH sind von den neuen Datenschutzregelungen betroffen. Unser Team beschäftigt sich intensiv mit den Anpassungen, wir wissen mittlerweile genau, worauf zu achten ist und welche Bereiche einer Website, eines Blogs oder Online-Shops besonders im Fokus stehen. Gerne unterstützen wir auch Ihr Unternehmen bei der Anpassung Ihrer Homepage an die strengeren Regelungen, kontaktieren Sie uns!