DS-GVO Update. Die 5 größten Datenschutzbaustellen auf der eigenen Firmenwebsite

Transkript

1 DS-GVO Update Die 5 größten Datenschutzbaustellen auf der eigenen Firmenwebsite

2 Die neuen Anforderungen der DS-GVO berücksichtigen und in der Datenschutzerklärung umsetzen.

3 Inhaltsverzeichnis Impressum 4 Vorwort 5 Baustelle 1: Nicht vorhandene Datenschutzerklärung 6 Baustelle 2: Benennung der Rechtsgrundlagen 8 Baustelle 3: Betroffenenrechte angeben 10 Baustelle 4: Fremdinhalte konform berücksichtigen 12 Baustelle 5: (Un)Sichere Datenübermittlung 14

4 Impressum: Herausgeber: fahrschulweb eine Initiative der Marc Weber Management GmbH Autor: Marc Weber Bezugsquelle: Marc Weber Management GmbH Lackerbauerstraße München Telefon Fax Stand: September 2018 Bildnachweis: fahrschulweb

5 Vorwort Im stetigen Wandel der Zeit haben sich mit der DS-GVO auch die Fehler in der Datenschutzerklärung verändert. Neue Anforderungen erfordern zum Teil eine gänzlich neu formulierte Datenschutzerklärung mit weitreichenden Fehlerquellen. Neben dem nach wie vor weit verbreiteten Klassiker, keine Datenschutzerklärung bereit zu stellen, erweisen sich zunehmend die technischen Aspekte als Achillesferse. Zahlreiche Generatoren und Mustervorlagen bieten einen hervorragenden Ansatz für die nun auszuführenden Standardinhalte wie Betroffenenrechte, Anschrift des Verantwortlichen bzw. die Nennung eines bestellten Datenschutzbeauftragten. Derartige Vorlagen stoßen jedoch recht schnell an ihre Grenzen, wenn es in die Individualität der einzelnen Websites geht. Die Erklärung einzelner Inhalte und Techniken ist dabei noch nicht einmal die maßgebende Herausforderung. Vielmehr ist die technische Implementierung von Programmcode und die Identifikation der einzelnen Features die Schwachstelle, die für zahlreiche Probleme sorgt. Ihr Marc Weber

6 1. Nicht vorhandene Datenschutzerklärung Die Lage Die eigene Firmenwebsite ist heute mehr denn je das digitale Schaufenster zur Kundengewinnung. Vielfach dient sie als erster und zentraler Anlaufspunkt für Interessenten, die sich über das Angebot und das Unternehmen informieren möchten. Der erste Eindruck ist dabei von entscheidender Bedeutung. Daher ist es wenig verwunderlich, dass Unternehmen viel Zeit, Engagement und ein bedeutendes Budget für die Realisierung einer gelungenen Internetpräsenz investieren. Dabei spielen ins Besondere das Design, der Inhalt (Content) und die Usability eine bedeutende Rolle. Neben diesen scheinbaren Kernelementen geraten die rechtlichen Aspekte vielfach in den Hintergrund. Die Anbieterkennung (Impressum) ist wohl noch der weitverbreitetste rechtliche Baustein, der aktuell umgesetzt wird. Bei Themen rund um den Datenschutz zeigen sich dagegen enorme Lücken. Unserer Studie nach, verfügen lediglich 56% der Fahrschulseiten über eine Datenschutzerklärung (der Wert bezieht sich auf das Vorhandensein einer Informationsseite, ohne Wertung über Richtigkeit oder Vollständigkeit). Dies hat zur Folge, dass 44% keine Hinweise oder Erklärungen bereitstellen. Eine fatale Situation, die teuer werden kann. Hinweise zum Datenschutz, etwa welche personenbezogenen Daten von welcher Stelle zu welchem Zweck Erhoben und Verarbeitet werden, sind mittlerweile durch die DS-GVO verpflichtend und können durch die zuständigen Aufsichtsbehörden geahndet werden. Auch könnte das Ausbleiben einer wahrheitsgemäßen und vollständigen Datenschutzerklärung als unlauterer Wettbewerb gesehen werden.

7 Der Ansatz Werden auf der eigenen Firmenwebsite personenbezogene Daten verarbeitet, was in der Regel bei jeder Website und Webanwendung der Fall ist, muss eine Datenschutzerklärung bereitgestellt werden, die entsprechend Art. 13 und Art. 14 DS-GVO die Informationspflichten beinhaltet. Eine derartige Erklärung erfasst jeden einzelnen relevanten Aspekt der Website und ist für jede Internetpräsenz individuell zu erstellen. Allgemeine Mustervorlagen sind daher unpassend und bilden im Bedarfsfall lediglich die Basisinformationen ab. Im Internet verfügbare Generatoren können bei der individuellen Ausgestaltung einer passenden Datenschutzerklärung helfen. Professionelle Tools fragen Punkt für Punkt ab, welche Inhalte oder Applikationen vorhanden sind und erstellen auf dieser Grundlage einen zusammenhängenden Textbaustein, der auf der eigenen Website eingefügt werden kann. Idealerweise ist oder wird die Menüordnung um einen Punkt Datenschutz oder Datenschutzerklärung erweitert. Auch kann der Punkt Impressum auf Impressum / Datenschutz umbenannt werden. Eine vorhandene Datenschutzerklärung ist zudem regelmäßig auf Aktualität hin zu überprüfen. Insbesondere mit der anstehenden eprivacy-verordnung.

8 2. Benennung der Rechtsgrundlagen Die Lage Ein bislang noch nicht ausgereifter Ansatz der DS-GVO ist der Grundsatz der Benennung der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Zusammen mit der Offenlegung der Zwecke der Erhebung und Verarbeitung von personenbezogenen Daten ist hier ein zentraler Punkt der neuen Informationspflichten zu berücksichtigen. Ein neuer Ansatz, der durch die unterschiedlichen Generatoren in verschiedenartiger Art und Weise in die Datenschutzerklärung integriert wird. Entscheidend ist die konkrete Benennung der Rechtsgrundlage mit einem konkreten Bezug auf den Zweck der Datenerhebung und verarbeitung. Zahlreiche Datenschutzerklärungen weichen von diesem Prinzip ab und nennen entweder die Rechtsgrundlagen nicht oder nur in einer allgemeinen Sprache oder die Rechtsgrundlagen werden in einem zentralen Unterpunkt gebündelt, was eine unmittelbare Bezugnahme erschweren kann.

9 Der Ansatz Die Benennung der Rechtsgrundlagen für die Verarbeitung von personenbezogenen Daten gehört zu den neuen Informationspflichten nach der DS-GVO und ist somit in die Datenschutzerklärung aufzunehmen. Datenschutzgeneratoren verfügen zumeist über passende Textpassagen, die die entsprechenden Informationen standardisiert bereit halten. Jedoch ist auch hier auf die vorhandene Individualität jeder einzelnen Website einzugehen und die vorhandenen Inhalte zu berücksichtigen. Tipp: Achten Sie bei ihrer Datenschutzerklärung auf die Nennung konkreter Artikel und Passagen aus der DS-GVO in Bezug auf den erklärten Sachverhalt und den damit betroffenen personenbezogenen Daten.

10 3. Betroffenenrechte angeben Die Lage Zu den Informationspflichten nach der aktuellen DS-GVO zählt auch die Offenlegung der Betroffenenrechte, die der Verantwortliche (meist der Websitebetreiber) im Rahmen der Datenschutzerklärung umfassend auszuführen hat. Eine durchaus lästige aber formelle Anforderung an eine konforme Datenschutzerklärung. Obwohl dieser Bestandteil zu dem allgemeinen Standard gehört, der im Regelfall nicht individuell auf die vorhandene Website eingeht, sind längst noch nicht alle Datenschutzerklärungen mit dieser Anforderung nach der DS-GVO ausgestattet.

11 Der Ansatz Jeder empfehlenswerte und aktuelle, auf die DS-GVO ausgesichtete Datenschutzerklärungs-Generator sowie jede professionelle Mustervorlage verfügt standardmäßig über einen entsprechenden Abschnitt zu den Betroffenenrechten. Diese Auflistungen weisen über unterschiedliche Anbieter hinweg meist eine sehr ausgeprägte Ähnlichkeit auf. Grundsätzlich bezieht sich dieser Abschnitt einer Datenschutzerklärung auf die DS-GVO und nicht direkt auf die Website selbst. Auch wenn es sich bei den Betroffenenrechten um scheinbare Selbstverständlichkeiten handelt, so ist diese Vorgabe der DS-GVO in der Datenschutzerklärung umzusetzen.

12 4. Fremdinhalte konform berücksichtigen Die Lage Gerade Fahrschulwebsites profitieren von kommunikativen und interaktiven Inhalten, die über mehrere Plattformen hinweg vernetzt sind. Als klassisches Beispiel gelten dabei Einbindungen von Social Media Plattformen, wo direkt über die Website der Fahrschule Inhalte geteilt, kommentiert oder das Gefallen zum Ausdruck gebracht werden kann. Aber auch andere Module wie ein Bußgeldrechner, Wetteranzeigen oder gar Tarifrechner werden als themenrelevante Erweiterungen häufig eingebunden. Mit der Einbindung von Fremdinhalten geht bei zahlreichen Websites eine fehlerhafte Datenschutzerklärung einher. Häufig ist dabei zu beobachten, wonach Inhalte nicht oder nur mangelhaft erklärt werden, Inhalte erklärt werden, die nicht existieren oder pauschal alle Angebote eines Anbieters Erwähnung finden. Neben den sprachlichen Herausforderungen stellen auch technische Aspekte der Einbindung ein Problem dar.

13 Der Ansatz Vor der Einbindung fremder Inhalte sollten diese genauestens geprüft und idealerweise getestet werden. Nicht alle Anbieter sind bei der Datenverarbeitung derart transparent, wie es der erste Anschein vermuten lässt. Auf bestehenden Websites sollte der Datentraffic geprüft werden, um Fremdinhalte identifizieren und erklären zu können. Zudem sollte die technische Umsetzung der Einbindung kontrolliert werden. Bei speziellen Angeboten und Anbietern kann es technisch notwendig sein, den direkten Zugriff auf die Besucherdaten der eigenen Website bis zu einer aktiven Freigabe durch den Benutzer zu unterbinden. Die durch diese Form umgesetzte Einwilligung in eine spezielle Datenverarbeitung ist zudem in der Datenschutzerklärung detailliert zu erklären.

14 5. (Un)Sichere Datenübermittlung Die Lage Neben zahlreichen technischen Finessen dient die eigene Firmenwebsite auch im Wesentlichen der Kommunikation. Neben der Bereitstellung von Telefonnummern und der -Adresse, ermöglichen es viele Websites den Besuchern direkt über ein Kontaktformular oder eine Chatapplikation in Verbindung zu treten. Neben einer allgemeinen Kommunikation entwickelt es sich zum Trend, Ausbildungsverträge bereits online abzuschließen. Auf diese Weise werden personenbezogene Daten erhoben und übermittelt. Die verantwortliche Stelle, also der Websitebetreiber, ist für eine sichere Übertragung verantwortlich. Aus technischer Sicht lässt sich eine sichere Übertragung nur mittels einer Verschlüsselung des Datenverkehrs erreichen. Die viel zitierten SSL-Zertifikate oder der Nachfolger TLS-Zertifikat sind daher als obligatorisch zu betrachten, wird mit personenbezogene Daten auf der Firmenwebsite umgegangen. Unsere Studie hat gezeigt, dass gerade bei der technischen Sicherheit ein markanter Nachholbedarf vorhanden ist.

15 Der Ansatz In jedem Fall lohnt sich die Installation eines SSL- bzw. TLS-Zertifikates. Websitebetreiber, die nicht zur Sicherheit personenbezogener Daten ohnehin zur Einrichtung einer Verschlüsselung angehalten sind, können von der positiven Auswirkung auf Suchmaschinen profitieren, die im Regelfall verschlüsselten Seiten den Vorzug geben. Mit der zunehmenden Thematik rund um Datenschutz und IT-Sicherheit bieten nahezu alle Provider im administrativen Backend eine Möglichkeit, Zertifikate mit wenigen Klicks zu bestellen und einer Domain zuzuordnen. Die Auswahl kann kostenfreie und kostenpflichtige Zertifikate umfassen. Je höher der Schutzstandard, desto besser. Dabei ist empfehlenswert, auf Qualitätsprodukte von namhaften Unternehmen zu setzen. Im Bedarfsfall sollte eine spezialisierte Agentur hinzugezogen werden. Tipp: Verschlüsselte Websites sind in aller Regel durch ein https am Anfang der Domainadresse und einem grünen Schloss in der URL-Zeile zu erkennen.

16 Wichtiger Hinweis zur Nutzung: Der vorliegende Ratgeber und dessen Inhalt wurden mit größtmöglicher Sorgfalt eruiert und verfasst und basiert auf der hauseigenen durchgeführten Studie Studie - Datenschutz im Internet, Fahrschule in Deutschland. Dieses Werk spiegelt die Auffassung des Autors und den Stand der Untersuchungsobjekte zum Zeitpunkt der Veröffentlichung wider, erhebt jedoch keinen Anspruch auf Vollständigkeit und Richtigkeit. Der Herausgeber sowie der Autor schließen daher die Haftung für etwaige Schäden aus, die sich unmittelbar oder indirekt aus der Nutzung des Werkes und der darin verfassten Informationen ergeben können. Ausgenommen ist hierbei die Haftung für Vorsatz und grobe Fahrlässigkeit. Der Ratgeber versteht sich als allgemeine Informationsquelle für einen ersten Überblick und eine erste Einschätzung des zugrundeliegenden Themas in Form einer unverbindlichen Anregung. Die Nutzerin / Der Nutzer ist hierbei nicht von einer sorgfältigen eigenverantwortlichen Prüfung entbunden. Vor einer Übernahme des unveränderten Inhalts (auch in Teilauszügen) ist von der Nutzerin / von dem Nutzer daher genau abzuwägen, ob und in welchen Abschnitten eine Anpassung an die konkrete Situation und Rechtsentwicklung erforderlich ist. Der Herausgeber ist nicht für die Nachnutzung der zugrundeliegenden Inhalte verantwortlich.

17 Die Herausforderung steckt in der Technik.