[B]Dies stellt ausdrücklich keine Rechtsberatung dar, sondern fasst nur allgemein erhältliche Informationen zusammen![/B]
Was gibt es nun also zu beachten?
Ganz prinzipiell sind für den Bereich "Webseite" drei Gesetze wichtig. Zum Einen das [URL=http://www.bfd.bund.de/information/BDSG.pdf]Bundesdatenschutzgesetz[/URL] (BDSG) und zusätzlich - abhängig von der jeweiligen Webseite - der [URL=http://www.ulr.de/ULR_Rechtsgrundlagen/Filebase/medstv.pdf]Mediendienste Staatsvertrag[/URL] (MeDStV) bzw. das [URL=http://bundesrecht.juris.de/bundesrecht/tddsg/gesamt.pdf]Teledienstedatenschutzgesetz[/URL] (TDDSG), allerdings unterschieden sich MeDStV und TDDSG im Bezug auf den Datenschutz nicht gravierend (soweit es hier von belang ist - daher werde ich im folgenden keine Unterscheidung machen, im konkreten Einzelfall sollte man natürlich die entsprechenden Gesetzestexte zu rate ziehen).
Da sich der Text doch länger wurde, als ursprünglich gedacht, habe ich unten nochmals eine Art Zusammenfassung angehängt, wo das Wichtigste nochmals kompakt dargestellt wird.
Ganz generell möchte ich zwei Arten von Webseiten unterscheiden.[COLOR=blue][/COLOR]
- Seiten ohne Login bzw. individuelle Besucher-Sessions
- Seiten mit Login, bzw. mit der Erhebung von Kunden- oder Besucherdaten
Zu 1. zähle ich alle Seiten, die ohne userspezifische Cookies arbeiten und sonst keinerlei Daten durch aktives Zutun des Benutzer erheben. Hier sind die meisten Vorgaben des Datenschutzes automatisch erfüllt - einfach weil keine Daten anfallen bzw. gespeichert werden.
Als Betreiber der Webseite muß bedacht werden, dass TDDSG und MedStV eine Speicherung von personenbezogenen Daten nur insofern zulässig sofern sie zu Abrechnungszwecken erforderlich ist TDDSG §6 (1) bzw. MedStV §19 (2). Das Problem hierbei ist, dass eine IP-Adresse durchaus ein personenbezogenes Datum sein [I]kann[/I]. Solange keine weiteren Daten des Besuchers erhoben werden sind dynamisch vergebene IP-Adresse zwar als ausreichend pseudonymisiert anzusehen, nicht aber statische IP-Adressen. Aus diesem Grund ist eine Mitloggen der Besucher (wie's ja auf fast jeder Seite stattfindet) und anschließende Auswertung der Logs per Webalizer und Co nicht ganz unproblematisch.
Anders sieht es bei der 2. Kategorie aus. Hier ist man als Betreiber auf jeden Fall gezwungen gewisse Anforderungen des Datenschutzes zu berücksichtigen, desweiteren haben die Nutzer der Webseite als Betroffene (im Sinne des Datenschutzes) gewisse Rechte, die es zu beachten gilt. Dies sollte man auch schon bei der Gestaltung einer solchen Webseite bedenken, um dem Auftraggeber später die Arbeit zu erleichtern.
Der Einsatz von Cookies mit eindeutig identifizierenden IDs sollte genau überlegt werden, Session IDs sind dagegen unproblematisch, da diese ja am Ende einer Surfsitzung wieder gelöscht werden. Folgt man hier allerdings wieder ganz streng dem Wortlaut des TDDSG bzw. MedStV müßte man eigentlich eine Seite mit einer Datenschutzerklärung vorschalten, um den Besucher VOR dem Betreten der Seite (und setzen von Cookies) darüber zu informieren, dass sein Surfverhalten auf der Seite verfolgt wird. Eine solche Protokollierung ist nur dann erlaubt, wenn es zu Abrechnungszwecken dient, was wohl bei den meisten Seiten keine Rolle spielt. Auch ist es nicht erlaubt präventiv Daten zu speichern, um einen etwaigen Mißbrauch zu verhindern. Dies ist erst bei "zu dokumentierenden tatsächlich [vorliegenden]Anhaltspunkten" erlaubt.
[b]Pseudonymisierung[/b]
Aber jetzt mal zu den wirklich wichtigen Punkten. Bietet man Angebote auf der Seite an, die einen Login erfordern, so ist die Nutzung selbiger Angebote auch in pseudonymer Form ermöglichen - so weit zumutbar. Nun ist es zwar möglich, z.B. Foren in anonymer Form zu nutzen, jedoch (und dies ist ja eigentlich entscheidend) ist dem Forenbetreiber immer noch ein personenbezogenes Datum bekannt: die E-Mail-Adresse. Zwar ist eine E-Mail-Adresse zur Anmeldung nötig, jedoch ist es nicht nötig, diese auf Seiten des Betreibers zu speichern, so könnte beispielsweise - ähnlich wie bei Passwörtern üblich, einfach eine Hash der E-Mail-Adresse zu hinterlegen. So sind Doppelanmeldungen unter einer E-Mail-Adresse ausgeschlossen, und gleichzeitig gewährleistet, dass der Zugriff in pseudonymisierter Form erfolgen kann (mal abgesehen vom Problem der IP-Adressen). Großer Nachteil ist natürlich der "Komfort-Verlust" für den Anwender, da eine einfache Passwort-Wiederherstellung durch Zusenden des Passwort per E-Mail nicht mehr möglich ist. Allerdings widerspricht so eine Methodik ohnehin jedem Sicherheitsgedanken.
[B]Erhebung von personenbezogenen Daten[/B]
Webseiten, die weitere personenbezogene Daten erheben, wie z.B. Shop-Systeme, unterliegen hierbei einer strikten Zweckbindung. Sprich: die Daten dürfen nur solange gespeichert werden, solange sie für den erhobenen Zweck benötigt werden (also z.B. bis der Kunde die Lieferung vollständig bezahlt und erhalten hat), danach müssen diese gelöscht werden, es sei denn der Kunde hat einer weiteren Speicherung explizit zugestimmt (dies implizit vom Kunden zu verlangen ist [I]nicht[/I] zulässig). Gleiches gilt für die Zweckbindung. Die erhobenen Daten dürfen nur für den eigentlichen Zweck, für den sie erhoben wurde (bei einem Shop also typischerweise zur Abrechnung und Zulieferung) genutzt werden. Andere Zwecke, wie Zusenden eines Newsletters erfordern wiederum die explizite Zustimmung des Kunden. Eine Übermittlung an Dritte (z.B. Werbepartner) ist ebenfalls nur nach Einwilligung des Kunden möglich.
Eine explizite Zustimmung zum Empfang eines Newsletter könnte beispielsweise eingeholt werden, indem man bei der Anmeldung eine entsprechende, [I]zusätzliche[/I], Option zum anklicken gibt. Wichtig hierbei ist, dass diese Option [i]nicht[/i] vergewählt sein darf!
[B]Rechte des Betroffenen[/B]
Gleichzeitig steht dem Betroffenen (der Person, der die Daten gehören) ein [B]Auskunftsrecht[/B] zu, dies ist ein [I]unabdingbares[/I] Recht, dass der Betroffene auch nicht durch Einwilligung abtreten kann. Macht ein Betroffener Gebrauch von seinem Auskunftsrecht, so muß der Betreiber (gemäß §34 (1) BDSG) Auskunft über alle zur Person gespeicherten Daten erteilen, Empfänger der Daten (wichtig bei Übermittlung an Dritte!), sowie dem Zweck der Speicherung (kritisch, da wie oben beschrieben eine Speicherung nur zweckgebunden und zeitnah erlaubt ist). Dies Auskunft hat unentgeltlich zu erfolgen, und ist an keine besondere Form gebunden (d.h. will jemand stressen fordert er eine schriftliche Auskunft per Brief an, und muß diese dann auch erhalten).
Darüberhinaus hat der Betroffene das [b]Recht auf Berichtigung, Löschung und Sperrung[/b] seiner personenbezogenen Daten. Berichtigung dürft allgemein klar sein. Sind falsche Daten gespeichert, müssen diese natürlich korrigiert werden. Desweiteren hat der Kunde das Recht auf Löschung. Werden Daten noch gespeichert, obwohl sie nicht mehr für den Zweck zu dem sie gespeichert wurden erforderlich sind, so müssen diese gelöscht werden. Das Gleiche gilt wenn der Betroffene seine Einwilligung zurückzieht (dies kann ein Betroffener jederzeit machen!). Ist eine Löschung keine Garantie, dass die schutzwürdigen Interessen des Betroffenen geschützt werden können, kann anstelle einer Löschung eine Sperrung treten. Dies ist z.B. der Fall wenn jemand der Zusendung eines Newsletters an seine E-Mail-Adresse widerspricht. Will man als Betreiber auf Nummer sicher gehen, ist die Adresse in der eigenen Datenbank als gesperrt zu hinterlegen. Würde sie gelöscht, könnte es wiederum zu einer Zusendung kommen (wenn z.B. ein Dritter die Adresse einträgt). Also sollte ein vernünftiges System eine entsprechende Option zur Sperrung von Kundendaten beinhalten.
[B]Motivation / Konsequenzen[/B]
Dies wären in etwa die wichtigsten Belange, die man bedenken sollte. Nun wird sich sicher der Eine oder Andere fragen, was man davon hat, sich entsprechend der Datenschutzgesetzgebung zu verhalten. Nun, es steht dem Betroffenen zu, die Aufsichtsbehörden einzuschalten, wenn er den Eindruck hat, dass mit seinen personenbezogenen Daten nicht richtig umgegangen wurde. Daraufhin kann die Aufsichtsbehörde eine Kontrolle der eingesetzten Verfahren anordnen, und eine entsprechende Änderung der Vorgehensweise anordnen. In schwerwiegenden Fällen kann auch ein Bußgeld verhängt werden (§43, §44 BDSG). Dies kommt aber in der Praxis nur in Ausnahmefällen vor. Im Hinblick auf Kontrollen sind die nördlichen Bundesländer (ganz besonders Schleswig-Holstein) auch um einiges aktiver als z.B. Bayern oder Baden Württemberg, einfach weil hier die personelle Ausstattung deutlich schlechter ist.
Hinzukommt noch, dass das Bewußtsein für Datenschutz in Deutschland (wo 90% der Leute eine Kundenkarte haben...) absolut unterentwickelt ist. Wirklich befürchten muß man also eigentlich nichts.
Allerdings hat der Datenschutz (im Gegensatz zur CSS-Konformität...) Grundrechtscharakter. In der zukünftigen EU-Verfassung ist Datenschutz ein fest verankerter Bestandteil der Verfassung. Daher sollte man - meiner Meinung nach - zumindest ein paar Grundüberlegungen beim Erstellen einer Webseite berücksichtigen.
[B]Zusammenfassung:[/B]
- es gilt das Gebot der Datensparsamkeit und Datenvermeidung
- der Nutzer muß über die Speicherung von personenbezogenen Daten und die Art der Daten [i]vorab[/i] informiert werden
- Anmeldepflichtige Dienste müssen - wenn technisch machbar - auch pseudonymisiert nutzbar sein
- die Einwilligung des Nutzers muß explizit eingeholt werden, und der Nutzer ist zu informieren, welche Konsequenzen eine Verweigerung hat
- bei der Planung einer Webseite mit Anmeldediensten sollten die Rechte des Betroffenen (auf Auskunft, Berichtigung, Löschung und Sperrung) berücksichtigt werden
Handelt es sich um ein größeres Projekt kann ich nur empfehlen einen Rechtsanwalt oder qualifizierten Datenschutzbeauftragen hinzu zu ziehen. Der DSB, sofern er über eine vernünftige Ausbildung verfügt, hat normalerweise den Vorteil, dass er sich auch mit den Tücken der Technik auskennt (und tendenziell günstiger als ein Rechtsanwalt ist). Dennoch lohnt sich so etwas natürlich nur bei wirklich großen Projekten mit entsprechendem Budget (und zu erwartender großer Nutzerschicht).
Der momentanen Datenschutzgesetzgebung als Webseite-Betreiber vollständig gerecht zu werden, ist sicherlich nicht einfach, dennoch sollte man sich wenigstens bemühen und nicht Seiten wie [URL=http://www.heise.de/newsticker/meldung/34735]eBay[/URL] ([URL=http://www.kefk.net/Shopping/Auktionen/Ebay/Datenschutz/index.asp?ofact=0&ofmsgid=&ofdisp=0&ofpage=&ofrand=1086872]Details[/URL]) oder [URL=http://www.heise.de/tp/r4/artikel/17/17210/1.html]Amazon[/URL] zum Vorbild nehmen.
(ursprünglicher Autor: Jokai olvaso aus [URL=http://www.traum-projekt.com/forum/91-business-allgemein/59280-webseiten-datenschutz-paar-grundsaetzliche-infos.html]Traum-Projekt[/URL]
[url=http://www.luebeckonline.com/nc/news/news/id/208.html?cHash=c2883936b3&sword_list=datenschutz]zusätzliche Infos[/url]
