Sehr geehrte Leser,
sehr geehrte Kundschaft,
entgegen den Aussagen aus der Politik, dass ab 25. Mai (Inkrafttreten der DSGVO) keine Abmahnwelle zu erwarten ist, ist in den Medien inzwischen von ersten Abmahnungen zu lesen. Diese mögen teilweise berechtigt sein (fehlende Datenschutztexte o.ä.), es wird teilweise aber auch die Nutzung von Google Fonts und Google Maps auf Webseiten beanstandet.
- https://www.e-recht24.de/news/datenschutz/10933-achtung-die-ersten-dsgvo-abmahnungen-sind-da.html
- https://www.heise.de/newsticker/meldung/DSGVO-Die-Abmahn-Maschinerie-ist-angelaufen-4061044.html
Wir bitten Sie um 10 Minuten Ihrer Zeit unsere nachfolgenden Informationen zu lesen. Bei technischen Unklarheiten können Sie uns gerne kontaktieren.
Vorab jedoch der Hinweis, dass wir weder befugt, noch in der Lage sind rechtlich verbindliche Beratung oder Aussagen zu treffen.
Das darf nur die Anwaltschaft oder entsprechend befugte Stellen. Die nachfolgenden Zeilen sind unsere rein persönliche Meinung und Einschätzung.
Ein paar technische Informationen:
Bei jede Aufruf einer Webseite wird (u.a.) die IP-Adresse des / der Besuchers / Besucherin an den Webserver und ggf. zu den eingebundene Dienste Dritter übertragen. Dies ist technisch unabdingbar. IP-Adressen gelten gemäß des Datenschutzes als personenbezogene Daten und unterliegen besonderem Schutz. Rechtlich kritischer wird es, wenn solche Daten außerhalb der EU übertragen werden.
Ein Teil der Juristen ist der Meinung, dass es ausreichend ist diese Drittdienste (Google Fonts, Google Maps, soziale Medien, Bezahldienste etc.) in der DSGVO-konformen Datenschutzerklärung zu benennen und den Nutzer darüber aufzuklären. Grundlage hierfür: „Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f. DSGVO“ – wie geschehen in der Datenschutzerklärung von z.B. eRecht24, sofern wir diese in Ihrem Auftrag eingebunden haben.
Die Abmahnindustrie scheint hier anderer Auffassung zu sein und behauptet, dass der Besucher VOR Aufruf der Webseite/Dienste diesen Datenschutzhinweisen aktiv zugestimmt haben muss.
Leider gibt es außer bei Google Adwords und den Facebook-Plugins derzeit keine verbindliche Rechtsprechung. Das bedeutet, dass erst spätere Urteile bei der DSGVO Klarheit schaffen werden.
Die (unserer Meinung nach) DSGVO relevanten Grund-Punkte:
- Die Datenschutzerklärung
muss der DSVGO angepasst sein. Sofern wir das in Ihrem Auftrag erledigt haben (entweder Ihre eigenen Texte oder über den eRecht24 Generator) können und dürfen wir – wie Ihnen mehrfach mitgeteilt – keine Gewähr übernehmen. Zumal es noch keine verbindliche Rechtsprechung gibt.
- Online-Formulare
benötigen einen Datenschutzhinweis sowie ein Bestätigungskästen (opt-in) ohne dessen Aktivierung das Formular nicht abgeschickt werden darf.
- HTTPS bei der Webseiten-Übertragung
muß aktiviert werden.
Diese drei Punkte haben wir, nach Ihrer Beauftragung und sofern technisch mgl. ausgeführt.
Die / einige "strittigen" Punkte (Abmahnungen):
- Google Fonts
Diese Schriftarten von Google werden oft für Webseiten verwendet und beim Aufrufen einer Webseite von den Google-Servern abgerufen. Hierbei erfolgt die Übertragung der IP-Adresse des / der Nutzer / in.
Code Beispiel: href="https://fonts.googleapis.com/css?family=Droid+Sans" rel="stylesheet"
Möglichkeiten:
- externe Einbindung so belassen und auf die Datenschutzerklärung vertrauen
- runterladen, auf dem Webserver speichern und lokal einbinden
- Google Maps
Auch hier erfolgt eine Übertragung der IP-Adresse zu den Google-Servern. Dies ist bei anderen Kartendiensten aber auch der Fall.
Möglichkeiten:
- externe Einbindung so belassen und auf die Datenschutzerklärung vertrauen
- lokale Installierung nicht möglich, daher anstelle statisches Kartenbild von öffentlichen Quellen (Open Streetmap) einbinden.
Man könnte zwar das Kartenbild dann per Klick zu Google Maps verlinken, aber dann wird ja wieder die IP-Adresse weitergegeben.
- Googe reCaptcha
Dies ist der Spamschutz bei Online-Formularen mit den auszuwählenden Bildern. Hier erfolgt ebenso eine Übertragung von Daten zu Google.
Möglichkeiten:
- externe Einbindung so belassen und auf die Datenschutzerklärung vertrauen
- lokale Installierung nicht möglich. Entweder auf Spam-Schutz verzichten oder eine lokale Anwendung suchen und einbauen
- META-Links
Das sind Links zu technischen Scripten (Programmierungen) im Webseiten-Code, welche z.B. die Darstellung der Webseiten verbessern. Diese werden i.d.R. mit Links zu den Quellenservern eingebunden, da diese dort oftmals aktualisiert werden. Speichert und nutzt man diese lokal auf Ihrem Hostingtarif gibt es keine Updates.
Code-Beispiel: script src="http://maxcdn.bootstrapcdn.com/bootstrap/3.3.4/js/bootstrap.min.js"
Möglichkeiten:
- externe Einbindung so belassen und auf die Datenschutzerklärung vertrauen
- runterladen, auf dem Webserver speichern und lokal einbinden
- Cookie-Hinweis
Das ist ein Hinweis (Pop-Up oder Banner) auf der Website, dass Cookies verwendet werden. Das deutsche Recht kennt aktuell trotz der EU Cookie Richtline keine direkte Pflicht, die Nutzer in die Verwendung von Cookies einwilligen zu lassen. Trotzdem raten einige Kanzleien zu einem Hinweis:
https://www.e-recht24.de/artikel/datenschutz/8451-hinweispflicht-fuer-cookies.html
Möglichkeiten:
- auf die Datenschutzerklärung vertrauen
- ein Hinweis-Script einbinden
Google Analytics
Für Google Analytics gibt es eine verbindliche Rechtsprechung. Analytics ist jedoch nur datenschutzkonform, sofern Sie einen "Vertrag zur Auftragsdatenverarbeitung" mit Google abgeschlossen und den Analytics-Code angepasst haben. https://www.datenschutzbeauftragter-info.de/fachbeitraege/google-analytics-datenschutzkonform-einsetzen/
Nur der Vollständigkeit halber:
Für die Nutzung sozialer Netzwerke, Online-Shops, Analyse-Werkzeuge etc. gibt es weitere Vorgaben und Bestimmungen. Es ist auch nicht vorhersehbar zu welchen Ansichten die Abmahnindustrie noch gelangt.
Sollten Sie eine Abmahnung erhalten, suchen Sie unbedingt einen Anwalt auf. Abmahnungen sind nicht in jedem Fall gerechtfertigt. In Online-Interviews sagen Anwälte sogar, dass eine DSGVO-Abmahnung aus wettbewerbs-rechtlicher Sicht juristisch gar nicht haltbar sei.
Ebenso heute gelesen:
E-Mail Anfrage zur Datenauskunft einer Person mit der noch nie ein Kontakt bestand, unter Angabe einer IP-Adresse.
Da die angegebene IP-Adresse zu den personenbezogenen Daten gehört und per einfacher Mail nicht der Nachweis zur Zugehörigkeit geführt werden kann, könnte das ggf. eine Abmahnfalle sein.
Sollten Sie eine dubiose Anfrage zur "Datenauskunft" erhalten (Sie sind gemäß DSGVO zur Auskunft gespeicherter "persönlicher Daten" verpflichtet: https://www.datenschutzbeauftragter-info.de/diese-auskunftsrechte-haben-betroffene-nach-der-dsgvo/), sollten Sie hier auch wegen Abmahnfallen vorsichtig sein und ggf. einen Anwalt kontaktieren.
Zum Abschluss ein persönlicher Tipp:
Wenn Ihnen das alles über den Kopf steigt, könnten Sie Ihrem lokalen / regionalen Mitglied des Land- / Bundestags einmal eine "nette" E-Mail / Brief schreiben oder anrufen.
