Home / Aktuelles & Termine / it.sec blog

Monatlich gehen in Deutschland um die 50.000 neue Webseiten online. Alle diese Seiten sind gesetzlich verpflichtet, eine Datenschutzerklärung bereitzustellen. Dass ist jedoch häufig nicht der Fall.

Ab Mai 2018 kann dies empfindliche Bußgelder nach sich ziehen. Vor allem eine Webseite bietet für Aufsichtsbehörden und Verbände eine einfache Möglichkeit zu kontrollieren, ob die datenschutzrechtlichen Vorgaben umgesetzt wurden.

§ 13 TMG und auch Art 12 ff DSGVO legt jedem Webseitenbetreiber die Pflicht auf, eine Datenschutzerklärung auf seiner Webseite einzupflegen. Diese sollte im Idealfall mit nur einem Klick von jeder Seite aus erreichbar sein.

In dieser Datenschutzerklärung muss der Betreiber der Webseite den Nutzer in allgemein verständlicher Form u.a. über Art, Umfang, Zwecke der Erhebung und Verwendung personenbezogener Daten sowie über mögliche Weitergaben von Daten an Staaten außerhalb der Europäischen Union bzw. des EWR unterrichten.

Die Nutzer müssen u.a. über Folgendes informiert werden:

  • die Erhebung von IP-Adressen,
  • die vom Browser übermittelten Daten,
  • Gewinnspiele,
  • Benutzerkonto,
  • Newsletter,
  • Webtracking,
  • Cookies,
  • Online-Bewerbungen,
  • Kontaktformulare,
  • Foren,
  • Plugins,
  • Widerspruchsrecht.

Es müssen stets die Zwecke angegeben werden, zu denen die Daten verarbeitet und an wen sie weitergegeben werden, sowie die jeweilige Rechtsgrundlage der Datenverarbeitung.

Wer den Nutzer einer Webseite nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig unterrichtet, begeht gemäß § 16 TMG und Art 83 Abs. 5 DSGVO eine Ordnungswidrigkeit, die mit einem Bußgeld von bis zu 4 % des weltweit erzielten Vorjahresumsatzes oder bis zu 20.000.000 € geahndet werden kann. Auch kann ein Verstoß gegen das Wettbewerbsrecht vorliegen, so dass eine Abmahnung erfolgen kann.

Dr. Bettina Kraft
Volljuristin, Senior Consultant für Datenschutz

Auch im Rahmen der Datenschutzgrundverordnung (DSGVO) sollte der Arbeitgeber die Nutzung der betrieblichen Arbeitsmittel (Firmentelefon, dienstlicher PC oder mobile Endgeräte) und elektronischen Kommunikationsmedien (betrieblicher E-Mail-Account & Internetzugang, Internet-Telefonie) durch seine Mitarbeiter regeln. Denn die bereichsspezifischen datenschutzrechtlichen Vorschriften des TKG und TMG, welche die E-Privacy-Richtlinie (Richtlinie 2009/136/EG als Neufassung der Richtlinie 2002/58/EG) umsetzen, bleiben auch weiterhin gültig.

Sofern der Arbeitgeber seinen Mitarbeitern verbietet, dass die von ihm zur Verfügung gestellten Arbeitsmittel und Kommunikationsmedien auch privat genutzt werden, finden die Vorschriften des TKG und des TMG wegen § 3 Nr. 10 TKG und § 11 Abs. 1 Nr. 1 TMG keine Anwendung. Maßgeblich für die Verarbeitung von Beschäftigtendaten durch den Arbeitgeber, die anfallen, wenn die Mitarbeiter die betrieblichen Arbeitsmittel und Kommunikationsmedien nutzen, ist dann allein die Datenschutzgrundverordnung (DSGVO).

Der Arbeitgeber sollte jedoch seine Mitarbeiter über das Privatnutzungsverbot einschließlich der Folgen bei Zuwiderhandlung informieren (z.B. als Passus im Arbeitsvertrag) und diese über die Aufrechterhaltung des Privatnutzungsverbots regelmäßig belehren.

Sofern der Arbeitgeber die Privatnutzung gestattet, erbringt er nach Auffassung der Aufsichtsbehörden Telekommunikationsdienste i.S.v. § 3 Nr. 6 TKG bzw. Telemediendienste i.S.v. § 2 Nr. 1 TMG. Die dabei anfallenden Verkehrs- bzw. Nutzungsdaten sowie die Inhalte der Kommunikationsvorgänge unterliegen damit dem Fernmeldegeheimnis des § 88 TKG (§ 7 Abs. 2 S. 3 TMG verpflichtet auch Telemediendienstleister auf das Fernmeldegeheimnis).

Ein Zugriff auf Daten, die dem Fernmeldegeheimnis unterliegen, ist dem Arbeitgeber dann grundsätzlich nur noch mit Einwilligung der betreffenden Mitarbeiter erlaubt. Ausnahmen gelten nur gemäß §§ 88 Abs. 3, 100, 107 TKG.

Daher sollte der Arbeitgeber die Erlaubnis zur Privatnutzung möglichst beschränken (z.B. lediglich auf die private Nutzung des betrieblichen Internetzugangs) und vorab entsprechende Nutzungsregeln (über eine Betriebsvereinbarung oder Richtlinie) erstellen sowie Einwilligungen der Mitarbeiter wirksam einholen. Entsprechende Muster hierzu hat it.sec bereits für ihre Kunden erstellt.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

ADCERT Angemessenheitsbeschluss Anwendbarkeit Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Audit Aufsichtsbehörde Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch BAG BDSG-Neu Begrifflichkeiten Beherbergungsstätten Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betrieblicher E-Mail-Account betrieblicher Internetzugang Betroffenenrechte BfDI BGH biometrische Daten Biometrische und genetische Daten Bitkom Bonitätsprüfung Brexit Bundesarbeitsgericht Bußgeld BVG Cloud CNIL Compliance Cookie Datenlöschung Datenminimierung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutzbeauftragter Datenschutzerklärung Datenschutzgrundsätze Datenschutzgrundverordnung Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau DSAnpUG-EU DSGVO DSK dynamische IP-Adresse eCall-Technologie EES Einwilligung Einwilligungserklärung Entsorgung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative ETIAS EU-Datenschutz-Grundverordnung EuGH Facebook Fahrzeugdaten Fahrzeuge Fernmeldegeheimnis FlugDaG Fluggastdaten Gemeinsam Verantwortliche Home Office Immobilienmakler Informationspflichten Informationssicherheit IP-Adresse Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Sicherheit Joint Control Kanada Konzern konzerninterner Datentransfer Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Marktortprinzip Meldepflicht Meldescheine Microsoft NIST One Stop Shop Passenger Name Records Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Personalausweiskopien personenbezogene Daten PNR-Daten PNR-Instrumente Privacy by Default Privacy by Design Privacy Shield Privatnutzung Privatnutzungsverbot Profiling Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte der betroffenen Person Risk & Compliance Management Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Siegel Skype Sony PSN Standardvertragsklauseln Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telemediendienst Telemediengesetz TKG TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umfrage Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe USA Vereinbarung Vernichtung von Datenträgern Verordnung (EU) 2015/758 Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Vorteile Webseite Webseiten Webtracking Webtrecking Werbung Widerrufsrecht Widerspruchsrecht Zertifikat Zertifizierung Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 38 BDSG-Neu § 42a BDSG § 42b BDSG § 88 TKG

An dieser Stelle wollen wir von Zeit zu Zeit unsere Web-Logs ("blogs") pflegen und unsere Meinung zu bestimmten Themen kundtun.

Die einzelnen Posts stellen jeweils die Meinung des Autors dar und nicht zwangsläufig jene der it.sec. Die Inhalte sind stellen keine Beratung dar und übernehmen für die Inhalte keine Haftung.

Tags

Mo Di Mi Do Fr Sa So
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28 29 30 31