Alles neu macht der Mai: Online Business in Zeiten der DSGVO

Mit in Kraft treten der Datenschutzgrundverordnung (DSGVO) am 25. Mai 2018 wird sich im Online Business rechtlich einiges ändern. Gerade für international tätige Unternehmen verspricht die, in der gesamten EU geltende, wesentliche Vereinfachungen, da über nationale Grenzen hinweg dieselben Bestimmungen angewendet werden, auch für Marktteilnehmer aus sogenannten Drittländern.

Das Thema ist komplex und nicht einfach. Oftmals wird es von Unternehmen als lästig empfunden und vor sich hergeschoben, in der Hoffnung man werde nicht erwischt. Dennoch versuchen wir nachstehend die wichtigsten Punkte, insbesondere aus Unternehmens- sowie Agentursicht, zusammenzufassen, jedoch ohne hier eine rechtliche Empfehlung zu formulieren. Diese kann lediglich Ihr persönlicher Rechtsbeistand für Ihre individuelle Unternehmenssituation definieren.

Grundsätzlich gilt die DSGVO für alle Unternehmen sowie Privatpersonen (ausgenommen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten), die personenbezogene Daten verarbeiten und im Anwendungsbereich der Europäischen Union liegen. Im nachfolgenden gehen wir jedoch ausschließlich auf Unternehmen ein.

Im Anwendungsgebiet der DSGVO liegen, neben den in Mitgliedstaaten der EU ansässigen Unternehmen, auch jene, die Produkte und Dienstleistungen in diesem Bereich anbieten, dort jedoch nicht sitzen.

Nach der DSGVO geht man grundsätzlich und insbesondere im Zweifelsfall davon aus, dass alle Daten einen Personenbezug haben. In den meisten Fällen wird dieser vorliegen und damit unterliegen diese Daten einem datenschutzrechtlichen Verarbeitungsverbot. In diesem Zusammenhang ist es notwendig, die Begrifflichkeiten zu differenzieren.

Sind alle Daten, die insbesondere im Direkt- und Dialogmarketing die Personalisierung und Individualisierung von Inhalten ermöglichen. Diese Daten dienen dazu, Personen für bestimmte Zwecke, z. B. Werbemaßnahmen, unmittelbar oder mittelbar zu identifizieren.

Diese Daten lassen regelmäßig keinen Rückschluss auf eine Person zu. Daten die zur Identifizierung einer bestimmten Personen dienen werden durch ein Pseudonym ersetzt. Sie stellen personenbezogene Daten dar, mit deren Hilfe Profile für bestimmte Zwecke, z. B. Werbemaßnahmen erstellt werden können. Sie ermöglichen die Bereitstellung von individualisierten, jedoch nicht personalisiert Inhalten. Je nach Ausgestaltung der Pseudonymisierung ist die Verarbeitung für Werbeaktivitäten denkbar zulässig.

Sie stellen Daten dar, die keinerlei Personenbezug haben. Hierzu zählen z. B. Daten, die geclustert werden, ohne jedoch Nutzerprofile anzulegen oder diese zu analysieren.

Die Datenschutzgrundverordnung stellt Unternehmen aus dem gewerblichen, produzierenden Gewerbe genauso wie Dienstleister, wie z. B. Agenturen vor erhebliche Herausforderungen. Nach einer aktuellen Erhebung der Bitkom ignoriert jedes dritte Unternehmen bislang die DSGVO.

Wenn man den zeitlichen Aspekt hierzu in den Fokus rückt, verbleibt nicht mehr all zu viel Zeit um notwendige technische sowie organisatorische Maßnahmen umzusetzen, die sicherstellen und nachweislich belegen, dass die Verarbeitung von personenbezogenen Daten entsprechend der Datenschutzgrundverordnung erfolgt.

In einem ersten Schritt von Unternehmen und Agenturen gilt es, zwei maßgeblichen Grundsätze der DSGVO zu verinnerlichen, die wir nachstehend erläutern.

In Abhängigkeit der Risiken und deren Eintrittswahrscheinlichkeit sind technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik und der Implementierungskosten zu ergreifen, welche die Wahrung der Interessen der betroffenen Personen sicherstellen. In Verbindung mit den Grundsätzen „privacy by design“ und „privacy by default“ zählen hierzu u. a.:

• technisch organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung gemäß der Verordnung erfolgt - z. B. durch Benennung eines Datenschutzbeauftragten
• führen von Protokollen, die nachträglich geprüft werden können und Eingaben, Änderungen oder Löschungen personenbezogener Daten nachvollziehbar machen
• Sensibilisierung und Schulung von Mitarbeitern
• Zugangsbeschränkung zu den personenbezogenen Daten
• Pseudonymisierung personenbezogener Daten
• Verschlüsselung personenbezogener Daten
• Einführung eines Monitorings und Reportings zur Bewertung und Evaluierung der Wirksamkeit der Maßnahmen

Sollen neue Technologien verwendet werden oder stellt die Verarbeitung personenbezogener Daten eine erhebliche Gefahr der Interessen betroffener Personen dar, so ist unter Hinzunahme eines Datenschutzbeauftragten eine Abschätzung der Folgen für die betroffenen Personen zu erstellen. Diese Folgeabschätzung muss mindestens nachstehende Punkte enthalten und muss u. U. nach Abschluss kontrolliert werden.

• eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung
• eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf deren Zweck
• eine Bewertung der Gefahren für die Interessen der betroffenen Personen
• sowie die Nennung von Lösungsansätzen zur Abwendung der identifizierten Gefahren und der Sicherung der personenbezogenen Daten nach den gesetzlichen Vorgaben

Betroffene Personen verfügen über vielfältige Rechte bei der Verarbeitung von personenbezogenen Daten.

Betroffenen Personen muss in präziser, transparenter, verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache Auskunft über die Verarbeitung personenbezogener Daten gewährleistet werden. Die kann z. B. in Form einer Webseite mit der Datenschutzerklärung erfolgen.

Darüber hinaus steht betroffenen Personen das Recht zu, vor Erhebung personenbezogenen Daten informiert zu werden.

Ferner sind dies das Recht auf

• Korrektur
• Löschung bzw. Vergessenwerden
• Einschränkung der Verarbeitung
• Mitteilungspflicht über Vollzug der Korrektur, Löschung oder Einschränkung der Verarbeitung
• Widerruf
• und Weitere

Die Datenschutzgrundverordnung sieht Bußgelder zwischen 10.000.000/20.000.000 Euro oder im Fall eines Unternehmens von bis zu 2 oder 4 % des gesamten weltweit erzielten Jahresumsatzes vor.

Im Teil "Was ist bei Unternehmenswebseiten und im Online-Marketing zu beachten" beleuchten wir was im Rahmen von Unternehmenswebseiten sowie im Online-Marketing zu beachten ist.