emetrics Summit, München 2011 Special: Datenschutz im Online-Marketing HÄRTING Rechtsanwälte Chausseestraße Berlin

Transkript

1 emetrics Summit, München April 2011 Dr. Martin Schirmbacher Fachanwalt für IT-Recht twitter.com/mschirmbacher HÄRTING Rechtsanwälte Chausseestraße Berlin Überblick Grundzüge des Datenschutzrechts Beispiel: Daten im Online-Portal -Marketing und Datenschutz Website-Tracking und Datenschutz Targeting und Datenschutz Sonstige Schnittstellen mit dem Datenschutzrecht Rechtsanwalt Dr. Martin Schirmbacher 2 von 17

2 Grundzüge wesentliches Gesetz: BDSG daneben für Online-Bereich: TMG 4 Abs. 1 BDSG: Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit dieses Gesetz oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat. Rechtsanwalt Dr. Martin Schirmbacher 3 von 20 Personenbezug von Daten 3 Abs. 1 BDSG: Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Beispiele Name Adressen, Zahlungsdaten Geburtsdatum, Gewicht, Fotos IP-Adressen? Rechtsanwalt Dr. Martin Schirmbacher 4 von 20

3 Gesetzliche Erlaubnis oder Einwilligung Gesetzliche Erlaubnis 28 BDSG: für eigene Geschäftszwecke erforderlich 15 Abs. 1 TMG: für erforderliche Nutzungsdaten Zweckbindung ( 28 Abs. 1 S. 2 BDSG) erhobene Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben worden sind Einwilligung erforderlich? Fehlt es an gesetzlicher Gestattung für einen bestimmten Zweck, bedarf es einer Einwilligung Rechtsanwalt Dr. Martin Schirmbacher 5 von 20 Einwilligung 4a BDSG freie Entscheidung des Betroffenen Hinweis auf vorgesehenen Zweck der Verarbeitung und auf die Folgen der Verweigerung der Einwilligung Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist; ggf. besondere Hervorhebung Kritisch (aber nicht per se unzulässig): Einbindung in AGB Rechtsanwalt Dr. Martin Schirmbacher 6 von 28

4 Datenschutzerklärung 13 Abs. 1 TMG Was? Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten Verarbeitung von Daten im EU-Ausland Wann? zu Beginn des Nutzungsvorgangs dauerhafte Abrufbarkeit Wie? in allgemein verständlicher Form Rechtsanwalt Dr. Martin Schirmbacher 7 von 28 Einwilligung vs. Datenschutzerklärung Rechtsanwalt Dr. Martin Schirmbacher 8 von 20

5 Einwilligung vs. Datenschutzerklärung Kein Alternativverhältnis Pflicht zur Datenschutzerklärung ( 13 Abs. 1 TMG) Einwilligung erforderlich wenn keine gesetzliche Erlaubnis vorliegt Einwilligung empfehlenswert wenn Zweifel über gesetzliche Erlaubnis oder deren Notwendigkeit bestehen Beispiele Speicherung von Zusatzdaten Speicherung von IP-Adressen Nutzung von Daten zur Personalisierung von Werbung Rechtsanwalt Dr. Martin Schirmbacher 9 von 20 Datenschutz im -Marketing In der Regel ist Einwilligung wegen der Zusendung von Werbung erforderlich Entscheidung für jedes einzelne erhobene Datum, ob Einwilligung erforderlich ist (-) für -Adresse (+) für viele sonstige Daten (Anrede, Name etc.) Rechtsanwalt Dr. Martin Schirmbacher 10 von 20

6 Datenschutz und Website-Tracking Problem: Tracking von vermeintlich personenbezogenen Daten (IP-Adresse, Internetprovider) Datenschutzrecht gilt nur bei Personenbezug IP-Adresse als personenbezogenes Datum? (= Einzelangaben über eine bestimmte oder bestimmbare natürlichen Person) Maßstab? absoluter Personenbezug: ausreichend ist, dass sich ein Personenbezug theoretisch herstellen lässt relativer Personenbezug: maßgeblich sind die realistischen Möglichkeiten der verantwortlichen Stelle Rechtsanwalt Dr. Martin Schirmbacher 11 von 17 Datenschutz und Website-Tracking Personenbezug von IP-Adressen Ja: Düsseldorfer Kreis mit Zusatzwissen ermittelbar Ja: AG Berlin-Mitte ( , Az. 5 C 314/06) Nein: AG München ( , Az. 133 C 5677/08) Nein: OLG Hamburg ( , Az. 5 W 126/10) Folgen bei Personenbezug Einwilligungserfordernis Auftragsdatenverarbeitungsvertrag mit Dienstleister Folgen bei fehlendem Personenbezug Widerspruchsmöglichkeit - 15 Abs. 3 TMG Anpassung der Datenschutzerklärung Rechtsanwalt Dr. Martin Schirmbacher 12 von 17

7 Folgen restriktiver Ansicht bei Erhebung vollständiger IP-Adresse: Einwilligung des Nutzers einholen Auftragsdatenverarbeitungsvertrag schließen bei Erhebung gekürzter IP-Adressen: Widerspruchsmöglichkeit einräumen Widersprüche umsetzen Datenschutzerklärung erweitern bei Einsatz von Google Analytics: mit IP-Masking arbeiten Datenschutzerklärung erweitern über Deaktivierungs-Add-On belehren und verlinken mit Restrisiko leben Rechtsanwalt Dr. Martin Schirmbacher 13 von 17 Datenschutzthemen beim Targeting Problem: IP-Adressen (siehe oben) Problem: Personenbezogene Daten in Cookies Klarer Personenbezug, wenn -Adressen oder Klarnamen gespeichert werden Problem: Nutzerprofile zulässig, wenn Nutzungsprofile pseudonym erstellt werden kein Widerspruch des Nutzers vorliegt Nutzer auf sein Widerspruchsrecht im Rahmen einer Datenschutzerklärung hingewiesen wurde keine Zusammenführung mit Klardaten Rechtsanwalt Dr. Martin Schirmbacher 14 von 28

8 Targeting Rechtliche Folgen Theorie: Einwilligung erforderlich für Verarbeitung personenbezogener Daten Anpassung der Datenschutzerklärung Hinweis auf das Widerspruchsrecht Wie kann es ausgeübt werden? Zukunftsmusik: Umsetzung der Cookie-Richtlinie in deutsches Recht Rechtsanwalt Dr. Martin Schirmbacher 15 von 28 Sonstige Schnittstellen zum Datenschutz Facebooks Like-Button Weitergabe von personenbezogenen Daten? Affiliate-Marketing IP-Adresse wird (natürlich) weitergegeben IVW-Pixel IP-Adresse wird (natürlich) weitergegeben Auslandsbezug Weitergabe außerhalb der EU setzt in der Regel Einwilligung voraus M-Commerce Nutzung von Standortdaten setzt Einwilligung voraus Rechtsanwalt Dr. Martin Schirmbacher 16 von 17

9 Webinar Neuigkeiten zum Online-Marketing-Recht Webinar am 8. April 11 Uhr 6. April 2011 Dr. Martin Schirmbacher Fachanwalt für IT-Recht twitter.com/mschirmbacher HÄRTING Rechtsanwälte Chausseestraße Berlin