Grundlagen der DSGVO und Eprivacy VO auf Webseiten

Neben der Eprivacy VO gibt es die Datenschutz Grundverordnung. Die DSGVO Abkürzung für Datenschutz-Grundverordnung ist eine Verordnung der EU (Europäischen Union), die Regelungen zur Verarbeitung personenbezogener Daten enthält, kurz gesagt, was erlaubt ist und was nicht.

Durch die Verarbeitung der personenbezogenen Daten soll die DSGVO vor Beeinträchtigungen und Rechtsverletzungen jedes Einzelnen schützen. Das heißt, die DSGVO möchte die Daten jeder Person davor schützen, dass nichts damit geschehen kann, was man nicht möchte, wie z. B. finanzieller Verlust, Identitätsdiebstahl, Rufschädigung oder Diskriminierung. Dennoch gibt es auch klare Regelungen, die bei einer „erlaubten“ Verarbeitung von Daten einer natürlichen Person berücksichtigt werden müssen.

Grundsätzlich gilt: Eine jede Verarbeitung von personenbezogenen Daten ist verboten, außer es gibt eine Rechtsvorschrift, die diese Verarbeitung erlaubt oder die Person selbst hat vorher der Datenverarbeitung zugestimmt.

Es gibt eine Vielzahl von Rechtsvorschriften, die die Verarbeitungen von Daten grundlegend regeln.

Dies gilt in der gesamten EU und bedeutet, dass der „Verantwortliche“ die Anforderungen der DSGVO beachten muss, wenn eine Niederlassung in der EU besteht oder das Unternehmen Waren und Dienstleistungen in der EU anbietet.

Ja, die DSGVO enthält zwar keine konkreten Regelungen für das Internet, sie ist aber trotzdem von Websiten-Betreibern zu beachten. Das betrifft jede Firma, ganz gleich, ob ein großer Konzern, ein Groß- Mittelstand- oder Kleinunternehmen sowie auch Selbstständige, Kleinstbetriebe, Blogger oder Selbstständige in einem Nebengewerbe.

Die DSGVO ist die wichtigste gesetzliche Grundlage, die derzeit als Websiten-Betreiber berücksichtigt werden muss. Bei den zentralen Datenschutz-Elementen für eine Website stellt sich immer die Frage der rechtlichen Zulässigkeit der Datenverarbeitung.

Die ePrivacy-Richtlinie ist auch bekannt als „Cookie-Richtlinie“ und regelt vorrangig die Vertraulichkeit der elektronischen Kommunikation. Das heißt, die elektronische Kommunikation umfasst klassische Dienste wie z. B. Telefonie oder SMS, aber auch alle internetbasierenden Dienste, wie z. B. Apps, Messenger und Websites.

Im Grunde ja, aber für Websiten-Betreiber hat die ePrivacy-Richtlinie datenschutzrechtlich keine große Bedeutung, auch das deutsche TKG (Telekommunikationsgesetz) nicht. Da die Richtlinie für Internet Service Provider, die für die zentrale Bereitstellung von Telekommunikationsdienstleistungen relevant sind.

Allerdings soll die ePrivacy-Richtlinie demnächst durch eine ePrivacy-Verordnung (ePrivacy-VO) abgelöst werden. Welche Anforderungen das für Websiten-Betreiber haben wird, ist aber derzeit noch unklar. Es ist jedoch sicher, dass es durch die ePrivacy-VO grundlegende Anforderungen für Online-Dienste geben wird.

Wie die DSVGO wird auch die ePrivacy-VO eine EU Verordnung und ein verbindliches Recht sein, welches immer dann angewendet wird, wenn sich ein Dienst an einen EU-Bürger richtet. Die ePrivacy-VO wird eine Regel zur Ergänzung und näheren Spezifikation der DSVGO sein.

Die ePrivacy-VO befasst sich hauptsächlich mit der Internetkommunikation, meistens mit den Themen: Tracking, Werbung und Einwilligung. Fest steht aber, es wird die grundlegenden Bereiche im Internet (in der EU)“neu“ regeln.

Wie schon die Eprivacy-Richtlinie, wird auch die Eprivacy VO die elektronische Kommunikation regeln. Das Besondere daran ist: Die DSGVO schützt bekannterweise nur natürliche Personen, aber nur dann, wenn deren personenbezogene Daten verarbeitet werden. Aber anders ist die ePrivacy-VO: bei der elektronischen Kommunikation fallen fast immer personenbezogene Daten an, das heißt z. B Empfänger und Absender von Nachrichten, Metadaten (MAC und IP-Adresse) jedoch schützt die VO bevorzugt die Vertraulichkeit von Kommunikation.

Das heißt, man bräuchte also ein Gesetz, das die Vertraulichkeit schützt. Um dieses Anliegen kümmert sich zukünftig die ePrivacy-VO.

Das Verhältnis zwischen beiden Verordnungen ist schwierig. Zum einen gibt es eine große Schnittmenge, da durch die elektronische Kommunikation fast immer auch personenbezogene Daten anfallen. Und zum anderen ist der Zweck der Verordnungen unterschiedlich: Schutz der Vertraulichkeit der Kommunikation (ePrivacy-VO) gegen Recht auf Schutz personenbezogener Daten (DSGVO). In der Praxis sollte dies des öfteren schwer sein, hier eine klare Linie zu ziehen.
Für Websiten-Betreiber ist nur wichtig :

• Die e-Privacy-VO gilt auch für Websiten-Betreiber.
• Zur DSVGO müssen die Ausführungen der ePrivacy-VO zusätzlich beachtet werden.

Dies ist zu beachten, damit die Website langfristig auch nach der ePrivacy-VO datenschutzkonform ist. Es wird von Bedeutung bleiben, dass sich viele formale Anforderungen nach der DSGVO richten werden. Dies betrifft:

• die Handhabung mit Betroffenenrechten,
• die Datensicherheits-Anforderungen,
• die Dokumentationpflichten, wie das Verzeichnis über die Verarbeitungstätigkeiten oder die Verträge zur Auftragsverarbeitung.

a) Ein Dienstleister, der vom Verantwortlichen beauftragt wird und für ihn, sprich in seinem Auftrag, Daten verarbeitet.

Einige Beispiele aus dem Websiten-Umfeld, um zu verdeutlichen, wer im Alltag Auftragsverarbeiter sein kann:

• Hosting-Partner
• Newsletter-Anbieter
• Dienstleister für Tracking

b) Was sind „Informationen auf Endeinrichtungen“?

Dies sind sämtliche Daten, dabei spielt es keine Rolle, ob personenbezogene Daten oder nicht, die auf dem Gerät eines Nutzers gespeichert und auf die man potenziell Zugriff nehmen könnte. z.B.

• Daten, die man über Berechtigungen einer App erhält, wie Kontaktdaten des Adressbuches oder auch Fotos aus der Bildergalerie
• Daten, die bei der Nutzung eines Dienstes anfallen

Die DSVGO kennt die Kategorie „Informationen auf Endeinrichtungen“ nicht – sie kümmert sich ausschließlich um die personenbezogenen Daten. Bei der ePrivacy-VO sieht das aber anders aus, da hier insbesondere davon gesprochen wird. Wenn die oben genannte Definition auf die Praxis übertragen wird, fällt fast alles im Web- und App-Umfeld darunter. Aus diesem Grund muss auch ein Websiten-Betreiber die Vorschriften aus der ePrivacy-VO für Informationen auf Endeinrichtungen beachten, die letztendlich den „Umgang mit Daten“ regeln.

Man benötigt eine Einwilligung dann, wenn man die Verarbeitung auf keine andere Rechtsgrundlage stützen kann oder die DSGVO es vorschreibt. Dies gilt unter anderem auch bei der Verarbeitung von sensiblen Daten, die besonders geschützt werden müssen. Solche Daten nennt die DSGVO: „besondere Kategorien personenbezogener Daten“, diese sind z. B Angaben zur sexuellen Orientierung, Gesundheit und Religion.

Die DSGVO sieht diese Rechtsgrundlage dann als gegeben, wenn die Datenverarbeitung zur Wahrnehmung der berechtigten Interessen erforderlich ist, und nicht die Interessen oder Grundrechte des Nutzers überwiegen. Prinzipiell müsste sich jeder Verantwortliche ausführliche Gedanken machen, ob seine Interessen eine rechtliche Abwägung vornehmen oder überwiegend sind.

Bei folgenden Verarbeitungen sind die Interessen überwiegend und die Verarbeitung somit zulässig:

• Erstellen eines Log-Files für Sicherheitszwecke
• Einbindungen von Schriftarten zu einer optimierteren Darstellung der Website
• Einbindungen von bekannten Kartendiensten, allerdings ohne Trackingfunktion
• Verwendung von einfachen Statistik-Tools (z.B Besucherzähler ohne Tracking)
• Kontaktformulare.