Datenschutzgrundverordnung

Die EU-Datenschutzgrundverordnung (DSGVO) eilt mit großen Schritten auf die Betreiber von Webseiten zu. Spätestens am 25.05.2018 müssen alle Datenschutzerklärungen DSGVO-konform sein. Im folgenden Informieren wir Sie über die wichtigsten Änderungen.

Bisher ergaben sich die Pflichtinhalte für Datenschutzerklärungen auf Webseiten aus § 4 Abs. 3, 33 Abs. 1 Bundesatzdatenschutzgesetz (BDSG) und § 13 Abs. 1 TMG. Nach § 4 Abs. 3, 33 Abs. 1 BDSG ist der Nutzer über die Identität der für die Datenverarbeitung verantwortlichen Stelle, die Zweckbestimmungen der Erhebung, Verarbeitung oder Nutzung und die Kategorien von Empfängern der Daten zu unterrichten, allerdings nur, soweit der Betroffene nach den Umständen des Einzelfalles nicht mit der Übermittlung an diese rechnen muss. § 13 TMG bestimmt, dass der Nutzer zu Beginn des Nutzungsvorgangs über Art, Umfang und Zwecke der Erhebung und Verwendung personenbezogener Daten zu unterrichten ist. Zudem ist er darüber zu unterrichten, dass er seine die Einwilligung in die Datenverarbeitung jederzeit mit Wirkung für die Zukunft widerrufen kann.

Die DSGVO geht weit über diese eher allgemein gehaltenen Anforderungen hinaus. Art. 13 DSGVO regelt künftig die Informationspflichten für den Fall, dass personenbezogene Daten des Nutzers erhoben werden. Hiernach müssen die Kontaktdaten des Verantwortlichen und ggf. seines Vertreters angegeben werden. Sofern der Webseitenbetreiber einen Datenschutzbeauftragten zu bestellen hat, sind auch seine Kontaktdaten anzugeben. Zudem muss der Seitennutzer über die Dauer der Datenspeicherung oder, falls dies nicht möglich ist, über die Kriterien für die Festlegung dieser Dauer informiert werden. Weiterhin ist die gesetzliche Grundlage für die jeweilige Datenerhebung zu nennen. Ferner ist der Seitennutzer über das Bestehen eines Beschwerderechts bei einer Datenschutzaufsichtsbehörde zu informieren. Weiterhin ist der Nutzer darüber aufzuklären, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob er zur Datenbereitstellung verpflichtet ist und welche möglichen Folgen die Nichtbereitstellung hätte. Sofern die Verarbeitung auf berechtigte Interessen des Erhebenden oder Dritten, an denen die Daten übertragen werden, gestützt wird, sind zudem die berechtigten Interessen zu erläutern. Wenn eine Weiterverarbeitung zu anderen Zwecken als zum Erhebungszweck erfolgt, ist der Nutzer auch diesbezüglich zu informieren. Ferner ist der Nutzer noch umfassender über seine Rechte zu informieren (Zugang, Berichtigung, Sperrung, Einschränkung, Löschung, Widerspruch).

Weitere Besonderheiten gelten bei Datentransfers in Drittstaaten. Wie bisher ist über die Übermittlung der Daten an Drittstaaten zu informieren. Zudem bedarf es nun der Angabe der Rechtsgrundlage für die Übermittlung. Sofern die Datenübertragung auf Standardvertragsklauseln oder Binding Corporate Rules gestützt wird, bedarf es dann einer Kopie der Klauseln bzw. der Binding Corporate Rules oder zumindest einer entsprechenden Quellenangabe.

Hinsichtlich der Form der Datenschutzhinweise hat sich grundsätzlich nichts geändert. Es gilt das Gebot der klaren und transparenten Darstellung. Neu ist die Möglichkeit, Bildsymbole zur weiteren Erläuterung zu verwenden (Art. 12 DSGVO).

Als Fazit lässt sich festhalten, dass für Webseitenbetreiber definitiver Handlungsbedarf besteht. Bisher galt für viele das Motto, „Hauptsache, irgendetwas zum Datenschutz schreiben“. Dieses dürfte sich mit Geltungsbeginn der DSGVO erledigen. Datenschutzerklärungen müssen künftig wesentlich genauer und detaillierter formuliert werden. Mit einer regen Überwachungstätigkeit der Datenschutzbehörden ist zu rechnen. Auch der eine oder andere Abmahnverein  wird Geschäft wittern, erst kürzlich hat das Oberlandesgericht Köln entschieden, dass unvollständige Datenschutzerklärungen wettbewerbswidrig sind (Urteil vom 11.03.2016, Az. 6 U 121/15).

Ihr Ansprechpartner: Rechtsanwalt Dr. Florian Meyer