Datenschutz: So machen Sie es richtig

Der Datenschutz wird von vielen Onlinehändlern recht stiefmütterlich behandelt. Dies liegt vor allem daran, dass viele schlecht über die bestehenden Datenschutzregeln informiert sind. Dabei können Verstöße ernsthafte Konsequenzen haben.

In einer neuen siebenteiligen Beitragsreihe von Trusted Shops zum Thema Datenschutz werden grundlegende Einblicke in das Thema gewährt. Hierbei soll in den kommenden Beiträgen vor allem auf die für Onlinehändler relevanten Themen wie etwa E-Mail-Werbung, IP-Adressen-Speicherung und Bonitätsprüfungen eingegangen werden.

Lesen Sie hier, worauf es beim Datenschutz ankommt:

Inhalt der Datenschutzerklärung

Wichtige Inhalte der Datenschutzerklärung sind Art, Umfang und Zweck der Datenverarbeitung; Übermittlung in Drittländer (§ 13 Abs. 1 TMG); Belehrung über anonyme oder pseudonyme Nutzung (falls möglich); Belehrung über evtl. bestehende Widerspruchs- und Widerrufsmöglichkeiten; Belehrung über Auskunfts-, Berichtigungs-, Sperrungs-und Löschungsrechte; Informationen über Cookies (mit Personenbezug) und gegebenenfalls Wiedergabe der Einwilligungstexte (Newsletteranmeldung etc.).

Zweckbindungsgrundsatz

Sowohl im Bundesdatenschutzgesetz (BDSG) als auch im Telemediengesetz (TMG) gilt ein enger Zweckbindungsgrundsatz, d.h. alles, was nicht ausdrücklich durch Gesetz oder Einwilligung des Kunden erlaubt ist, ist verboten. Kundendaten, gleich ob Namen und Adressen, Kaufverhalten oder Abrechnungsdaten dürfen nur in sehr eingeschränktem Umfang erhoben und verarbeitet werden. Die Übermittlung der notwendigen Daten an das Transportunternehmen und das Kreditinstitut erfolgt im Online-Handel zur Erfüllung des Kaufvertrages und ist daher gemäß § 28 Abs. 1 Nr. 1 BDSG ohne Einwilligung möglich. Entscheidend ist hier, inwieweit die betreffende Datenverarbeitung durch Gesetz ausdrücklich erlaubt bzw. zur Abwicklung des Online-Kaufs unbedingt erforderlich ist.

Übermittlung ohne Einwilligung

Schließt der Verbraucher z. B. einen Kaufvertrag mit einem Online-Händler, darf dieser die Adressdaten des Kunden gem. § 28 Abs. 1 Nr.1 BDSG ohne Einwilligung einem Transportunternehmen übermitteln, da er hierdurch bloß seine Vertragspflichten erfüllt. Der Betroffene ist aber gem. § 28 Abs. 4 BDSG über sein jederzeitiges Widerspruchsrecht im Bezug auf Verwendung der Daten zur Markt- oder Meinungsforschung zu unterrichten. Daher reicht es in diesen Fällen aus, wenn die jeweiligen Rechte des Betroffenen aus der verlinkten Datenschutzerklärung hervorgehen.

Darüber hinaus gibt es zahlreiche Fälle, in denen eine Einwilligung gar nicht erst möglich ist, wie z.B. das (wenn auch nur kurzzeitige) Speichern der IP- Adresse des Nutzers auf dem Server des Diensteanbieters. Hier ist es technisch nicht möglich, den Nutzer vorher nach der Einwilligung zu fragen, da schon mit Anklicken der betreffenden Seite automatisch eine Speicherung erfolgt. Diese Fälle zählen aber zu den Datenverarbeitungsvorgängen, die zur Durchführung und Abwicklung eines Online-Kaufs unbedingt erforderlich sind.

Umfassende Information nötig

Es kommt also nicht bei allen Datenverarbeitungsvorgängen auf eine Einwilligung des Betroffenen an. Vielmehr ist dieser im Rahmen der § 13 Abs. 1 TMG und § 33 Abs. 1 BDSG „nur“ umfassend über Art, Umfang und Zweck der Erhebung, Verarbeitung oder Nutzung der personenbezogenen Daten, sowie etwaige Widerspruchsrechte zu unterrichten. Es muss also immer zwischen einer etwa erforderlichen Einwilligung und der bloßen Unterrichtung differenziert werden.

Ausnahme der Einwilligung im UWG

Dies wird auch durch § 7 Abs. 3 UWG bekräftigt, wonach eine Einwilligung des Verbrauchers zur Werbung mit ähnlichen Produkten mittels elektronischer Post bei kumulativem Vorliegen der entsprechenden Voraussetzungen (u.a. auch hier wieder Belehrung über jederzeitigen Widerspruch) gerade nicht erforderlich ist. § 7 Abs. 3 UWG stellt insoweit einen wettbewerbsrechtlichen Sonderfall dar, der vor allem von Verbraucherschützern stark kritisiert wird.

Erforderliche Einwilligung

Ist die Datenverarbeitung nicht zur Abwicklung des Online-Einkaufs erforderlich oder durch Gesetz ausdrücklich erlaubt, muss die Einwilligung des Kunden eingeholt werden. Die Einwilligung, die präzise den Zweck der Verarbeitung benennen muss, kann bei Telediensten elektronisch erteilt werden, muss dann protokolliert werden und für den Kunden jederzeit abrufbar sein. Sie kann aber jederzeit von ihm widerrufen werden.

Eine Einwilligung muss ausdrücklich erfolgen, jedoch nicht durch vorangekreuzte Checkbox, und darf nicht in den AGB’s versteckt sein. Dies hat auch der BGH ausdrücklich bestätigt. Das LG Bonn (Urteil vom 31.10.2006, Az. 11 O 66/06) entschied z.B. zur Einwilligung in Telefonwerbung, dass eine formularmäßig eingeholte Einwilligung von Verbrauchern, die zu uneingeschränkter telefonischer Werbung berechtigten soll, gegen §§ 4, 41 BDSG verstößt und unwirksam ist. Darüber hinaus verstoße eine ohne sachlichen Zusammenhang in die AGB’s eingebaute Einwilligungsklausel auch gegen das Transparenzgebot (§ 307 Abs. 1 S. 2 BGB).
Das OLG Köln hat entschieden, dass eine vorformulierte Einwilligung in die Telefonwerbung durch AGB ausgeschlossen ist. Auch das LG Dortmund (Urteil v. 23.02.2007, 8 O 194/06) hat entschieden, dass eine Bevollmächtigung in AGB, Daten im Rahmen der Leistungserbringung an Dritte weiterzugeben, gegen AGB-Recht und das BDSG verstößt.

Anwendungsbereiche der Einwilligung

Sollten Sie Zweifel haben, ob eine bestimmte Verarbeitung noch im unmittelbaren Zusammenhang mit der Bestellabwicklung steht, sollten Sie vorsichtshalber Ihre Kunden aufklären und um Erlaubnis bitten.

Hier sind Wichtige Anwendungsbereiche der Einwilligung aufgeführt:

* E-Mail-Newsletter (Verwendung der Kundendaten zu Werbezwecken)
* Registrierung (Eröffnung eines Kundenkontos)
* Nutzerprofilerstellung (Systematische Aufbereitung von Kundendaten zur gezielten Werbeansprache)
* Bonitätsprüfung (sofern kein „berechtigtes Interesse“ vorliegt)
* Datenweitergabe (sofern sie nicht zur Vertragserfüllung erfolgt)
* Langzeit-Cookies (dauerhafte Speicherung von personenbezogenen Daten)

Verlinkung zulässig

Grundsätzlich kann die Unterrichtung des Kunden zentral in der Datenschutzerklärung zusammengefasst werden. Diese sollte aber von jeder Seite aus unter dem Link „Datenschutz“, „Datenschutzerklärung“ oder auch „Datenschutzinformationen“ erreichbar sein. Auch die Einwilligungstexte können durch einen sprechenden Link innerhalb der Datenschutzerklärung auf einer anderen Informationsseite bereitgestellt werden.

Hierbei ist der Link jedoch so eindeutig zu bezeichnen, dass dem Verbraucher sofort klar ist, was er beim Anklicken dieses Links abrufen wird. Insoweit wäre z.B. ein sprechender Link auf „weitere Informationen“ nicht ausreichend, da dies auch Erläuterungen sein könnten, die den Verbraucher nicht interessieren. Es muss also bei der Verwendung eines sprechenden Links stets ein Schlagwort verwendet werden, das zweifelsfrei erkennen lässt, was sich auf der verlinkten Seite befindet. Daher reicht es aus datenschutzrechtlicher Sicht z.B. auch nicht aus, mit einem Link auf AGB zu verweisen, wenn dort zusätzlich auch die Datenschutzerklärung zu finden ist.

Datenweitergabe an Dritte

Bei Datenweitergabe an Dritte zu Werbezwecken sollten die Empfänger ausdrücklich benannt werden. Dann kann der Kunde notfalls seine Rechte gegenüber diesen Dritten geltend machen. Eine Weitergabe an nicht näher bezeichnete „Partnerunternehmen“ weckt das Misstrauen der Kunden.

Sanktion bei Verstößen

Bei Verstößen gegen datenschutzrechtliche Vorschriften drohen staatliche Sanktionen in Form von Bußgeldern bis zu 250.000 € bis hin zum Entzug der Gewerbeerlaubnis oder auch Freiheitsstrafen. Immer öfter werden Datenschutzverstöße wegen des Verbraucherschutzbezugs auch von Verbraucherverbänden abgemahnt und gerichtlich verfolgt. Da es im Datenschutzrecht grundsätzlich nur datenschutzbehördliche Sanktionen in Form von Bußgeldern gibt und Verbraucherverbände auch nur vereinzelt (namentlich bei Bezug des Verstoßes zum Verbraucherschutz) zur Abmahnung befugt sind, enthält das datenschutzrechtliche Instrumentarium selbst keine Abmahnmöglichkeiten des Konkurrenten.

Jedoch können Verstöße gegen das Datenschutzrecht dem jeweiligen Unternehmen auch unzulässige Wettbewerbsvorsprünge bringen, weshalb derartige Verstöße durch Konkurrenten nach dem UWG abmahnfähig sind. Hier käme dann u.a. das Vorliegen von § 4 Abs. 11 UWG in Betracht, allerdings wäre es hierfür notwendig, dass es sich um eine datenschutzrechtliche Vorschrift handelt, die auch dazu bestimmt ist, im Interesse der Marktteilnehmer das Marktverhalten zu regeln.

www.trustedshops.de