Datenschutz-Grundverordnung 2018 – was ist neu?

Bald ist es soweit und die neue EU Datenschutz-Grundverordnung (EU-DSGVO) wird anwendbar. Habt ihr noch nie davon gehört? Dann ist es jetzt höchste Zeit, euch mit dem Datenschutz auf eurer Website auseinanderzusetzen. Im meinem Beitrag ‚Rechtliche Grundlagen, Impressum & Co.‚, habe ich euch vor längerer Zeit schon einmal darauf hingewiesen. Leider nehmen es einige Webseitenbetreiber und Blogger nicht so wichtig mit dem Datenschutz und dem Impressum auf ihrer Seite. Ich habe die Verordnung bereits unter die Lupe genommen und möchte euch ein paar Infos mit auf den Weg geben. Den kompletten Gesetzestext findet ihr hier.

Stichpunkte zur Datenschutz-Grundverordnung 2018:

Brauche ich eine Datenschutzerklärung auf meinem Blog?

Sobald ihr personenbezogene Daten auf eurer Seite verarbeitet, müsst ihr über eine transparente und aktuelle Datenschutzerklärung verfügen. Diese muss klar verständlich sein und dem Leser und Nutzer eurer Website aufzeigen, wer seine Daten wie und wo und zu welchem Zweck verarbeitet und speichert. Sie muss individuell ausgestaltet werden und auch auf externe Dienste die verwendet werden hinweisen. Dazu gehören unter anderem Facebook, Pinterest, Instagram oder auch Twitter.

Gilt die Datenschutz-Grundverordnung nur für deutsche Webseiten?

Nein. Das ist eine große Neuerung der Datenschutz-Grundverordnung. Die Vorgaben der DSGVO sind auch dann einzuhalten, wenn personenbezogene Daten in der EU verarbeitet und gespeichert werden. Die Datenschutzgrundverordnung gilt für alle Unternehmen, die in der EU ansässig sind aber eben auch außereuropäische Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten.

Wo gehört die Datenschutzerklärung hin?

Dass ihr als Blogger, in den meisten Fällen, eine Datenschutzerklärung benötigt, sollte euch klar sein. Allerdings bringt euch die beste Erklärung nichts, wenn diese nicht auffindbar ist. Wird eure Website angeklickt, sollte sie von der geladenen Seite erreichbar sein und nicht durch Pop-up Fenster wie zum Beispiel der Newsletter-Anmeldung verdeckt sein. Ich habe eine Verlinkung einmal im Menü und direkt im Footer eingebunden. Auch wenn es so explizit nicht in der Datenschutz-Grundverordnung verankert ist, kann es sicherlich nicht schaden.

Wie war das mit den Cookies?

Die meisten Blogs nutzen Cookies und darüber müssen eure Leser, sobald sie das erste Mal auf euren Blog klicken, informiert werden. Daher ist es notwendig, einen sogenannten Cookie-Banner zu verwenden. Dieser muss deutlich erkennbar sein, darf aber nicht den Link zum Impressum verdecken. Optimalerweise ist im Cookies-Banner gleich ein Link zur Datenschutzerklärung und zum Impressum.

Also sobald Cookies auf eurer Seite Verwendung finden, ist ein Hinweis unumgänglich!

Datenerfassung bei Teenagern

Zwar ist es noch nicht genau geklärt, wie eine Überprüfung stattfinden soll aber eine datenschutzrechtliche Einwilligung soll erst ab 16 Jahren möglich sein. Der Hintergrund zu dieser Neuerung erklärt sich so, dass es Jugendlichen bei der Anmeldung, zum Beispiel Facebook, schwerer gemacht werden soll. Veranstaltet ihr also Gewinnspiele auf eurer Website, solltet ihr zusätzlich den Hinweis für die Teilnahme unter 16 Jahren geben.

Google Analytics und die Anonymisierung

Ihr müsst, sobald ihr Google Analytics einsetzt, in eurer Datenschutzerklärung darauf hinweisen. Außerdem müsst ihr auch die Möglichkeit für die beiden Arten des Widerspruchs hinterlegen. Zum einen könnt ihr den Link zum Deaktivierungs-Add-on einbinden und zum anderen durchs Setzen eines Opt-Out-Cookies vor dem Google Analytics Script.

Das könnte dann so aussehen:

<script>

var gaProperty = 'UA-XXXXXXX-X';
var disableStr = 'ga-disable-' + gaProperty;
if (document.cookie.indexOf(disableStr + '=true') > -1) {
  window[disableStr] = true;
}
function gaOptout() {
  document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/';
  window[disableStr] = true;
}

</script>

Ihr müsst dann nur noch mit einem

 <a href=“javascript:gaOptout()“>Google Analytics deaktivieren</a>

oder

<a onclick="alert('Google Analytics wurde deaktiviert');" href="javascript:gaOptout()">Google Analytics deaktivieren</a>

den Link im Text setzen. So können eure Leser mit nur einem Klick in der Datenschutzerklärung, das Tracking durch Google Analytics verhindern.

Außerdem müsst ihr eure Seite so einrichten, dass die IP-Adressen nur gekürzt erfasst werden – Stichwort Anonymisierungsfunktion. Der von Google vorgegebene Tracking-Code, den ihr auf eurer Seite verwendet, erfüllt leider nicht die Anforderungen zum Datenschutz. Ihr könnt den Code aber manuell ändern und mit der Erweiterung ‚anonymizeIp‘ einbinden. Die ‚anonymizeIP‘ Funktion ist sehr gut auf der Google Seite erklärt (hier).

Der klassische Code könnte so aussehen:

<script type="text/javascript">

var _gaq = _gaq || [];
_gaq.push(['_setAccount', 'UA-XXXXXXX-X']);
_gaq.push(['_gat._anonymizeIp']);
_gaq.push(['_trackPageview']);

(function() {
var ga = document.createElement('script'); ga.type = 'text/javascript'; ga.async = true;
ga.src = ('https:' == document.location.protocol ? 'https://ssl' : 'http://www') + '.google-analytics.com/ga.js';
var s = document.getElementsByTagName('script')[0]; s.parentNode.insertBefore(ga, s);
})();

</script>

Was ist mit Social Media Elementen?

Es ist schön, wenn Beiträge über die sozialen Medien geteilt werden. Aber auch hier ist Vorsicht geboten. Solltet ihr Like- oder Share-Buttons (Teilen-Button) einsetzen, oder zum Beispiel die Facebook Timeline verwenden, müsst ihr eure Leser in der Datenschutzerklärung darauf hinweisen. Zusätzlich müsst ihr auch auf eine Möglichkeit für den Widerruf hinweisen und sicherstellen, dass keine Daten des Lesers ohne dessen Zustimmung erhoben werden.

Gibt es ein Kopplungsverbot?

Das sogenannte Kopplungsverbot wurde mit der DSGVO stark verschärft. Das könnte für Blogger zum Beispiel bedeuten, dass der Leser durch das Abschicken eines Kommentars, nicht automatisch mit der Speicherung der Daten einwilligt. Das könnte in dem Fall für uns bedeuten, dass wir ein zusätzliches Kästchen in der Kommentarfunktion einbinden müssten. Dieses müsste der Leser aktiv anklicken um der Speicherung der Daten zuzustimmen. Einwilligungen dürfen also nicht miteinander gekoppelt werden.

Das Recht auf Vergessenwerden

Das Recht auf ‚Vergessenwerden‘ ist ganz einfach gesagt der Hinweis auf den Anspruch auf Löschung personenbezogener Daten. In der Datenschutz-Grundverordnung ist eindeutig erklärt, dass in Zukunft eine Pflicht darin besteht, dass wir unsere Leser über den Löschungsanspruch informieren.

Drohen auch Strafen beim Verstoß?

Eindeutig: Ja! Bei Verletzung oder Nichteinhaltung, drohen Sanktionen bis zu 20 Millionen Euro oder 4% des weltweiten Umsatzes pro Verstoß.

Vieles kommt euch vielleicht nicht neu vor, denn das Gesetz ist bereits am 24. Mai 2016 in Kraft getreten und muss nun ab dem 25. Mai 2018 angewendet werden. Mit der Anwendbarkeit der Datenschutz-Grundverordnung wird das Risiko der Abmahnung sicherlich steigen. Ihr solltet eure bisherige Datenschutzerklärung auf jeden Fall überprüfen und regelmäßig aktualisieren (EU-DSGVO). Im Internet gibt es auch einige Anbieter, bei denen Ihr euch eine DSGVO-konforme Datenschutzerklärung erstellen lassen könnt. Meine kurze Auflistung und Zusammenfassung einiger Punkte ist nur ein kleiner Einblick. Alle Angaben sind natürlich ohne Gewähr, da sich an der Gesetzeslage jederzeit etwas ändern kann. Im Zweifelsfall fragt ihr am besten einen Anwalt.

Fotocredits: Unsplash