Datenschutzerklärung rechtssicher gestalten

Wann brauchen Sie eine Datenschutzerklärung?

Eine Datenschutzerklärung benötigen Unternehmen in mehreren Konstellationen. Grundsätzlich ist sie erforderlich, sobald personenbezogene Daten verarbeitet werden – etwa wenn Kundendaten in einem CRM oder einer Kundendatenbank erfasst werden. Auch der Einsatz von Videokonferenzsystemen im Rahmen der beruflichen Tätigkeit kann eine Datenschutzerklärung notwendig machen.

Die DSGVO dient dem „Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten" (Art. 1 Abs. 1 DSGVO) und greift immer dann, wenn personenbezogene Daten verarbeitet werden (Art. 2 DSGVO). Personenbezogene Daten sind gem. Art. 4 Nr. 1 DSGVO „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen". Verantwortliche müssen bei jeder Datenerhebung eine Datenschutzerklärung vorlegen (Art. 13 DSGVO) – zum Beispiel bei einem Vertragsschluss. Betroffene Personen sollen wissen, welche Daten von ihnen warum und wie lange gespeichert werden. Dieser Informationspflicht kommt man mit einer Datenschutzerklärung nach, die präzise, transparent, verständlich und leicht zugänglich (Art. 12 DSGVO) über die Datenverarbeitung aufklärt.

Insbesondere beim Betrieb einer Internetseite oder eines Social-Media-Kanals muss eine Datenschutzerklärung vorgehalten werden. Denn beim Besuch einer Internetseite entstehen Datenspuren, die es dem Betreiber ermöglichen, diese durch Analysetools auszuwerten – z. B. zur Angebotsverbesserung oder für Werbung. Die Datenschutzerklärung macht diese Verarbeitung für den Besucher transparent und muss in einem leicht erreichbaren, möglichst verständlichen Text über Art und Umfang der Datenerhebung aufklären – einschließlich der Frage, ob und welche Daten gespeichert werden und ob Dritte eingebunden sind.

Ob der Besucher die Datenschutzerklärung tatsächlich liest oder in ihrer vollen Komplexität versteht, ist unerheblich. Entscheidend ist, dass sie auf der eigenen Internetseite verfügbar ist, um die gesetzlichen Informationspflichten zu erfüllen. Besondere Bedeutung erlangt sie, wenn bestimmte personenbezogene Daten erhoben werden sollen, z. B. im Rahmen eines Newsletters – dann muss der Besucher aktiv in die Verarbeitung einwilligen, während die Information darüber in der Datenschutzerklärung vorgehalten werden kann.

Folgen einer fehlenden oder fehlerhaften Datenschutzerklärung

Fehlt eine Datenschutzerklärung insgesamt oder weist eine vorhandene Erklärung inhaltliche oder formale Fehler auf, kann dies zu einem Verfahren der zuständigen Aufsichtsbehörde führen. Die DSGVO sieht bei Verstößen ein Bußgeld von theoretisch bis zu 20 Millionen Euro bzw. bis zu 4 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist.

Ob darüber hinaus auch wettbewerbsrechtliche Abmahnungen möglich sind, ist bislang nicht abschließend geklärt. Einige Gerichte haben wettbewerbsrechtliche Abmahnungen wegen einer fehlerhaften Datenschutzerklärung bereits anerkannt; verschiedene Argumente in der Rechtsprechung sprechen dafür, dass sich diese Tendenz fortsetzt.

Was gehört in eine Datenschutzerklärung?

Artikel 13 DSGVO listet die Informationen auf, die zwingend in einer Datenschutzerklärung stehen müssen. Generell muss über die konkrete Art und Weise der Verarbeitung personenbezogener Daten aufgeklärt werden – etwa über die Verarbeitung der IP-Adresse, von Browser-Daten, Cookies, Webanalyse-Tools sowie Social-Media-Plugins.

Neben der Erläuterung der Datenverarbeitung und der Darlegung des Verarbeitungszwecks muss auch die konkret anwendbare Rechtsgrundlage genannt werden – Art. 13 Abs. 1 lit. c) DSGVO verlangt neben der Angabe des Zwecks auch die Angabe der Rechtsgrundlage. In Betracht kommende Rechtsgrundlagen finden sich in Art. 6 Abs. 1 DSGVO, insbesondere eine vom Betroffenen erteilte Einwilligung (z. B. bei der Newsletter-Anmeldung) und die Notwendigkeit der Vertragserfüllung. Für jede in der Datenschutzerklärung aufgelistete Datenverarbeitung sollte deshalb die entsprechende Rechtsgrundlage genannt werden.