Das ist das Ziel der DSGVO
Mit der Datenschutzgrundverordnung (DSGVO) reagiert die Europäische Union darauf, dass Daten als Rohstoff zunehmend an Wert gewinnen. Einerseits wächst der Datenhunger weltweit und andererseits werden die Erhebungs- und Speichermethoden immer ausgefeilter. Daher möchte die EU mit der DSGVO die Rechte der Verbraucher im Netz stärken, indem das Sammeln personalisierter Daten – wie zum Beispiel Postadressen, Kontoverbindungen, IP-Adressen oder Geburtstage - durch Unternehmen und öffentliche Stellen erstmals europaweit einheitlich geregelt wird.
Die DSGVO ersetzt seit dem 25. Mai 2018 das Bundesdatenschutzgesetz (BDSG) und weitere Regelungen, welche bisher für Website-Betreiber gegolten haben. Die EU zielt dabei in erster Linie auf große Unternehmen und Behörden und weniger auf Betreiber kleiner Webauftritte wie beispielweise Blogger. Trotzdem sollten auch Blogger dafür sorgen, dass ihr Webauftritt konform ist mit den neuen Datenschutzanforderungen.
Ein Großteil der in der DSGVO enthaltenen Vorschriften galten bereits vorher, allerdings wurden sie häufig nur unzureichend berücksichtigt, da kaum Strafen drohten. Das ändert sich mit der Neuregelung erheblich: Webseitenbetreiber, die den Datenschutz auch künftig auf die leichte Schulter nehmen, müssen mit empfindlichen Strafen rechnen: Die maximale Geldbuße kann bis zu 20 Millionen Euro oder bis zu 4 Prozent des Jahresumsatzes des gesamten Konzerns betragen. Zum Vergleich: Zuvor waren im BDSG 300 000 Euro als höchstes Bußgeld vorgesehen.
Das sind die wichtigsten Punkte der DSGVO
Die DSGVO bietet eher allgemeine Grundsätze als konkrete Vorschriften und stellt damit eher ein Gerüst das, an dem sich Webseiten-Betreiber datenschutztechnisch entlanghangeln können. Als Grundlage für die Speicherung und Verarbeitung personenbezogener Daten in der EU gelten dabei:
- Die Rechtmäßigkeit der Verarbeitung: Personenbezogene Daten dürfen nur verarbeitet werden, wenn es eine entsprechende Rechtsgrundlage dafür – (Die Einwilligung der betroffenen Person) - gibt.
- Transparenz: Nutzer müssen ihr Recht auf informelle Selbstbestimmung wahrnehmen können und erhalten ein Auskunftsrecht. Seit dem 25. Mai 2018 haben Webseiten-Besucher beispielsweise ein Recht darauf zu erfahren, ob und welche personenbezogenen Daten auf einer Website erhoben werden, zu welchem Zweck die Daten gesammelt werden, wie sie verarbeitet und wo sie gespeichert werden und ob die Daten an Dritte weitergegeben werden.
- Zweckbindung:Webseiten-Betreiber sollten nicht einfach ins Blaue hinein Kundendaten sammeln, denn der Grundsatz der Zweckbindung besagt, dass Unternehmen personenbezogene Daten nur zu dem Zweck bearbeiten dürfen, zu dem sie erhoben wurden. Das heißt: Selbst innerhalb eines Unternehmens dürfen Kundendaten nicht einfach von der Abrechnung ins Marketing weitergereicht werden. Hier braucht es eine explizite Einwilligung des Kunden.
- Speicherbegrenzung: Gespeicherte Daten müssen gelöscht werden, sobald der Zweck der Verarbeitung entfällt.
- Richtigkeit der Datenverarbeitung: Personenbezogene Daten müssen korrekt und auf dem neuesten Stand sein. Wenn nicht, müssen sie sofort berichtigt oder gelöscht werden.
- Integrität und Vertraulichkeit: Firmen oder Behörden müssen dafür Sorge tragen, dass personenbezogene Daten sicher sind - also beispielsweise nicht unrechtmäßig an Dritte oder verloren gehen.
- Datenminimierung: Webseiten-Betreiber sollten nicht mehr Daten einholen als unbedingt nötig.
Das ändert sich durch die DSGVO konkret
Auf der Basis dieser Grundsätze ergeben sich aus der DSGVO auch einige ganz konkrete Änderungen. Dazu zählt unter anderem, dass künftig der Grundsatz "Wohnort statt Unternehmenssitz" gilt. Nutzt ein Bürger in der EU also ein Online-Angebot, gilt die DSGVO, auch wenn der Anbieter seinen Sitz außerhalb der EU hat. Das soll vor allem die Rechte der Nutzer gegenüber globalen Internetkonzernen wie Google oder Facebook stärken.
Ebenfalls neu: Das Recht auf Vergessenwerden (wenn ein Betroffener es verlangt, müssen die personenbezogenen Daten gelöscht werden) sowie das Recht auf Datenübertragbarkeit. Nutzer können dadurch künftig Daten von einem Unternehmen zum anderen übertragen, ohne wieder neu Auskunft geben und Daten an zwei Stellen hinterlassen zu müssen.
Was bedeutet die DSGVO für Webseiten-Betreiber in der Praxis?
Das sind die wichtigsten Punkte, die jeder Webseiten-Betreiber beachten sollte. In Deutschland gelten vergleichsweise strenge Datenschutzregeln, deshalb lohnt sich ein kurzer Check, ob deine Seite alles abdeckt:
- Cookies: Cookies sind Datenschützern schon lange ein Dorn im Auge, deshalb gelten klare Spielregeln: Alles, was nicht unbedingt erforderlich ist (z. B. Statistik, Marketing oder eingebettete YouTube-Videos), darf erst nach einer aktiven Einwilligung laufen. Das regelt in Deutschland vor allem § 25 TDDDG, die DSGVO kommt dazu, sobald personenbezogene Daten im Spiel sind. Technisch notwendige Cookies wie Warenkorb oder Login brauchen keine Zustimmung. Am einfachsten setzt du das mit einem Consent-Banner-Plugin wie Borlabs Cookie, Real Cookie Banner oder Complianz um. Wichtig: Skripte erst nach dem Klick laden und Ablehnen so leicht machen wie Zustimmen.
- Blog-Kommentare: Auch hier werden personenbezogene Daten wie Name, E-Mail- und IP-Adresse gespeichert. Das ist meist über das berechtigte Interesse des Betreibers gedeckt, etwa um bei Beleidigungen oder Rechtsverstößen reagieren zu können. Weise in der Datenschutzerklärung darauf hin und speichere die Daten nicht länger als nötig.
- Tracking-Services: Wer Google Analytics oder andere Tracking-Dienste nutzt, braucht dafür vorab die aktive Einwilligung der Besucher. Ein reines Opt-out reicht nicht mehr. Lade die Tracking-Skripte also erst, wenn jemand im Consent-Banner zugestimmt hat. Prüfe außerdem, ob der Dienst datenschutzfreundlich konfiguriert ist (z. B. gekürzte IP-Adressen) und ob ein Auftragsverarbeitungsvertrag besteht. Wer ganz ohne Banner auskommen will, kann auf Analyse-Tools setzen, die ohne Cookies und ohne personenbezogene Daten arbeiten, etwa selbst gehostete Lösungen wie Matomo (richtig konfiguriert) oder Plausible. Ob das im Einzelfall wirklich ohne Einwilligung geht, solltest du kurz prüfen.
- Social Media: Finger weg von den offiziellen Plugins von Facebook und Co., denn die übertragen schon beim Laden der Seite Daten an den Anbieter. Binde Social-Media-Inhalte besser erst nach deiner Einwilligung ein (z. B. über das Consent-Banner oder eine Zwei-Klick-Lösung) oder verlinke einfach auf deine Profile, statt Plugins einzubauen.
- Datenschutzerklärung: Die Datenschutzerklärung sollte eigentlich sowieso schon auf jeder Webseite stehen. Ist das noch nicht der Fall, sollte umgehend gehandelt werden. Bei der Erstellung hilft zum Beispiel dieser Online-Generator.
Das waren die wichtigsten DSGVO-Punkte im kompakten Überblick. Da vieles in der DSGVO sehr allgemein gehalten ist, wird sich erst über längere Sicht zeigen, was Webseitenbetreiber genau tun müssen beziehungsweise welche praktischen Lösungen gefunden werden. Trotzdem ist es empfehlenswert, sich schon jetzt gründlich mit dem Thema zu beschäftigten und die eigene Webseite zumindest auf die wichtigsten Punkte hin abzuklopfen.
Für weitere Informationen zur DSGVO empfehlen wir: callanerd.help
Weiterführendes Material - Gratis PDF
Die Firma "lexoffice" hat ein ausführliches Premium eBook zur DSGVO zusammengestellt. Folgende Inhalte werden in dem PDF behandelt:
- Fachwissen zur DSGVO (eBook) - Erfahre, wie du die neuen Regelungen sicher im Betrieb anwendest
- Maßnahmenplan DSGVO - Sichere und korrekte Umsetzung mit dem 6-Punkte-Maßnahmenplan
- Experten geben Rat zur DSGVO - Experten-Interview mit RA Michael Rohrlich, Datenschutzbeauftragter
- Fragen & Antworten zur DSGVO - Antworten auf die wichtigsten Fragen zur DSGVO
- Muster & Vorlagen zum Download - Lexware bietet Muster und eine DSGVO-Checkliste für Unternehmen
DSGVO-Checkliste: WordPress datenschutzkonform einsetzen
Der heise Verlag hat einen umfassenden Artikel aus der IX veröffentlicht, in dem der datenschutzkonforme Einsatz von WordPress beleuchtet wird. Hier geht es zum Artikel
