DSGVO und TDDDG: Was umfasst Datenschutz im Internet?
Neue Risiken verstellen Blick für grundsätzliche Herausforderungen
Beim Thema „Datenschutz im Internet“ denken viele zuerst an Cyber-Attacken, an soziale Netzwerke wie Facebook oder Lauschangriffe auf unverschlüsselte Online-Verbindungen. Kein Zweifel, als Datenschutzbeauftragte oder Datenschutzbeauftragter müssen Sie diese Ereignisse im Blick haben. Doch vergessen Sie nicht die klassischen Datenschutz-Themen im Internet.
Die Datenschutz-Grundverordnung (DSGVO / GDPR) wartet mit zahlreichen Vorgaben auf, ebenso das Telekommunikation-Digitale-Dienste-Datenschutzgesetz (TDDDG). Das TDDDG richtet sich an Anbieter von digitalen Diensten. Dies sind insbesondere öffentliche oder nicht-öffentliche Stellen sowie Privatpersonen, die eine Webseite oder App betreiben.
Das TDDDG enthält allerdings nur wenige Datenschutzvorschriften für digitale Dienste, die die DSGVO ergänzen. Es stellt jedoch klar, dass auf Webseiten grundsätzlich die Vorschriften der DSGVO anzuwenden sind.
Digitale Dienste können personenbezogene Daten verarbeiten, die nicht direkt für den vom Nutzenden gewünschten Dienst erforderlich sind.
Google Analytics & Co. nicht vergessen
Ein gutes Beispiel ist die Webanalyse. Sie scheint ein alter Bekannter zu sein, gehört aber unter Datenschutz-Aspekten immer wieder auf den Prüfstand. Die Datenschutz-Grundverordnung greift das Thema der Webanalyse ausdrücklich auf. Der Erwägungsgrund 24 sagt dazu sinngemäß:
Verarbeitet ein Unternehmen, das nicht in der EU niedergelassen ist, die personenbezogenen Daten von Betroffenen, die sich in der EU befinden, ist die DSGVO für diese Verarbeitung anwendbar. Das gilt auch, wenn die Verarbeitung dazu dient, das Verhalten dieser betroffenen Personen zu beobachten, soweit ihr Verhalten in der EU erfolgt.
Um eine „Beobachtung des Verhaltens“ geht es etwa, wenn Unternehmen Internet-Aktivitäten nachvollziehen oder Nutzerprofile bilden. Diese Profile sind dann oft Grundlage dafür, persönliche Vorlieben, Verhaltensweisen oder Gepflogenheiten zu analysieren oder vorauszusagen.
Website-Betreiber müssen sicherstellen, dass insbesondere beim Einsatz von Drittdiensten und Tracking-Technologien alle datenschutzrechtlichen Anforderungen eingehalten werden. Auch Drittdienste können das Nutzungsverhalten beim Aufruf der Website tracken. Solche Drittdienste sind zum Beispiel Kartendienste, Social Plugins und Analytics-Dienste.
Überblick: Die Klassiker im Online-Datenschutz
- Datenschutzerklärung (Privacy Policy) und weitere gesetzliche Forderungen des Datenschutzes umgesetzt?
- Anbieterkennzeichnung vorhanden (Gestaltung und Platzierung)?
- Nutzer über die geplante Verarbeitung von Daten unterrichtet?
- Kann der Nutzer seine Einwilligung zur Datennutzung widerrufen?
- Hinweis auf Auskunftsrechte vorhanden?
- Nutzung der verschiedenen Cookie-Arten nachvollziehbar für den Nutzer?
- Erklärung zum möglichen Datentransfer in Drittländer vorhanden?
- Werden Nutzerdaten protokolliert und anonymisiert?
- Auf den Einsatz von Werkzeugen für Website-Statistiken in der Datenschutzerklärung, auf den Zweck des Einsatzes und auf die Widerspruchsmöglichkeit hingewiesen?
- Anonymisierung der IP-Adressen der Besucher der Website umgesetzt?
Auch Cookies sind DSGVO- und TDDDG-Thema
Ein anderer Klassiker im Online-Datenschutz sind die Cookies. Sie erwähnt die DSGVO in Erwägungsgrund 30:
„Natürlichen Personen werden unter Umständen Online-Kennungen wie IP-Adressen und Cookie-Kennungen, die sein Gerät oder Software-Anwendungen und -Tools oder Protokolle liefern, oder sonstige Kennungen wie Funkfrequenzkennzeichnungen zugeordnet. Dies kann Spuren hinterlassen, die insbesondere in Kombination mit eindeutigen Kennungen und anderen beim Server eingehenden Informationen dazu benutzt werden können, um Profile der natürlichen Personen zu erstellen und sie zu identifizieren.“
Im TDDDG wird insbesondere geregelt, welche Anforderungen an die Einwilligung gestellt werden, die grundsätzlich beim Einsatz von Cookies und bei der Einbindung von Drittdiensten einzuholen ist. Für Anbieter von digitalen Diensten gibt es eine Ausnahmeregelung. Danach ist keine Einwilligung notwendig, wenn der Einsatz der Cookies oder die Einbindung von Drittdiensten unbedingt erforderlich sind, damit Anbieter eines digitalen Dienstes einen vom jeweiligen Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen können.
Datenschutzerklärungen für Internetauftritte
Nicht zuletzt ist die Datenschutzerklärung für Webseiten ein Thema der DSGVO. Um den Grundsatz der Transparenz zu erfüllen, müssen Verantwortliche präzise, leicht zugänglich und verständlich sowie in klarer und einfacher Sprache darüber informieren, wie sie personenbezogene Daten verarbeiten. Das kann in elektronischer Form, also etwa als Datenschutzerklärung auf der Webseite, passieren.
Welche Punkte eine Datenschutzerklärung für Internetauftritte enthalten muss, lesen Sie im Beitrag Datenschutzerklärung im Internet: Was muss drinstehen?
Online-Datenschutz hat zahlreiche Facetten
Geht es also um den Online-Datenschutz und damit den Schutz personenbezogener Daten im Internet, reichen weder die Social Media Policy, um den Facebook-Risiken zu begegnen, noch die zahlreichen Sicherheitstools, um die Hacker abzuwehren.
Der Datenschutz im Internet beginnt mit einem datenschutzgerechten Internetauftritt, im stationären wie im mobilen Internet, und reicht bis zu den neusten Bedrohungen aus dem Netz der Netze. Weder dürfen Sie die Klassiker im Online-Datenschutz vergessen noch die topaktuellen Gefahren.
Nutzen Sie die Gratis-Checkliste zum Datenschutz im Internet, um auch die Datenschutz-Klassiker im Online-Datenschutz wieder in den Fokus zu rücken.
