Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: TTDSG

  • Datenschutzerklärung für die Website: Diese Angaben sind Pflicht

    Jede Website, die personenbezogene Daten verarbeitet, benötigt eine Datenschutzerklärung, und das betrifft praktisch jede Website. Sie ist das Aushängeschild der Datenschutz-Compliance eines Unternehmens und wird von Wettbewerbern, Verbänden und Aufsichtsbehörden als Erstes geprüft. Gleichzeitig sind viele Datenschutzerklärungen veraltet, unvollständig oder beschreiben Dienste, die längst nicht mehr eingesetzt werden.

    Rechtsgrundlage: Art. 13 DSGVO

    Werden personenbezogene Daten bei der betroffenen Person erhoben, ist sie zum Zeitpunkt der Erhebung zu informieren. Auf einer Website geschieht das typischerweise über eine Datenschutzerklärung, die von jeder Seite aus mit einem Klick erreichbar sein sollte, üblicherweise über einen Link im Footer, getrennt vom Impressum. Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache erfolgen (Art. 12 Abs. 1 DSGVO).

    Die Pflichtangaben im Überblick

    • Name und Kontaktdaten des Verantwortlichen,
    • Kontaktdaten des Datenschutzbeauftragten, falls benannt,
    • Zwecke und Rechtsgrundlagen jeder Verarbeitung,
    • bei Art. 6 Abs. 1 lit. f DSGVO: die berechtigten Interessen,
    • Empfänger oder Kategorien von Empfängern, etwa Hosting-Anbieter oder Newsletter-Dienste,
    • Übermittlungen in Drittländer und die zugrunde liegenden Garantien,
    • Speicherdauer oder Kriterien für ihre Festlegung,
    • Hinweis auf die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
    • Hinweis auf das Recht, eine Einwilligung jederzeit zu widerrufen,
    • Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde,
    • ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung.

    Typische Verarbeitungen auf Websites

    Gegliedert wird die Erklärung am besten nach Verarbeitungsvorgängen: Server-Logfiles beim Aufruf der Seite, Kontaktformular und E-Mail, Newsletter, Cookies und Einwilligungsverwaltung, Analyse-Tools, eingebettete Inhalte wie Karten oder Videos, Online-Bewerbungen und gegebenenfalls ein Online-Shop. Für Cookies und ähnliche Technologien ist seit Dezember 2021 neben der DSGVO das TTDSG zu nennen; Einzelheiten dazu in unserem Beitrag „TTDSG ab 1. Dezember 2021“.

    Die häufigsten Fehler

    • Kopierte Muster ohne Bezug zur tatsächlichen Website.
    • Veraltete Inhalte, etwa Verweise auf das Privacy Shield oder das TMG.
    • Fehlende Dienste: Ein Plugin lädt Schriftarten oder Karten von Drittservern, die Erklärung schweigt dazu. Dass das teuer werden kann, zeigt das Google-Fonts-Urteil des LG München I.
    • Die pauschale Berufung auf „berechtigte Interessen“ für alles.
    • Juristische Bleiwüsten ohne Gliederung.

    Generator oder individuell?

    Datenschutz-Generatoren sind ein brauchbarer Ausgangspunkt, ersetzen aber nicht die Prüfung, welche Daten die Website tatsächlich verarbeitet. Lassen Sie im ersten Schritt technisch prüfen, welche Verbindungen beim Seitenaufruf aufgebaut und welche Cookies gesetzt werden, und gleichen Sie dies mit der Erklärung ab.

    Nach jedem neuen Plugin, jedem neuen Tool und jedem Relaunch gehört die Datenschutzerklärung auf den Prüfstand. Wir überarbeiten sie mit Ihnen auf Grundlage der tatsächlichen Datenverarbeitung Ihrer Website. Kontakt aufnehmen oder online einen Termin buchen.

  • TTDSG ab 1. Dezember 2021: Was sich bei Cookies ändert

    Am 1. Dezember 2021 tritt das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (Telekommunikation-Telemedien-Datenschutz-Gesetz, TTDSG) in Kraft. Es bündelt die bislang im Telemediengesetz (TMG) und im Telekommunikationsgesetz (TKG) verstreuten Datenschutzvorschriften und setzt die sogenannte Cookie-Regel der ePrivacy-Richtlinie erstmals ausdrücklich in deutsches Recht um. Für Website- und App-Betreiber ist vor allem § 25 TTDSG relevant.

    § 25 TTDSG: Die neue Cookie-Regel

    Nach § 25 Abs. 1 TTDSG ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Für Information und Einwilligung gelten die Maßstäbe der DSGVO. Die Regel ist technikneutral: Sie gilt nicht nur für Cookies, sondern auch für Local Storage, Fingerprinting-Techniken, Pixel und vergleichbare Verfahren, soweit auf das Endgerät zugegriffen wird.

    Die Ausnahmen

    Eine Einwilligung ist nach § 25 Abs. 2 TTDSG nicht erforderlich,

    • wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
    • wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.

    Darunter fallen etwa Warenkorb-, Login- und Sicherheits-Cookies sowie das Cookie, das die Einwilligungsentscheidung speichert. Reichweitenmessung, Marketing und Retargeting sind in aller Regel nicht „unbedingt erforderlich“ und bleiben einwilligungspflichtig.

    Was ändert sich in der Praxis?

    Inhaltlich bestätigt das TTDSG im Wesentlichen das, was der BGH bereits in seinem Urteil „Cookie-Einwilligung II“ aus dem bisherigen TMG abgeleitet hatte. Neu ist die klare gesetzliche Grundlage, die Aufsichtsbehörden und Gerichten mehr Rechtssicherheit gibt. Das TTDSG regelt allerdings nur den Zugriff auf das Endgerät. Für die anschließende Verarbeitung der gewonnenen personenbezogenen Daten bleibt die DSGVO maßgeblich. Es braucht also häufig zwei Prüfungen: § 25 TTDSG für den Zugriff und Art. 6 DSGVO für die weitere Verarbeitung.

    Dienste zur Einwilligungsverwaltung

    § 26 TTDSG sieht zudem „anerkannte Dienste zur Einwilligungsverwaltung“ vor, die Nutzern helfen sollen, ihre Einwilligungen zentral zu verwalten. Die Einzelheiten soll eine Rechtsverordnung regeln, die noch aussteht. Kurzfristig ändert sich dadurch für Website-Betreiber nichts.

    Checkliste zum Inkrafttreten

    1. Alle Cookies, Skripte und eingebundenen Dienste erfassen.
    2. Für jeden Dienst prüfen: Ist er unbedingt erforderlich im Sinne von § 25 Abs. 2 TTDSG?
    3. Alle übrigen Dienste erst nach Einwilligung laden, gesteuert über einen rechtssicher gestalteten Cookie-Banner.
    4. Datenschutzerklärung aktualisieren: Verweise auf das TMG durch das TTDSG ersetzen.
    5. Drittlandübermittlungen der eingebundenen Dienste prüfen.

    Wer seinen Banner schon nach den Vorgaben des BGH ausgerichtet hat, muss vor allem Formalien anpassen; alle anderen sollten die Website jetzt gründlich prüfen. Cookie-Einsatz, Banner und Datenschutzerklärung sehen wir uns gern für Sie an. Kontaktieren Sie uns oder buchen Sie einen Termin.