Haben auch Sie, wie ich, ein E-Mail-Postfach voller Newsletter über Updates/Kurse/Fortbildungen/alles-was-den-Tag-über-kommt zum Thema Datenschutzrichtlinie? Und diese gesegnete DSGVO (für viele GPDR oder DGPR, ganz nach Fantasie), die anscheinend zu einem echten Albtraum geworden ist? Sagen wir, dass sich das Web-Publikum in zwei Gruppen teilt: diejenigen, die zu verängstigt sind und unterschriebene Einwilligungen verlangen, bevor sie dem Kunden überhaupt in die Augen schauen... und diejenigen, die sich zu wenig Sorgen machen, fast schon leichtsinnig angesichts der drohenden saftigen Bußgelder. Kurz gesagt, bringen wir etwas Klarheit hinein und ordnen die Informationen zu diesem dornigen Thema.
Was ist eine Datenschutzrichtlinie?
Es ist ein Dokument, das so detailliert und klar wie möglich die Modalitäten der Verwaltung und Verarbeitung der personenbezogenen Daten der Nutzer und Besucher der Website durch das Unternehmen beschreibt. Unter personenbezogenen Daten versteht man nicht nur Name, Nachname oder E-Mail-Adresse, sondern auch die von Google Analytics verwendeten Cookies, also zur Verfolgung des Nutzerverhaltens auf der Website.
Das Dokument ist in mehrere Abschnitte unterteilt, in denen Folgendes angegeben wird: der VERANTWORTLICHE für die Datenverarbeitung, die RECHTE der Nutzer, der ORT und der ZWECK der Verarbeitung, die ART der verarbeiteten Daten, die von der Website gesetzten COOKIES, die SPEICHERUNG der Daten, LINKS zu externen Inhalten sowie die Modalitäten zur Änderung der Einstellungen.
Das Dokument ist in mehrere Abschnitte unterteilt, in denen Folgendes angegeben wird: der VERANTWORTLICHE für die Datenverarbeitung, die RECHTE der Nutzer, der ORT und der ZWECK der Verarbeitung, die ART der verarbeiteten Daten, die von der Website gesetzten COOKIES, die SPEICHERUNG der Daten, LINKS zu externen Inhalten sowie die Modalitäten zur Änderung der Einstellungen.
Datenschutzrichtlinie: Bußgelder und Sanktionen
Sie ist gesetzlich vorgeschrieben; eine Website ohne diese Richtlinie könnte sehr hohe Sanktionen und Bußgelder riskieren, die von mindestens 3.000 Euro bis zu maximal 50.000 Euro reichen. Und wer kontrolliert das? Die Datenschutzbehörde. Wie? Sie kann aufgrund einer Meldung eines Nutzers handeln; wenn also ein netter „Freund“ beschließt, Ihre derzeit unvollständige Website zu melden, wird ein sofortiger Kontroll- (und Sanktions-) Mechanismus ausgelöst; oder durch Kontrollen anderer Art, wie sie beispielsweise durch die Finanzpolizei durchgeführt werden.
Glauben Sie, dass es sich lohnt, dieses Risiko einzugehen? Mmmh, unserer Meinung nach nicht!
Glauben Sie, dass es sich lohnt, dieses Risiko einzugehen? Mmmh, unserer Meinung nach nicht!
Wer schreibt das Dokument der Datenschutzrichtlinie?
Unseren Kunden empfehlen wir zwei mögliche Wege. Der erste, kostspieligere, aber sicherlich sorgfältigere und präzisere Weg (vielleicht auch nützlich, um alle Ernennungen der internen Datenschutzbeauftragten im Unternehmen zu ordnen, nicht nur in Bezug auf die Website), besteht darin, einen spezialisierten Anwalt zu kontaktieren und das Dokument direkt von ihm schreiben zu lassen. Der andere, günstigere Weg, ist die Nutzung von spezialisierten Websites (zum Beispiel Iubenda.com), die das Dokument basierend auf den angegebenen Informationen generieren, nachdem natürlich der zuständige Techniker der Website kontaktiert wurde, um das Verhalten der Seite zu 100 % zu verstehen.
Hinweis: Datenschutzrichtlinien sind keine Standardtexte; sie müssen unter Prüfung der tatsächlichen Modalitäten der Datenverarbeitung innerhalb des Unternehmens erstellt werden. Daher ist das „Kopieren und Einfügen“ (das viele Websites praktizieren) oft kontraproduktiv, wenn es nicht zu 100 % Ihrer Unternehmensrealität entspricht.
Hinweis: Datenschutzrichtlinien sind keine Standardtexte; sie müssen unter Prüfung der tatsächlichen Modalitäten der Datenverarbeitung innerhalb des Unternehmens erstellt werden. Daher ist das „Kopieren und Einfügen“ (das viele Websites praktizieren) oft kontraproduktiv, wenn es nicht zu 100 % Ihrer Unternehmensrealität entspricht.
Und was ist diese neue DSGVO?
DSGVO ist das Akronym für General Data Protection Regulation, also die europäische Verordnung zum Datenschutz, die seit dem 25. Mai 2018 in Kraft ist. Es handelt sich um einen Text, der versucht, alle europäischen Gesetze zur Verarbeitung personenbezogener Daten und damit zur Kontrolle unserer Informationen zu harmonisieren. Aber ist es wirklich eine Revolution gegenüber den vorherigen Regeln? Ja, absolut ja. Auch auf kleine Unternehmen hatte sie große Auswirkungen. Zu den wichtigsten Pflichten der DSGVO gehören:
* Anforderung einer klaren und ausdrücklichen Einwilligung
* Einrichtung eines Verzeichnisses von Verarbeitungstätigkeiten
* Meldung von Datenschutzverletzungen innerhalb von 72 Stunden
Aber kommen wir zum interessanten Teil, den Bußgeldern (so können wir die Katastrophiker weiter beunruhigen und vielleicht die Pazifisten anstacheln): je nach Schweregrad fällt die Sanktion aus, die erste Stufe bis zu maximal 10 Millionen Euro (oder 2 % des Jahresumsatzes, falls dieser höher ist), die zweite Stufe bis zu maximal 20 Millionen Euro (oder 4 % des Jahresumsatzes, falls dieser höher ist).
Einen weiteren Grund, das Thema nicht zu unterschätzen, haben wir Ihnen also geliefert, das ist sicher! Für weitere Informationen oder Klarstellungen zögern Sie bitte nicht, uns zu kontaktieren; wir stehen Ihnen gerne zur Verfügung.
Seit dem 25. Mai 2018 ist somit die DSGVO (General Data Protection Regulation) in Italien voll anwendbar. Wir erinnern daran, dass sie sich auf den Schutz natürlicher Personen bei der Verarbeitung und dem freien Verkehr personenbezogener Daten bezieht, nicht nur im Web-Bereich, sondern auch bei der normalen Datenverwaltung innerhalb eines Unternehmens. Bis heute haben jedoch viele Unternehmen die notwendigen Mindestmaßnahmen zur Gewährleistung des Schutzes personenbezogener Daten nicht implementiert, und folglich sind auch viele Websites immer noch nicht konform mit der Verordnung.
Es muss immer daran erinnert werden, dass die DSGVO für alle Unternehmen gilt, ob klein oder groß, auch für solche außerhalb der Europäischen Union, die Dienstleistungen oder Produkte innerhalb des EU-Marktes anbieten. Alle Unternehmen müssen daher die Regeln einhalten, unabhängig von ihrem geografischen Standort, da ansonsten das Risiko schwerer Sanktionen durch die zuständigen Aufsichtsbehörden besteht (für Italien der Garante per la Protezione dei dati personali GPDP).
Speziell in Bezug auf die Anpassung einer Website – vorausgesetzt, es handelt sich nicht um einfache Änderungen oder das „Kopieren und Einfügen“ von Texten anderer Websites (was sich im Gegenteil als kontraproduktiv erweisen kann) – ist es immer ratsam, sich an Experten zu wenden, die wissen, wie man die Änderungen konform zur EU-Verordnung 2016/679 vornimmt und die richtigen Instrumente identifizieren kann, um die gesetzlichen Pflichten zu erfüllen (wie zum Beispiel iubenda.com, das einen Service zur Generierung von Datenschutz- und Cookie-Richtlinien sowie andere Dienste zur Verarbeitung personenbezogener Daten anbietet).
* Anforderung einer klaren und ausdrücklichen Einwilligung
* Einrichtung eines Verzeichnisses von Verarbeitungstätigkeiten
* Meldung von Datenschutzverletzungen innerhalb von 72 Stunden
Aber kommen wir zum interessanten Teil, den Bußgeldern (so können wir die Katastrophiker weiter beunruhigen und vielleicht die Pazifisten anstacheln): je nach Schweregrad fällt die Sanktion aus, die erste Stufe bis zu maximal 10 Millionen Euro (oder 2 % des Jahresumsatzes, falls dieser höher ist), die zweite Stufe bis zu maximal 20 Millionen Euro (oder 4 % des Jahresumsatzes, falls dieser höher ist).
Einen weiteren Grund, das Thema nicht zu unterschätzen, haben wir Ihnen also geliefert, das ist sicher! Für weitere Informationen oder Klarstellungen zögern Sie bitte nicht, uns zu kontaktieren; wir stehen Ihnen gerne zur Verfügung.
Seit dem 25. Mai 2018 ist somit die DSGVO (General Data Protection Regulation) in Italien voll anwendbar. Wir erinnern daran, dass sie sich auf den Schutz natürlicher Personen bei der Verarbeitung und dem freien Verkehr personenbezogener Daten bezieht, nicht nur im Web-Bereich, sondern auch bei der normalen Datenverwaltung innerhalb eines Unternehmens. Bis heute haben jedoch viele Unternehmen die notwendigen Mindestmaßnahmen zur Gewährleistung des Schutzes personenbezogener Daten nicht implementiert, und folglich sind auch viele Websites immer noch nicht konform mit der Verordnung.
Es muss immer daran erinnert werden, dass die DSGVO für alle Unternehmen gilt, ob klein oder groß, auch für solche außerhalb der Europäischen Union, die Dienstleistungen oder Produkte innerhalb des EU-Marktes anbieten. Alle Unternehmen müssen daher die Regeln einhalten, unabhängig von ihrem geografischen Standort, da ansonsten das Risiko schwerer Sanktionen durch die zuständigen Aufsichtsbehörden besteht (für Italien der Garante per la Protezione dei dati personali GPDP).
Speziell in Bezug auf die Anpassung einer Website – vorausgesetzt, es handelt sich nicht um einfache Änderungen oder das „Kopieren und Einfügen“ von Texten anderer Websites (was sich im Gegenteil als kontraproduktiv erweisen kann) – ist es immer ratsam, sich an Experten zu wenden, die wissen, wie man die Änderungen konform zur EU-Verordnung 2016/679 vornimmt und die richtigen Instrumente identifizieren kann, um die gesetzlichen Pflichten zu erfüllen (wie zum Beispiel iubenda.com, das einen Service zur Generierung von Datenschutz- und Cookie-Richtlinien sowie andere Dienste zur Verarbeitung personenbezogener Daten anbietet).
Welche Maßnahmen sind jedoch notwendig, um eine DSGVO-konforme Website zu haben?
1) Eine konforme Datenschutzrichtlinie haben
Die erste Regel ist, ein vollständiges und konformes Dokument der Datenschutzrichtlinie gemäß der EU-Verordnung 2016/679 zu haben.
Die Datenschutzrichtlinie muss folgende Informationen enthalten:
● den Verantwortlichen für die Datenverarbeitung und, falls ernannt, den Datenschutzbeauftragten;
● die verarbeiteten personenbezogenen Daten;
● die Zwecke der Verarbeitung;
● die Rechtsgrundlage der Verarbeitung;
● wer die Empfänger sind;
● eventuelle Datenübermittlungen;
● die Modalitäten und die Dauer der Datenspeicherung;
● alle Rechte der betroffenen Person.
Die Datenschutzrichtlinie muss anschließend für alle Nutzer der Website verfügbar und von jeder Seite aus erreichbar sein.
2) Eine konforme Cookie-Richtlinie haben
Wie bei der Datenschutzrichtlinie ist auch eine Cookie-Richtlinie grundlegend, um die Verordnung einzuhalten. Dieses Dokument muss folgende Informationen enthalten:
● den Nutzern eine klare Information über die Verwendung von Cookies bieten;
● die verwendeten Cookie-Typen spezifizieren (technisch, Analyse, Profiling usw.);
● eventuelle andere Empfänger der personenbezogenen Daten auflisten;
● die Zeiträume und Modalitäten der Informationsspeicherung;
● die Möglichkeit und die Modalitäten für Nutzer, ihre Rechte im Bereich des Schutzes personenbezogener Daten auszuüben.
3) Ein aktualisiertes und konformes Banner haben
Nach der Erstellung der Cookie-Richtlinie ergibt sich daraus das Informationsbanner, das notwendig ist, um die Einwilligung des Nutzers zur Installation von Cookies einzuholen. Es muss sichergestellt werden, dass:
● die Anfrage zur Installation von Cookies zwischen technischen, Profiling- und Analyse-Cookies differenziert ist und verschiedene Typen nicht zusammengefasst werden (granulare Einwilligung);
● das Scrollen der Seite nicht als positive Einwilligungshandlung gewertet wird;
● sichergestellt ist, dass bei fehlender Einwilligung nur technische Cookies aktiviert werden;
● der Widerruf der Cookie-Zustimmung genauso einfach sein muss wie die Zustimmung selbst;
● die Einwilligung durch ein zertifiziertes Register immer nachweisbar sein muss.
4) Kontaktformulare aktualisieren
Die Grundregel bleibt immer die Transparenz. Um die vom Nutzer bereitgestellten Daten zu verwenden, ist es daher notwendig, dass dieser eine ausdrückliche Einwilligung zur Nutzung gibt und die Zwecke der Verarbeitung klar sind.
An zwei Beispielen lassen sich beide Kernpunkte verdeutlichen:
● die ausdrückliche Einwilligung wird erreicht, indem vorab ausgewählte Checkboxen vermieden werden; so gibt der Nutzer durch die aktive Handlung der Zustimmung zur Datenverarbeitung eine informierte und ausdrückliche Einwilligung
● bezüglich der klar formulierten Verarbeitungszwecke: am Beispiel eines Kontaktformulars, bei dem die gesammelte E-Mail-Adresse auch für den Versand von Newslettern und kommerziellen Mitteilungen verwendet werden soll, müssen zwei verschiedene Checkboxen vorgesehen werden – eine für die Datenverarbeitung zur Beantwortung der Kontaktanfrage (die natürlich obligatorisch ist) und eine zweite Checkbox, in der der Zweck der Verarbeitung für den Newsletter-Versand explizit genannt wird, die nicht obligatorisch sein darf und im Ermessen des Nutzers liegt
Wir erinnern daran, dass wie bei der Cookie-Richtlinie auch bei den Kontaktformularen die Einwilligung nach der Erfassung in einem entsprechenden Register archiviert werden muss, das in Papier- oder digitaler Form vorliegen kann und folgende Informationen enthält:
- wer die Einwilligung gegeben hat,
- wann sie gegeben wurde,
- welche Bedingungen der Nutzer ausdrücklich akzeptiert hat,
- wer Zugriff auf die Daten hat.
Die zuvor gemachten Angaben können nicht als allgemeine Anleitung betrachtet werden, um jede beliebige Website DSGVO-konform zu machen, da jede Website oder Anwendung ihre eigene Geschichte und eigene Merkmale hat. Es ist daher notwendig, vor der Implementierung eine Analyse durchzuführen, um zu verstehen, welche personenbezogenen Daten gesammelt werden, wie sie verarbeitet werden und welche Arten von Cookies verwendet werden. Nur so kann man anschließend eingreifen, um die eigene Website konform zur EU-Verordnung 2016/679 zu machen.
Die erste Regel ist, ein vollständiges und konformes Dokument der Datenschutzrichtlinie gemäß der EU-Verordnung 2016/679 zu haben.
Die Datenschutzrichtlinie muss folgende Informationen enthalten:
● den Verantwortlichen für die Datenverarbeitung und, falls ernannt, den Datenschutzbeauftragten;
● die verarbeiteten personenbezogenen Daten;
● die Zwecke der Verarbeitung;
● die Rechtsgrundlage der Verarbeitung;
● wer die Empfänger sind;
● eventuelle Datenübermittlungen;
● die Modalitäten und die Dauer der Datenspeicherung;
● alle Rechte der betroffenen Person.
Die Datenschutzrichtlinie muss anschließend für alle Nutzer der Website verfügbar und von jeder Seite aus erreichbar sein.
2) Eine konforme Cookie-Richtlinie haben
Wie bei der Datenschutzrichtlinie ist auch eine Cookie-Richtlinie grundlegend, um die Verordnung einzuhalten. Dieses Dokument muss folgende Informationen enthalten:
● den Nutzern eine klare Information über die Verwendung von Cookies bieten;
● die verwendeten Cookie-Typen spezifizieren (technisch, Analyse, Profiling usw.);
● eventuelle andere Empfänger der personenbezogenen Daten auflisten;
● die Zeiträume und Modalitäten der Informationsspeicherung;
● die Möglichkeit und die Modalitäten für Nutzer, ihre Rechte im Bereich des Schutzes personenbezogener Daten auszuüben.
3) Ein aktualisiertes und konformes Banner haben
Nach der Erstellung der Cookie-Richtlinie ergibt sich daraus das Informationsbanner, das notwendig ist, um die Einwilligung des Nutzers zur Installation von Cookies einzuholen. Es muss sichergestellt werden, dass:
● die Anfrage zur Installation von Cookies zwischen technischen, Profiling- und Analyse-Cookies differenziert ist und verschiedene Typen nicht zusammengefasst werden (granulare Einwilligung);
● das Scrollen der Seite nicht als positive Einwilligungshandlung gewertet wird;
● sichergestellt ist, dass bei fehlender Einwilligung nur technische Cookies aktiviert werden;
● der Widerruf der Cookie-Zustimmung genauso einfach sein muss wie die Zustimmung selbst;
● die Einwilligung durch ein zertifiziertes Register immer nachweisbar sein muss.
4) Kontaktformulare aktualisieren
Die Grundregel bleibt immer die Transparenz. Um die vom Nutzer bereitgestellten Daten zu verwenden, ist es daher notwendig, dass dieser eine ausdrückliche Einwilligung zur Nutzung gibt und die Zwecke der Verarbeitung klar sind.
An zwei Beispielen lassen sich beide Kernpunkte verdeutlichen:
● die ausdrückliche Einwilligung wird erreicht, indem vorab ausgewählte Checkboxen vermieden werden; so gibt der Nutzer durch die aktive Handlung der Zustimmung zur Datenverarbeitung eine informierte und ausdrückliche Einwilligung
● bezüglich der klar formulierten Verarbeitungszwecke: am Beispiel eines Kontaktformulars, bei dem die gesammelte E-Mail-Adresse auch für den Versand von Newslettern und kommerziellen Mitteilungen verwendet werden soll, müssen zwei verschiedene Checkboxen vorgesehen werden – eine für die Datenverarbeitung zur Beantwortung der Kontaktanfrage (die natürlich obligatorisch ist) und eine zweite Checkbox, in der der Zweck der Verarbeitung für den Newsletter-Versand explizit genannt wird, die nicht obligatorisch sein darf und im Ermessen des Nutzers liegt
Wir erinnern daran, dass wie bei der Cookie-Richtlinie auch bei den Kontaktformularen die Einwilligung nach der Erfassung in einem entsprechenden Register archiviert werden muss, das in Papier- oder digitaler Form vorliegen kann und folgende Informationen enthält:
- wer die Einwilligung gegeben hat,
- wann sie gegeben wurde,
- welche Bedingungen der Nutzer ausdrücklich akzeptiert hat,
- wer Zugriff auf die Daten hat.
Die zuvor gemachten Angaben können nicht als allgemeine Anleitung betrachtet werden, um jede beliebige Website DSGVO-konform zu machen, da jede Website oder Anwendung ihre eigene Geschichte und eigene Merkmale hat. Es ist daher notwendig, vor der Implementierung eine Analyse durchzuführen, um zu verstehen, welche personenbezogenen Daten gesammelt werden, wie sie verarbeitet werden und welche Arten von Cookies verwendet werden. Nur so kann man anschließend eingreifen, um die eigene Website konform zur EU-Verordnung 2016/679 zu machen.
