Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: Websites & Cookies

  • Auf Online-Bewertungen antworten: Datenschutz-Fallen vermeiden

    Online-Bewertungen sind für Handwerksbetriebe, Praxen, Restaurants und Dienstleister ein wichtiger Faktor. Eine unfaire Ein-Stern-Bewertung ärgert, und die Versuchung ist groß, in der öffentlichen Antwort „die Dinge richtigzustellen“. Genau hier liegt eine Datenschutzfalle: Wer in seiner Antwort Informationen über den Kunden preisgibt, verarbeitet personenbezogene Daten und veröffentlicht sie. Das ist häufig unzulässig und wird von Aufsichtsbehörden beanstandet.

    Warum eine Antwort datenschutzrelevant ist

    Auch wenn eine Bewertung unter einem Pseudonym verfasst ist, weiß das Unternehmen oft, wer dahintersteckt. Nennt es in der Antwort Behandlungsdetails, Auftragsumfang, Zahlungsverhalten oder gar den Namen, verknüpft es öffentlich die Bewertung mit Informationen aus der Kundenbeziehung. Dafür fehlt in aller Regel eine Rechtsgrundlage. Das berechtigte Interesse, sich gegen Kritik zu verteidigen, rechtfertigt keine Offenlegung von Kundendaten, die über das Notwendige hinausgeht.

    Besonders heikel: Gesundheitsberufe

    Bei Ärzten, Zahnärzten, Therapeuten und Pflegediensten kommt die Schweigepflicht hinzu. Schon die Bestätigung, dass eine bestimmte Person Patient war, kann eine Verletzung von Privatgeheimnissen darstellen. Antworten wie „Bei Ihrer Behandlung im März haben wir …“ sind tabu. Weitere Hinweise enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    So antworten Sie richtig

    1. Bleiben Sie allgemein. Bedanken Sie sich für das Feedback und beschreiben Sie Ihre Standards, ohne auf den konkreten Fall einzugehen.
    2. Nennen Sie keine Details aus der Kundenbeziehung: keinen Namen, kein Datum, keine Leistungsdetails, keine Zahlungsinformationen.
    3. Bieten Sie ein Gespräch an: „Bitte melden Sie sich direkt bei uns, damit wir Ihr Anliegen klären können.“
    4. Bleiben Sie sachlich. Emotionale oder herabsetzende Antworten schaden dem Ansehen mehr als die Bewertung selbst.
    5. Lassen Sie Antworten auf kritische Bewertungen vor der Veröffentlichung gegenlesen.

    Unzulässige Bewertungen entfernen lassen

    Statt öffentlich zu streiten, ist es oft besser, gegen rechtswidrige Bewertungen vorzugehen. Bewertungsplattformen müssen Beanstandungen prüfen, etwa wenn kein Kundenkontakt stattgefunden hat, wenn unwahre Tatsachen behauptet werden oder wenn eine Bewertung beleidigend ist. Maßgeblich ist dabei die Abgrenzung zwischen zulässiger Meinungsäußerung und unzulässiger Tatsachenbehauptung. Ein klassisches Beispiel ist die von uns früher besprochene Hotelbewertung „Hühnerstall“.

    Bewertungen aktiv einholen

    Wer Kunden nach dem Auftrag per E-Mail um eine Bewertung bittet, betreibt Werbung im Sinne des Wettbewerbsrechts. Dafür ist grundsätzlich eine Einwilligung erforderlich, sofern nicht die enge Bestandskundenausnahme greift. Einzelheiten dazu in unserem Beitrag „Newsletter rechtssicher versenden“.

    Eine freundliche, allgemeine Antwort mit Gesprächsangebot wirkt professionell und vermeidet Datenschutzverstöße. Gegen rechtswidrige Bewertungen gehen wir für Sie vor, und wir beraten Sie, wie Sie auf Kritik antworten dürfen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • EuGH Lindenapotheke: Mitbewerber dürfen DSGVO-Verstöße abmahnen

    Ob Wettbewerber einander wegen Datenschutzverstößen abmahnen können, war in Deutschland lange umstritten. Der Gerichtshof der Europäischen Union hat die Frage mit Urteil vom 4. Oktober 2024 (Rs. C-21/23, Lindenapotheke) bejaht: Das nationale Recht darf Mitbewerbern ein solches Klagerecht einräumen. Zugleich hat der EuGH den Begriff der Gesundheitsdaten weit ausgelegt, mit Folgen für viele Online-Shops.

    Der Fall

    Ein Apotheker vertrieb über die Plattform Amazon Marketplace apothekenpflichtige, aber nicht verschreibungspflichtige Arzneimittel. Bei der Bestellung gaben Kunden Name, Lieferadresse und die für die Individualisierung der Arzneimittel notwendigen Informationen ein. Ein Mitbewerber klagte auf Unterlassung: Der Vertrieb sei ohne ausdrückliche Einwilligung der Kunden in die Verarbeitung von Gesundheitsdaten unzulässig und damit unlauter. Der Bundesgerichtshof legte dem EuGH zwei Fragen vor.

    Frage 1: Klagebefugnis von Mitbewerbern

    Der EuGH entschied, dass die Rechtsbehelfsregeln der DSGVO einer nationalen Regelung nicht entgegenstehen, nach der Mitbewerber gegen Datenschutzverstöße als unlautere Geschäftspraktiken vor den Zivilgerichten vorgehen können. Ein solches Klagerecht trage vielmehr zur Wirksamkeit des Datenschutzes bei. Damit ergänzt der EuGH seine Entscheidung zur Klagebefugnis von Verbraucherverbänden aus dem Jahr 2022.

    Frage 2: Bestelldaten als Gesundheitsdaten

    Die bei der Online-Bestellung apothekenpflichtiger Arzneimittel eingegebenen Daten sind nach dem EuGH Gesundheitsdaten im Sinne von Art. 9 DSGVO, auch wenn das Arzneimittel nicht verschreibungspflichtig ist. Es genügt, dass aus der Bestellung mittels gedanklicher Kombination oder Ableitung Rückschlüsse auf den Gesundheitszustand einer identifizierbaren Person gezogen werden können. Dass das Arzneimittel möglicherweise für eine andere Person bestimmt ist, ändert daran nichts. Für die Verarbeitung ist daher grundsätzlich eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO erforderlich, typischerweise eine ausdrückliche Einwilligung.

    Was bedeutet das für Online-Händler?

    • Das Abmahnrisiko steigt. Neben Aufsichtsbehörden und Verbänden können nun auch Wettbewerber Datenschutzverstöße mit Abmahnungen und Unterlassungsklagen nach dem UWG verfolgen.
    • Wer Produkte verkauft, die Rückschlüsse auf Gesundheit, Sexualleben oder religiöse Überzeugungen zulassen, sollte prüfen, ob er besondere Kategorien von Daten verarbeitet und welche Rechtsgrundlage greift.
    • Eine ausdrückliche Einwilligung muss klar, gesondert und dokumentiert eingeholt werden. Hinweise dazu in unserem Beitrag „Einwilligung nach DSGVO wirksam einholen“.
    • Auch Händler auf Marktplätzen sind für ihre Datenverarbeitung verantwortlich.

    Online-Händler sollten ihre Datenschutz-Compliance künftig auch mit Blick auf Mitbewerber prüfen, besonders bei Produkten, deren Kauf Rückschlüsse auf sensible Merkmale zulässt. Haben Sie bereits eine wettbewerbsrechtliche Abmahnung erhalten, prüfen wir die Vorwürfe und verteidigen Sie. Schreiben Sie uns oder buchen Sie kurzfristig einen Termin.

  • Kontaktformular auf der Website datenschutzkonform gestalten

    Das Kontaktformular ist für viele Unternehmen der wichtigste Weg, über die Website neue Anfragen zu erhalten. Zugleich werden hier personenbezogene Daten erhoben: Name, E-Mail-Adresse, Telefonnummer und häufig Angaben zum Anliegen, die sehr persönlich sein können. Mit wenigen Grundregeln lässt sich ein Kontaktformular datenschutzkonform gestalten, ohne Interessenten abzuschrecken.

    Regel 1: Nur die nötigen Pflichtfelder

    Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) dürfen nur die Daten verlangt werden, die zur Bearbeitung der Anfrage erforderlich sind. In der Regel genügen eine Kontaktmöglichkeit, meist die E-Mail-Adresse, und das Nachrichtenfeld. Name, Telefonnummer, Firma oder Anschrift sollten freiwillige Felder sein und als solche gekennzeichnet werden. Wer eine Telefonnummer zur Pflicht macht, obwohl per E-Mail geantwortet werden kann, verstößt gegen diesen Grundsatz.

    Regel 2: Das Einwilligungshäkchen ist meist überflüssig

    Viele Formulare verlangen ein Häkchen „Ich willige in die Verarbeitung meiner Daten ein“. Das ist in der Regel nicht notwendig und kann sogar schaden. Wer eine Anfrage stellt, möchte eine Antwort; die Verarbeitung der Daten zu diesem Zweck lässt sich auf vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder auf das berechtigte Interesse an der Beantwortung (lit. f) stützen. Eine Einwilligung ist dagegen jederzeit widerruflich und muss alle Wirksamkeitsvoraussetzungen erfüllen, die wir im Beitrag „Einwilligung nach DSGVO wirksam einholen“ beschrieben haben. Ausreichend ist ein klarer Hinweis auf die Datenschutzerklärung direkt am Formular.

    Anders ist es, wenn die Daten für weitere Zwecke genutzt werden sollen, etwa für einen Newsletter. Dafür ist eine gesonderte, freiwillige Einwilligung erforderlich, die nicht an die Anfrage gekoppelt sein darf.

    Regel 3: Verschlüsselte Übertragung

    Die Übertragung der Formulardaten muss mindestens per TLS verschlüsselt erfolgen (HTTPS). Das ist heute Standard, sollte aber geprüft werden, auch für die Weiterleitung der Formularinhalte per E-Mail an das Unternehmen. Bei besonders sensiblen Anfragen, etwa in Arztpraxen oder Kanzleien, sollte erwogen werden, die Formularinhalte nicht unverschlüsselt per E-Mail weiterzuleiten, sondern in einem geschützten Bereich abzurufen.

    Regel 4: Spamschutz ohne Datenabfluss

    Captcha-Dienste großer Anbieter übertragen Daten über das Nutzerverhalten häufig an Server in Drittländern und setzen Cookies. Prüfen Sie Alternativen wie sogenannte Honeypot-Felder oder lokal betriebene Lösungen. Wird ein externer Dienst genutzt, ist er in der Datenschutzerklärung zu nennen und gegebenenfalls einwilligungspflichtig.

    Regel 5: Speicherdauer festlegen

    Anfragen, aus denen kein Auftrag wird, sollten nach angemessener Zeit gelöscht werden. Viele Formular-Plugins speichern Einsendungen zusätzlich in der Datenbank der Website, oft unbegrenzt. Deaktivieren Sie diese Funktion, wenn Sie sie nicht benötigen, oder richten Sie eine automatische Löschung ein. Mehr dazu in unserem Beitrag zum Löschkonzept.

    Regel 6: Transparente Information

    Die Datenschutzerklärung muss das Kontaktformular abdecken: Zweck, Rechtsgrundlage, Empfänger (etwa der Hosting-Anbieter), Speicherdauer. Eine Übersicht der Pflichtangaben finden Sie in unserem Beitrag „Datenschutzerklärung für die Website“.

    Ein schlankes Formular schafft Vertrauen und senkt die Hemmschwelle für Anfragen. Wenn Sie Website und Kontaktformular prüfen lassen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Datenschutzerklärung für die Website: Diese Angaben sind Pflicht

    Jede Website, die personenbezogene Daten verarbeitet, benötigt eine Datenschutzerklärung, und das betrifft praktisch jede Website. Sie ist das Aushängeschild der Datenschutz-Compliance eines Unternehmens und wird von Wettbewerbern, Verbänden und Aufsichtsbehörden als Erstes geprüft. Gleichzeitig sind viele Datenschutzerklärungen veraltet, unvollständig oder beschreiben Dienste, die längst nicht mehr eingesetzt werden.

    Rechtsgrundlage: Art. 13 DSGVO

    Werden personenbezogene Daten bei der betroffenen Person erhoben, ist sie zum Zeitpunkt der Erhebung zu informieren. Auf einer Website geschieht das typischerweise über eine Datenschutzerklärung, die von jeder Seite aus mit einem Klick erreichbar sein sollte, üblicherweise über einen Link im Footer, getrennt vom Impressum. Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache erfolgen (Art. 12 Abs. 1 DSGVO).

    Die Pflichtangaben im Überblick

    • Name und Kontaktdaten des Verantwortlichen,
    • Kontaktdaten des Datenschutzbeauftragten, falls benannt,
    • Zwecke und Rechtsgrundlagen jeder Verarbeitung,
    • bei Art. 6 Abs. 1 lit. f DSGVO: die berechtigten Interessen,
    • Empfänger oder Kategorien von Empfängern, etwa Hosting-Anbieter oder Newsletter-Dienste,
    • Übermittlungen in Drittländer und die zugrunde liegenden Garantien,
    • Speicherdauer oder Kriterien für ihre Festlegung,
    • Hinweis auf die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
    • Hinweis auf das Recht, eine Einwilligung jederzeit zu widerrufen,
    • Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde,
    • ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung.

    Typische Verarbeitungen auf Websites

    Gegliedert wird die Erklärung am besten nach Verarbeitungsvorgängen: Server-Logfiles beim Aufruf der Seite, Kontaktformular und E-Mail, Newsletter, Cookies und Einwilligungsverwaltung, Analyse-Tools, eingebettete Inhalte wie Karten oder Videos, Online-Bewerbungen und gegebenenfalls ein Online-Shop. Für Cookies und ähnliche Technologien ist seit Dezember 2021 neben der DSGVO das TTDSG zu nennen; Einzelheiten dazu in unserem Beitrag „TTDSG ab 1. Dezember 2021“.

    Die häufigsten Fehler

    • Kopierte Muster ohne Bezug zur tatsächlichen Website.
    • Veraltete Inhalte, etwa Verweise auf das Privacy Shield oder das TMG.
    • Fehlende Dienste: Ein Plugin lädt Schriftarten oder Karten von Drittservern, die Erklärung schweigt dazu. Dass das teuer werden kann, zeigt das Google-Fonts-Urteil des LG München I.
    • Die pauschale Berufung auf „berechtigte Interessen“ für alles.
    • Juristische Bleiwüsten ohne Gliederung.

    Generator oder individuell?

    Datenschutz-Generatoren sind ein brauchbarer Ausgangspunkt, ersetzen aber nicht die Prüfung, welche Daten die Website tatsächlich verarbeitet. Lassen Sie im ersten Schritt technisch prüfen, welche Verbindungen beim Seitenaufruf aufgebaut und welche Cookies gesetzt werden, und gleichen Sie dies mit der Erklärung ab.

    Nach jedem neuen Plugin, jedem neuen Tool und jedem Relaunch gehört die Datenschutzerklärung auf den Prüfstand. Wir überarbeiten sie mit Ihnen auf Grundlage der tatsächlichen Datenverarbeitung Ihrer Website. Kontakt aufnehmen oder online einen Termin buchen.

  • Google Analytics rechtswidrig? Was aus der Entscheidung der DSB folgt

    Google Analytics ist das wohl meistgenutzte Webanalyse-Tool der Welt. Umso größer war die Aufmerksamkeit, als die österreichische Datenschutzbehörde (DSB) in einer Teilentscheidung vom Dezember 2021, veröffentlicht am 13. Januar 2022, feststellte: Der Einsatz von Google Analytics auf einer Website verstieß gegen die Vorgaben der DSGVO zur Datenübermittlung in Drittländer. Die Entscheidung geht auf eine Beschwerde der Organisation noyb zurück, die nach dem Schrems-II-Urteil zahlreiche Beschwerden gegen Website-Betreiber in ganz Europa eingereicht hatte.

    Die Kernaussagen der Entscheidung

    • Online-Kennungen wie IP-Adressen und Cookie-IDs sind jedenfalls in Kombination mit weiteren Informationen personenbezogene Daten. Es genügt, dass einzelne Nutzer ausgesondert werden können, insbesondere wenn sie zugleich in einem Google-Konto eingeloggt sind.
    • Der Website-Betreiber übermittelte als Verantwortlicher Daten an Google LLC in den USA.
    • Die abgeschlossenen Standardvertragsklauseln und die von Google angebotenen zusätzlichen Maßnahmen verhinderten nicht, dass US-Nachrichtendienste nach US-Recht auf die Daten zugreifen können.
    • Eine Verschlüsselung der gespeicherten Daten hilft nicht, wenn der Empfänger selbst über den Schlüssel verfügt.
    • Die IP-Anonymisierung war im konkreten Fall nicht korrekt umgesetzt und hätte nach Auffassung der Behörde ohnehin nicht genügt.

    Was die Entscheidung nicht sagt

    Es handelt sich um eine Einzelfallentscheidung einer nationalen Behörde, die sich auf die damals verwendeten Standardvertragsklauseln und die damalige Konfiguration bezieht. Die im Juni 2021 verabschiedeten neuen Standardvertragsklauseln wurden nicht geprüft. Ein generelles „Verbot“ von Google Analytics hat die Behörde nicht ausgesprochen. Gleichwohl haben sich inzwischen weitere europäische Aufsichtsbehörden, etwa in Frankreich, in vergleichbarer Weise geäußert, und die Argumentation lässt sich auf viele andere US-Dienste übertragen.

    Welche Optionen haben Website-Betreiber?

    1. Bewerten Sie das Risiko: Ist Google Analytics für Ihr Geschäft wirklich unverzichtbar, und welche Daten werden erfasst?
    2. Prüfen Sie Alternativen. Es gibt Analyse-Tools europäischer Anbieter mit Datenverarbeitung in der EU sowie Lösungen, die selbst gehostet werden können oder ohne Cookies auskommen.
    3. Eine Einwilligung allein löst das Problem nicht. Für Analyse-Cookies brauchen Sie nach dem TTDSG ohnehin eine Einwilligung; die Frage der Drittlandübermittlung ist davon zu unterscheiden. Ob eine Einwilligung nach Art. 49 DSGVO die Übermittlung dauerhaft tragen kann, ist zweifelhaft.
    4. Wer weiterhin auf Google Analytics setzt, sollte die Datenerhebung so weit wie möglich reduzieren und die Entscheidung dokumentieren.
    5. Beobachten Sie die politische Entwicklung: Die EU-Kommission und die US-Regierung verhandeln über einen Nachfolger des Privacy Shields.

    Die Probleme des Datentransfers in die USA betreffen nicht nur Konzerne, sondern jeden Website-Betreiber. Wir helfen Ihnen, das Risiko von Google Analytics und anderen US-Tools einzuschätzen und die Abwägung zu dokumentieren. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • LG München zu Google Fonts: 100 Euro Schadensersatz für IP-Weitergabe

    Schriftarten sind das Letzte, woran viele Website-Betreiber beim Datenschutz denken. Ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20) zeigt jedoch, dass gerade die beliebten Google Fonts zum Haftungsrisiko werden können. Das Gericht verurteilte einen Website-Betreiber zur Unterlassung und zur Zahlung von 100 Euro Schadensersatz, weil beim Aufruf der Seite die IP-Adresse des Besuchers ohne dessen Einwilligung an Google übermittelt wurde.

    Was war passiert?

    Die beklagte Website band Schriftarten des Dienstes Google Fonts dynamisch ein. Das bedeutet: Bei jedem Seitenaufruf lädt der Browser des Besuchers die Schriftarten direkt von Servern von Google. Dabei wird zwangsläufig die IP-Adresse des Besuchers an Google übermittelt. Der Kläger hatte die Website aufgerufen und verlangte Unterlassung und Schadensersatz.

    Die Entscheidung

    Das LG München I gab der Klage statt. Die dynamische IP-Adresse sei für den Website-Betreiber ein personenbezogenes Datum, da er abstrakt über rechtliche Mittel verfüge, den Anschlussinhaber bestimmen zu lassen. Die Weitergabe an Google sei ohne Einwilligung erfolgt und lasse sich auch nicht auf ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen. Denn Google Fonts könnten auch lokal auf dem eigenen Server gehostet werden, ohne dass beim Seitenaufruf eine Verbindung zu Google hergestellt wird. Zur Frage, ob IP-Adressen personenbezogene Daten sind, haben wir bereits früher berichtet, etwa im Beitrag „Eine dynamische IP-Adresse kann ein personenbezogenes Datum sein“.

    Den Schadensersatz von 100 Euro nach Art. 82 DSGVO begründete das Gericht mit dem Kontrollverlust über ein personenbezogenes Datum und dem individuellen Unwohlsein des Klägers, das angesichts der Übermittlung an ein Unternehmen, das bekanntermaßen Daten über seine Nutzer sammelt, so erheblich sei, dass ein Schadensersatzanspruch gerechtfertigt sei. Zusätzlich wies das Gericht auf die Übermittlung in die USA hin, wo nach dem Schrems-II-Urteil kein angemessenes Datenschutzniveau gewährleistet sei.

    Einordnung

    Es handelt sich um eine Entscheidung eines Landgerichts, nicht um höchstrichterliche Rechtsprechung. Ob ein immaterieller Schaden bereits bei einem bloßen Kontrollverlust ohne weitere Folgen vorliegt, wird von deutschen Gerichten derzeit uneinheitlich beurteilt; die Frage liegt inzwischen auch dem EuGH vor. Dennoch ist das Risiko für Website-Betreiber real: Das Urteil dürfte zahlreiche ähnliche Forderungen nach sich ziehen.

    So prüfen und lösen Sie das Problem

    1. Öffnen Sie die Entwicklertools Ihres Browsers und kontrollieren Sie im Netzwerk-Tab, ob beim Laden Ihrer Seite Anfragen an „fonts.googleapis.com“ oder „fonts.gstatic.com“ gehen. Auch Themes und Plugins laden Fonts häufig automatisch nach.
    2. Laden Sie die Schriftarten herunter und binden Sie sie vom eigenen Server ein. Viele Content-Management-Systeme bieten dafür Plugins oder Einstellungen.
    3. Prüfen Sie andere Drittdienste nach demselben Muster: Karten, Videos, Captchas und Icon-Bibliotheken. Was ohne Einwilligung Verbindungen zu Dritten aufbaut, sollte über den Cookie- bzw. Consent-Banner gesteuert oder lokal gehostet werden.
    4. Passen Sie anschließend die Datenschutzerklärung an.

    Technisch ist das Problem schnell gelöst: Fonts lokal hosten. Wenn Sie bereits ein Schreiben wegen Google Fonts erhalten haben oder Ihre Website vorsorglich prüfen lassen möchten, melden Sie sich bei uns über das Kontaktformular oder per Online-Terminbuchung.

  • TTDSG ab 1. Dezember 2021: Was sich bei Cookies ändert

    Am 1. Dezember 2021 tritt das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (Telekommunikation-Telemedien-Datenschutz-Gesetz, TTDSG) in Kraft. Es bündelt die bislang im Telemediengesetz (TMG) und im Telekommunikationsgesetz (TKG) verstreuten Datenschutzvorschriften und setzt die sogenannte Cookie-Regel der ePrivacy-Richtlinie erstmals ausdrücklich in deutsches Recht um. Für Website- und App-Betreiber ist vor allem § 25 TTDSG relevant.

    § 25 TTDSG: Die neue Cookie-Regel

    Nach § 25 Abs. 1 TTDSG ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Für Information und Einwilligung gelten die Maßstäbe der DSGVO. Die Regel ist technikneutral: Sie gilt nicht nur für Cookies, sondern auch für Local Storage, Fingerprinting-Techniken, Pixel und vergleichbare Verfahren, soweit auf das Endgerät zugegriffen wird.

    Die Ausnahmen

    Eine Einwilligung ist nach § 25 Abs. 2 TTDSG nicht erforderlich,

    • wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
    • wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann.

    Darunter fallen etwa Warenkorb-, Login- und Sicherheits-Cookies sowie das Cookie, das die Einwilligungsentscheidung speichert. Reichweitenmessung, Marketing und Retargeting sind in aller Regel nicht „unbedingt erforderlich“ und bleiben einwilligungspflichtig.

    Was ändert sich in der Praxis?

    Inhaltlich bestätigt das TTDSG im Wesentlichen das, was der BGH bereits in seinem Urteil „Cookie-Einwilligung II“ aus dem bisherigen TMG abgeleitet hatte. Neu ist die klare gesetzliche Grundlage, die Aufsichtsbehörden und Gerichten mehr Rechtssicherheit gibt. Das TTDSG regelt allerdings nur den Zugriff auf das Endgerät. Für die anschließende Verarbeitung der gewonnenen personenbezogenen Daten bleibt die DSGVO maßgeblich. Es braucht also häufig zwei Prüfungen: § 25 TTDSG für den Zugriff und Art. 6 DSGVO für die weitere Verarbeitung.

    Dienste zur Einwilligungsverwaltung

    § 26 TTDSG sieht zudem „anerkannte Dienste zur Einwilligungsverwaltung“ vor, die Nutzern helfen sollen, ihre Einwilligungen zentral zu verwalten. Die Einzelheiten soll eine Rechtsverordnung regeln, die noch aussteht. Kurzfristig ändert sich dadurch für Website-Betreiber nichts.

    Checkliste zum Inkrafttreten

    1. Alle Cookies, Skripte und eingebundenen Dienste erfassen.
    2. Für jeden Dienst prüfen: Ist er unbedingt erforderlich im Sinne von § 25 Abs. 2 TTDSG?
    3. Alle übrigen Dienste erst nach Einwilligung laden, gesteuert über einen rechtssicher gestalteten Cookie-Banner.
    4. Datenschutzerklärung aktualisieren: Verweise auf das TMG durch das TTDSG ersetzen.
    5. Drittlandübermittlungen der eingebundenen Dienste prüfen.

    Wer seinen Banner schon nach den Vorgaben des BGH ausgerichtet hat, muss vor allem Formalien anpassen; alle anderen sollten die Website jetzt gründlich prüfen. Cookie-Einsatz, Banner und Datenschutzerklärung sehen wir uns gern für Sie an. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Mitarbeiterfotos auf der Website: Was Arbeitgeber beachten müssen

    Freundliche Gesichter auf der Team-Seite schaffen Vertrauen, gerade bei kleineren Unternehmen, Kanzleien und Praxen. Fotos von Beschäftigten sind aber personenbezogene Daten. Wer sie auf der Website, in sozialen Medien oder in Broschüren veröffentlicht, braucht eine tragfähige Rechtsgrundlage. Und spätestens wenn eine Mitarbeiterin das Unternehmen verlässt, stellt sich die Frage, ob das Bild gelöscht werden muss.

    DSGVO, BDSG und Kunsturhebergesetz

    Für die Veröffentlichung von Bildnissen enthält das Kunsturhebergesetz (KUG) in § 22 seit langem ein Einwilligungserfordernis. Wie sich das KUG zur DSGVO verhält, ist im Detail umstritten. In der Praxis kommt man jedoch in beiden Regelwerken regelmäßig zum selben Ergebnis: Für die Veröffentlichung von Mitarbeiterfotos zu Werbe- und Imagezwecken ist eine Einwilligung der abgebildeten Person erforderlich.

    Die Einwilligung im Arbeitsverhältnis

    Im Arbeitsverhältnis besteht ein Machtgefälle. Eine Einwilligung ist deshalb nur wirksam, wenn sie wirklich freiwillig erteilt wird. § 26 Abs. 2 BDSG nennt Kriterien: Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein Vorteil erreicht wird oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen. Zudem verlangt die Vorschrift grundsätzlich die Schriftform oder elektronische Form, und der Arbeitgeber muss über den Zweck und das Widerrufsrecht aufklären.

    • Holen Sie die Einwilligung gesondert ein, nicht als Klausel im Arbeitsvertrag.
    • Benennen Sie konkret, wo die Bilder erscheinen (Website, bestimmte Social-Media-Kanäle, Printmaterial).
    • Weisen Sie auf das jederzeitige Widerrufsrecht hin.
    • Machen Sie deutlich, dass eine Ablehnung keine Nachteile hat.

    Ausnahmen ohne Einwilligung?

    Ohne Einwilligung kann eine Veröffentlichung allenfalls in engen Ausnahmefällen zulässig sein, etwa wenn Beschäftigte auf Fotos von Veranstaltungen nur als „Beiwerk“ erscheinen oder als Teil einer Versammlung abgebildet sind. Für gezielte Porträts auf der Team-Seite greifen diese Ausnahmen nicht. Bei Funktionsträgern mit Außenkontakt, etwa einem Vertriebsleiter, wird teilweise diskutiert, ob die Nennung von Name und Funktion ohne Bild erforderlich sein kann. Das Foto selbst ist aber regelmäßig nicht erforderlich.

    Widerruf und Ausscheiden

    Eine datenschutzrechtliche Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Widerruft eine Beschäftigte ihre Einwilligung, ist das Foto zeitnah zu entfernen. Scheidet jemand aus dem Unternehmen aus, sollte das Bild ohnehin entfernt werden, da Kunden andernfalls einen falschen Eindruck über die Ansprechpartner gewinnen. Bei Imagefilmen und Druckmaterialien, deren Neuproduktion aufwendig ist, empfiehlt es sich, die Folgen eines Widerrufs vorab transparent zu regeln.

    Dokumentation und Löschung

    Bewahren Sie die Einwilligungserklärungen sorgfältig auf, um sie nach Art. 7 Abs. 1 DSGVO nachweisen zu können. Nehmen Sie Mitarbeiterfotos in Ihr Löschkonzept auf und prüfen Sie beim Offboarding, wo überall Bilder verwendet werden, auch auf Unterseiten, in alten Blogbeiträgen und in sozialen Netzwerken.

    Mit einem sauberen Einwilligungsformular und einer Checkliste für das Offboarding lässt sich das Thema gut beherrschen. Eine Vorlage für Ihr Unternehmen erstellen wir gern; ebenso beraten wir, wenn über die Löschung eines Bildes gestritten wird. Sprechen Sie uns an oder buchen Sie einen Termin.

  • Newsletter rechtssicher versenden: Double-Opt-in und Einwilligung

    E-Mail-Newsletter gehören für viele kleine und mittlere Unternehmen zu den wirksamsten Marketinginstrumenten. Rechtlich bewegen sie sich allerdings an der Schnittstelle von Datenschutz- und Wettbewerbsrecht. Wer ohne wirksame Einwilligung Werbe-E-Mails verschickt, riskiert Abmahnungen von Wettbewerbern, Unterlassungsansprüche der Empfänger und Maßnahmen der Datenschutzaufsicht. Mit den richtigen Prozessen lässt sich das Risiko jedoch gut beherrschen.

    Grundsatz: Werbung per E-Mail nur mit Einwilligung

    Nach § 7 Abs. 2 UWG ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten grundsätzlich eine unzumutbare Belästigung. Datenschutzrechtlich wird die Verarbeitung der E-Mail-Adresse für den Newsletter in der Regel ebenfalls auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO gestützt. Die Einwilligung muss freiwillig, informiert und eindeutig sein; ein vorangekreuztes Kästchen genügt nicht. Das hat der BGH zuletzt im Zusammenhang mit Cookies noch einmal deutlich gemacht, wie wir im Beitrag zum Urteil „Cookie-Einwilligung II“ erläutert haben.

    Das Double-Opt-in-Verfahren

    Wer sich für einen Newsletter anmeldet, könnte eine fremde E-Mail-Adresse eintragen. Im Streitfall muss der Versender aber beweisen, dass gerade der Inhaber der Adresse eingewilligt hat. Deshalb hat sich das Double-Opt-in-Verfahren als Standard etabliert:

    1. Der Nutzer trägt seine E-Mail-Adresse in ein Formular ein und bestätigt die Einwilligungserklärung.
    2. Er erhält eine Bestätigungs-E-Mail mit einem Link, die keine werblichen Inhalte enthält.
    3. Erst nach Klick auf den Link wird die Adresse in den Verteiler aufgenommen.

    Speichern Sie Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, IP-Adresse und den Wortlaut der Einwilligung. Nur so können Sie die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen.

    Was gehört ins Anmeldeformular?

    • Pflichtfeld nur für die E-Mail-Adresse, weitere Angaben wie der Name freiwillig (Datenminimierung),
    • klare Beschreibung der Inhalte und der Versandhäufigkeit,
    • Hinweis auf das jederzeitige Widerrufsrecht,
    • Link auf die Datenschutzerklärung,
    • Hinweis auf Tracking, falls Öffnungs- und Klickraten personenbezogen ausgewertet werden.

    Ausnahme für Bestandskunden

    § 7 Abs. 3 UWG erlaubt E-Mail-Werbung ohne Einwilligung, wenn der Unternehmer die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten hat, sie für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet, der Kunde nicht widersprochen hat und bei der Erhebung sowie bei jeder Verwendung klar auf die Widerspruchsmöglichkeit hingewiesen wird. Alle Voraussetzungen müssen gleichzeitig vorliegen. Die Ausnahme ist eng und eignet sich nicht für allgemeine Newsletter an alle Kontakte.

    Newsletter-Dienstleister

    Viele Unternehmen nutzen externe Versanddienste. Mit diesen ist ein Auftragsverarbeitungsvertrag zu schließen. Sitzt der Anbieter in den USA, ist die Übermittlung gesondert abzusichern. Seit Juni 2021 stehen dafür die neuen Standardvertragsklauseln zur Verfügung, deren Einsatz aber eine Bewertung im Einzelfall voraussetzt. Anbieter mit Sitz und Servern in der EU sind häufig die einfachere Lösung.

    Abmeldung und Löschung

    Jeder Newsletter muss einen gut sichtbaren Abmeldelink enthalten. Abmeldungen sind unverzüglich umzusetzen. Die Adresse darf danach nur noch insoweit gespeichert werden, wie es für den Nachweis der früheren Einwilligung oder für eine Sperrliste erforderlich ist.

    Haben Sie eine Abmahnung wegen Werbe-E-Mails erhalten, oder soll Ihr Newsletter-Setup vorab geprüft werden? Schreiben Sie uns über das Kontaktformular oder buchen Sie einen Termin.

  • Cookie-Banner rechtssicher gestalten: Die wichtigsten Regeln

    Seit dem Urteil „Cookie-Einwilligung II“ des Bundesgerichtshofs steht fest: Für Werbe- und Tracking-Cookies ist eine aktive Einwilligung erforderlich. Seitdem haben nahezu alle Websites einen Cookie-Banner. Viele davon erfüllen die rechtlichen Anforderungen aber nicht, weil sie Nutzer durch Gestaltungstricks zur Zustimmung drängen. Für einen rechtssicheren Banner kommt es auf folgende Punkte an.

    Was muss eine wirksame Einwilligung leisten?

    Eine Einwilligung muss nach Art. 4 Nr. 11 und Art. 7 DSGVO freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige bestätigende Handlung abgegeben werden. Für Cookies bedeutet das: Der Nutzer muss wissen, welche Dienste zu welchem Zweck eingesetzt werden, und er muss eine echte Wahl haben.

    Die sieben wichtigsten Gestaltungsregeln

    1. Nicht notwendige Cookies und Skripte dürfen erst nach der Einwilligung geladen werden. Ein Banner, der lediglich informiert, während im Hintergrund bereits Tracking läuft, ist wertlos.
    2. Kästchen für optionale Kategorien dürfen nicht vorausgewählt sein.
    3. Ablehnen sollte ebenso einfach möglich sein wie Zustimmen, idealerweise auf der ersten Ebene des Banners mit einer gleichwertig gestalteten Schaltfläche.
    4. Eine farbliche Hervorhebung nur der Zustimmung, versteckte Links oder verwirrende Formulierungen („Weiter“) gefährden die Wirksamkeit.
    5. Zwecke, Anbieter, Speicherdauer und eventuelle Übermittlungen in Drittländer sind verständlich zu benennen.
    6. Der Banner darf Impressum und Datenschutzerklärung nicht verdecken.
    7. Nutzer müssen ihre Auswahl jederzeit ändern können, etwa über einen dauerhaft sichtbaren Link im Footer.

    Was ist „technisch notwendig“?

    Ohne Einwilligung dürfen nur Cookies eingesetzt werden, die für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind, etwa für den Warenkorb, den Login oder die Speicherung der Cookie-Auswahl. Reichweitenmessung und Marketing gehören nach überwiegender Auffassung nicht dazu. Bei jedem Dienst sollte daher kritisch geprüft werden, ob er wirklich unverzichtbar ist.

    Drittanbieter und US-Dienste

    Viele Cookies stammen von Anbietern mit Sitz in den USA. Neben der Einwilligung in das Setzen der Cookies stellt sich hier die Frage nach der Zulässigkeit der Datenübermittlung. Seit dem Schrems-II-Urteil ist das Privacy Shield keine taugliche Grundlage mehr. Website-Betreiber sollten daher prüfen, ob es datenschutzfreundlichere Alternativen gibt, etwa Analyse-Tools mit Datenverarbeitung in der EU oder ohne Cookies.

    Gesetzliche Neuregelung in Sicht

    Die Bundesregierung hat Anfang 2021 einen Entwurf für ein Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beschlossen, das die Regeln für das Speichern von und den Zugriff auf Informationen in Endgeräten künftig ausdrücklich regeln soll. Inhaltlich zeichnet sich ab, dass die Einwilligungspflicht für nicht notwendige Cookies gesetzlich festgeschrieben wird. Wer seinen Banner bereits jetzt sauber gestaltet, ist auf die Neuregelung gut vorbereitet.

    Prüfen Sie Ihren Banner nach jeder Änderung an der Website erneut. Auf Wunsch übernehmen wir die Prüfung von Website, Banner und Datenschutzerklärung. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • BGH Cookie-Einwilligung II: Vorangekreuzte Kästchen sind unwirksam

    Lange herrschte in Deutschland Unsicherheit darüber, ob Website-Betreiber für Cookies eine Einwilligung benötigen. Mit seinem Urteil vom 28. Mai 2020 (Az. I ZR 7/16 – „Cookie-Einwilligung II“) hat der Bundesgerichtshof nun für Klarheit gesorgt. Die Entscheidung schließt an das Planet49-Urteil des EuGH vom 1. Oktober 2019 (C-673/17) an und hat unmittelbare Auswirkungen auf nahezu jede Unternehmenswebsite.

    Der Fall: Gewinnspiel mit voreingestelltem Häkchen

    Der Bundesverband der Verbraucherzentralen hatte gegen den Gewinnspielanbieter Planet49 geklagt. Bei der Teilnahme an einem Online-Gewinnspiel fanden Nutzer zwei Ankreuzkästchen: Eines betraf die Einwilligung in Telefonwerbung durch Partnerunternehmen, das andere die Einwilligung in das Setzen von Cookies, mit denen das Surf- und Nutzungsverhalten zu Werbezwecken ausgewertet werden sollte. Dieses zweite Kästchen war bereits vorangekreuzt.

    Die Entscheidung des BGH

    Der BGH hielt beide Gestaltungen für unzulässig. Zur Cookie-Frage legte er § 15 Abs. 3 Satz 1 TMG im Lichte der ePrivacy-Richtlinie aus: Für den Einsatz von Cookies zur Erstellung von Nutzerprofilen für Zwecke der Werbung oder Marktforschung ist eine Einwilligung des Nutzers erforderlich. Ein voreingestelltes Ankreuzkästchen, das der Nutzer abwählen muss, genügt dafür nicht. Eine wirksame Einwilligung setzt ein aktives Handeln voraus. Auch die Einwilligung in die Telefonwerbung scheiterte, weil sie nicht hinreichend für den konkreten Fall und in Kenntnis der Sachlage erteilt wurde.

    Was bedeutet das für Website-Betreiber?

    Die Entscheidung bestätigt, was viele Aufsichtsbehörden bereits vertreten: Cookies und vergleichbare Technologien, die nicht für den Betrieb der Website erforderlich sind, dürfen erst nach einer aktiven, informierten Einwilligung gesetzt werden. Das betrifft insbesondere

    • Werbe- und Retargeting-Cookies,
    • Tracking- und Analysetools, die Nutzerprofile bilden,
    • eingebundene Dienste Dritter, die Cookies setzen, etwa Social-Media-Plugins.

    Technisch notwendige Cookies, etwa für den Warenkorb oder die Speicherung der Cookie-Auswahl selbst, bleiben ohne Einwilligung zulässig.

    Handlungsempfehlungen

    1. Erfassen Sie, welche Cookies und Dienste Ihre Website einsetzt. Ein Scan der Seite gibt einen ersten Überblick.
    2. Setzen Sie ein Consent-Tool ein, das nicht notwendige Cookies erst nach aktiver Zustimmung lädt, ohne vorausgewählte Häkchen.
    3. Nutzer müssen erkennen können, wofür sie einwilligen, wie lange Cookies aktiv sind und ob Dritte Zugriff erhalten.
    4. Die Einwilligung muss so einfach widerrufen werden können, wie sie erteilt wurde.
    5. Beschreiben Sie die eingesetzten Dienste in der Datenschutzerklärung.

    Auch Einwilligungen in Werbung prüfen

    Der Fall zeigt zugleich: Pauschale Einwilligungen in Werbung durch eine Vielzahl von Partnerunternehmen sind riskant. Bereits in der Vergangenheit hatten Gerichte entschieden, dass Einwilligungserklärungen unwirksam sind, wenn sie sich auf zahlreiche Unternehmen beziehen und unklar bleibt, für welche Produkte geworben werden soll. Wer Einwilligungen einholt, sollte sie konkret, verständlich und getrennt von anderen Erklärungen gestalten.

    Viele der in Consent-Tools eingebundenen Dienste stammen von Anbietern außerhalb der EU. Welche Fragen sich bei der Auswahl solcher Dienstleister stellen, haben wir am Beispiel von Videokonferenzen in unserem Beitrag „Videokonferenz-Tools datenschutzkonform nutzen“ beschrieben.

    Ein bloßer Cookie-Hinweis genügt nach dieser Entscheidung nicht mehr. Wir prüfen, ob Ihre Website ohne Einwilligung Tracking- oder Werbecookies setzt, und sehen uns Cookie-Banner und Datenschutzerklärung an. Sprechen Sie uns an oder buchen Sie direkt einen Termin.