Datenschutzerklärung für die eigene Website

Datenschutz- und Einwilligungserklärung Die Datenschutzerklärung ist Erfüllung der Informationspflicht aus Artikel 13 DSGVO, wenn Daten bei Betroffenen erhoben werden, und aus Artikel 14 DSGVO, wenn Daten der Betroffenen bei Dritten erhoben werden. Flankiert werden die beiden Rechtsvorschriften durch die Erwägungsgründe 60, 61 und 62. Die Datenschutzerklärung ist keine Einwilligungserklärung und ersetzt diese auch nicht: Sofern der Rechtsgrund für die Datenerhebung die Einwilligung (statt der Vertrags- oder Gesetzeserfüllung oder überwiegende eigene Interessen) sein sollte, ist die Datenschutzerklärung notwendiger Ausgangspunkt für die zusätzlich nötige Einwilligungserklärung. Umgekehrt braucht deshalb eine Datenschutzerklärung, die sich nicht auf den Rechtsgrund der Einwilligung stützt, auch keine Zustimmung oder Unterschrift der Betroffenen. Es muss lediglich die „Mitteilung“ zum Zeitpunkt der Datenerhebung gewährleistet sein. Typischerweise reicht daher auf der Startseite der Website ein Link „Datenschutzerklärung“ neben dem üblichen Link zum Impressum.

Umfang der Datenerhebung Die Programmierung der Website selbst und/oder des Providers ist meist so gestaltet, dass mindestens das personenbezogene Datum der IP-Adresse der Website-Besucherinnen und -Besucher erhoben und gespeichert wird – was den Betreibenden nicht immer bewusst ist. Nicht selten werden zudem weitere Daten erfasst, wie zum Beispiel Angaben dazu, welche Websites Besucherinnen und Besucher (mit der betreffenden IP-Adresse) vorher besuchten oder welche Links angeklickt worden sind. Aufgrund der großen Unterschiede bezüglich des Umfangs der Datenerhebung gibt es daher nicht die eine, alles umfassende Datenschutzerklärung. Stattdessen muss individuell in Erfahrung gebracht werden, ob und welche personenbezogenen Daten beim Besuch der eigenen Website erhoben und gespeichert werden. Hier sind Programmierer und Provider gefragt.

Analyse- und Trackingtools Schon fast Standard sind Analyse- und gegebenenfalls Trackingtools. Im Handel und in der Wirtschaft ist es völlig selbstverständlich, dass das Verhalten von Website-Besucherinnen und -Besuchern erfasst wird – liefert es doch wichtige Informationen über (potenzielle) Kundinnen und Kunden, die insbesondere das Marketing nicht missen will. Die Erhebung und Speicherung solcher Daten bleibt grundsätzlich auch erlaubt, es muss „nur“ darüber informiert werden (Transparenzgebot).

Besser Verzicht ... Auch für die Anbieterinnen und Anbieter von psychologischen und psychotherapeutischen Dienstleistungen können solche Daten interessant sein. Allerdings passt es eher weniger zum Selbstverständnis dieser Berufe, sie zu erheben. Ausgangspunkt der Tätigkeit ist meist die Autonomie der Klientinnen und Klienten, Patientinnen und Patienten und das freiwillige Sich-Anvertrauen. Eine vorgelagerte Datenerhebung mit Blick auf eher unbewusstes Surfverhalten kann da schnell als nicht unerhebliche Irritation des sich eventuell anbahnenden Vertrauensverhältnisses gewertet werden. Kurzum: Die typischen Websites von Psychologinnen, Psychologen, Psychotherapeutinnen und Psychotherapeuten dienen typischerweise ausschließlich der Information über das eigene Angebot und erschöpfen sich darin. Ein Verzicht auch Analyse- und Trackingtools passt ins Berufsbild. (Freilich ist anzufügen, dass es auch Tools gibt, die weniger oder sogar gar keine persönlichen Daten erheben bzw. speichern.)

… oder Information? Andererseits können Betreiberinnen bzw. Betreiber einer Website das Transparenzgebot auch dahingehend verstehen, dass eine gute, ausführliche Datenschutzerklärung vertrauensbildend ist. Immerhin ist die Datenerhebung durch Analyse- und Trackingtools derart weit verbreitet, dass es nicht sonderlich auffällt, wenn sie auch von Psychologie- und Psychotherapie-Anbietenden genutzt wird. Wer also trotz allem gerne in Erfahrung bringen möchte, welche Personen sich wie beim Besuch der eigenen Website verhalten, woher sie kommen und wohin sie gehen, kann dies tun, muss nun diesbezüglich aber informieren.

Form der Information Dies kann, wie bereits erläutert, sehr unterschiedlich ausfallen. Hinzu kommt, dass bestimmte Tools nicht nur unterschiedlich intensiv genutzt werden können, sondern auch fortlaufend weiter entwickelt werden. Beispielsweise findet man zum weit verbreiteten „Google Analytics“ derzeit fast täglich neue Erklärungen. An dieser Stelle ist vieles noch sehr im Fluss – und typische Formulierungen werden sich erst noch etablieren müssen, bzw. müssen gegebenenfalls auch erste Urteile abgewartet werden. Spätere Aktualisierungen der Formulierungen der Datenschutzerklärung sind also durchaus erwartbar. Umgekehrt ist es – zumindest einstweilen – vertretbar, sich mit Formulierungsmustern zu behelfen.

Eigene Interessen und Dauer der Speicherung Jenseits der Unwägbarkeiten im Bereich der Analyse- und Trackingtools geben Artikel 13 und 14 der DSGVO das Gerüst der Datenschutzerklärung durchaus auch für Laien verständlich vor, sodass die Lektüre dieser Abschnitte jedenfalls zu empfehlen ist. Hervorzuheben sind in der dort genannten Auflistung die eventuelle Benennung der eigenen überwiegenden Interessen (Rechtsgrund der Datenerhebung; Artikel 6 f DSGVO) sowie die Dauer der Speicherung der erhobenen Daten.

Beispiel einer Datenschutzerklärung Ein gutes, öffentlich zugängliches Beispiel einer Datenschutzerklärung wurde vom Deutschen Anwaltverein für seine Mitglieder erarbeitet. Da die Formulierungsvorschläge auch für BDP-Mitglieder und die meisten ihrer Websites passend sind, wird nachfolgend eine Passage zitiert. Das zitierte Muster in voller Länge (insbesondere auch mit der regelmäßig notwendigen Erwähnung der Betroffenenrechte) finden sich, ebenso wie Formulierungen für Newsletter, Kontaktformulare, Cookies und eine Reihe von Analysetools unter dem folgenden Link:

anwaltsblatt.anwaltverein.de

2. Erhebung und Speicherung personenbezogener Daten sowie Art und Zweck von deren Verwendung

a) Beim Besuch der Website

Beim Aufrufen unserer Website www.xyrechtsanwaelte.de werden durch den auf Ihrem Endgerät zum Einsatz kommenden Browser automatisch Informationen an den Server unserer Website gesendet. Diese Informationen werden temporär in einem sog. Logfile gespeichert. Folgende Informationen werden dabei ohne Ihr Zutun erfasst und bis zur automatisierten Löschung gespeichert:

IP-Adresse des anfragenden Rechners, Datum und Uhrzeit des Zugriffs, Name und URL der abgerufenen Datei, Website, von der aus der Zugriff erfolgt (Referrer-URL), verwendeter Browser und ggf. das Betriebssystem Ihres Rechners sowie der Name Ihres Access-Providers. Die genannten Daten werden durch uns zu folgenden Zwecken verarbeitet:

Gewährleistung eines reibungslosen Verbindungsaufbaus der Website, Gewährleistung einer komfortablen Nutzung unserer Website, Auswertung der Systemsicherheit und -stabilität sowie zu weiteren administrativen Zwecken. Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse folgt aus oben aufgelisteten Zwecken zur Datenerhebung. In keinem Fall verwenden wir die erhobenen Daten zu dem Zweck, Rückschlüsse auf Ihre Person zu ziehen.

[...]

3. Weitergabe von Daten

Eine Übermittlung Ihrer persönlichen Daten an Dritte zu anderen als den im Folgenden aufgeführten Zwecken findet nicht statt.

Wir geben Ihre persönlichen Daten nur an Dritte weiter, wenn:

Sie Ihre nach Art. 6 Abs. 1 S. 1 lit. a DSGVO ausdrückliche Einwilligung dazu erteilt haben, die Weitergabe nach Art. 6 Abs. 1 S. 1 lit. f DSGVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist und kein Grund zur Annahme besteht, dass Sie ein überwiegendes schutzwürdiges Interesse an der Nichtweitergabe Ihrer Daten haben, für den Fall, dass für die Weitergabe nach Art. 6 Abs. 1 S. 1 lit. c DSGVO eine gesetzliche Verpflichtung besteht, sowie dies gesetzlich zulässig und nach Art. 6 Abs. 1 S. 1 lit. b DSGVO für die Abwicklung von Vertragsverhältnissen mit Ihnen erforderlich ist. [...]“

Datenschutzerklärung für die Datenerhebung bei der Berufsausübung Jenseits der Datenschutzerklärung für den Besuch der eigenen Website wird in Zukunft auch zu klären sein, ob und wie eine Datenschutzerklärung für die Datenerhebung bei der Berufsausübung, also klassischerweise im Angesicht der betroffenen Personen nötig ist. Stets ist zuerst die Frage zu stellen, ob eine Datenschutzerklärung gemäß Artikel 14 Abs. 4 DSGVO entbehrlich ist, wenn und soweit die betroffene Person bereits über die entsprechenden Informationen verfügt. Dennoch scheint sich ein Trend zu ergeben, im Zweifel lieber eine Datenschutzerklärung vorzuhalten. Deshalb werden sich wohl auch hierzu in Kürze Muster finden, zum Beispiel für Psychotherapeutinnen und Psychotherapeuten mit Kassenzulassung oder für Rechtspsychologinnen und -psychologen.