§ 12 Datenschutzrecht / F. Datenschutzhinweise für eine Webseite

I. Typischer Sachverhalt

Rz. 127

Der Geschäftsführer eines kleineren Unternehmens wünscht von seinem Rechtsanwalt die Erstellung von Datenschutzhinweisen seiner Unternehmenswebseite. Neben der Vorstellung seines Unternehmens ist auf der Webseite auch ein Webanalysetool im Einsatz, um Statistiken zu den Besuchern der Webseite zu erhalten.

II. Rechtliche Grundlagen

1. Informationspflichten beim Betrieb einer Webseite

Rz. 128

Bei der Verarbeitung von personenbezogenen Daten im Zusammenhang mit einer Webseite erfolgt die Datenerhebung direkt beim Betroffenen, so dass hinsichtlich der Informationspflichten Art. 13 DSGVO gilt. Zu den einzelnen Anforderungen der Informationspflicht nach Art. 13 DSGVO siehe Rdn 103 ff.

2. Form der Informationserteilung

Rz. 129

Dem Besucher einer Webseite sind nach Art. 13 DSGVO Informationen zur Verfügung zu stellen, welche personenbezogenen Daten zu seiner Person erhoben und verarbeitet werden. Hierbei gelten die allgemeinen Vorgaben aus Art. 12 DSGVO, dass die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form und in einer klaren und einfachen Sprache zu übermitteln sind (siehe hierzu Rdn 99 ff.).

Rz. 130

Es ist anerkannt, dass die Information nach Art. 13 DSGVO z.B. in Form einer Verlinkung möglich ist.^[54] Für Webseiten hat sich hierbei ein entsprechend benannter Link am Ende der Seite etabliert, über den die Informationen abgerufen werden können.

Rz. 131

Sofern die Datenschutzhinweise einen gewissen Textumfang erreichen, empfiehlt es sich insbesondere bei Webseiten, einen mehrschichtigen Aufbau zu wählen, der es dem Betroffenen ermöglicht, direkt über einen Klick auf einen bestimmten Teil der Datenschutzhinweise zu navigieren, anstatt bei der Suche nach einzelnen Themen den gesamten Text zu durchsuchen. Bei der Gestaltung der ersten Ebene ist dabei darauf zu achten, dass diese einen verständlichen Überblick über die zur Verfügung stehenden Informationen nach Art. 13 DSGVO aufzeigt, so dass der Besucher der Webseite nachvollziehen kann, wo er welche weiteren Informationen finden kann.^[55]

[54] Vgl. Art.-29-Gruppe, WP 260 rev.01 Rn 33.

[55] Vgl. Art.-29-Gruppe, WP 260 rev.01 Rn 8.

3. Webseitentracking

Rz. 132

Auf vielen Webseiten erfolgt ein Webseitentracking. Mit Hilfe spezieller Softwaretools, die zahlreiche Dienstleister anbieten, erfolgt durch den Einsatz von Cookies eine Protokollierung des Verhaltens der Webseitenbesucher, indem zu einem Identifier das Klickverhalten und die besuchten Webseiten gespeichert werden. Diese Daten können in der Folge mit Hilfe der Softwaretools ausgewertet werden und lassen so Rückschlüsse auf das Verhalten der Besucher der Webseite zu. In der Regel werden diese Informationen zur Verbesserung der Webseite und zur bedarfsoptimierten Gestaltung genutzt.

a) Personenbezug der Daten

Rz. 133

Die bei einem Webseitentracking anfallenden Daten sind personenbezogen im Sinne der DSGVO. Nach Art. 4 Nr. 1 DSGVO sind dies alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Als identifizierbar wird dabei eine Person angesehen, wenn diese über die Zuordnung zu einer Online-Kennung identifiziert werden kann. Bei einem Webseitentracking erfolgt die Zuordnung in der Regel über die Cookie-ID, so dass die Daten in der Folge einer Person zugeordnet werden können.

b) Rechtsgrundlage

Rz. 134

Mit seiner Entscheidung in Sachen "Planet 49" hat der BGH inzwischen klargestellt, dass für den Einsatz von Cookies aufgrund einer europarechtskonformen Auslegung des TMG die vorherige Einwilligung des Webseitenbetreibers erforderlich ist.^[56] Dies hat zur Folge, dass auch für das cookiebasierte Webseitentracking zwingend eine Einwilligung des Webseitenbesuchers erforderlich ist.^[57]

[56] BGH v. 28.5.2020 – I ZR 7/16, Rn 52.

[57] Der Gesetzgeber plant eine Anpassung des TMG aufgrund der europarechtlichen Vorgaben durch das Telekommunikation-Telemedien-Datenschutzgesetz – TTDSG, vgl. BT-Drucks 19/27441.

4. Übermittlung von Daten in Drittländer

Rz. 135

Sofern die Daten (beispielsweise durch einen Tracking-Dienstleister) in einem Drittland (außerhalb der EU) verarbeitet oder in ein Drittland übermittelt werden, so gelten nach Art. 44 DSGVO zusätzliche Anforderungen an die Datenverarbeitung. Mit den Vorschriften der Art. 44 ff. DSGVO möchte der Unionsgesetzgeber erreichen, dass das hohe Datenschutzniveau, das durch die DSGVO gewährleistet wird, nicht durch eine Auslagerung der Datenverarbeitung in ein Drittland unterlaufen wird. Dieses Ziel wird in Art. 44 S. 2 DSGVO nochmals schriftlich normiert.

Rz. 136

Aus den Vorgaben der DSGVO ergibt sich ein zweistufiger Prüfungsablauf im Falle einer Datenverarbeitung in einem Drittland. Zunächst ist – wie bei jeder Datenverarbeitung – die Zulässigkeit der Datenverarbeitung nach den allgemeinen Vorschriften der DSGVO zu prüfen. Im Falle einer zulässigen Datenverarbeitung ist in der Folge in einem zweiten Schritt zu prüfen, ob im Empfängerland ein angemessenes Datenschutzniveau sichergestellt ist. Das Schutzniveau im Empfängerland muss dabei der Sache nach gleichwertig mit dem Niveau der DSGVO sein.^[58] Sofern das Datenschutzniveau im Empfängerland nicht per se dem Schutz der DSGVO gleichwertig ist, hat der Verantwortliche durch ...