So erstellen Sie eine rechtsgültige Datenschutzerklärung

Eine fehlende Datenschutzerklärung kann teuer werden – und zu Bußgeldern oder teuren Abmahnungen führen. Das gilt ganz besonders, wenn Sie Tracking Tools wie z.B. Google Analytics oder PIWIK einsetzen, die Daten von den Besuchern auswerten. Aber auch auf Ihrer Website eingebundene Social-Media-Buttons etwa von Facebook, YouTube-Videos oder Google-Maps-Karten und selbst ein Kontaktformular oder ein Newsletter-Anmeldeskript können aus Datenschutz-Sicht problematisch sein und müssen in der Datenschutzerklärung Erwähnung finden.

Das Landgericht Frankfurt entschied, dass eine fehlende oder fehlerhafte Datenschutzerklärung als Wettbewerbsverstoß abgemahnt werden kann (18.02.2014 – 3-10 O 86/12). In dem Fall ging es um einen Software-Anbieter, der auf seinen Seiten ein Tracking-Tool genutzt hatte und die Besucher der Website darüber nicht in einer Datenschutzerklärung informiert hatte. Zwar wurde das Urteil später gekippt - aber nur, weil das Unternehmen nachweisen konnte, das das Tool die Nutzerdaten nur in anonymisierter und verschlüsselter Form erhoben hatte.

Wie muss die „Datenschutzseite“ gestaltet werden? Zunächst muss sie die gesetzlichen Mindestanforderungen des § 13 TMG (Telemediengesetz) erfüllen:

• Datenschutzinformationen bereits zu Beginn des Nutzungsvorgangs

• eigener Button/Auswahlmöglichkeit für die Datenschutzseite

• Datenschutzerklärung auf eigener Seite (keine Unterseite der Impressumseite), maximal mit zwei Klicks von der Startseite erreichbar

• Informationen über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten in allgemein verständlicher Form

Damit Sie eine rechtssichere Datenschutzerklärung erstellen können, sollten Sie zunächst folgende Punkte abklären:

• Betreut ein externer Dienstleister Ihren Internetauftritt bzw. die Online-Inhalte?

• Welche Informationen und Daten werden beim Abruf Ihrer Seiten gespeichert, d. h. während der laufenden Verbindung zur Kommunikation zwischen dem Nutzerbrowser und dem Webserver protokolliert?

  Typischerweise sind das:

  • Datum und Uhrzeit

  • Name der angeforderten Datei

  • Seite, von der aus die Datei angefordert wurde

  • Zugriffsstatus

  • Verwendeter Browser

  • ...

• Werden die Daten nach Ende der Verbindung gelöscht?

• Werden die Daten nach Ende der Verbindung anonymisiert gespeichert?

• Innerhalb welcher Frist werden die Daten nach der Speicherung gelöscht?

• Werden Cookies eingesetzt?

• Wenn ja, wie werden die Cookies verwendet und wie lange bleiben diese auf der Festplatte des Besuchers?

• Werden aktive Komponenten wie z. B. Javascript, Java-Applets oder Active-X-Controls verwendet?

• Wird das Nutzerverhalten ausgewertet, und wenn ja, mit welcher Software (z. B. Google Analytics; PIWIK etc.)? Kann der Nutzer diesem Einsatz widersprechen?

• Können Nutzer selbst Daten eingeben, z.B. durch Kontaktformulare?

• Wenn ja, ist die Übermittlung verschlüsselt (SSL) oder besteht kein Schutz vor der Kenntnisnahme Dritter?

• Wie erfolgt der Umgang mit E-Mails?

• Welche Person ist Ansprechpartner für den Datenschutz?