Wer eine neue Website oder einen Online-Shop aufbaut, denkt zunächst an Design, Zahlungsmethoden und Bestand. Der Datenschutz-Teil kommt oft später oder gar nicht. Was dann konkret passiert: Sie können nicht vollständig antworten, wenn ein Besucher fragt, welche Daten Sie von ihm haben, Ihre Verträge mit Hosting- und Analytics-Partnern fehlen, und Cookies werden möglicherweise gesetzt, bevor ein Besucher seine Zustimmung dazu gegeben hat. Das sind keine abstrakten Risiken, sondern Situationen, die in der Praxis relativ schnell auftreten.
Es geht nicht um eine Bußgeld oder einen Kontrollmoment. Es geht um eine Reihe loser Stellen, an denen die Verordnung etwas verlangt, und die erst sichtbar werden, wenn jemand danach fragt: ein Kunde, ein Geschäftspartner oder der Besucher selbst.
Die Datenschutzerklärung ist der sichtbare Teil
Eine fehlende oder unvollständige Datenschutzerklärung ist meist das Erste, das auffällt, auch für Besucher selbst. Aber die Erklärung ist nur die Außenseite. Im Hintergrund verlangt die DSGVO unter anderem, dass Sie wissen, welche Parteien Daten in Ihrem Auftrag verarbeiten, und dass Sie Vereinbarungen dazu dokumentieren. Ohne diese Vereinbarungen haben Sie keinen Überblick, was ein Hosting-Anbieter, ein E-Mail-Tool oder ein Zahlungsdienst genau mit den Daten Ihrer Besucher tut.
Cookies und Tracking-Tools ohne Zustimmung
Ein Online-Shop oder eine Website verwendet häufig Analytics, Werbe-Pixel oder Chat-Widgets, die bereits beim Laden der Seite Daten sammeln. Passiert das, bevor der Besucher eine Wahl getroffen hat, läuft das der Zustimmung voraus, die die Verordnung dafür verlangt. Dies ist einer der Punkte, den Aufsichtsbehörden in allgemeinen Leitlinien explizit betrachten, ohne damit etwas über eine einzelne Situation auszusagen.
Kein Auftragsverarbeitungsvertrag, kein Überblick
Jedes Tool, das Daten Ihrer Besucher oder Kunden verarbeitet — ein Paketverfolgungs-System, ein Newsletter-Tool, eine Bewertungsplattform — ist in der Regel ein Auftragsverarbeiter. Die DSGVO verlangt, dass Sie dafür einen Auftragsverarbeitungsvertrag haben. Fehlt dieser, dann fehlt Ihnen nicht nur ein Dokument, sondern auch der Überblick, wer welche Daten wo speichert. Dieser Überblick ist genau das, was ein Verarbeitungsverzeichnis sichtbar macht, und es ist auch das, wonach ein Kunde oder Auftraggeber fragen kann. Wenn Sie sehen möchten, wie so ein Vertrag in der Praxis aussieht, können Sie die Wissensdatenbank nach Themen durchgehen.
Wenn dann doch etwas schiefgeht
Ein Online-Shop verarbeitet normalerweise mehr Daten als eine durchschnittliche Website: Name, Adresse, Zahlungsdaten, manchmal Geburtsdatum. Wenn mit einem der Partner, die diese Daten verarbeiten, etwas schiefgeht, zählt die Meldepflicht bei einer Datenschutzverletzung mit der dazugehörigen Frist dazu. Ohne Überblick darüber, welche Tools welche Daten verarbeiten, ist es schwierig, schnell zu bestimmen, ob und wie reagiert werden muss. Eine erste Einschätzung der Situation erhalten Sie mit ein paar kurzen Fragen zur Situation.
Fragen von Besuchern, die Sie nicht beantworten können
Jeder Besucher und Kunde hat das Recht zu fragen, welche Daten Sie von ihm haben, oder um Löschung zu bitten. Ohne Verarbeitungsverzeichnis und ohne Klarheit darüber, welche Tools Daten speichern, ist ein solches Ersuchen schwer vollständig innerhalb der Frist zu beantworten, die die Verordnung dafür vorsieht. Das berührt nicht nur die Beziehung zu diesem einen Besucher, sondern auch den Eindruck, den ein Geschäftspartner oder Versicherer von Ihrem Unternehmen bekommt, wenn danach gefragt wird.
Wo das normalerweise drückt
In der Praxis ist es selten ein großes Versäumnis. Es ist eine Anhäufung: ein fehlendes Vertrag hier, ein Cookie, das zu früh platziert wird, dort keine Übersicht, wo sich Daten genau befinden. Jeder Teil für sich scheint klein, aber zusammen machen sie es schwierig, auf eine Frage — von einem Besucher, einem Kunden oder einer Aufsichtsbehörde — eine vollständige Antwort zu geben. Wie die Grundsicherung von Daten dabei anschließt, lesen Sie auf der Seite über die Sicherheit von Daten.
Dieser Text ist eine allgemeine Beschreibung und kein Rechtsrat über Ihre eigene Website oder Webshop. Für die Bewertung Ihrer spezifischen Situation können Sie sich an einen Juristen oder an die Autoriteit Persoonsgegevens wenden.
Möchten Sie zunächst sehen, wo sich Ihre eigene Website oder Webshop derzeit befindet? Der kostenlose Quick-Scan gibt in wenigen Minuten einen Anhaltspunkt, ohne dass Sie dafür ein Konto erstellen müssen.