Hilfestellung zur Umsetzung der DSGVO

Liebe Forumsmitglieder,

Uwe Keim hat mich gebeten, einen Blogbeitrag zu diesem Thema zu schreiben. Dieser ist seit Heute online unter https://blog.zeta-producer.com/europaeische-d…rundverordnung/. Fragen oder Anmerkungen postet am Besten in diesem Thread.

Es geht aber noch besser: Der Landesbeauftragte Datenschutz Bayern hat für kleine Unternehmen und Vereine in dieser Woche einen ganzen Satz Anleitungen und Muster online gestellt, die noch übersichtlicher als mein Blogbeitrag sind. Jedem sehr zu empfehlen, von Verein über Kfz-Werkstatt, Handwerksbetrieb, Steuerberater, Arztprazis, WEG-Verwaltung, Produkionsbetrieb, Genossenschaftsbank, Online-Shop, Bäckerei, Beherbergungsbetriebe und Einzelhändler. Damit sollte ein Großteil der Bedürfnisse unserer Forumsnutzer abgedeckt sein. Respekt und Danke an den LDA Bayern.

Hallo Frank,

als Wesentlichstes wäre da die fehlende direkte Erreichbarkeit der Datenschutzseite. Entweder Du benennst den Zusatzlink um in "Impressum / Datenschutz" oder fügst einen neuen Zusatzlink "Datenschutz" ein, der dann nur Inhalte zum Datenschutz hat.

Cookies: korrekt erklärt, hierbei handelt es sich um 3 Cookies von Google-Analytics. Weiter unten hierzu mehr.

Server-Logs: Bitte prüft nach, welchen Inhalt die Logs genau haben. Auf der Support-Seite von Hostpoint steht nur allgemein etwas von "erfolgreiche Zugriffe in Rohform". Wenn keine IP-Adresse enthalten ist, kann der ganze Abschnitt entfallen. Wenn eine IP-Adresse enthalten ist, bedeutet dies, dass Ihr schon beim Betreten der Webseite einen entsprechenden Hinweis einblenden müsst, Hierzu bietet sich das Info-Banner an. Dieses funktioniert in der Regel ohne Cookies, ABER: wenn das Infobanner nach dem Schließen nicht erneut angezeigt werden soll (unter Optionen), wird ein Cookie gesetzt. Wenn im Server-Log IP-Adressen gespeichert werden, solltet Ihr hierfür berechtigtes Interesse "Aufrechterhaltung der IT-Sicherheit" erklären, damit ist keine Zustimmung erforderlich und die Daten können auch ohne Zustimmung erfasst werden.

Kontaktformular: Die Formulierung ist erstmal ausreichend. Das Kontaktformular selbst muss aber genau diese Sätze ebenfalls enthalten. In der Datenschutzerklärung sollte zusätzlich der Hinweis aufgenommen werden, dass die Übermittlung der Daten zum Server über eine gesicherte Verbindung (SSL) erfolgt. Nach Stand der Technik sollte die Kommunikation per E-Mail ebenfalls verschlüsselt erfolgen (SSL/TLS). Dies aber bitte vorher überprüfen. In meinem Mailprogramm kann ich nur für deutsche Adressen checken, ob diese dem Sicherheitsstandard "E-Mail made in Germany" entsprechen. Wenn dazu noch Rückfragen sind, einfach stellen.

Für Mitleser an dieser Stelle noch folgender Hinweis: Die beliebte Formulierung "unsere Seite ist verschlüsselt" darf nur verwendet werden, wenn tatsächlich die Seite über https abgesichert und nur über https erreichbar ist.

Newsletterdaten: wird auf Eurer Seite nicht angeboten, entfällt also.

Google Analytics:

Da Ihr zum Komplex Google Analytics mehrere Textabschnitte habt, sollten die optisch zusammengefasst werden, beispielsweise durch eine Trennlinie ober- und unterhalb des Komplexes oder eine H2-Überschrift "Analytics", gefolgt von diversen H3-Überschriften. In diesem Falle müssten aber alle anderen Texte auch jeweils eine H2 erhalten.

Ihr verwendet Google-Analytics momentan ohne Anonymisierung. Bitte dazu mal meinen Blogbeitrag durchlesen, wichtig ist insbesondere auch die notwendige Verwendung eines Info-Banners mit "Opt-Out" bereits beim Betreten der Seite.

Im Abschnitt Auftragsdatenverarbeitung habt Ihr hoffentlich tatsächlich einen Vertrag abgeschlossen. Die "strengen Vorgaben der deutschen Datenschutzbehörden" haben dort aber nichts zu suchen. Das war eine Zeit, die wohl beide Völker nicht zurück haben wollen.

Facebook-Plugin: Wird bei euch nicht verwendet, kann raus, das gleiche betrifft Twitter, Google+, Instagramm, LinkedIn, Pinterest, Xing, Tumblr und Youtube.

Hintergrund: die DSGVO fordert eine einfache, verständliche Erklärung. Diese muss den tatsächlichen Gegebenheiten entsprechen. Eine Auflistung von Punkten, die nicht sind, sondern nur "eventuell werden können", gehört nicht dazu. Datenschutzrechtlich müssen diese Punkte also nicht erwähnt werden, wettbewerbsrechtlich könnte eine Irreführung vorliegen, wenn behauptet wird, die Inhalte der Seite könnten über Facebook geteilt werden, obwohl dies tatsächlich nicht geht.

Auskunft, Löschung, Sperrung: reicht so aus.

Zusammenfassend habt Ihr eine große Baustelle (Analytics) aufzuräumen und einige kleinere Anpassungen vorzunehmen.

Zitat von andima

Google Analytics deaktivieren funktioniert nicht.

das liegt daran, dass das zugehörige "Opt-Out"-Script nicht im Analytics-Code enthalten ist:

<script>
var gaProperty = 'UA-12345678-1'; 
var disableStr = 'ga-disable-' + gaProperty; 
if (document.cookie.indexOf(disableStr + '=true') > -1) { window[disableStr] = true; 
} 
function gaOptout() {
document.cookie = disableStr + '=true; expires=Thu, 31 Dec 2099 23:59:59 UTC; path=/'; 
window[disableStr] = true; }
</script>

Aufgerufen wird das dann in der Datenschutzerklärung als Link auf: javascript:gaOptout()

alternativ in "HTML-Quelltext anzeigen" wechseln und folgenden Quelltext eingeben:

<p>Sie können die Erfassung durch Google Analytics verhindern, indem Sie auf 
folgenden Link klicken. Es wird ein Opt-Out-Cookie gesetzt, der die zukünftige 
Erfassung Ihrer Daten beim Besuch dieser Website verhindert:</p><a onclick="alert('Google Analytics wurde deaktiviert');" href="javascript:gaOptout()">Google Analytics deaktivieren</a>

Mehr Details dazu findet Ihr im Blog.