DSGVO für Blogger Oliver Havlat

Transkript

1 LastMinute DSGVO für Blogger Oliver Havlat Wolfenbüttel, 14./15. April 2018

2 Agenda 1. Wer spricht denn da? 2. Disclaimer 3. DSGV was? 4. Was sind personenbezogene Daten? 5. Was muss ich konkret tun? 6. Quick List: DSGVO in letzter Minute 7. Datenschutzerklärung verstecken (echt jetzt?!) 8. Das Kopplungsverbot 9. Das Verarbeitungsverzeichnis

3 Wer spricht denn da?

4 Disclaimer Dies ist keine Rechtsberatung! Rechtsberatung machen Anwälte und Personen mit besonderer Befugnis dazu - nicht ich. In dieser Session schildere ich meine Rechercheergebnisse und teile meine Erfahrungen. Wer juristisch abgesicherte Antworten auf seine konkreten Fragen benötigt, wendet sich am besten an einen spezialisierten Anwalt.

5 DSGV was? Ausgangslage: Das Datenschutzniveau innerhalb der EU war sehr unterschiedlich ausgeprägt Kaum wirksame rechtliche Durchsetzungsmöglichkeiten für die Aufsichtsbehörden Die Lösung: DSGVO

6 DSGV was? Die DSGVO regelt ab dem 25. Mai 2018 verbindlich und europaweit einheitlich den Umgang u.a. von Website-Betreibern mit personenbezogenen Daten. Das bisher geltende Bundesdatenschutzgesetz (BDSG) wird dadurch weitestgehend ersetzt und deshalb zeitgleich neu gefasst. Die DSGVO gilt auch für Unternehmen außerhalb der EU, wenn sie Daten von Personen aus der EU verarbeiten. Jeder (JEDER!) Website-Betreiber ist betroffen und muss bis zum 25. Mai 2018 tätig werden. Neu sind nämlich auch die drakonischen Strafen, die fällig werden können. Im Extremfall bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Konzernumsatzes.

7 DSGV was ist neu? Erweiterte Vorgaben für die Datenschutzerklärung Neue Regelungen zur Einwilligungserklärung Neue Regelungen zur Auftragsdatenverarbeitung Strenge Vorgaben bei Daten von Kindern Pflicht zur Führung eines Verarbeitungsverzeichnisses Recht auf Datenportabilität Privacy by Design / Privacy by Default Datenschutzfolgenabschätzung Recht auf Vergessenwerden Hohe Bußgelder

8 DSGV was? Betrifft mich das als Blogger? Ja, denn auch wir Blogger verarbeiten personenbezogene Daten Nicht sehr wahrscheinlich: Massive Verfolgung von Datenschutzverstößen von Bloggern, hier sind eher die großen Unternehmen im Visier der Behörden. Aber: Wettbewerbsrecht? Und: Automatisierte Abmahnwellen?

9 Was sind personenbezogene Daten? Surfverhalten Name Kaufverhalten Anschrift Klickverhalten -Adresse Ausbildung Geburtsdatum IP-Adresse Einkommen

10 Was muss ich konkret tun? Checke, an welchen Stellen Du welche personenbezogenen Daten von Deinen Besuchern verarbeitest. Mach eine Liste. Überprüfe: Brauchst Du diese Daten? Wenn ja: wozu? (Mach zu jedem Punkt Notizen) Wenn nein: Löschen. Überlege Dir, auf welcher rechtlichen Grundlage Du die Daten erheben und nutzen kannst. Infrage kommen i.d.r. zwei: a) Einwilligung Deiner Nutzer (Art. 6 Abs. 1 Lit. a; Art. 7 DSGVO) b) Wahrung Deiner berechtigten Interessen als Websitebetreiber (Art. 6 Abs. 1 Lit. f DSGVO) 4 Notiere zu jedem Punkt, in welcher Form Du a) die Einwilligung einholst oder b) welches berechtigte Interesse besteht.

11 Typische Datenerhebungen in Blogs In selbst gehosteten (Wordpress-)Blogs werden i.d.r. an diesen Stellen mindestens diese personenbezogene Daten gespeichert: IP-Adresse auf dem Server (beim Webhoster) IP-Adresse im Tracking Tool (bspw. Google Analytics) Name, -Adresse, IP-Adresse im Kommentarformular Persönliche Daten im Kontaktformular -Adresse, ggf. Name im Newsletter-Aboformular Alles Mögliche (!!) durch Social Buttons (bspw. Facebook-Like- Button) Aber auch

12 Typische Datenerhebungen in Blogs IP-Adresse, ggf. mehr, über eingebundene Google Fonts IP-Adresse, ggf. mehr, über eingebundene Google Maps IP-Adresse, ggf. mehr, über eingebundene Videos (bspw. Youtube) IP-Adresse, -Adresse, Nutzername über Gravatar (Drittstaat!) IP-Adresse, -Adresse über Akismet (Drittstaat!) Ggf. Personenbezogene Daten über eingebundene Werbe- und Affiliate-Netzwerke Das ist keine abschließende Liste: Es sind typische Stellen in Blogs - es können in jedem Blog mehr, aber auch weniger sein. Deshalb unbedingt selbst alles überprüfen.

13 Quick List: DSGVO in letzter Minute 1 2 Mach die nach außen sichtbaren Stellen Deines Blogs zuerst DSGVO-fest: SSL-Verschlüsselung: Setz Dein Blog auf https Tracking: Binde Dein Tracking-Tool datenschutzkonform ein Datenschutzerklärung: Aktualisiere sie Kontakt- und Kommentarformulare: Opt-Ins als Pflichtfelder Newsletter: Double-Opt-In ist Pflicht Ungeschützte Social Buttons: Schmeiß sie raus (!!) Werbenetzwerke: Wenn nicht transparent, dann raus Kümmere Dich dann um die Vereinbarungen zur Auftragsverarbeitung. 3 Durchforste danach Dein Blog nach alten personenbezogenen Daten, die gelöscht werden müssen.

14 Was muss ich konkret tun? Datenschutz-Standards sicherstellen: Datenschutzerklärung sichtbar und von jeder Seite erreichbar im Blog verlinken (bspw. im Header oder Footer) Keinen Standard-Text für die Datenschutzerklärung verwenden, sondern einen individuell angepassten Hilfreicher Mustertextgenerator bspw. bei erecht24.de SSL-Verschlüsselung für die gesamte Seite sicherstellen Kostenlose Zertifikate bspw. über Let s Encrypt Impressum sichtbar und von jeder Seite erreichbar im Blog verlinken (keine Änderung durch DSGVO, trotzdem wichtig)

15 Datenschutzerklärung auf noindex Um zumindest automatisierten Abmahn-Wellen vorzubeugen, ist es ratsam, die eigene Datenschutzerklärung für Suchmaschinen nicht sichtbar zu schalten. Das verhindert, dass Scripte, die nach unzulässigen Formulierungen suchen und daraus automatisiert Abmahn-Listen generieren, Euer Blog identifizieren. Das geht über einen noindex -Eintrag im Header, bspw. mit dem Plugin Yoast SEO Weitere Anleitungen hier.

16 Was muss ich konkret tun? Webhoster: Sobald Daten nicht durch Euch, sondern durch Dritte verarbeitet werden, muss eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen werden. Da Euer Webhoster die IP-Adresse Eurer Website-Besucher verarbeitet, müsst Ihr eine solche Vereinbarung mit ihm schließen. Die großen Webhoster bieten für diesen Fall i.d.r. Standarddokumente an, die Ihr nur unterzeichnen und zurücksenden müsst. Ggf. beim Support nachfragen. Fragt nach, ob IP-Anonymisierung in den Logs möglich ist. In die Datenschutzerklärung aufnehmen!

17 Was muss ich konkret tun? Tracking (hier: Google Analytics) Google verarbeitet personenbezogene Daten Eurer Nutzer für Euch, deshalb muss eine Vereinbarung zur Auftragsverarbeitung geschlossen werden. Standard-Vertrag dafür liegt als PDF vor, muss 2x ausgedruckt, unterschrieben und an Google Irland gesandt werden. Wichtig: Unbedingt IP-Anonymisierung aktivieren und entsprechenden GA-Code in Eure Seite einbauen. Ausführliche Anleitung beispielsweise bei erecht24.de In die Datenschutzerklärung aufnehmen! Und: Sicherstellen, dass das Opt-out-Javascript funktioniert!

18 Was muss ich konkret tun? Kommentarformular Wordpress speichert stets die IP-Adressen von Kommentatoren. Bisher (bis Version 4.9.4) keine Möglichkeit, das abzustellen. Dieses Verhalten ist schon nach BDSG rechtswidrig. Lösung, Teil 1: IP-Speicherung abstellen und vorhandene IP- Adressen aus der Datenbank löschen Dazu gibt es eine ausführliche Anleitung im Kritzelblog. Nutzer müssen nach der DSGVO ihre explizite Einwilligung zur Datenverarbeitung geben. Deshalb: Lösung, Teil 2: Hinweistext über Art und Umfang der Datenverarbeitung mit Opt-in-Checkbox als Pflichtfeld in das Kommentarformular einfügen.

19

20 Was muss ich konkret tun? Kontaktformular Daten aus Kontaktformularen müssen stets verschlüsselt übertragen werden. Mindestens die Formulare, besser die gesamte Site benötigen also ein SSL-Zertifikat. Nutzer müssen nach der DSGVO ihre explizite Einwilligung zur Datenverarbeitung geben. Deshalb: Hinweistext über Art und Umfang der Datenverarbeitung mit Opt-in-Checkbox als Pflichtfeld in das Kontaktformular einfügen. In die Datenschutzerklärung aufnehmen. Entsprechenden Passus der Datenschutzerklärung an der Opt-in-Checkbox im Kontaktformular verlinken.

21 Textbeispiel: Ich stimme zu, dass meine Angaben und Daten zur Beantwortung meiner Anfrage elektronisch erhoben und gespeichert werden. Die Daten werden gespeichert, bis die Bearbeitung meiner Anfrage abgeschlossen ist. Diese Einwilligung kann ich jederzeit für die Zukunft per an widerrufen. Weitere Informationen finde ich in der Datenschutzerklärung unter Kontaktformular.

22 Was muss ich konkret tun? Newsletter Mit Eurem Newsletter-Dienstleister müsst Ihr eine Vereinbarung zur Auftragsverarbeitung schließen. Schwierig bei Dienstleistern außerhalb der EU, wenn sie nicht unter den Privacy Shield fallen ( hier checken). Beispiel Mailchimp : Data Processing Addendum In die Datenschutzerklärung muss ein Passus zum Newsletter. Auf der Newsletter-Bestell-Seite müsst Ihr Eure User darüber aufklären, was sie erwartet, welche Daten gespeichert werden und welche Widerrufsmöglichkeiten sie haben. (Sehr) ausführliche Anleitung bei Dr. Schwenke

23

24 Was muss ich konkret tun? Social Buttons Die Original-Buttons der Sozialen Netzwerke (insbesondere Facebook) sind nicht datenschutzkonform und schon jetzt nach BDSG nicht zulässig. Sollten Sie auf Euren Blogs noch eingebaut sein, schaltet sie umgehend ab! Sichere Alternative: Shariff -Lösung von Heise. Für Wordpress beispielsweise verfügbar über das Plugin Shariff Wrapper

25 Was muss ich konkret tun? Google Fonts: Mindestens in die Datenschutzerklärung aufnehmen, ggf. auch lokal hosten (Anleitung bei den WP-Ninjas) Google Maps: Mindestens in die Datenschutzerklärung aufnehmen. YouTube-Videos: Mindestens in die Datenschutzerklärung aufnehmen, mit No-Cookie-Embed-Code von YouTube arbeiten. Gravatar: Lieber abschalten (in den Wordpress-Einstellungen) Emojis: Abschalten (Plugin dafür: Disable Emojis ) Akismet: Wenn überhaupt notwendig (?), dann Alternative nutzen, beispielsweise AntiSpamBee Affiliate- und Werbenetzwerke: Checken, welche Daten übertragen werden, ggf. in die Datenschutzerklärung aufnehmen.

26 Kopplungsverbot Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob unter anderem die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich sind. DSGVO, Art. 7 Abs. 4

27 Kopplungsverbot Gängige Praxis im Online-Marketing: Ein Freebie (Gratis-Ebook, White Paper, Checkliste o.ä.) gegen -Adresse und die Einwilligung, einen Newsletter zu erhalten. Nach der DSGVO ist das nicht mehr zulässig. Keine Ausnahmen. Die Erfüllung eines Vertrages darf nicht von einer Einwilligungserklärung abhängig gemacht werden, wenn diese für die Vertragserfüllung nicht erforderlich ist. Lösung:?

28 Das Verarbeitungsverzeichnis Jeder, der nicht nur gelegentlich personenbezogene Daten verarbeitet, muss ein umfassendes Verzeichnis der Verarbeitungstätigkeiten führen und dieses auf Verlangen der Datenschutzbehörde vorlegen. Für Blogger ist die Wahrscheinlichkeit, dies kurzfristig tun zu müssen, eher gering. Wer ein DSGVO-konformes Verarbeitungsverzeichnis erstellen möchte, findet hier einige Vorlagen: Sehr ausführlich und anschaulich: ActiveMind Speziell für kleine Unternehmen / Online-Shops: LDA Bayern Eher für größere Unternehmen: Bitkom

29 Vielen Dank und besucht uns auf anneundoliver.de OLIVER HAVLAT Steinweg 17 D Düsseldorf oliverhavlat.de oliver.havlat@gmail.com