Unser Service für Ihre Daten­schutz­belange

Wir haben im Prinzip gar nichts gegen Datenschutzgeneratoren, wir nutzen sie selbst. Aber wenn man nicht über die notwendige Sachkenntnis verfügt, in den Generatoren die zutreffenden Elemente zu wählen, oder diese gar nicht erst angeboten werden, ist die Benutzung schwierig. Also kreuzt man einfach mal alles an und hofft, dass das Richtige schon irgendwie dabei ist. Aber dabei nimmt man sich leicht ein Recht heraus, das sich in dieser Form abmahnfähig erweist. Beispiel: die Misere mit den extern geladenen Google Fonts 2022. Dass dieser Vorgang mit einer Rechtsgrundlage als technisch notwendig oder berechtigtes Interesse in der Datenschutzerklärung stand, hatte keinerlei Bedeutung, weil beides schlicht nicht zutrifft.

Datenschutzerklärungen für Websites gibt es schon eine ganze Weile, die DSGVO kam dann 2018 mit ihren speziellen Anforderungen dazu. Wir erinnern uns, dass wirklich jeder damals panisch eine Datenschutzerklärung erstellen ließ. Und die wurde seitdem auch nicht mehr angefasst.

Aber die Anforderungen an die Datenschutzerklärung haben sich weiterentwickelt und tun das noch. Die Datenschutzerklärung sollte also regelmäßig geprüft werden, ob alles noch der aktuellen Handhabung entspricht. Und das vor allem auch dann, wenn sich an der Websitetechnik etwas ändert. Sonst entwickeln sich behaupteter Datenschutz und gelebter Datenmissbrauch auf der Website immer weiter auseinander.

Es gibt viele Anbieter von Online-Terminvereinbarungen für Arztpraxen. Wir bieten selbst einige Vertreter dieser Art sehr gerne an. Aber sie alle haben eines gemeinsam: es sind Auftragsverarbeiter. Die Zusammenarbeit mit Auftragsverarbeitern muss in der Datenschutzerklärung erläutert werden und es muss ein AV-Vertrag geschlossen werden. Das beginnt übrigens schon beim Hoster der Website. Den AV-Vertrag bieten die meisten deutschen Hoster mittlerweile automatisiert an, aber wurde er auch abgeschlossen? Auch einer mit dem Dienstleister für die Terminvereinbarung? Und steht das alles auch richtig in der Datenschutzerklärung?

Die Berichterstattung zur DSGVO hat leider viel zu lange immer nur von Cookies gesprochen. Dabei sagt die DSGVO gar nichts über diese kleinen Textdateien aus. Datenschutzprobleme entstehen durch Weitergabe persönlicher Daten an Dritte, vor allem werbetreibende Dritte, die solche Daten zur Profilerstellung sammeln. Ob das mittels Cookies oder Drittverbindungen oder Fingerprinting passiert, ist dabei ganz egal. Es reicht also nicht, keine Cookies zu setzen. Auf der anderen Seite muss man sich technisch notwendige Cookies (z.B. Warenkorb) nicht erlauben lassen. Man muss alles prüfen, vor allem auch die leicht nachweisbaren Drittverbindungen.

Dies ist ein weiteres Problem mit altem Wissen. Deutschland hat sich sehr lange geziert, die e-privacy-Richtlinie umzusetzen, die es eigentlich schon 2003 verbot, Cookies auf Rechnern der Besucher zu speichern. In Deutschland war der Gesetzgeber lange der Ansicht, dass Cookie-Hinweise nach dem Motto „Friss Kekse oder spiel woanders“ in Ordnung sind. Aber das ist nicht mehr so. Heutzutage reicht ein lapidares „wenn du hier weitersurfst, sind Cookies für dich OK“ nicht mehr. Es muss eine klare Erläuterung aller Cookies (und auch aller weiteren einwilligungspflichtigen Dinge) erfolgen.

Wer weiß schon wirklich, was die eigene Website treibt? Selbst Webmaster, die ihre Website mit WordPress selbst erstellen, treffen hier schnell auf ihre Grenzen. Setzt das neue Plugin Cookies, baut es Drittverbindungen auf, lädt es Google Fonts von extern, ist es erklärungspflichtig? Und noch viel stärker gilt das für fremderstellte Websites. Viele Agenturen klatschen vollautomatisch im eigenen Interesse Google Analytics auf so eine Website, und zwar ohne jede vorgeschaltete Einwilligungsanforderung. Der Betreiber erfährt zwar nie, welche Daten da gesammelt werden, könnte sie selbst auch kaum korrekt interpretieren, aber verantwortlich für diesen Datenmissbrauch durch Dritte ist er trotzdem.