Menü
Es geht um die Transparenz einer Datenverarbeitung. Sie müssen jede Person darüber informieren, DASS eine Verarbeitung ihrer personenbezogenen Daten stattfindet oder stattfinden soll, WOFÜR die Daten verwendet werden und WER diese erhält. Darüber hinaus gibt es noch weitere mitzuteilende Informationen.
Die betroffenen Personen wissen damit schon einmal grob Bescheid und erhalten einen ersten Überblick über die Datenverarbeitung. Gleichzeitig werden die Betroffenen auch über ihre Rechte in Kenntnis gesetzt. Diese Informationen bereitzustellen, dient dem Grundsatz der Fairness und der Transparenz.
Informieren Sie sich zuerst, um andere zu informieren.
Bevor Sie Informationen zu einer Datenverarbeitung bereitstellen können, müssen Sie diese selbst kennen. In der Regel enthält ein gut geführtes Verzeichnis der Verarbeitungstätigkeiten (VVT) alle Informationen, die Sie benötigen, um die Datenschutzhinweise zu erstellen.
Wie soll‘s denn heißen? In der DSGVO findet sich der Begriff „Informationspflicht“. Für die Umsetzung der Pflichten haben sich einige Begriffe etabliert, wie z. B.:
Datenschutzerklärung
Datenschutzhinweise
Informationen zur Datenverarbeitung
Pflichtangaben gemäß Artikel 12–14 DSGVO
… und weitere ähnliche Formulierungen
Treffen Sie eine Entscheidung, wie Sie Ihre Datenschutzhinweise nennen wollen.
Wir verwenden aus Gründen der Einheitlichkeit den Begriff „Datenschutzhinweise“.
Wenn Sie über mehrere verschiedene Datenverarbeitungen informieren müssen und diese nicht in einem Schriftstück bündeln können oder wollen, dann können Sie auch dies in separaten Datenschutzhinweisen berücksichtigen. Zum Beispiel:
Datenschutzhinweise … für unsere Website
Datenschutzhinweise … für unsere Kunden
Datenschutzhinweise … für Gewinnspiele
Datenschutzhinweise … für Bewerbungen
Datenschutzhinweise … für Beschäftigte
Die Antwort lautet: Nein. Bei beiden handelt es sich um die Erfüllung der Informationspflicht aus der DSGVO.
Die Erfordernisse für Datenschutzhinweise auf einer Website unterscheiden sich nicht von anderen. Jedoch nutzt eine Website verschiedene technische Datenverarbeitungsvoränge (z. B. Log-Files, Cookies) und dient meist als Kontakt zur Außenwelt (insb. Kunden, Bewerbende, Interessierte). Auch um Geschäfte anzubahnen oder abzuschießen, kommt sie zum Einsatz. Das kann bei der Erstellung von Datenschutzhinweisen ziemlich verwirrend sein. Die Website bietet jedoch einen guten Platz, die Datenschutzhinweise zentral zu hinterlegen und zu veröffentlichen.
Wenn Sie Datenschutzhinweise erstellen, sind folgende Unterscheidungen hilfreich:
Sie möchten Datenschutzhinweise nur für Ihre Website erstellen.
Sie möchten Datenschutzhinweise für andere Verarbeitungen erstellen, welche nicht über Ihre Website erfolgen (zum Beispiel Datenschutzhinweise für Bewerbungen).
Sie möchten Datenschutzhinweise kombinieren und sowohl über die Verarbeitungen auf Ihrer Website als auch über andere Verarbeitungen informieren.
Wenn Sie sich nun ausreichend informiert fühlen, legen Sie einfach los. Nehmen Sie die bereitgestellte Checkliste und das Ausfüllmuster zur Hand und gehen Sie die Punkte nacheinander durch. Vergessen Sie nicht, dass im VVT bereits wertvolle Informationen vorliegen, auf welche Sie nun zurückgreifen können.
Sie müssen nicht alle Punkte aus der Checkliste in Ihren Datenschutzhinweisen erwähnen. Das bedeutet, wenn ein Punkt nicht zutrifft, können Sie ihn einfach weglassen. Sie müssen dann nicht extra schreiben „Es findet kein Profiling bei uns statt.“ oder „Wir haben nicht die Absicht, personenbezogene Daten in ein Drittland zu übermitteln, und tun dies auch nicht.“
Wichtig ist vor allem, dass Sie
sich als Datenverarbeiter (Verantwortlicher) im Sinne der DSGVO erkennbar geben und
den Zweck sowie die Rechtsgrundlage nennen,
angeben, wie Sie erreichbar sind, wenn jemand ein Anliegen zum Datenschutz hat, und
über die Betroffenenrechte aufklären.
Natürlich sind auch die anderen Pflichtangaben zu machen. Wenn Sie jetzt noch nicht alle Informationen eintragen konnten, so wissen Sie zumindest aufgrund der Checkliste, welche Fragen noch zu klären sind. Versuchen Sie diese offenen Fragen mit den zuständigen Personen zu beantworten.
Wenn Sie eine Frage nicht beantworten können, setzen Sie das nicht gleich mit „findet nicht statt“. Dies gilt insbesondere für Verarbeitungen auf oder durch die Website. Es gibt genügend Möglichkeiten für Laien, Ihre Website auf unerwähnte Datenverarbeitungen hin zu untersuchen und Sie daraufhin mit einer nicht rechtmäßigen Verarbeitung zu konfrontieren. Eventuell erhalten Sie dann sogar Post von der Aufsichtsbehörde.
Für die Rechtsgrundlage müssen Sie nicht immer den exakten Artikel aus der DSGVO benennen. Die Rechtsgrundlage ist auch aus der Beschreibung erkennbar.
Wenn Sie zum Beispiel schreiben: „Wir verarbeiten Ihre Daten, weil wir einen Vertrag mit Ihnen abgeschlossen haben und die Daten für die Vertragsdurchführung benötigen.“, dann geht die Rechtsgrundlage (Art. 6 Abs. 1 b DSGVO) aus der Beschreibung eindeutig hervor. Außerdem klingt es nachvollziehbar.
Vollständig können Sie auch schreiben: „Wir verarbeiten Ihre Daten, weil Sie uns eine Einwilligung hierfür erteilt haben.“ (Rechtsgrundlage Art. 6 Abs. 1 a DSGVO). Damit haben Sie sogleich zu erkennen gegeben, dass Sie den passenden Artikel der DSGVO selbstverständlich kennen.
Sie müssen die Informationen übrigens spätestens dann vollständig bereitstellen können, wenn Sie eine Auskunftsanfrage einer betroffenen Person oder eine Anfrage einer Aufsichtsbehörde erhalten.
Wichtig ist vor allem, dass die Datenschutzhinweise leicht auffindbar und verfügbar sind.
