Tipps zum korrekten Umgang mit Online-Kundendaten und Datenschutz-Anfragen

Hintergrundinformation: Datenschutz – im Web viel mehr als nur lästige Pflicht. 6 Tipps zum korrekten Umgang mit Online-Kundendaten und Datenschutz-Anfragen. Inhalt. Einleitung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 Tipp 1: Gesetzlicher Hinweispflicht nachkommen. . . 4 Tipp 2: Widerrufs- u. Widerspruchsrecht einräumen. 5 Tipp 3: Datenschutzerklärungen von Dienstleistern prüfen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Tipp 4: Sparsam mit Daten umgehen. . . . . . . . . . . . . . . 8 Tipp 5: Datenschutz-Anfragen richtig beantworten. . 9 Tipp 6: Sicherheitsbewusstsein schärfen. . . . . . . . . . . . 10 Fazit. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 Die etracker GmbH aus Hamburg ist einer der führender Anbieter von Produkten und Dienstleistungen zur Optimierung von Websites und Online-Marketing-Maßnahmen. Die etracker GmbH wurde im Jahre 2000 gegründet und ist als erstes Web-Controlling Unternehmen durch den Hamburger Datenschutzbeauftragten geprüft worden. Alle Daten werden 100% konform zu europäischen und deutschen Datenschutzgesetzen verarbeitet. Testen Sie alle etracker Produkte kostenlos unter www.etracker.com Zu unseren mehr als 65.000 zufriedenen Kunden zählen 2 © etracker GmbH, Mai 2009. Alle Rechte vorbehalten. Einleitung. Vielen Unternehmen, die Online-Kundendaten zu Marketing- und CRM-Zwecken erfassen und verarbeiten, fällt es schwer, sich im Dschungel der gesetzlichen Bestimmungen zu orientieren und sich im Dickicht der Vorschriften datenschutzkonform zu bewegen. Der Hamburger Web-Controlling und Online-Markt- forschungs-Spezialist etracker hat deswegen einen praxis- orientierten Leitfaden entwickelt, der E-Commerce- Anbietern und Web-Marketing-Mitarbeitern konkrete Handlungsempfehlungen für effektives und rechtlich einwandfreies Datenschutzmanagement auf den Weg gibt. Die folgenden 6 Tipps unterstützen Unternehmen nicht nur beim datenschutzkonformen Umgang mit Online- Kundendaten, sondern sorgen auch für ein adäquates Handling von Datenschutz-Anfragen von Nutzern. www.etracker.com 3 Tipp 1: Gesetzlicher Hinweispflicht nachkommen. Unternehmen müssen ihre Kunden sowohl auf die Erhebung von personenbezogenen Daten hinweisen – dies sind Daten, die Informationen über bestimmte oder bestimmbare Personen bereitstellen – als auch über die Art der erhobenen Daten sowie Art und Umfang ihrer Verwendung. Auch über die Übermittlung an Dritte und die Datenverar- beitung außerhalb Deutschlands müssen Kunden aufgeklärt werden. Diese gesetzliche Verpflichtung zur Unterrichtung ergibt sich aus §13 Abs.1 Telemediengesetz. IP-Adressen zählen zu Zu den Pflichten zählt zudem der Hinweis auf die Speiche- den personenbezogenen rung und Weiterverarbeitung von IP-Adressen, denn nach Daten Teilen der deutschen Rechtsprechung zählen auch diese zu den personenbezogenen Daten. Anbieter sollten auch dann auf die Speicherung von IP-Adressen hinweisen, wenn Namen oder andere persönliche Identifikationsmerkmale nicht mit erhoben werden. Konkrete Handlungsempfehlung: Transparente und sicht- Stellen Sie Hinweise zur Datenerhebung und -verarbeitung bare Hinweise geben unter dem Stichwort „Datenschutz“ für den Nutzer sofort erkennbar und transparent auf Ihre Website. Achten Sie darauf, dass diese Hinweise verständlich formuliert und für die Kunden jederzeit abrufbar sind. Verstecken Sie die Hinweise auf keinen Fall in den AGBs oder unter falschen Überschriften. Machen Sie Ihre Kunden auch darauf aufmerksam, wenn Sie ein Web-Analyse System einsetzen, und klären Sie sie transparent über den Zweck der Erhebung und die Verwen- dung der Daten auf. Ein Hinweis auf die Verwendung einer Analyse-Software ist zwingend erforderlich, wenn die Web- Analyse Daten außerhalb der Europäischen Union gespei- chert oder verarbeitet werden. 4 Tipp 2: Widerrufs- und Widerspruchs- recht einräumen. Kunden besitzen grundsätzlich bei allen erfassten personen- bezogenen Daten das Recht, eine erteilte Einwilligung zur Nutzung dieser Daten für Zwecke der Werbung und Markt- forschung zu widerrufen. Außerdem besteht ein Wider- spruchsrecht zur Bildung von Nutzungsprofilen, die unter einem Pseudonym für Marktforschungs- und Analysezwecke erstellt wurden. Möchte der Kunde von diesen Rechten Gebrauch machen und nicht länger zu den personenbezogenen bzw. pseu- donymisierten Nutzungsprofildaten beitragen, muss der Website-Betreiber dies veranlassen und technisch umsetzen. Dies betrifft insbesondere auch die Löschung vorhandener personenbezogener Daten, soweit sie nicht für die Vertrags- beziehung mit dem Nutzer benötigt werden. Aus datenschutzrechtlicher Sicht ist es daher nicht aus- reichend, dem Kunden bestimmte Modifizierungen seines Browsers, etwa das Blockieren von Cookies, vorzuschlagen. Konkrete Handlungsempfehlung: Seperate Datenbanken Speichern Sie personenbezogene und nicht personenbezo- verwenden gene Daten in separaten Datenbanken. Eine Löschung bzw. Anonymisierung von personenbezogenen Informationen ist dann unproblematisch und schnell umgesetzt. Generell gilt: Je stringenter Sie Ihre Daten organisieren, umso schneller und einfacher können Sie dem Wider- spruchsrecht Ihrer Kunden entsprechen. Logfile deaktivieren Damit Nutzungsdaten nicht gespeichert werden, sollten Sie zunächst das Logfile Ihres Webservers abschalten. Dort werden nämlich in der Regel IP-Adressen gespeichert, über die wiederum personenbezogene Nutzungsprofile generiert werden können. Oder Sie sollten das Logfile so umkonfigu- rieren, dass die IP-Adresse des Nutzers gar nicht aufgeführt www.etracker.com 5 wird. Viele Web-Analyse-Anbieter haben weitreichende Methoden, um einen aktiven Ausschluss eines einzelnen Besuchers aus der Datenerfassung sicherzustellen. Bei der Wahl eines Web-Controlling Anbieters sollten Sie auf eine solche Funktion unbedingt Wert legen. Tipp 3: Datenschutzerklärungen von Dienstleistern prüfen. Viele Unternehmen übermitteln Daten an Dritte, die für sie tätig sind oder Dienste erbringen – beispielsweise an Betreiber von Web-Analyse Systemen. Werden personenbe- zogene Daten von Dritten verarbeitet, bedeutet dies nach deutschem Recht eine „Datenverarbeitung im Auftrag“. Nach §11 Bundesdatenschutzgesetz bleibt der Auftrag- geber in diesem Fall für die ordnungsgemäße Datenverar- beitung verantwortlich. Übermittelt ein Unternehmen also Daten etwa an einen Web-Analyse Anbieter und hat dafür keine ausdrückliche Zustimmung der Nutzer, haftet es für daraus entstehende Probleme und den Missbrauch durch Dritte. Verwendet der Web-Analyse Dienstleister beispielsweise die ihm zur Verarbeitung vorliegenden Daten in personenbezo- gener Form für weitere Zwecke – etwa für die Bildung von personalisierten Interessensprofilen – oder gibt er personen- bezogene Daten an Dritte weiter, wie dies bei kostenlosen Web-Analyse Diensten oft der Fall ist, ist nach geltendem Recht eine ausdrückliche Einwilligung des Betroffenen in Opt-In-Form vor der Datenerhebung erforderlich (§§ 12 Abs. 1 und 2, 13 Abs. 2 Telemediengesetz). Für Zuwiderhandlungen ist derjenige verantwortlich, auf dessen Internetseite(n) die Daten erhoben wurden.