Der POPSCENE E-Paper Kiosk

Swipe dich durch unsere kostenlosen E-Guides und erlebe Deine Region! Neben POPSCENE findest du hier interessante Broschüren, Leseproben, Magazine aus den Bereichen Tourismus, Kultur, Unterhaltung - multimedial, angereichert mit Fotos, fesselnden Videos und unterhaltsamen Audioclips, für einen faszinierenden Überblick über unsere Region.

Aktuell im POPSCENE E-Paper Kiosk

Aufrufe
vor 8 Monaten

Leitfaden: Rechtssichere Internetseiten & Onlineshops – DSGVO-konform

  • Text
  • Internetpräsenz
  • Rechtssicher
  • Wwwpopsceneclub
  • Dury
  • Unternehmen
  • Vorgaben
  • Internetseite
  • Instagram
  • Facebook
  • Impressum
  • Verbraucher
  • Rechtliche
  • Dsgvo
Dieser Leitfaden in seiner 8. Auflage (Stand Oktober 2021) unterstützt Unternehmen, sowie erstmalig auch Körperschaften und Anstalten des öffentlichen Rechts (KdöR, wie Behörden, Kommunale Eigenbetriebe & AdöR) darin, rechtliche Probleme bzgl. der eigenen Internetpräsenz in der Praxis zu erkennen und zu beheben. Seit der letzten Neuauflage dieses Leitfadens im Jahr 2019 gab es erhebliche Änderungen der Rechtsprechung und der Gesetzgebung. Die Neuauflage gibt Ihnen eine erste Orientierung für die Erstellung einer Anbieterkennzeichnung (Impressum), die Inhalte einer Datenschutzerklärung und die Einhaltung datenschutzrechtlicher Vorgaben, den Fernabsatz (Online-Shops und Marktplätze wie Ebay, Amazon, Instagram Shops), die Stockfoto-Nutzung (Urheberrecht), das Markenrecht, Social-Media und Videokonferenzen sowie einen Einblick über den aktuellen Stand der Rechtsprechung. Aktuelle gesetzliche Anforderungen wurden ebenfalls hinzugefügt. Checklisten und Mustertexte für Anbieterkennzeichnungen helfen konkret bei der Absicherung Ihres Internetauftritts.

Rechtliche Vorgaben des

Rechtliche Vorgaben des Datenschutzes Ob eine Einwilligung überhaupt notwendig ist, richtet sich nach Art und Umfang der erhobenen personenbezogenen Daten sowie dem geplanten Verarbeitungszweck. Der Datenschutzbeauftragte oder ein entsprechender Berater sollten zumindest bei Internetprojekten, die eine gewisse Wichtigkeit für das Unternehmen besitzen, hinzugezogen werden. Soweit auf Basis der durch die gesetzten Cookies erhobenen Daten an Dritte weitergegeben werden, ist in der Regel eine Einwilligung notwendig. Im Hinblick auf Webtracking sieht der Landesdatenschutzbeauftragte Baden-Württemberg (LfDI Baden-Württemberg) aktuell nur bei selbst gehosteten Diensten wie z. B. Matomo unter Einhaltung aller weiteren datenschutzrechtlichen Voraussetzungen (insbesondere einer sofortigen Anonymisierung) die Möglichkeit, Tracking ohne Einwilligung der Betroffenen zu betreiben. Die wichtigsten Infos zu Cookie-Bannern: ► ► ► ► ► Checkboxen und Einwilligungstexte dürfen nicht vorangekreuzt sein. Ein Tracking / das Setzen von Tracking-Cookies darf erst erfolgen, wenn eine explizite datenschutzrechtliche Einwilligung des Nutzers durch das Cookie-Banner vorliegt. Sogenanntes „Nudging“, d.h. das Hinlenken auf schnelle, für den Seitenbenutzer ungewollte Einwilligungsentscheidungen, ist nur in sehr begrenztem Umfang zulässig. Achten Sie darauf, dass auch tatsächlich alle Cookies, die von der Internetseite / dem Online-Shop gesetzt werden sollen, von dem Cookie-Banner berücksichtigt werden. Dies funktioniert am besten durch ein Cookie- Banner, das nicht manuell angelernt werden muss, sondern das auf einer vorherigen technischen Analyse der Internetpräsenz aufbaut (z. B. nach vorherigem Scan der Webseite). Solche vollautomatisierten Lösungen senken den Administrationsaufwand erheblich. 90% aller Cookie-Banner sind rechtswidrig eingestellt oder technisch unzureichend. Seit Juni 2021 werden Internetseiten automatisiert von der EU-Datenschutzorganisation NOYB gescannt und rechtswidrige Banner werden den zuständigen Aufsichtsbehörden gemeldet, wenn die aufgefundenen Fehler nicht abgestellt werden. Derzeit sind die meisten Cookie-Banner jedoch so gestaltet, dass es eines hohen Aufwandes bedarf, Tracking abzuschalten oder nicht anzuschalten. Die meisten Cookie-Banner sind also nicht datenschutzkonform. Cookie-Banner sollten zudem keine Links zu Impressum oder Datenschutzerklärung der Website verdecken. Wenn diese Links nicht mehr problemlos erreichbar sind, könnte dies zu rechtlichen Problemen führen. Cookie-Banner, die neben der Rechtsgrundlage der „Einwilligung“ auch weitere Cookies enthalten, die sich auf die Rechtsgrundlage „Legitimes Interesse“ oder „berechtigtes Interesse beziehen, sind in der Regel datenschutzwidrig, wenn man diese Cookies auch abwählen kann und wesentliche Funktionen der Webseite trotzdem uneingeschränkt laufen. NEU 2021 TTDSG und die Cookies Zwar lässt die e-Privacy-Verordnung der EU auf sich warten, jedoch hat die Bundesregierung zwischenzeitlich das sogenannte TTDSG (Telekommunikation-Telemedien-Datenschutzgesetz) im Entwurf vorgelegt. Dieses tritt voraussichtlich am 1. Dezember 2021 in Kraft. Große Unterschiede zur jetzigen Rechts¬lage bestehen jedoch kaum. So fordert das TTDSG nach jetzigem Stand in § 25 Abs. 1 TTDSG zunächst generell eine Einwilligung im Sinne der DSGVO für Tracking-Cookies und andere Speichertechnologien. Damit wird die bestehende, gefestigte BGH-Rechtsprechung lediglich im Gesetzeswortlaut festgeschrieben. Dennoch sollten vor allem die Stellungnahmen der Aufsichtsbehörden im Auge behalten werden um schnell auf notwendige Anpassungen reagieren zu können. Die Einhaltung der Einwilligungspflicht wird gem. § 29 Abs. 2 TTDSG zukünftig vom Bundesdatenschutzbeauftragten überwacht, der gemäß des Bußgeldkatalogs in § 28 TTDSG relativ hohe Bußgelder verhängen kann. e) Unterrichtung über die Verarbeitung von Daten außerhalb der EU Die EU und insbesondere Deutschland, haben im Vergleich mit anderen Ländern ein hohes Datenschutzniveau. Werden Daten in ein Land außerhalb dieses Schutzraumes “exportiert”, muss der Seitenbetreiber prüfen, ob er die Daten überhaupt an das Drittland übertragen darf. Dies ist z. B. dann der Fall, wenn für das Drittland ein sogenannter „Angemessenheitsbeschluss“ i.S.d. Art. 44 DSGVO vorliegt. Der Angemessenheitsbeschluss bescheinigt, dass das Drittland ein angemessenes, mit der DS- GVO vergleichbares Datenschutzniveau einhält. Wichtig ist, dass der Seitenbetreiber gem. Art. 13 DSGVO dazu verpflichtet ist, auf die Verarbeitung personenbezogener Daten und die Rechtsgrundlage in Drittländern hinzuweisen. Grundsätzlich dürfen Daten also nur dann in einen Drittstaat außerhalb der EU übermittelt werden, wenn sichergestellt ist, dass die Datenverarbeitung in dem jeweiligen Drittland nicht das von der DSGVO vorgeschriebene Schutzniveau untergräbt (vgl. Art. 44 S. 2 DSGVO). Ein solcher Angemessenheitsbeschluss stellte das EU-US-Privacy-Shield dar, das jedoch weggefallen ist. Liegt kein Angemessenheitsbeschluss gemäß Art. 45 Abs. 3 DSGVO vor, können Datenübermittlungen in Drittländer auch auf Basis anderer geeigneter Garantien im Sinne des Art. 46 DSGVO erfolgen. Hierzu zählen unter anderem die Standarddatenschutzklauseln (Standard Contractual Clauses SCC bzw. Standard Data Protection Clauses SDPC). Ob personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln übermittelt werden dürfen oder nicht, ist 19

Rechtliche Vorgaben des Datenschutzes für jeden Einzelfall der Übermittlung gesondert zu überprüfen, wobei die Umstände der Datenübermittlung und etwaige zusätzliche Maßnahmen zu berücksichtigen sind. Die zusätzlichen Maßnahmen zusammen mit den Standardvertragsklauseln müssten nach einer Einzelfallanalyse der Datenübermittlung sicherstellen, dass ein angemessenes Datenschutzniveau gem. Art. 44 und 45 DSGVO gewährleistet wird. Hier liegt die Verantwortung nun noch mehr bei den Seitenbetreibern. Wir empfehlen, wo immer möglich auf europäische Webtools oder Webtools aus Ländern mit einem Angemessenheitsbeschluss zurückzugreifen. f) Grundsatz der Datenportabilität Gemäß Art. 20 DSGVO haben die betroffenen Personen in bestimmten Fällen das Recht, die sie betreffenden personenbezogenen Daten, die der Verantwortliche gespeichert hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und der Verantwortliche soll ohne Behinderung die personenbezogenen Daten an den nächsten Verantwortlichen auf Wunsch des Betroffenen übermitteln. Es muss leicht möglich sein, Daten von einem Unternehmen zu einem anderen Unternehmen umzuziehen. Der Hinweis auf die Möglichkeit der Portabilität muss gem. Art. 13 Abs. 2 lit. b DSGVO zum Zeitpunkt der Erhebung personenbezogener Daten erfolgen. Unternehmen müssen Anfragen auf Datenportabilität grundsätzlich unverzüglich nachkommen, spätestens aber innerhalb eines Monats. Nur in Ausnahmefällen sind längere Fristen zulässig. Kosten für die Bearbeitung der Anfragen dürfen den Nutzern grundsätzlich nicht in Rechnung gestellt werden. g) Unterrichtung über den Datenaustausch mit anderen Webseiten Die Nutzung von externen Webservices, wie z. B. des Facebook-Like-Buttons und anderer aktiver Java-Script Plugins ermöglichen Zusatzfeatures für den Nutzer, die über eine reine Präsenzseite hinausgehen. Ruft der Nutzer eine Seite mit einem aktiven Plugin auf, stellt der Browser i. d. R. eine direkte Verbindung mit dem fremden Server, z. B. Facebook, her. Ist der Nutzer bei Facebook bereits angemeldet oder liegt ein Facebook-Cookie im Browser, kann Facebook den Nutzer identifizieren. Da durch solche Plugins, personenbezogene Daten an Dritte weitergeleitet werden, muss die Datenschutzerklärung darüber aufklären und zumeist ein weiteres Einwilligungsmanagement durchgeführt werden (siehe d). Die ungefragte Weitergabe personenbezogener Daten ist aber auch bei einer ordnungsgemäßen Aufklärung in der Datenschutzerklärung rechtswidrig. Es ist daher ratsam, sog. Zwei- Klick Lösungen (z. B. Shariff) zu nutzen, bei denen der Nutzer der Datenübertragung an den fremden Server vorab explizit zustimmen muss. Erst der erste Klick aktiviert das Plugin und beginnt erste Daten auszutauschen (Tracking), der zweite Klick führt dann direkt zu den Social-Media-Funktionen. h) TLS 1.3-Verschlüsselung der Webseite Der Seitenbetreiber muss die personenbezogenen Daten so verarbeiten, dass eine angemessene Sicherheit der personenbezogenen Daten gewährleistet wird. Der Verantwortliche hat sicherzustellen, dass seine komplette Webseite so gut wie möglich vor verbotenen Zugriffen geschützt ist. Hierbei sollte stets der aktuelle Stand der Technik eingehalten werden. Aktueller Stand der Technik im Hinblick auf die Verschlüsselung personenbezogener Daten im Online-Verkehr ist eine Verschlüsselung via TLS 1.3 (früher SSL). Den jeweils aktuellen Stand der Technik kann man auf der Seite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) abrufen. i) Unterrichtung über die Durchführung von automatisierten Bonitätsprüfungen Wenn personenbezogene Daten für Bonitätsauskünfte bei Schufa, Creditreform usw. verwendet werden, oder vor der Ausführung von Zahlungen Bonitätsprüfungen durchgeführt werden, sollte darüber im Hinblick auf das Transparenzgebot in der Datenschutzerklärung aufgeklärt werden. Hierbei sind der Name und die Anschrift der Bonitätsauskunftei anzugeben, an das die Daten weitergeleitet werden. Wird die Bonitätsprüfung automatisiert durchgeführt, muss gem. Art. 13 Abs. 2 DSGVO hierüber aufgeklärt werden. Dabei hat der Diensteanbieter neben den oben genannten Angaben auch noch über die Grundannahme der Algorithmus-Logik und die Folge des so genannten Profilings aufzuklären. Eine pauschale Bonitätsprüfung im Onlineshop, bei der bei schlechter Bonität bestimmte Zahlungsarten (z. B. Kauf auf Rechnung) nicht mehr angezeigt werden, ist unzulässig. Zur Bonitätsprüfung bedarf es immer einer ausreichenden Rechtsgrundlage und Information des Geprüften. j) Nennung des betrieblichen Datenschutzbeauftragten Bei privatrechtlichen Unternehmen muss ein Datenschutzbeauftragter (DSB) bestellt werden, wenn personenbezogene Daten automatisiert verarbeitet werden und damit mehr als 19 Personen ständig beschäftigt sind oder, wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet werden. Eine Bestellpflicht besteht auch dann, wenn besonders schützenswerte personenbezogene Daten verarbeitet werden, z. B. Gesundheitsdaten. Wenn ein betrieblicher DSB als Ansprechpartner bestellt wurde, ist dieser zwingend mit seinen Kontaktdaten (Anschrift, E-Mail) in der Datenschutzerklärung zu nennen. Die Nennung des Namens ist nicht zwingend erforderlich. Die Geschäftsleitung (z. B. ein Geschäftsführer) kann, wenn die obigen Voraussetzungen vorliegen, nicht sogleich auch DSB sein, da hier ein Interessenskonflikt besteht. In Betracht zu ziehen ist neben der Schulung eines Mitarbeiters zum internen DSB auch die (zeitweilige) Hilfe durch einen externen DSB, z. B. bei Datenschutzvorfällen oder großen datenschutzrechtlichen Vorhaben. © fotomek - stock.adobe.com 20

E-Paper Kiosk "Erlebe Deine Region"

[removed][removed]

POPSCENE - Das total umsonste Popkulturmagazin

POPSCENE News