Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Datenschutzerklärung

  • Informationspflichten nach Art. 13 DSGVO: Datenschutzhinweise offline

    Bei Datenschutzhinweisen denken die meisten an die Datenschutzerklärung auf der Website. Die Informationspflichten der DSGVO gelten aber unabhängig vom Kanal. Wer am Telefon einen Termin vereinbart, im Laden eine Kundenkarte ausfüllen lässt oder auf der Baustelle einen Auftrag aufnimmt, erhebt ebenfalls personenbezogene Daten und muss die Betroffenen informieren. Gerade kleine Betriebe übersehen das häufig.

    Wann muss informiert werden?

    Werden Daten direkt bei der betroffenen Person erhoben, ist sie nach Art. 13 DSGVO zum Zeitpunkt der Erhebung zu informieren. Stammen die Daten aus anderen Quellen, etwa von einem Auftraggeber, einem Adresshändler oder aus öffentlichen Verzeichnissen, gilt Art. 14 DSGVO: Die Information muss dann innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, erfolgen. Eine Pflicht entfällt nur, soweit die Person bereits über die Informationen verfügt.

    Welche Inhalte sind nötig?

    Die Pflichtangaben entsprechen denen der Website-Datenschutzerklärung: Verantwortlicher, gegebenenfalls Datenschutzbeauftragter, Zwecke und Rechtsgrundlagen, Empfänger, Drittlandübermittlungen, Speicherdauer, Betroffenenrechte und Beschwerderecht. Eine ausführliche Liste finden Sie in unserem Beitrag „Datenschutzerklärung für die Website: Diese Angaben sind Pflicht“.

    Das Mehrebenen-Modell

    Niemand erwartet, dass Sie einem Kunden am Telefon zwei Seiten Datenschutzhinweise vorlesen. Die Aufsichtsbehörden akzeptieren ein gestuftes Vorgehen: Auf der ersten Ebene werden die wichtigsten Informationen kurz mitgeteilt, also wer die Daten verarbeitet, wozu, und wo es die vollständigen Informationen gibt. Auf der zweiten Ebene stehen die vollständigen Hinweise bereit, etwa als Aushang, Handzettel, auf der Website oder auf Wunsch per Post.

    Praxisbeispiele

    • Bei der telefonischen Terminvereinbarung genügt ein kurzer Hinweis („Ihre Daten verwenden wir zur Terminplanung, Infos zum Datenschutz finden Sie auf unserer Website oder wir senden sie Ihnen zu“); die vollständigen Hinweise folgen mit der Terminbestätigung.
    • Im Ladengeschäft mit Kundenkarte gehören die Datenschutzhinweise auf das Anmeldeformular oder auf ein separates Blatt; für Werbung ist eine gesonderte Einwilligung nötig.
    • Handwerksbetriebe drucken die Hinweise auf die Rückseite des Angebots oder legen sie der Auftragsbestätigung bei.
    • In der Arztpraxis bieten sich ein Aushang im Wartebereich und ein Merkblatt bei der Anmeldung an.
    • Bei Videoüberwachung ist ein Hinweisschild vor dem überwachten Bereich anzubringen; siehe unseren Beitrag zur Videoüberwachung im Laden oder in der Praxis.

    Beschäftigte und Bewerber nicht vergessen

    Auch gegenüber Beschäftigten und Bewerbern bestehen Informationspflichten. Viele Unternehmen händigen neuen Mitarbeitenden daher mit dem Arbeitsvertrag ein Informationsblatt zur Datenverarbeitung im Beschäftigungsverhältnis aus. Für Bewerber empfiehlt sich ein Hinweis in der Eingangsbestätigung; Einzelheiten in unserem Beitrag zu Bewerberdaten.

    Typische Fehler

    • Keine Hinweise außerhalb der Website.
    • Veraltete Hinweise, die neue Dienstleister oder Software nicht erwähnen.
    • Information erst nach Wochen oder gar nicht, wenn Daten von Dritten stammen.
    • Unverständliche Fachsprache statt klarer, einfacher Formulierungen.

    Mit einem Mehrebenen-Modell und einigen Standardtexten für Telefon, Formulare und Aushänge sind die Anforderungen ohne großen Aufwand zu erfüllen. Diese Texte erstellen wir gern für Ihren Betrieb, für Kunden ebenso wie für Beschäftigte und Bewerber. Kontakt · Termin buchen

  • Kontaktformular auf der Website datenschutzkonform gestalten

    Das Kontaktformular ist für viele Unternehmen der wichtigste Weg, über die Website neue Anfragen zu erhalten. Zugleich werden hier personenbezogene Daten erhoben: Name, E-Mail-Adresse, Telefonnummer und häufig Angaben zum Anliegen, die sehr persönlich sein können. Mit wenigen Grundregeln lässt sich ein Kontaktformular datenschutzkonform gestalten, ohne Interessenten abzuschrecken.

    Regel 1: Nur die nötigen Pflichtfelder

    Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) dürfen nur die Daten verlangt werden, die zur Bearbeitung der Anfrage erforderlich sind. In der Regel genügen eine Kontaktmöglichkeit, meist die E-Mail-Adresse, und das Nachrichtenfeld. Name, Telefonnummer, Firma oder Anschrift sollten freiwillige Felder sein und als solche gekennzeichnet werden. Wer eine Telefonnummer zur Pflicht macht, obwohl per E-Mail geantwortet werden kann, verstößt gegen diesen Grundsatz.

    Regel 2: Das Einwilligungshäkchen ist meist überflüssig

    Viele Formulare verlangen ein Häkchen „Ich willige in die Verarbeitung meiner Daten ein“. Das ist in der Regel nicht notwendig und kann sogar schaden. Wer eine Anfrage stellt, möchte eine Antwort; die Verarbeitung der Daten zu diesem Zweck lässt sich auf vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder auf das berechtigte Interesse an der Beantwortung (lit. f) stützen. Eine Einwilligung ist dagegen jederzeit widerruflich und muss alle Wirksamkeitsvoraussetzungen erfüllen, die wir im Beitrag „Einwilligung nach DSGVO wirksam einholen“ beschrieben haben. Ausreichend ist ein klarer Hinweis auf die Datenschutzerklärung direkt am Formular.

    Anders ist es, wenn die Daten für weitere Zwecke genutzt werden sollen, etwa für einen Newsletter. Dafür ist eine gesonderte, freiwillige Einwilligung erforderlich, die nicht an die Anfrage gekoppelt sein darf.

    Regel 3: Verschlüsselte Übertragung

    Die Übertragung der Formulardaten muss mindestens per TLS verschlüsselt erfolgen (HTTPS). Das ist heute Standard, sollte aber geprüft werden, auch für die Weiterleitung der Formularinhalte per E-Mail an das Unternehmen. Bei besonders sensiblen Anfragen, etwa in Arztpraxen oder Kanzleien, sollte erwogen werden, die Formularinhalte nicht unverschlüsselt per E-Mail weiterzuleiten, sondern in einem geschützten Bereich abzurufen.

    Regel 4: Spamschutz ohne Datenabfluss

    Captcha-Dienste großer Anbieter übertragen Daten über das Nutzerverhalten häufig an Server in Drittländern und setzen Cookies. Prüfen Sie Alternativen wie sogenannte Honeypot-Felder oder lokal betriebene Lösungen. Wird ein externer Dienst genutzt, ist er in der Datenschutzerklärung zu nennen und gegebenenfalls einwilligungspflichtig.

    Regel 5: Speicherdauer festlegen

    Anfragen, aus denen kein Auftrag wird, sollten nach angemessener Zeit gelöscht werden. Viele Formular-Plugins speichern Einsendungen zusätzlich in der Datenbank der Website, oft unbegrenzt. Deaktivieren Sie diese Funktion, wenn Sie sie nicht benötigen, oder richten Sie eine automatische Löschung ein. Mehr dazu in unserem Beitrag zum Löschkonzept.

    Regel 6: Transparente Information

    Die Datenschutzerklärung muss das Kontaktformular abdecken: Zweck, Rechtsgrundlage, Empfänger (etwa der Hosting-Anbieter), Speicherdauer. Eine Übersicht der Pflichtangaben finden Sie in unserem Beitrag „Datenschutzerklärung für die Website“.

    Ein schlankes Formular schafft Vertrauen und senkt die Hemmschwelle für Anfragen. Wenn Sie Website und Kontaktformular prüfen lassen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Datenschutzerklärung für die Website: Diese Angaben sind Pflicht

    Jede Website, die personenbezogene Daten verarbeitet, benötigt eine Datenschutzerklärung, und das betrifft praktisch jede Website. Sie ist das Aushängeschild der Datenschutz-Compliance eines Unternehmens und wird von Wettbewerbern, Verbänden und Aufsichtsbehörden als Erstes geprüft. Gleichzeitig sind viele Datenschutzerklärungen veraltet, unvollständig oder beschreiben Dienste, die längst nicht mehr eingesetzt werden.

    Rechtsgrundlage: Art. 13 DSGVO

    Werden personenbezogene Daten bei der betroffenen Person erhoben, ist sie zum Zeitpunkt der Erhebung zu informieren. Auf einer Website geschieht das typischerweise über eine Datenschutzerklärung, die von jeder Seite aus mit einem Klick erreichbar sein sollte, üblicherweise über einen Link im Footer, getrennt vom Impressum. Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache erfolgen (Art. 12 Abs. 1 DSGVO).

    Die Pflichtangaben im Überblick

    • Name und Kontaktdaten des Verantwortlichen,
    • Kontaktdaten des Datenschutzbeauftragten, falls benannt,
    • Zwecke und Rechtsgrundlagen jeder Verarbeitung,
    • bei Art. 6 Abs. 1 lit. f DSGVO: die berechtigten Interessen,
    • Empfänger oder Kategorien von Empfängern, etwa Hosting-Anbieter oder Newsletter-Dienste,
    • Übermittlungen in Drittländer und die zugrunde liegenden Garantien,
    • Speicherdauer oder Kriterien für ihre Festlegung,
    • Hinweis auf die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
    • Hinweis auf das Recht, eine Einwilligung jederzeit zu widerrufen,
    • Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde,
    • ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung.

    Typische Verarbeitungen auf Websites

    Gegliedert wird die Erklärung am besten nach Verarbeitungsvorgängen: Server-Logfiles beim Aufruf der Seite, Kontaktformular und E-Mail, Newsletter, Cookies und Einwilligungsverwaltung, Analyse-Tools, eingebettete Inhalte wie Karten oder Videos, Online-Bewerbungen und gegebenenfalls ein Online-Shop. Für Cookies und ähnliche Technologien ist seit Dezember 2021 neben der DSGVO das TTDSG zu nennen; Einzelheiten dazu in unserem Beitrag „TTDSG ab 1. Dezember 2021“.

    Die häufigsten Fehler

    • Kopierte Muster ohne Bezug zur tatsächlichen Website.
    • Veraltete Inhalte, etwa Verweise auf das Privacy Shield oder das TMG.
    • Fehlende Dienste: Ein Plugin lädt Schriftarten oder Karten von Drittservern, die Erklärung schweigt dazu. Dass das teuer werden kann, zeigt das Google-Fonts-Urteil des LG München I.
    • Die pauschale Berufung auf „berechtigte Interessen“ für alles.
    • Juristische Bleiwüsten ohne Gliederung.

    Generator oder individuell?

    Datenschutz-Generatoren sind ein brauchbarer Ausgangspunkt, ersetzen aber nicht die Prüfung, welche Daten die Website tatsächlich verarbeitet. Lassen Sie im ersten Schritt technisch prüfen, welche Verbindungen beim Seitenaufruf aufgebaut und welche Cookies gesetzt werden, und gleichen Sie dies mit der Erklärung ab.

    Nach jedem neuen Plugin, jedem neuen Tool und jedem Relaunch gehört die Datenschutzerklärung auf den Prüfstand. Wir überarbeiten sie mit Ihnen auf Grundlage der tatsächlichen Datenverarbeitung Ihrer Website. Kontakt aufnehmen oder online einen Termin buchen.