Bedenken der Kunden zur Sicherheit ihrer Daten sind nach wie vor eines der großen Hindernisse beim Online-Kauf. Und dies, obwohl schon die deutschen Datenschutzgesetze das Recht auf informelle Selbstbestimmung außerordentlich stark betonen. Entsprechend hoch sind die rechtlichen Anforderungen an Websitebetreiber für den Umgang mit persönlichen Daten von Besuchern und Kunden.
Welche konkreten Maßnahmen nötig sind, um seinen Onlineshop oder seine Website rechtskonform (und im Sinne der kritischen Kunden) zu betreiben, hat Webcontolling-Spezialist etracker in einem Leitfaden zusammengestellt: "Achtung Datenschutz!".
Welche Daten wie erhoben und verarbeitet werden können, stellt etracker in 10 Tipps zum korrekten Umgang mit Online-Kundendaten zusammen und gibt dabei ganz konkrete Handlungsempfehlungen. Hier die Tipps im Schnelldurchlauf – das ganze acht Seiten starke Heft gibt es als PDF auf Nachfrage bei etracker:
Wer Daten zur Verarbeitung an andere (spezialisierte) Unternehmen weitergibt, meint gelegentlich, er sei damit "aus dem Schneider", schließlich "wissen die Spezialisten schon, was sie tun" – Falsch gedacht! Denn als Auftraggeber der "Datenverarbeitung im Auftrag" ist auch in diesem Fall er selbst verantwortlich für den korrekten Umgang mit den Kundendaten. Daher muss man auch als Auftraggeber immer sicherstellen, dass die Dienstleister die gesetzlichen Bedingungen erfüllen, beispielsweise über alle technischen Voraussetzungen verfügen, die Daten gesetzeskonform zu verarbeiten.
Konkret: Am besten lässt man sich dies schriftlich bestätigen.
Als "personenbezogene Daten" werden alle Daten angesehen, die einen Rückschluss auf die konkrete Person zulassen. Es geht daher hierbei nicht nur um die Namensdaten, sondern auch Angaben wie die Adresse, Telefonnummern oder Kontodaten eines Kunden zählen zu diesen besonders geschützten Daten. Nicht personenbezogene Daten sind all jene Informationen, "die anonym erfasst,verarbeitet und gespeichert werden und die nicht wieder einer Person zugeordnet werden können." Beispiele hierfür sind aggregierte Kennzahlen wie die durchschnittliche Verweildauer, Page Impressions oder auch (anonyme) Warenkorbinhalte.
Konkrete Handlungsempfehlung von etracker:
Speichern Sie personenbezogene und nicht personenbezogene Daten in separaten Datenvorhaltungssystemen. Denn falls vom Nutzer nicht anders gestattet, dürfen personenbezogene Kundendaten nur zur Erfüllung und Verwaltung eines Vertragsverhältnisses – also zum Beispiel zur Abwicklung des Einkaufsvorgangs – gespeichert und genutzt werden. Noch ein Hinweis: Ändert ein Kunde seine personenbezogenen Profildaten, so ist es in der Regel unzulässig, die veralteten und überschriebenen Daten weiterhin zu speichern, ohne den Kunden darüber zu informieren und seine explizite Einwilligung hierzu einzuholen.
Die getrennte Speicherung ist übrigens auch aus einem anderen Grund sinnvoll: Auf Verlangen müssen die personenbezogenen Daten eines Kunden umgehend gelöscht werden (s.u.) – das ist natürlich bei einer getrennten Datenhaltung viel einfacher.
IP-Adressen sind die Absenderkennung, die Browser beim Zugriff auf Webseiten angeben, damit die Server die Webseiten korrekt ausliefern können. Diese an sich nackte Zahl fällt in Deutschland jedoch unter die "Personenbezogenen Daten" – weil die unscheinbaren Nummern nämlich (ggf. über Umwege) mit echten Personen verknüpft werden können. Serverlogfiles enthalten fast immer die IP-Nummern der Website-Nutzer – eine Falle für den Datenschutz und ein Dilemma beim Webseitecontrolling.
etracker rät hier, möglichst gar keine IP-Adressen zu speichern bzw. wo solche gespeichert werden, diese durch Pseudonyme ersetzen zu lassen und dann umgehend zu löschen.
Beim Webcontrolling werden oft ganze Nutzerprofile erstellt. Das ist im Grunde sinnvoll, denn über Nutzerprofile erfährt man, wie die Kunden das eigene Angebot wahrnehmen. Doch Vorsicht: Nutzerprofile dürfen niemals mit den personenbezogenen Daten des Nutzers in Verbindung gebracht werden. Daher müssen Nutzerprofile immer unter Pseudonymen angelegt werden und diese Pseudonyme dürfen nicht wieder re-identifizierbar sein. "Nutzer XYZ" muss immer "Nutzer XYZ" bleiben, und darf niemals wieder zu "Kunde Meierlein" werden. etracker rät:
Speichern Sie im pseudonymisierten Nutzungsprofil ausschließlich nicht personenbezogene Angaben zum Nutzerverhalten wie die Zahl der Seitenaufrufe auf einer Website, aber keine personenbezogenen Daten wie die IP-Adresse des Besuchers oder gar den Namen des Nutzers. Ansonsten könnte das Pseudonym im Umkehrschluss – beispielsweise über die potenziell eindeutig zuzuordnende IP-Adresse eines Kunden – aufgehoben werden und damit wieder einen Bezug zu Werner Schmidt erlauben. Das wiederum wäre aus datenschutzrechtlicher Sicht ein klarer Gesetzesverstoß und damit strafbar. Wenn Sie zur Aussendung an kategorisierte Versandgruppen einen E-Mail-Pool erstellen und darin einzelne Adressen speichern, gehen Sie sicher, dass Sie die Tracking-Daten der einzelnen Adressaten aggregieren und damit pseudonymisieren. Auch hier darf keine direkte Verbindung zwischen der E-Mail-Adresse von Werner Schmidt und seinem individuellen, durch das Tracking erfassten Nutzungsverhalten bestehen.
Wollen Sie personenbezogene Daten speichern, benötigen Sie in jedem Fall die ausdrückliche Einwiligung des Kunden. Ohne die Einwilligung dürfen nur die für die Kaufabwicklung notwendigen Daten erfasst werden – und diese dürfen auch nur für die Kaufabwiklcung genutzt werden. Dies bedeutet, dass ein Händler seinen Kunden beispielsweise keine persönlich addressierten Mailings senden darf, wenn er nicht die ausdrückliche Einwilligung seines Kunden dazu hat. Eine Klausel beispielsweise in den AGB reicht hier nicht aus!
Fragen Sie also Ihre Kunden explizit danach, ob Sie ihnen z.B. Mailings senden und sie darin auch persönlich ansprechen dürfen! Mehrwerte* im Newsletter sind ein gutes Überzeugungsmittel.
"Bei allen Daten, die zur Erstellung von Nutzungsprofilen erhoben werden, hat der Kunde grundsätzlich ein Widerspruchsrecht." erinnnert etracker im Leitfaden. das bedeutet, dass Nutzer es ablehnen können, selbst zum pseudonomisierten Datenpool beizutragen. Dann ist der Websitebetreiber in der Pflicht, technisch für den Ausschluss des betreffenden Nutzers aus der Datensammlung zu sorgen. Dies auf den Nutzer abzuwälzen, z.B. über die Aufforderung, Cookies abzuschalten, ist nicht zulässig: Aus datenschutzrechtlicher Sicht muss die Nichtspeicherung von Nutzungsdaten vom Website-Betreiber veranlasst und technisch umgesetzt werden.
Für die besonders schützenswerten personenbezogenen Daten kann der Nutzer zudem jederzeit – also auch nachfristig – die Löschung verlangen. Hierbei zahlt sich dann die stringente Getrennthaltung von personenbezogenen und sonstigen Daten aus.
Die gute Nachricht: Das Setzen von Cookies wird vom Datenschutz toleriert, wenn darüber informiert wird. Dafür reicht ein entsprechender Hinweis, z.B. im Impressum aus. Noch besser ist natürlich eine Erläuterung in Form einer Datenschutzerklärung – das zeigt Transparenz und vermittelt dadurch Vertrauen. das alles gilt allerdings nur, wenn die Cookies nicht dazu benutzt werden, personenbezogene Daten zu erheben. Ist dies der Fall, dann gilt wieder, dass eine explizite (!) Zustimmung notwendig ist.
Geben Sie Daten Ihrer Nutzer zur Verarbeitung weiter? "Wandern" diese Daten dabei auch ins Ausland? Das ist beispielsweise bei der Nutzung von Google Analytics der Fall, denn Google speichert die Daten auf US-amerikanischen Servern! Da außerhalb Deutschlands die Datenschutzgesetze oft deutlich anders sind und oft nur geringeren Schutz der Daten garantieren, müssen Sie in diesem Fall die Nutzer explizit auf die Datenverarbeitung im Ausland hinweisen. "Explizit" heißt auch hier: Eine entsprechende Klausel in den AGB reichen nicht aus! etracker empfielt folgende Formulierung:
"Unser Unternehmen behält sich das Recht vor Server zu betreiben, die außerhalb des Hoheitsgebiets der Staaten der Europäischen Gemeinschaft lokalisiert sind. Unternehmen XY garantiert für Daten, die auf diesen Servern gespeichert werden, denselben Schutzstandard, der innerhalb Deutschlands und der Europäischen Gemeinschaft gilt."
Achtung bei der Nutzung von Google Analytics: Google garantiert eben gerade nicht für dieselben Schutzstandards und behält sich im Gegenteil eine eigene Nutzung aller erhobenen Daten vor! Lassen Sie sich bei der Weiterverarbetiung Ihrer Nutzerdaten vom jeweiligen Unternehmen am besten die Einhaltung der von Ihnen vorgegebenen Regeln (am besten schriftlich) garantieren (Siehe auch Punkt 1: Sie sind in der Pflicht und haften im Zweifelsfall persönlich!)
Thema Datenschutzerklärung. Prima, wenn Sie eine haben, viel viel besser aber, wenn diese auch umfassend und verständlich ist! Auch hier gibt etracker Hilfestellung bei der konkreten Formulierung:
"Auf dieser Website werden durch Web-Controlling Technologien Daten in anonymisierter Form zu Marketing- und Optimierungszwecken gesammelt und gespeichert. Aus diesen Daten werden unter einem Pseudonym Nutzungsprofile erstellt. Hierzu können Cookies eingesetzt werden, die allerdings Daten ausschließlich in pseudonymer Form sammeln und speichern. Die Daten werden nicht dazu benutzt, den Besucher dieser Website persönlich zu identifizieren und werden nicht mit Daten über den Träger des Pseudonyms zusammengeführt. Der Datensammlung sowie der Datenspeicherung kann jederzeit mit Wirkung für die Zukunft widersprochen werden."
Werden Sie in Ihrer Datenschutzerklärung konkret und nennen Sie jede Datenerhebung und den Zweck derselben. Nutzen Sie dabei kein Juristendeutsch, das ist unverständlich und führt nur dazu, Misstrauen zu mehren ("Warum verklausulieren die das wohl so?").
Und schließlich: Nennen Sie auch einen konkreten Ansprechpartner für Datenschutzfragen, der Anfragen auch zeitnah und konkret beantwortet. Testen Sie Ihre Abläufe auch einmal darauf, wie personenbezogene Daten auf Anforderung zeitnah und problemlos gelöscht werden können – so stehen Sie im Fall der Fälle nicht vor einem Problem, sondern können dem Nutzerwunsch souverän nachkommen.
Das eBooklet "Achtung: Datenschutz! – 10 Tipps zum korrekten Umgang mit Online-Kundendaten" mit allen Hinweisen und Formulierungsvorschlägen gibt es bei etracker auf Anfrage.
Herzlich aus Hürth
Nicola Straub