Datenschutzrichtlinien sind rechtlich vorgeschrieben

Datenschutzgesetze auf der ganzen Welt schreiben vor, dass Sie, wenn Sie personenbezogene Daten von Ihren Website-Besuchern sammeln, auf Ihrer Website und ggf. in Ihrer mobilen App eine Datenschutzrichtlinie bereitstellen müssen.

Viele Drittanbieter-Dienste, die zur Verbesserung der Website-Performance eingesetzt werden (z. B. Tools zur Zahlungsabwicklung, Analyse-Suiten und Werbe-Plug-ins), erfordern ebenfalls eine Datenschutzrichtlinie.

In diesem Artikel wollen wir uns mit einigen dieser Gesetze und Anforderungen bezüglich Dritter befassen und gleichzeitig Beispiele für einige der wichtigsten Klauseln aufzeigen, die Ihre Datenschutzrichtlinie enthalten sollte. Am Ende werden Sie genau wissen, warum Sie eine brauchen, und können mit der Erstellung Ihrer eigenen beginnen.

Was ist eine Datenschutzrichtlinie?

Eine Datenschutzrichtlinie ist eine rechtliche Vereinbarung, die darlegt, welche Arten von personenbezogenen Daten Sie von Website-Besuchern erfassen, wie Sie diese Daten verwenden und wie Sie sie sicher aufbewahren.

Beispiele für personenbezogene Daten können sein:

• Name
• Geburtsdatum
• E-Mail-Adresse
• Rechnungs- und Lieferadresse
• Telefonnummer
• Bankdaten
• Sozialversicherungsnummer

Eine Datenschutzrichtlinie umfasst im Allgemeinen:

• Die Arten der von der Website oder App erhobenen Daten
• Zweck für die Erhebung der Daten
• Datenspeicherung, -sicherheit und -zugriff
• Angaben zur Übermittlung von Daten
• Verbundene Websites oder Organisationen
• Verwendung von Cookies

Um eine Vorstellung davon zu bekommen, was eine Datenschutzrichtlinie beinhalten könnte, finden Sie hier ein Beispiel für eine informative Einleitung zu einer solchen von Etsy:

Eine zusammenfassende Einleitung wie diese ist eine gute Möglichkeit, die Leser wissen zu lassen, was genau sie im Rest der Vereinbarung erwarten können.

Sehen wir uns einige konkrete Gesetze und deren Anforderungen einmal genauer an.

Datenschutzgesetze in den USA

CalOPPA Ist eines der strengsten Datenschutzgesetze in den USA. Es betrifft jeden, der personenbezogene Daten von Personen mit Wohnsitz in Kalifornien erhebt, was bedeutet, dass seine Reichweite weit über die Staatsgrenzen hinausgeht.

Der CalOPPA ist zwar streng, aber nicht übermäßig kompliziert zu befolgen. Das Vorhandensein einer Datenschutzrichtlinie ist die wichtigste Voraussetzung.

CalOPPA

Der Zweck des CalOPPA ist der Schutz von personenbezogenen Daten, die von Einwohnern Kaliforniens erhoben werden. Obwohl es sich bei dem CalOPPA um ein bundesstaatliches Gesetz und nicht um ein Bundesgesetz handelt, betrifft es Ihre Website höchstwahrscheinlich unabhängig davon, von wo aus Sie tätig sind, da Ihre Website möglicherweise von Einwohnern Kaliforniens besucht wird.

Der CalOPPA verlangt, dass Websites und Apps eine deutlich sichtbare und zugängliche Datenschutzerklärung enthalten müssen. So beschreibt die Consumer Federation of California Education Foundation den CalOPPA:

Das CalOPPA klassifiziert "personenbezogene Daten" als:

• Vor- und Nachname
• Physische Adresse
• E-Mail-Adresse
• Telefonnummern
• Sozialversicherungsnummern
• Alle anderen Kontaktdaten, die mit einem Unternehmen entweder physisch oder online geteilt werden
• Geburtstage
• Angaben zum Erscheinungsbild (Größe, Gewicht, Haarfarbe)
• Alle anderen online gespeicherten Informationen, anhand derer sich eine Person identifizieren lässt

Wie eine Datenschutzrichtlinie dem CalOPPA entsprechen kann

Um dem CalOPPA zu entsprechen, muss eine Datenschutzrichtlinie die folgenden Angaben enthalten:

• Angaben darüber, welche Arten von personenbezogenen Daten genau über die Website oder App erhoben werden
• Alle verbundenen Organisationen, an die diese Daten weitergegeben werden können
• Eine klare Erklärung, wie Nutzer Änderungen an erfassten personenbezogenen Daten beantragen können
• Das Verfahren zur Inkenntnissetzung der Nutzer über Änderungen der Datenschutzrichtlinie
• Das Datum des Inkrafttretens der Datenschutzrichtlinie
• Was passiert, wenn ein Nutzer eine "Do Not Track"-Anfrage stellt
• Angaben zu Dritten, die personenbezogene Daten über die Website oder App erfassen

Aufnahme einer "Do Not Track"-Klausel

"Do Not Track" - kurz DNT - ist eine Einstellung, die in bestimmten Browsern aktiviert werden kann, um verhaltensbasiertes Tracking durch Drittanbieter-Dienste wie Google Adwords zu blockieren.

Gemäß den Bestimmungen des CalOPPA ist eine Website oder App nicht verpflichtet, einer DNT-Anfrage zu folgen. Allerdings müssen Websites die Nutzer darüber informieren, ob ihre Website oder App auf eine DNT-Anfrage reagiert oder nicht.

So lässt Whole Foods die Nutzer wissen, dass DNT-Anfragen nicht beachtet werden, und bietet einen Link zu weiteren Informationen zum Thema:

Wenn Sie zur Einhaltung des CalOPPA verpflichtet sind, vergessen Sie diese Klausel nicht.

So zeigen Sie eine CalOPPA-konforme Datenschutzrichtlinie an

Um dem CalOPPA zu entsprechen, muss eine Datenschutzrichtlinie:

• für Besucher Ihrer Website oder Nutzer Ihrer App deutlich sichtbar und leicht zugänglich sein
• das Wort "Datenschutz" im Display-Link enthalten

Hier ist ein Beispiel von Amazon, bei dem ein Datenschutzhinweis deutlich in der Fußzeile der Website verlinkt ist:

Diese Vorschrift sorgt dafür, dass Ihre Datenschutzrichtlinie leicht auffindbar ist, was zur Transparenz beiträgt.

Datenschutzgesetze in der EU

Am 25. Mai 2018 löste die Datenschutz-Grundverordnung (DSGVO) die seit 1995 geltende EU-Datenschutzrichtlinie ab.

Die EU-Datenschutzrichtlinie regelte die Erfassung und den Umgang mit personenbezogenen Daten in der EU und schützte sie vor Missbrauch.

Sie forderte, dass alle Unternehmen, die von einem EU-Land aus tätig sind, eine Datenschutzrichtlinie haben müssen.

DSGVO

Die DSGVO verlangt von allen Unternehmen, die in der EU tätig sind, sowie von ausländischen Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten, dass sie eine Datenschutzrichtlinie haben. Dies ist Teil ihrer Zielsetzung, sicherzustellen, dass personenbezogene Daten nach Treu und Glauben erhoben und verarbeitet werden.

Die DSGVO gilt sowohl für EU- als auch für internationale Unternehmen, die personenbezogene Daten von EU-Bürgern erfassen.

Die DSGVO schreibt vor:

• Alle personenbezogenen Daten müssen auf ethisch einwandfreie Weise verarbeitet werden.
• Daten sollten nur aus vorher festgelegten Gründen erhoben werden, und die Daten dürfen nur für diese Zwecke verwendet werden.
• Die Daten müssen korrekt sein und auf Anfrage aktualisiert werden.
• Mit Ausnahme von besonderen Umständen, wie z. B. wissenschaftlichen Forschungsdaten, darf der Nutzer nur so lange wie nötig identifiziert werden.
• Das Unternehmen, das die Daten erhebt, ist für die Überwachung seiner eigenen Einhaltung der DSGVO ggf. durch die Ernennung eines Datenschutzbeauftragtenverantwortlich.
• Es muss dem Nutzer möglich sein, das Unternehmen, das die Daten erhebt, und dessen Datenschutzbeauftragten (falls es einen gibt) zu kontaktieren.
• Die Nutzer müssen darüber informiert werden, aus welchen Gründen ihre Daten erhoben und wie lange sie gespeichert werden.
• Die Nutzer müssen über ihre 8 Rechte gemäß der DSGVO aufgeklärt werden, einschließlich des Rechts, auf ihre personenbezogenen Daten zuzugreifen, sie zu aktualisieren oder ihre Löschung zu verlangen.
• Es muss eine Aufsichtsstelle geben, die sich mit den Beschwerden der Nutzer befasst, und die Kontaktangaben für diese Stelle müssen angegeben werden.
• Die Nutzer müssen darüber informiert werden, wenn ihre Daten an Dritte oder verbundene Organisationen weitergegeben oder außerhalb der EU übertragen werden sollen.
• Alle anderen Informationen, die der Nutzer wissen muss, um eine Verarbeitung seiner personenbezogenen Daten nach Treu und Glauben sicherzustellen.

Während es eine Reihe von Faktoren gibt, die Sie für Ihren DSGVO-Compliance-Plan berücksichtigen müssen, ist eines der Elemente, die Sie unbedingt benötigen, eine konforme Datenschutzrichtlinie.

Ihre Datenschutzrichtlinie muss leicht zugänglich sein und Sie müssen die aktive Zustimmung der Nutzer einholen, bevor Sie deren personenbezogene Daten erfassen.

Hier ist ein gutes Beispiel dafür, wie IKEA die Zustimmung zur Erfassung personenbezogener Daten einholt. Nutzer müssen nämlich beim Erstellen eines Profils ein Kästchen ankreuzen, das besagt, dass sie mit der Speicherung ihrer personenbezogenen Daten einverstanden sind:

Die DSGVO stellt eine einschneidende Veränderung für den Datenschutz dar. Dies gilt sowohl für in der EU ansässige als auch für Nicht-EU-Unternehmen, die personenbezogene Daten von EU-Bürgern erheben.

Die Durchsetzung der DSGVO ist viel strenger als bei früheren Vorschriften und zieht höhere Strafen bei Nichteinhaltung nach sich.

Datenschutzrechte in Kanada

Der kanadische Personal Information Protection and Electronic Documents Act (PIPEDA) schützt personenbezogene Daten kanadischer Bürger und verlangt von Unternehmen, die in Kanada online tätig sind, dass sie eine Datenschutzrichtlinie haben:

Wenn Sie in den Geltungsbereich des PIPEDA fallen, müssen Sie sich mit den Vorschriften vertraut machen und sicherstellen, dass Ihre Datenschutzrichtlinie den Standards entspricht.

Datenschutzrechte in Australien

Der australische Privacy Act von 1988 verlangt von allen Unternehmen, die in Australien personenbezogene Daten online erfassen, dass sie eine Datenschutzrichtlinie haben.

Eines seiner Hauptmerkmale ist eine Liste von 13 Datenschutzgrundsätzen, die die Erhebung und Verarbeitung von personenbezogenen Daten regeln.

Alle Unternehmen sind verpflichtet, ihre Datenerfassungsaktivitäten offen und transparent zu gestalten und diese in einer aktuellen Datenschutzrichtlinie offenzulegen.

Datenschutzgesetze im Vereinigten Königreich

Personenbezogene Daten werden in Vereinigten Königreich durch den Data Protection Act (DPA) geschützt. Ähnlich wie der australische Privacy Act besteht das Kernstück aus 8 Grundprinzipien des Datenschutzes, an die sich alle Unternehmen, die in Großbritannien personenbezogene Daten online erheben, halten müssen:

Von Drittanbeiter-Diensten verlangte Datenschutzrichtlinien

Viele Drittanbieter-Dienste, die häufig von Websites und Apps genutzt werden, erfordern ebenfalls die Bereitstellung einer Datenschutzerklärung.

So verlangen beispielsweise Anbieter von E-Mail-Newslettern in der Regel eine Datenschutzerklärung, um ihren Dienst nutzen zu können.

Die Nutzungsbedingungen von Campaign Monitor enthalten diese Klausel, die sich auf personenbezogene Daten bezieht:

Am besten lässt sich diese Anforderung, Kunden zu informieren, mit einer Datenschutzrichtlinie erfüllen.

Sie müssen auch eine Datenschutzrichtlinie auf Ihrer Website oder App anzeigen, wenn Sie Dienste von Drittanbietern nutzen, die das Surfverhalten von Nutzern verfolgen oder Standortdaten verwenden, wie Google Analytics oder Google Adsense.

SendPilot legt alle Kategorien von Drittanbietern, die es gegebenenfalls nutzt, um Nutzerdaten zu erheben oder zu verarbeiten, wie folgt offen:

Google Analytics

Wenn Ihre Website oder App Google Analytics verwendet, müssen Sie Ihre Datenschutzrichtlinie aktualisieren, um die Nutzungsbedingungen von Google Analytics zu erfüllen. Da Google Analytics Cookies verwendet, um das Nutzerverhalten zu verfolgen, und Cookies personenbezogene Daten sammeln, ist eine Datenschutzrichtlinie erforderlich.

Anforderungen an die Datenschutzrichtlinie für die Standardfunktionen von Google Analytics

Wenn Sie die Standardfunktionen von Google Analytics verwenden, um das Nutzerverhalten auf Ihrer Website oder App zu verfolgen, muss Ihre Datenschutzrichtlinie laut Google Analytics:

• Auskunft darüber geben, dass Sie Google Analytics verwenden, um das Nutzerverhalten zu verfolgen
• eine Erläuterung enthalten, wie Daten erhoben und verarbeitet werden
• den Nutzer über die Verwendung von Cookies informieren

Die Datenschutzrichtlinie ist an prominenter Stelle anzuzeigen, etwa in der Fußzeile einer Website oder im Hauptmenü einer App.

Hier ist ein Beispiel aus der Fußzeile der Website der BBC:

Zusätzlich sollten Sie einen Pop-up- oder Banner-Hinweis zur Cookie-Einwilligung haben, der die Nutzer auf die Verwendung von Cookies auf Ihrer Website hinweist und es ihnen ermöglicht, diese zu blockieren, wenn sie dies wünschen.

Hier ist ein Beispiel für einen Cookie-Banner von der University of Brighton:

Datenschutzrichtlinie-Anforderungen für Google Analytics-Werbetools

Wenn Sie zusätzlich zu den Standardfunktionen die Google Analytics-Werbetools verwenden, gelten weitere Anforderungen an die Datenschutzbestimmungen.

Zu den Werbefunktionen, die von diesen zusätzlichen Anforderungen erfasst werden, gehören:

• Remarketing bzw. Retargeting
• Google Display Network Impression Reporting
• Google Analytics Demographics and Interest Reporting

Wenn Sie diese Tools verwenden, schreibt Google Analytics vor, dass Sie die Nutzer über diese Tatsache informieren, indem Sie die folgenden Angaben in Ihre Datenschutzrichtlinie aufnehmen:

• Die Google Analytics-Werbetools, die Sie verwenden, und wie und warum Sie diese Funktionen nutzen.
• Ein Hinweis, dass Cookies von Drittanbietern verwendet werden, um dem Nutzer relevante Werbung anzuzeigen.
• Anweisungen, wie Nutzer die Google Analytics-Werbefunktionen über die Anzeigeneinstellungen von Google deaktivieren können.

Google gibt keine Anleitung zur genauen Formulierung in Ihrer Datenschutzrichtlinie. Sie sollte jedoch immer in einfachem Englisch und in einer leicht verständlichen Weise geschrieben sein.

Google Adsense

Wenn Ihre Website oder App Google AdSense verwendet, müssen Sie Ihre Datenschutzrichtlinie aktualisieren, um die Nutzungsbedingungen von Google AdSende zu erfüllen.

Sie müssen eine Datenschutzrichtlinie bereitstellen, die Ihre Nutzung von Google AdSense offenlegt, einschließlich:

• Einer Erklärung, dass Drittanbieter, einschließlich Google, Cookies verwenden, um einem Nutzer relevante Werbung auf der Grundlage seines vorherigen Surfverhaltens anzuzeigen.
• Informationen zu den DoubleClick-Cookies von Google.
• Anweisungen, wie Nutzer die DoubleClick-Cookies über die Anzeigeneinstellungen von Google deaktivieren können.

Google verlangt auch, dass Sie "wirtschaftlich vertretbare Anstrengungen" unternehmen, um sicherzustellen, dass Sie die Einwilligung zur Verwendung von Cookies auf dem Gerät eines Nutzers einholen.

Dies geschieht in der Regel durch die Verwendung eines Pop-up-Fensters oder eines Banners, das bzw. der die Nutzer auf die Verwendung von Cookies auf Ihrer Website hinweist und ihnen die Möglichkeit gibt, diese zu blockieren, wenn sie dies wünschen, wie weiter oben im Artikel erwähnt.

Zusätzliche Anforderungen für EU-Firmen

Die oben genannten Punkte gelten für alle Websites und Apps, die Google AdSense verwenden. Darüber hinaus gelten jedoch zusätzliche Anforderungen für in der EU ansässige Unternehmen, die diesen Dienst nutzen.

Die Nutzer müssen auf die Verwendung von Cookies durch Ihre Website oder App hingewiesen werden und ihre Einwilligung geben, bevor Cookies auf dem Gerät des Nutzers platziert werden können.

Dazu gehören:

• Die unterschiedlichen Arten von Cookies, die verwendet werden
• Angaben zu eventuell verwendeten Cookies von Drittanbietern
• Warum Cookies verwendet werden und wie sie auf Geräten platziert werden

Wie bei anderen Cookie-Warnungen geschieht dies in der Regel durch ein Pop-up oder einen Banner, der deutlich erklärt, dass Cookies verwendet werden, und den Nutzer auf weitere Informationen zu diesem Thema verweist.

Cookies-Einwilligung

Die Einwilligung zur Platzierung von Cookies muss aktiv vom Nutzer eingeholt werden, d. h. der Nutzer muss eine Schaltfläche anklicken oder ein Häkchen setzen oder eine andere Handlung durchführen, um sein Einverständnis zu bestätigen.

Bei der aktiven Einwilligung, auch Einwilligung nach Aufklärung genannt, wird der Nutzer aufgefordert, die Einwilligung mit einem Kontrollkästchen oder einer Schaltfläche "einverstanden" zu bestätigen.

Hier ist ein Beispiel für eine aktive Einwilligung für Cookies von Wembley mit einer benutzerfreundlichen Erklärung, welche Art von Cookie verwendet wird und warum. Der blaue "I'm Happy With This"-Button unterscheidet diese Art der Einwilligung von der passiven Einwilligung.

Die passive Einwilligung zur Platzierung von Cookies auf dem Gerät eines Nutzers ist nicht mehr erlaubt. Hier ist ein Beispiel für eine passive Einwilligung für Cookies von der Calvin Klein Website:

Was eine Datenschutzrichtlinie enthalten sollte

Der Inhalt einer Datenschutzrichtlinie ist von Unternehmen zu Unternehmen unterschiedlich. Wie eine Website Daten erhebt und verwaltet, und wie sie mit Dritten interagiert, ist für jedes Unternehmen individuell verschieden. Darüber hinaus kann der Wohnort der Nutzer einer Website Auswirkungen auf die Datenschutzrichtlinie des Unternehmens haben.

Ihre Datenschutzrichtlinie sollte mindestens die folgenden Punkte abdecken:

Geschäftsname und Kontaktdaten

Ihre Datenschutzrichtlinie muss Ihren offiziellen Unternehmensnamen und Ihre Kontaktdaten enthalten.

Hier ist ein Beispiel von Whole Foods:

Diese Informationen sind in der Regel ganz am Anfang oder ganz am Ende einer Datenschutzrichtlinie zu finden; da die Nutzer wissen, dass sie dort nachschauen müssen, ist dies die empfohlene Platzierung.

Arten von personenbezogenen Daten, die Sie erfassen

Sie sind verpflichtet, die verschiedenen Arten von personenbezogenen Daten, die Sie direkt und indirekt von Nutzern erheben, aufzuschlüsseln.

Budweiser liefert ein schönes Beispiel dafür:

Beachten Sie, dass die Klausel auflistet, wie die Daten erfasst werden können, sowie Beispiele für konkrete Angaben wie E-Mail-Adressen, Postleitzahlen und "genaue Standorte". Denken Sie daran: Je gründlicher Sie sind, desto besser.

Warum Sie personenbezogene Daten erfassen

Die Datenschutzgesetze verlangen, dass Sie nur die personenbezogenen Daten erfassen, die Sie benötigen, und dass Sie erklären, warum Sie diese Daten benötigen.

Hier ist ein Beispiel von Nestlé:

Dieses Diagrammformat ist nicht notwendig, aber es hilft definitiv bei der Lesbarkeit und Übersichtlichkeit. Beachten Sie, dass der Nutzer nicht nur erfährt, warum die Daten verwendet werden, sondern auch aus welchem konkreten Grund. Außerdem werden die berechtigten Interessen für die Verwendung personenbezogener Daten angesprochen, was bei der Einhaltung der DSGVO hilft.

Wie die Daten verwendet werden

Wie Sie die Daten verwenden, ist ein weiterer wichtiger Bestandteil einer Datenschutzrichtlinie. Sie müssen dies in Ihrer Datenschutzrichtlinie klarstellen.

So macht Airbnb dies:

Die Verwendung eines Listenformats hilft Ihnen, viele Informationen übersichtlicher zu vermitteln, was wichtig ist, damit Ihre Datenschutzrichtlinie für ein allgemeines Publikum leicht lesbar ist. Achten Sie darauf, dass Sie möglichst viele konkrete Verwendungsmöglichkeiten der Daten angeben.

Wie Sie Daten mit Dritten teilen

Die meisten Websites verwenden ein oder mehrere Tools von Drittanbietern, um die Leistung der Website und die Benutzerfreundlichkeit zu verbessern. Beispiele hierfür sind Google Analytics, um Website-Besucher zu verstehen, oder AdSense für personalisierte Werbung.

Die meisten Websites verwenden auch Cookies, d. h. technische Hilfsmittel, die das Benutzerverhalten aufzeichnen, um das Web-Erlebnis zu personalisieren.

Alle Fälle der Weitergabe von Daten an Dritte müssen in Ihrer Datenschutzrichtlinie erläutert werden; außerdem sollten Sie Links zu den Richtlinien dieser Drittunternehmen angeben.

So macht Instagram das:

Die Aufteilung der Informationen in Absätze, die sich mit verschiedenen Arten der Weitergabe an bzw. durch Dritte befassen, wie z. B. Werbung und Analysen, ist sehr hilfreich und macht die Informationen leichter zugänglich.

Wie Sie der Datenerfassung widersprechen können

Ihre Datenschutzrichtlinie muss Anweisungen enthalten, wie Sie der fortlaufenden Datenerfassung widersprechen können und wie Sie eine Kopie der bereits erfassten Daten erhalten.

Nike stellt diese Informationen in seiner Datenschutzerklärung anschaulich dar:

Wenn Sie mehrere verschiedene Möglichkeiten anbieten, mit denen sich Nutzer von verschiedenen Dingen abmelden können (z. B. E-Mail-Newsletter, Textnachrichten, herkömmliche Post usw.), stellen Sie sicher, dass Sie alle verfügbaren Möglichkeiten angeben.

Nicht vergessen

Gesetze auf der ganzen Welt schreiben vor, dass Websites eine Datenschutzrichtlinie haben müssen. Von dem weit gefassten kalifornischen CalOPPA über die neue EU-Datenschutz-Grundverordnung bis hin zu anderen Gesetzen in Kanada, Großbritannien und Australien gibt es vieles über Datenschutzgesetze und deren Einhaltung zu verstehen.

Die verschiedenen Gesetze haben wesentliche gemeinsame Ziele, die den Schutz und den richtigen Umgang mit den Daten privater Verbraucher zum Inhalt haben. Sie unterscheiden sich in mancher Hinsicht, aber eines ist sicher: Wenn Sie irgendwo auf der Welt eine Website besitzen oder betreiben, brauchen Sie wahrscheinlich eine Datenschutzrichtlinie, die mit den Gesetzen der Länder übereinstimmt, in denen Ihre Website-Nutzer leben.

Sie müssen sich auch über die Anforderungen der von Ihnen genutzten Dienste von Drittanbietern, wie z. B. Analyse- oder Werbedienste, im Klaren sein. Überprüfen Sie immer die Nutzungsbedingungen für diese Dienste, um herauszufinden, was Sie tun müssen.

Mit einer ausführlichen, leicht zu lesenden und übersichtlich dargestellten Datenschutzrichtlinie sind Sie auf dem besten Weg, alle Datenschutzgesetze und -bestimmungen einzuhalten, die Sie betreffen.