Seit dem Jahr 2016 gilt die europäische Datenschutz-Grundverordnung (DSGVO). Nach einer Übergangsfrist müssen spätestens seit Mai 2018 alle Anbieter von Webpräsenzen mit Sitz in einem Land der Europäischen Union die Besucher ihrer Seiten darüber aufklären, welche personenbezogenen Daten von diesen verarbeitet werden.
Die Ausrede „Ich verarbeite keine personenbezogenen Daten meiner Webseiten-Besucher“ lasse ich nicht gelten. Denn der Webhoster, von dessen Servern die Website an Besucher ausgeliefert wird, registriert und speichert verschiedene technische Daten. Darunter ist auch die sogenannte IP-Adresse, also sozusagen die Internethausnummer des Besuchers. IP-Adressen gelten als personenbezogene Daten.
Es steht also unumstößlich fest, dass jeder Betreiber einer Internetpräsenz zwingend eine Datenschutzerklärung benötigt. Auch dann, wenn er eine rein private Website betreibt.
Was muss in der Datenschutzerklärung stehen?
Ich sage es gleich vorab: Diese Frage ist nicht pauschal zu beantworten. Es kommt nämlich darauf an, was alles auf den Webseiten passiert. Mit Sicherheit gehören folgende Angaben in die Erklärung:
- Angaben zum Verantwortlichen, also zu einer natürlichen oder juristischen Person samt den dazu gehörenden Kontaktdaten.
- Der Hinweis, dass der Webhoster die IP-Adresse und einige weitere technischen Daten speichert. Mit diesem Webhoster musst Du deshalb einen sogenannten Auftragsverarbeitungsvertrag abschließen.
- Hinweise auf die Rechte, die Besucher der Webseite haben: das Recht auf unentgeltliche Auskunft, welche Daten verarbeitet werden; das Recht auf Berichtigung falscher Daten; das Recht auf Löschung von Daten, sobald diese nicht mehr benötigt werden; das Recht auf Widerspruch gegen zukünftige Verarbeitung.
Hinzu kommen weitere Angaben, je nachdem, was Du machst: Erlaubst Du Kommentare? Betreibst Du ein Gästebuch? Gibt es ein Kontaktformular auf einer der Webseiten? Kann man sich für einen Newsletter anmelden?
Gibst Du Daten außer an den Webhoster auch an sonstige Dritte weiter? (Newsletterdienste? Anbieter von Werkzeugen zur Besucheranalyse? Anbieter eingebetteter Dienste wie zum Beispiel Google Maps, Youtube oder Vimeo? Twitter-, Instagram- oder Podcaststreams? …)
Verwendest Du Werkzeuge, die Cookies setzen, die über eine rein technische Notwendigkeit hinaus gehen? Wer wertet diese Cookies aus? (Zum Beispiel nur Du mit Hilfe lokal installierter Plugins? Oder handelt es sich um sogenannte Third-Party-Cookies, die Dritte setzen und auslesen können?)
Kompliziert wird es, wenn auf der Website ein Internetshop betrieben wird.
Generatoren für die Datenschutzerklärung?
Natürlich gibt es im Netz der Netze einige Anbieter von automatisierten Generatoren, die nach einem Frage-Antwort-Spiel eine aus Bausteinen zusammengesetzte Datenschutzerklärung zum Download anbieten – gegen kleines Geld oder sogar kostenfrei. Die Ergebnisse solcher Automaten lesen sich oft etwas hölzern, sind aber inhaltlich in vielen Fällen gar nicht schlecht.
Das Problem besteht dabei in der Tatsache, dass man im Frage-Antwort-Spiel oft nicht weiß, was man ankreuzen oder eintragen soll. Die Antwortmöglichkeiten übersteigen leider oft den technischen Sachverstand von Webseitenbetreibern. Diese wissen nämlich gar nicht, was beim Aufruf ihrer Seiten tatsächlich abläuft.
Nun könnte man argumentieren: „Viel hilft viel!“ – und einfach alles ankreuzen, was da zur Auswahl angeboten wird. Daraus entstehen dann Datenschutzerklärungen, die so gut wie nichts mehr mit dem zu tun haben, was wirklich notwendig ist. Versierte Leser solcher Erklärungen erkennen sehr schnell, dass dort Angaben gemacht werden, die nicht einmal annähernd zu den Inhalten der Website passen.
Fachkundige Beratung
Mein Rat lautet deshalb: Lasst Euch von einem (menschlichen) Spezialisten beraten. Der erkennt sehr schnell, auf welchem Wissensniveau Ihr Euch bewegt, stellt Fragen so, dass Ihr sie guten Gewissens beantworten könnt, und baut dann eine aktuelle und auf Eure Inhalte zugeschnittene Datenschutzerklärung zusammen. So etwas bekommt Ihr auch schon im zweistelligen Eurobereich, wenn Eure Webpräsenz keine allzu komplexe Struktur aufweist.
Alles andere ist einfach Mut zur Lücke. (Auch wenn ich einräume, dass das reine Vorhandensein einer Datenschutzerklärung bereits das Gros der abmahngeilen Schnüffler abschreckt.)
Form der Datenschutzerklärung
Ein guter Berater weiß übrigens auch, dass der Text der Datenschutzerklärung nicht in Juristendeutsch abgefasst werden sollte. In §13 des Telemediengesetzes heißt es nämlich explizit, dass die Erklärung „in allgemein verständlicher Form“ erfolgen muss.
Zur Verlinkung der Datenschutzerklärung
Die Angaben der Datenschutzerklärung müssen „leicht erkennbar, unmittelbar erreichbar und ständig verfügbar“ sein. Laut Grundsatzentscheidung des Bundesgerichtshofs aus dem Jahr 2006 reicht es aus, wenn sie über höchstens zwei Klicks erreichbar sind, also zum Beispiel über Menü: Kontakt > Datenschutzerklärung.
Ich empfehle allerdings einen auf allen Webseiten direkt und gleichbleibend erreichbaren, jedoch optisch unauffälligen Datenschutzlink zum Beispiel im Fußbereich der Internetpräsenz.
Schritt für Schritt: Der oben stehende Text ist ein Ratschlag, der an 20.Stelle der logischen Reihenfolge bei der Einrichtung einer WordPress-Installation steht. Die komplette Reihenfolge zweckmäßiger Aktionen findest Du in meinem Inhaltsverzeichnis. Wenn Du wissen möchtest, welche Schritte direkt vor oder nach diesem Ratschlag sinnvoll sind, findest Du hier Vorgänger- und Nachfolgebeitrag:
